Jenseits von Typosquatting: Combolist-Domains, Homoglyphen und der Domain-Missbrauch, den Marken nicht kommen sehen

Typosquatting, also die Registrierung einer falsch geschriebenen Version der Domain einer Marke, ist der Domain-Missbrauch, auf den die meisten Marken bereits achten, doch zwei schwerer zu erkennende Taktiken verursachen vergleichbaren oder größeren Schaden: Homoglyph-Domains, die visuell ähnliche Zeichen aus anderen Alphabeten verwenden, um eine Domain zu erzeugen, die der echten fast identisch aussieht, und Combolist-gestützte Domains, die gezielt dafür eingerichtet werden, Zugangsdaten abzugreifen, die in Listen gebündelt werden, die für weitere Angriffe im gesamten Web genutzt werden. Beide bleiben meist unentdeckt, wenn die Überwachung nur darauf ausgelegt ist, offensichtliche Schreibvarianten zu erfassen.

Warum Typosquatting allein für die Überwachung nicht ausreicht

Die meisten Domain-Überwachungstools und internen Prüfungen sind auf die naheliegendste Bedrohung ausgelegt: eine Domain, die den Markennamen so falsch schreibt, wie ein Mensch sich versehentlich vertippen könnte, etwa durch einen zusätzlichen Buchstaben oder ein vertauschtes Zeichen, genau die Taktik, die in Typosquatting: Die Domain-Betrugstaktik, die die meisten Marken erst entdecken, wenn es zu spät ist beschrieben wird. Dies ist eine reale und verbreitete Taktik, aber auch die am leichtesten abzuwehrende, da Marken die wahrscheinlichsten Fehlschreibungen selbst registrieren können und Überwachungstools neue Registrierungen markieren können, die nur eine einfache Zeichenänderung von der echten Domain entfernt sind. Die Taktiken, die heute den größten Schaden verursachen, sind genau diejenigen, die gezielt darauf ausgelegt sind, diese Art von Überwachung zu umgehen.

Homoglyph-Domains: Bedrohungen, die identisch aussehen, nicht nur ähnlich

Ein Homoglyph-Angriff nutzt Zeichen aus einem anderen Alphabet oder Zeichensatz, die visuell identisch oder nahezu identisch zu den Buchstaben der echten Domain einer Marke dargestellt werden. Bestimmte kyrillische Zeichen etwa sind bei normaler Lesegröße optisch nicht von lateinischen Buchstaben zu unterscheiden, was bedeutet, dass eine Domain registriert werden kann, die für das menschliche Auge exakt wie die echte Domain der Marke aussieht, während es sich für einen Browser und ein Sicherheitssystem um eine völlig andere Zeichenfolge handelt.

Das ist wichtig, weil die Standardüberwachung von Typosquatting, die nach Domains sucht, die eine kleine Zeichenänderung von der echten im selben Alphabet entfernt sind, Homoglyph-Domains oft vollständig übersieht, da die visuelle Ähnlichkeit nicht einer einfachen textbasierten Ähnlichkeit entspricht, die eine grundlegende Überwachungsregel erfassen würde. Eine Marke, die sich nur auf die Überwachung von Fehlschreibungen im eigenen Alphabet verlässt, kann monatelang eine Homoglyph-Domain unentdeckt lassen, die eine aktive Phishing-Kampagne betreibt, dieselbe blinde Stelle, die in dem Domain-Portfolio-Audit: Wie man jede bereits aktive Nachahmer-Seite gegen die eigene Marke findet behandelt wird.

Combolist-Domains: Für Credential Harvesting gebaut, nicht nur für Impersonation

Eine Combolist ist eine zusammengestellte Liste gestohlener Kombinationen aus Benutzername und Passwort, oft aus mehreren Datenlecks zusammengetragen und unter Bedrohungsakteuren verkauft oder geteilt. Manche gefälschten Websites, die eine Marke imitieren, sind nicht primär dafür gebaut, Fälschungen zu verkaufen oder ein Gewinnspiel-Betrug zu betreiben, sondern gezielt dafür, Login-Daten von Kunden abzugreifen, die glauben, sich in das echte Konto-Portal der Marke einzuloggen, eine Taktik, die zunehmend auch auf Mobilgeräten auftritt, wie in gefälschte Login-Seiten auf Mobilgeräten: Warum App-basiertes Phishing den Desktop-Markenschutz überholt beschrieben. Diese abgegriffenen Zugangsdaten landen in Combolists und werden für Credential-Stuffing-Angriffe gegen andere Dienste verwendet, da viele Menschen Passwörter über mehrere Seiten hinweg wiederverwenden.

Diese Taktik ist aus zwei Gründen gefährlich, die über den unmittelbaren Phishing-Schaden hinausgehen. Erstens erzeugt sie fortlaufenden Schaden bei Kunden, weit über die ursprüngliche Phishing-Interaktion hinaus, da ein abgegriffenes Passwort Wochen oder Monate später gegen völlig unabhängige Konten eingesetzt werden kann. Zweitens hat die Marke, deren Identität genutzt wurde, oft überhaupt keine Sichtbarkeit darüber, da sich der Schaden als Betrug auf anderen Konten des Kunden zeigt, statt als direkte Beschwerde an die Marke.

