Typosquatting, homoglifos y dominios parecidos: descubre cómo los dominios falsos suplantan marcas y cómo CertPulse ayuda a detectarlos a tiempo.

julio 1, 2026

Los dominios falsos ya no parecen falsos. Un atacante puede registrar una dirección casi idéntica a la de tu empresa, usar caracteres visualmente parecidos o añadir palabras como “login”, “secure”, “soporte” o “factura” para engañar a clientes, empleados y proveedores. En este artículo explicamos cómo funcionan el typosquatting, los homoglifos y los dominios parecidos, y cómo puedes detectarlos antes de que se utilicen en campañas de phishing o suplantación de marca.

Typosquatting, homoglifos y dominios parecidos: cómo los dominios falsos engañan a tus usuarios

Imagina que recibes un enlace por email. Parece llevarte a la web de tu banco, de Microsoft 365, de tu proveedor de hosting o de una herramienta interna de tu empresa. El diseño parece correcto. El logotipo está bien colocado. La página carga por HTTPS. El navegador muestra el candado.

Pero el dominio no es el auténtico.

Puede que sea rnicrosoft.com en lugar de microsoft.com. A simple vista, las letras r y n juntas pueden parecer una m. También puede ser una letra omitida, una extensión distinta, un guion añadido o una palabra aparentemente oficial como login, secure, verify, account, factura o soporte.

Este tipo de engaño no rompe el cifrado. Tampoco necesita explotar una vulnerabilidad compleja. Explota algo mucho más sencillo: la forma en que las personas leen, reconocen marcas y toman decisiones rápidas.

Por eso los ataques basados en typosquatting, homoglifos y dominios lookalike siguen siendo tan eficaces.

Qué es el typosquatting

El typosquatting consiste en registrar dominios muy parecidos a uno legítimo. El atacante espera que el usuario cometa un error al escribir, lea demasiado rápido o no revise la dirección completa antes de introducir datos sensibles.

Es una técnica habitual en campañas de phishing, suplantación de marca, fraudes de facturación y robo de credenciales. El dominio falso no necesita ser perfecto. Solo necesita parecer suficientemente creíble durante unos segundos.

Algunos patrones frecuentes de typosquatting son:

Caracteres omitidos: gogle.com en lugar de google.com.
Caracteres duplicados: gooogle.com o paypaall.com.
Letras intercambiadas: micrsooft.com o amazno.com.
Extensiones distintas: empresa.co en lugar de empresa.com.
Guiones añadidos: pay-pal.com, micro-soft.com o mi-empresa.com.
Palabras adicionales: paypal-secure.com, microsoft-login.net o banco-verificacion.com.
Prefijos engañosos: login-empresa.com, soporte-empresa.com o clientes-empresa.com.
Subdominios confusos: empresa.com.login-seguro.example.net, donde el dominio real queda al final.

La clave está en que el usuario reconoce parte del nombre. Esa familiaridad reduce la sospecha. Si además el mensaje crea urgencia, el riesgo aumenta.

Por qué el typosquatting funciona tan bien

La mayoría de usuarios no lee los dominios carácter por carácter. Reconoce formas, palabras y marcas de manera rápida. Esa lectura automática es útil en el día a día, pero también abre la puerta al engaño.

Un atacante puede aprovechar esa lectura rápida con mensajes como:

“Tu cuenta será suspendida en 24 horas”.
“Debes verificar tus datos”.
“Hay una factura pendiente”.
“Se ha detectado actividad sospechosa”.
“Actualiza tu método de pago”.
“Tienes un documento pendiente de firma”.

En ese contexto, muchos usuarios no revisan si el dominio es exactamente el correcto. Ven la marca, ven HTTPS, ven una página aparentemente profesional y continúan.

El typosquatting no necesita engañar a todo el mundo. Solo necesita engañar a un pequeño porcentaje de usuarios.

Qué son los homoglifos en dominios

Los homoglifos son caracteres que se parecen visualmente a otros. En dominios falsos, se utilizan para crear direcciones que parecen legítimas aunque técnicamente sean diferentes.

Algunos ejemplos sencillos son:

rn puede parecer m.
l, I y 1 pueden confundirse según la tipografía.
0 puede parecer o.
vv puede parecer w.
5 puede parecer s en algunos estilos visuales.

También existen caracteres de otros alfabetos que visualmente se parecen mucho a letras latinas. En pantalla pueden parecer iguales, pero internamente son caracteres distintos.

Esto hace que un dominio pueda parecer correcto en un correo, un PDF, un SMS, una app de mensajería o una vista previa social, aunque no sea el dominio real de la empresa.

Ataques con homoglifos: el engaño invisible

Los ataques con homoglifos son especialmente peligrosos porque pueden superar una revisión rápida. El usuario cree que ha leído bien el dominio, pero en realidad ha visto una representación visual engañosa.

