دامنه جعلی چیست و چگونه آن را شناسایی کنیم؟

دامنه جعلی، آدرسی اینترنتی است که برای فریب کاربران و شبیه‌سازی یک برند، سازمان، فروشگاه، بانک یا سرویس معتبر ایجاد می‌شود. مهاجمان تلاش می‌کنند نام دامنه را به‌ گونه‌ای انتخاب کنند که در نگاه اول واقعی به نظر برسد و کاربر بدون بررسی دقیق، روی لینک کلیک کند.
از دامنه‌های جعلی معمولاً برای ساخت صفحات ورود تقلبی، دریافت اطلاعات بانکی، سرقت رمز عبور، انتشار بدافزار، ارسال ایمیل‌های فیشینگ یا هدایت کاربران به فروشگاه‌های غیرواقعی استفاده می‌شود. ICANN نیز فیشینگ، بدافزار، بات‌نت و فارمینگ را از مصادیق سوءاستفاده از سامانه نام دامنه معرفی می‌کند.
شناخت نشانه‌های دامنه جعلی به کاربران کمک می‌کند پیش از واردکردن رمز عبور، اطلاعات هویتی یا مشخصات بانکی، اعتبار آدرس وب‌سایت را بررسی کنند.

دامنه جعلی چیست؟

دامنه جعلی چیست و چه تفاوتی با یک دامنه عادی دارد؟ دامنه جعلی یا Fake Domain معمولاً دامنه‌ای است که نام آن عمداً به آدرس یک وب‌سایت معتبر شباهت دارد، اما مالکیت و مدیریت آن در اختیار مجموعه اصلی نیست.
دامنه جعلی می‌تواند برای این فعالیت‌ها استفاده شود:

• نمایش صفحه ورود مشابه سرویس اصلی
• دریافت نام کاربری و رمز عبور
• دریافت اطلاعات کارت بانکی
• ارسال فایل یا نرم‌افزار آلوده
• نمایش فروشگاه یا درگاه پرداخت غیرواقعی
• ارسال ایمیل با هویت یک شرکت معتبر
• تغییر مسیر کاربر به صفحات تبلیغاتی یا مخرب

ICANN فیشینگ را استفاده از ایمیل یا وب‌سایت برای به‌دست‌آوردن غیرمجاز اطلاعاتی مانند نام کاربری، رمز عبور و اطلاعات مالی تعریف می‌کند.

آیا هر دامنه مشابهی جعلی است؟

خیر. مشابه‌بودن دو دامنه به‌تنهایی ثابت نمی‌کند که یکی از آن‌ها جعلی است. ممکن است دو کسب‌وکار مستقل نام‌های نزدیک به یکدیگر داشته باشند یا یک شرکت چند دامنه مرتبط را برای محصولات و کشورهای مختلف ثبت کرده باشد.

برای تشخیص دامنه جعلی باید مجموعه‌ای از عوامل را بررسی کرد:

• میزان شباهت دامنه با یک برند شناخته‌شده
• محتوای صفحه و هدف آن
• درخواست اطلاعات حساس
• روش دریافت لینک
• سن و سابقه دامنه
• اطلاعات Registrar و وضعیت ثبت
• وجود گزارش‌های فیشینگ یا بدافزار
• تفاوت آدرس با دامنه رسمی اعلام‌شده

بنابراین، صرفاً وجود خط تیره، پسوند متفاوت یا نام مشابه برای نتیجه‌گیری کافی نیست؛ اما این موارد می‌توانند نشانه‌ای برای بررسی بیشتر باشند.

دامنه‌های جعلی چگونه ساخته می‌شوند؟

مهاجمان برای شبیه‌سازی دامنه‌های معتبر از روش‌های مختلفی استفاده می‌کنند. آشنایی با این روش‌ها باعث می‌شود تفاوت‌های کوچک در URL را راحت‌تر تشخیص دهید.

تغییر جزئی در املای دامنه یا Typosquatting

در این روش، مهاجم دامنه‌ای را ثبت می‌کند که با یک اشتباه تایپی کوچک به آدرس اصلی شباهت دارد.