Warum diese Taktiken zunehmen

Beide Taktiken sind zugänglicher geworden, da die dafür nötigen Werkzeuge günstiger und einfacher zu nutzen sind. Die Registrierung einer Homoglyph-Domain erfordert keine besonderen technischen Fähigkeiten außer dem Wissen, welche Zeichen ähnlich dargestellt werden, eine frei verfügbare Information. Combolist-Märkte sind parallel zur allgemeinen Zunahme von Datenlecks gewachsen und geben Credential-Harvestern sowohl die technische Ausstattung als auch einen bereiten Markt für das Gesammelte. Marken mit einer großen, aktiven Kundenbasis, die regelmäßig in ein Konto-Portal einloggt, sind gezielte Ziele, genau wegen des Volumens an Zugangsdaten, das abgegriffen werden kann.

Was wirksame Überwachung dieser Taktiken erfordert

Homoglyph-Domains zu erfassen erfordert eine Überwachung, die auf visuelle Ähnlichkeit prüft, nicht nur auf zeichenbasierte Ähnlichkeit, die vergleicht, wie eine Domain dargestellt wird, statt nur den literalen Textstring zu vergleichen. Combolist-orientierte gefälschte Websites zu erfassen erfordert eine Überwachung, die betrachtet, wozu eine Seite Besucher tatsächlich auffordert, etwa das Markieren von Login-seitenartigen Inhalten, die das echte Konto-Portal einer Marke nachahmen, statt nur nach Markennutzung in Domain oder Seiteninhalt zu suchen.

Die Überwachung von Remove.tech deckt Domain- und Website-Missbrauch kontinuierlich ab, mithilfe von bot-gestützter Suche und Bilderkennung, die sich auf den visuellen Vergleich von Seiteninhalten und Branding erstreckt, was speziell darauf ausgelegt ist, die engen visuellen Übereinstimmungen zu erfassen, auf die sich Homoglyph-Domains und Credential-harvestende gefälschte Login-Seiten verlassen, um der Entdeckung zu entgehen. Da die Überwachung kontinuierlich läuft statt nach einem festen Zeitplan, können diese schwerer zu erkennenden Taktiken näher an dem Zeitpunkt markiert werden, an dem sie live gehen, statt erst, nachdem Zugangsdaten bereits in großem Umfang abgegriffen wurden. Marken, die wissen möchten, ob eine der beiden Taktiken bereits gegen sie aktiv ist, können mit einem kostenlosen Marken-Audit beginnen.

FAQ

Kann eine Marke defensiv jede mögliche Homoglyph-Variante ihrer Domain registrieren?

Praktisch nicht. Die Anzahl visuell ähnlicher Zeichenkombinationen über verschiedene Alphabete hinweg macht die defensive Registrierung jeder Variante unrealistisch, weshalb erkennungsbasierte Überwachung wichtiger ist als der Versuch, jede mögliche Nachahmer-Domain vorab zu registrieren.

Wie würde eine Marke erfahren, ob die Zugangsdaten ihrer Kunden auf einer Combolist gelandet sind?

Das ist ohne spezialisierte Breach-Monitoring-Dienste, die Combolist-Märkte durchsuchen, schwer direkt festzustellen, da sich der Schaden typischerweise als Betrug auf unabhängigen Konten zeigt und nicht als Meldung an die ursprüngliche Marke zurückkommt. Das ist Teil des Grunds, warum Prävention durch schnelle Domain-Erkennung wichtiger ist als nachträgliche Entdeckung.

Tauchen Homoglyph-Domains in Standard-WHOIS- oder Domain-Überwachungssuchen auf?

Sie können über Domain-Register registriert und technisch auffindbar sein, aber Standardüberwachungstools, die auf textbasiertem Abgleich mit der echten Domain der Marke basieren, markieren sie oft nicht, da die Zeichenfolgen tatsächlich unterschiedlich sind, obwohl sie ähnlich aussehen. Eine auf visuellem Vergleich basierende Überwachung ist notwendig, um diese zuverlässig zu erfassen.

Sollten Marken ihre Kunden generell vor dem mit ihrer Marke verbundenen Risiko der Passwort-Wiederverwendung warnen?

Ja, besonders für Marken mit Konto-Portalen, die Zahlungsinformationen enthalten. Allgemeine Hinweise, die zu eindeutigen Passwörtern und Multi-Faktor-Authentifizierung ermutigen, verringern den nachgelagerten Schaden, selbst wenn ein Phishing-Versuch erfolgreich ein Passwort abgreift.

Typosquatting ist die Domain-Bedrohung, auf die jede Marke bereits zu achten weiß, weshalb genau dort nicht mehr die schädlichste Aktivität stattfindet. Homoglyph-Domains und Combolist-gestützte gefälschte Login-Seiten sind gezielt dafür gebaut, eine auf einfache Fehlschreibungen ausgelegte Überwachung zu umgehen, und sie zu erfassen erfordert eine Erkennung, die vergleicht, wie eine Seite tatsächlich aussieht und sich verhält, nicht nur, wie ihr Domainname geschrieben ist.

‍