El problema aumenta cuando el dominio aparece en contextos donde se presta poca atención a cada carácter:

enlaces dentro de correos electrónicos;
botones de “Iniciar sesión”;
mensajes de soporte;
facturas PDF;
SMS con enlaces acortados;
notificaciones de supuestos proveedores;
vistas previas en herramientas de chat.

Los navegadores modernos aplican protecciones parciales frente a algunos dominios internacionalizados sospechosos. Aun así, el usuario puede encontrarse el dominio en muchos otros sitios antes de llegar al navegador.

Por eso los homoglifos siguen siendo una técnica relevante en ataques de phishing y suplantación de marca.

Dominios lookalike: parecer oficial sin copiar exactamente la marca

Los dominios lookalike son dominios diseñados para parecer legítimos. No siempre contienen errores tipográficos. A veces incluyen la marca correcta y añaden palabras que transmiten confianza, urgencia o autoridad.

Ejemplos habituales:

marca-login.com
marca-secure.com
marca-account.net
marca-verificacion.com
marca-facturacion.com
soporte-marca.com
clientes-marca.com
marca-pagos.com
marca-documentos.com
marca-seguridad.com

Este tipo de dominio funciona porque combina reconocimiento de marca con una acción aparentemente razonable. El usuario piensa que está accediendo a una zona de clientes, verificando una cuenta, revisando una factura o actualizando información de seguridad.

En muchos casos, el dominio falso no intenta imitar la web principal. Intenta parecer una página auxiliar: soporte, login, facturación, pagos, documentación o verificación.

El patrón marca + palabra urgente

Una de las fórmulas más frecuentes en dominios falsos es combinar el nombre de una marca con una palabra que empuja a la acción.

Algunas palabras comunes en dominios de phishing son:

login;
secure;
verify;
account;
support;
billing;
invoice;
payment;
client;
customer;
soporte;
factura;
pago;
verificacion;
seguridad.

Estas palabras no son peligrosas por sí mismas. El problema aparece cuando se combinan con marcas, dominios corporativos o nombres comerciales para crear una apariencia de legitimidad.

Por ejemplo, un dominio como empresa-facturacion.com puede parecer razonable en un email sobre una factura pendiente. Y empresa-secure-login.com puede parecer creíble en un supuesto aviso de seguridad.

El candado HTTPS no garantiza que el sitio sea legítimo

Uno de los errores más extendidos es pensar que una web con HTTPS es automáticamente fiable.

El candado indica que la conexión está cifrada. No confirma que el dominio pertenezca a la empresa que el usuario cree estar visitando.

Un sitio fraudulento también puede tener un certificado TLS válido. Por eso, un dominio falso puede mostrar candado, cargar correctamente y parecer profesional.

El usuario debe revisar el dominio completo, no solo el diseño de la página ni el estado HTTPS.

Por qué estos ataques afectan a cualquier empresa

Los ataques de typosquatting, homoglifos y dominios parecidos no afectan solo a bancos o grandes tecnológicas. Cualquier empresa con clientes, empleados, proveedores, dominios corporativos o plataformas online puede ser objetivo.

Un dominio parecido al de tu empresa puede utilizarse para:

crear una falsa página de acceso;
simular un portal de clientes;
enviar correos de phishing;
confundir a proveedores;
capturar credenciales;
redirigir pagos;
suplantar comunicaciones comerciales;
difundir documentación falsa;
engañar a empleados internos;
dañar la reputación de tu marca.

El impacto puede ser operativo, económico, legal y reputacional. Además, muchas veces la empresa afectada no detecta el dominio falso hasta que alguien externo avisa.

Cómo detectar dominios parecidos a tu marca

La detección de dominios parecidos debe combinar varias técnicas. No basta con buscar coincidencias exactas del nombre de marca.

Conviene revisar:

Distancia tipográfica. Dominios a uno o dos caracteres de distancia del dominio real.
Sustituciones visuales. Cambios como rn por m, 0 por o, 1 por l o vv por w.
Guiones y separadores. Marcas divididas artificialmente para parecer más legibles.
Extensiones alternativas. Variantes en .net, .co, .info, .site, .online u otros TLD.
Palabras de phishing. Términos como login, secure, account, verify, soporte, pago o factura.
Subdominios largos. Cadenas diseñadas para ocultar cuál es el dominio real.
Certificados emitidos para nombres sospechosos. Señales públicas que indican actividad reciente sobre dominios relacionados.

La clave es detectar los dominios sospechosos pronto. Cuanto antes se localiza una variante peligrosa, antes puede revisarse, bloquearse o denunciarse.

Cómo ayuda CertPulse frente al typosquatting y los homoglifos

CertPulse ayuda a detectar señales públicas relacionadas con dominios, certificados y nombres que pueden interferir con una marca comercial.