این تغییر ممکن است شامل موارد زیر باشد:

• حذف یک حرف
• اضافه‌کردن یک حرف
• جابه‌جایی دو حرف
• تکرار یک حرف
• استفاده از خط تیره
• تغییر شکل نوشتاری یک کلمه

برای مثال، اگر نام اصلی یک برند شامل دو حرف مشابه باشد، مهاجم ممکن است یکی از آن‌ها را حذف کند. کاربران هنگام خواندن سریع لینک ممکن است این تفاوت را تشخیص ندهند.
مایکروسافت Typosquatting را روشی می‌داند که در آن مجرمان از نام‌های مشابه یا اشتباهات تایپی برای هدایت کاربران به وب‌سایت‌های تقلیدی، سرقت اطلاعات یا انتشار بدافزار استفاده می‌کنند.

استفاده از حروف مشابه یا Homoglyph

برخی حروف در زبان‌ها و الفباهای مختلف ظاهر تقریباً یکسانی دارند. مهاجم ممکن است از نویسه‌ای استفاده کند که شبیه حرف لاتین است، اما از نظر فنی کاراکتر متفاوتی محسوب می‌شود.
در این حالت، دامنه روی صفحه بسیار شبیه آدرس واقعی دیده می‌شود، ولی به وب‌سایت دیگری تعلق دارد. این روش با نام‌های Homoglyph Attack یا IDN Homograph Attack نیز شناخته می‌شود.
مایکروسافت توضیح می‌دهد که جعل نام دامنه می‌تواند با دامنه‌ای انجام شود که از نظر ظاهری به وب‌سایت موردنظر کاربر شباهت دارد. CISA نیز استفاده از دامنه‌های مشابه مبتنی بر نویسه‌های بین‌المللی را یکی از روش‌های اجرای حملات فیشینگ و انتشار بدافزار معرفی کرده است.

اضافه‌کردن کلمات اعتمادساز به دامنه

گاهی نام برند اصلی بدون تغییر در دامنه دیده می‌شود، اما کلماتی مانند موارد زیر به آن اضافه شده‌اند:

• login
• secure
• support
• account
• payment
• verify
• renewal
• official

وجود نام برند در URL به معنی رسمی‌بودن دامنه نیست. مهاجم می‌تواند نام هر شرکت یا محصولی را در دامنه‌ای مستقل ثبت کند.
برای تشخیص مالک واقعی باید دامنه ثبت‌شده را به‌طور کامل بررسی کنید، نه اینکه فقط وجود نام برند را ملاک قرار دهید.

استفاده از پسوند متفاوت

ممکن است آدرس اصلی با پسوند مشخصی مانند .com فعالیت کند، اما دامنه جعلی با پسوند دیگری ثبت شود.
برای مثال، مهاجم می‌تواند همان نام را با یک پسوند ارزان‌تر یا کمتر شناخته‌شده ثبت کند. البته استفاده از پسوند متفاوت به‌تنهایی نشانه جعلی‌بودن نیست؛ زیرا بسیاری از شرکت‌ها از چند پسوند استفاده می‌کنند.
ملاک اصلی، تطبیق URL با دامنه‌ای است که شرکت در وب‌سایت، شبکه‌های اجتماعی رسمی، قراردادها یا پیام‌های معتبر خود اعلام کرده است.

استفاده فریبنده از زیردامنه

گاهی نام یک برند در ابتدای URL قرار می‌گیرد، اما دامنه اصلی متعلق به مهاجم است.
برای مثال، در ساختار زیر:

brand.example-domain.com

دامنه اصلی example-domain.com است و عبارت brand فقط یک زیردامنه محسوب می‌شود. مالک example-domain.com می‌تواند زیردامنه‌های مختلفی با نام برندهای دیگر ایجاد کند.

برای شناسایی دامنه واقعی، باید بخش اصلی URL را پیش از پسوند بررسی کنید.

تفاوت دامنه جعلی و وب‌سایت جعلی چیست؟

دامنه جعلی به خود آدرس اینترنتی اشاره دارد، اما وب‌سایت جعلی محتوایی است که روی دامنه یا مسیر مشخصی نمایش داده می‌شود.

ممکن است:

• یک دامنه جعلی، نسخه‌ای شبیه‌سازی‌شده از وب‌سایت اصلی را نمایش دهد.
• یک دامنه عادی و هک‌شده، صفحه فیشینگ میزبانی کند.
• یک دامنه جعلی فقط برای ارسال ایمیل استفاده شود و وب‌سایت فعالی نداشته باشد.
• یک صفحه جعلی در زیردامنه یا مسیر داخلی یک دامنه دیگر قرار گرفته باشد.

بنابراین بررسی ظاهر صفحه به‌تنهایی کافی نیست. مهاجمان می‌توانند لوگو، رنگ‌بندی، فرم ورود و متن وب‌سایت اصلی را کپی کنند. FTC نیز هشدار می‌دهد که وب‌سایت‌ها و تبلیغات تقلبی ممکن است از نام و ظاهر شرکت‌های شناخته‌شده استفاده کنند تا اطلاعات یا پول کاربران را دریافت کنند.

تفاوت دامنه جعلی، جعل دامنه و سرقت دامنه چیست؟

این سه مفهوم به یکدیگر مرتبط‌اند، اما یکسان نیستند.

دامنه جعلی (Fake Domain)

دامنه‌ای مستقل است که با هدف تقلید از یک آدرس معتبر ثبت یا استفاده می‌شود.

جعل دامنه یا Domain Spoofing

مفهومی گسترده‌تر است و می‌تواند شامل جعل آدرس فرستنده ایمیل، استفاده از دامنه مشابه یا نمایش هویتی غیرواقعی باشد.

سرقت دامنه یا Domain Hijacking

در این حالت مهاجم کنترل دامنه واقعی را به دست می‌آورد و ممکن است DNS، نیم‌سرورها یا اطلاعات مالک را تغییر دهد.
در سرقت دامنه، برخلاف دامنه جعلی، مهاجم از خود دامنه اصلی سوءاستفاده می‌کند. ICANN هشدار داده است که دسترسی غیرمجاز به حساب Registrar می‌تواند امکان تغییر مسیر دامنه و سوءاستفاده از آن را فراهم کند.

دامنه جعلی چه خطراتی دارد؟

هدف بسیاری از دامنه‌های جعلی ایجاد اعتماد کاذب و ترغیب کاربر به انجام یک اقدام فوری است.

مهم‌ترین خطرات عبارت‌اند از:

سرقت اطلاعات ورود

صفحه‌ای مشابه پنل کاربری، ایمیل، شبکه اجتماعی یا اینترنت‌بانک نمایش داده می‌شود. اطلاعاتی که کاربر در فرم وارد می‌کند مستقیماً در اختیار مهاجم قرار می‌گیرد.

سرقت اطلاعات مالی

درگاه پرداخت، فروشگاه یا صفحه پرداخت جعلی می‌تواند شماره کارت، اطلاعات حساب یا سایر داده‌های مالی را دریافت کند.

نصب بدافزار

دامنه ممکن است فایل، افزونه مرورگر یا نرم‌افزاری را برای دانلود پیشنهاد دهد که حاوی بدافزار باشد.

تصاحب حساب کاربری

اگر کاربر رمز عبور یا کد تأیید خود را در صفحه جعلی وارد کند، مهاجم ممکن است وارد حساب اصلی شود و اطلاعات یا دارایی‌های او را سرقت کند.

آسیب به اعتبار برند

دامنه‌های مشابه می‌توانند برای کلاهبرداری از مشتریان یک کسب‌وکار استفاده شوند. در نتیجه، حتی اگر شرکت اصلی در حمله نقشی نداشته باشد، اعتماد کاربران به برند کاهش پیدا می‌کند.

چگونه دامنه جعلی را تشخیص دهیم؟

برای شناسایی دامنه‌های مشکوک، بهتر است پیش از کلیک یا واردکردن اطلاعات، مراحل زیر را انجام دهید.

آدرس دامنه را حرف‌به‌حرف بررسی کنید

به تفاوت‌های کوچک مانند حروف اضافه، خط تیره، املای نادرست و پسوند متفاوت توجه کنید.
در تلفن همراه ممکن است بخشی از URL مخفی باشد. قبل از ادامه، نوار آدرس را انتخاب کنید تا آدرس کامل نمایش داده شود.

دامنه اصلی را از زیردامنه تشخیص دهید

وجود نام برند در ابتدای URL کافی نیست. دامنه اصلی معمولاً بخش نزدیک به پسوند است.

برای مثال، در نشانی زیر:

login.brand.example.com

دامنه ثبت‌شده example.com است و بخش‌های قبل از آن زیردامنه هستند.