En el contexto de typosquatting, homoglifos y dominios lookalike, CertPulse puede ayudar a identificar variantes sospechosas asociadas a tus dominios o marcas.

La plataforma puede ser útil para localizar:

Dominios con errores tipográficos. Variantes cercanas al dominio real de tu empresa.
Dominios con homoglifos. Sustituciones visuales que intentan parecerse a tu marca.
Dominios con palabras de riesgo. Combinaciones de marca con términos como login, secure, verify, soporte, factura o pago.
Certificados emitidos para nombres sospechosos. Indicadores de que un dominio parecido puede estar preparándose para uso público.
Subdominios o nombres relacionados. Señales que pueden formar parte de una campaña de phishing o suplantación.

El objetivo no es generar ruido, sino facilitar una revisión temprana. Un dominio parecido no siempre implica un ataque, pero sí merece atención cuando coincide con patrones habituales de phishing o suplantación.

Puedes ampliar información en certpulse.net.

Qué hacer si aparece un dominio sospechoso

Cuando se detecta un dominio parecido a tu marca, conviene actuar con método. No todos los casos tienen la misma gravedad.

Un posible proceso de revisión sería:

Comprobar el dominio. Revisar si está activo, aparcado, redirige o muestra contenido.
Analizar el certificado. Ver cuándo se emitió y para qué nombres.
Revisar el contenido. Comprobar si imita a tu empresa, tus formularios o tus comunicaciones.
Buscar uso en campañas. Revisar si aparece en correos, SMS, redes sociales o mensajes internos.
Bloquear internamente. Añadirlo a filtros DNS, navegación segura o herramientas corporativas.
Recoger evidencias. Guardar capturas, cabeceras, URLs, fechas y certificados.
Contactar con proveedor o registrar abuso. Solicitar retirada cuando proceda.
Avisar a usuarios afectados. Si existe riesgo real, informar a empleados, clientes o proveedores.

La detección temprana mejora mucho la respuesta. Permite actuar antes de que el dominio se utilice masivamente en una campaña de phishing.

Buenas prácticas para reducir el riesgo

Ninguna medida elimina por completo el riesgo de typosquatting, homoglifos o dominios parecidos, pero sí puedes reducir la exposición.

Registra variantes críticas de tu dominio. Especialmente las más evidentes o las que podrían generar más confusión.
Monitoriza dominios parecidos a tu marca. No esperes a que un cliente te avise.
Vigila palabras sensibles. Login, soporte, factura, pago, verificación y seguridad son términos especialmente delicados.
Forma a empleados. Deben revisar el dominio completo antes de introducir credenciales.
No confíes solo en el candado. HTTPS no equivale a legitimidad.
Implanta SPF, DKIM y DMARC. Ayudan a reducir la suplantación por correo.
Bloquea dominios sospechosos. Usa filtros DNS, proxy o herramientas de navegación segura.
Define un procedimiento de respuesta. Cuando aparezca un dominio sospechoso, el equipo debe saber qué hacer.

Qué deben revisar los usuarios antes de introducir credenciales

A nivel individual, la recomendación principal es sencilla: revisar el dominio completo antes de escribir una contraseña, introducir datos bancarios o descargar documentación sensible.

Conviene prestar atención a:

letras cambiadas o duplicadas;
guiones inesperados;
extensiones poco habituales;
palabras como login, secure, verify o account añadidas al dominio;
subdominios largos o confusos;
enlaces recibidos por email, SMS o mensajería;
páginas que generan urgencia injustificada.

Cuando se trate de un banco, proveedor crítico, plataforma corporativa o servicio financiero, lo más seguro es escribir la dirección manualmente o acceder desde un marcador guardado.

Protección de marca frente a dominios falsos

La protección de marca ya no se limita a vigilar usos indebidos de un logotipo. También implica controlar qué dominios parecidos aparecen, qué certificados se emiten y qué nombres pueden confundirse con los de tu empresa.

Un dominio falso puede no estar activo hoy y convertirse en una página de phishing mañana. También puede estar aparcado, redirigir según el país del visitante o mostrar contenido distinto a usuarios normales y a herramientas automáticas.

Por eso es importante revisar señales tempranas. La aparición de un dominio parecido, especialmente si incorpora palabras de riesgo o un certificado reciente, puede justificar una investigación.

Detectar antes de que el phishing llegue al buzón

El mejor momento para detectar un dominio falso es antes de que se use en una campaña.

Cuando un atacante prepara una página de phishing, suele necesitar registrar un dominio, configurar DNS, emitir un certificado y publicar contenido. Cada paso puede dejar señales visibles.

Monitorizar esas señales permite reducir la ventana de exposición. No evita todos los ataques, pero ayuda a que el equipo tenga más tiempo para revisar, bloquear y responder.

Ese es el valor de herramientas como CertPulse: detectar actividad sospechosa relacionada con tus dominios y marcas antes de que el problema llegue a usuarios reales.