لینک را از داخل پیام باز نکنید

اگر ایمیل یا پیامکی از شما می‌خواهد فوراً وارد حساب شوید، بهتر است روی لینک آن کلیک نکنید.
آدرس رسمی را مستقیماً در مرورگر وارد کنید یا از نشانک قبلی خود استفاده نمایید. ICANN و FTC هر دو توصیه می‌کنند برای بررسی پیام‌های مشکوک، از آدرس یا اطلاعات تماسی استفاده شود که از قبل معتبر بودن آن را می‌دانید، نه لینکی که داخل پیام قرار گرفته است.

اطلاعات ثبت دامنه را بررسی کنید

با استفاده از ابزارهای WHOIS یا RDAP می‌توانید اطلاعات عمومی دامنه را بررسی کنید، از جمله:

• Registrar
• تاریخ ثبت
• تاریخ انقضا
• نیم‌سرورها
• وضعیت‌های دامنه

ثبت‌شدن دامنه در چند روز اخیر در کنار تقلید از یک برند می‌تواند نشانه هشدار باشد، اما سن پایین دامنه به‌تنهایی جعلی‌بودن آن را اثبات نمی‌کند.

هشدار مرورگر را جدی بگیرید

مرورگرهایی مانند Chrome از سرویس‌هایی مانند Google Safe Browsing برای شناسایی صفحات فیشینگ، بدافزار و وب‌سایت‌های فریبنده استفاده می‌کنند.
اگر مرورگر پیام Dangerous Site یا Deceptive Site نمایش داد، صفحه را ترک کنید و اطلاعاتی در آن وارد نکنید. Google Safe Browsing فهرست‌هایی از منابع ناامن مانند صفحات فیشینگ و میزبان‌های بدافزار نگهداری می‌کند و هنگام مراجعه به آن‌ها هشدار می‌دهد.

ظاهر حرفه‌ای سایت را معیار اعتبار قرار ندهید

وجود لوگو، طراحی حرفه‌ای، تصاویر باکیفیت یا متن‌های رسمی نمی‌تواند معتبر بودن سایت را تضمین کند.
مهاجمان می‌توانند محتوای سایت اصلی را کپی کنند. همیشه URL، روش ورود به صفحه و اطلاعات رسمی شرکت را جداگانه بررسی کنید.

آیا وجود HTTPS به معنی معتبر بودن دامنه است؟

خیر. HTTPS نشان می‌دهد ارتباط میان مرورگر و سرور رمزگذاری شده است، اما به‌تنهایی هویت یا قابل‌اعتمادبودن صاحب دامنه را ثابت نمی‌کند.

یک دامنه جعلی نیز ممکن است گواهی TLS معتبر داشته باشد و علامت قفل در مرورگر نمایش داده شود. بنابراین وجود HTTPS باید یک الزام امنیتی پایه تلقی شود، نه مدرک قطعی معتبر بودن سایت.
برای بررسی اعتبار، باید نام دامنه، سابقه ثبت، منبع لینک و اطلاعات رسمی کسب‌وکار نیز کنترل شوند.

اگر وارد یک دامنه جعلی شدیم چه کاری انجام دهیم؟

اگر فقط صفحه را باز کرده‌اید و هیچ اطلاعاتی وارد نکرده‌اید، صفحه را ببندید و از دانلود فایل یا تأیید اعلان‌های مرورگر خودداری کنید.
اگر اطلاعاتی وارد کرده‌اید، اقدامات زیر را سریع انجام دهید:

رمز عبور را تغییر دهید

از طریق آدرس رسمی سرویس وارد حساب شوید و رمز عبور را تغییر دهید. اگر همان رمز را در حساب‌های دیگری استفاده کرده‌اید، رمز آن حساب‌ها را نیز عوض کنید.

تأیید هویت دو عاملی را فعال کنید

فعال‌سازی MFA می‌تواند خطر ورود غیرمجاز با رمز سرقت‌شده را کاهش دهد. برای حساب‌های مهم، استفاده از روش‌های مقاوم‌تر در برابر فیشینگ اولویت دارد.

نشست‌های فعال را ببندید

در تنظیمات امنیتی حساب، دستگاه‌ها و نشست‌های فعال را بررسی کنید و موارد ناشناس را خارج نمایید.

در تنظیمات امنیتی حساب، دستگاه‌ها و نشست‌های فعال را بررسی کنید و موارد ناشناس را خارج نمایید.

اگر اطلاعات بانکی یا مالی وارد کرده‌اید، موضوع را سریعاً به بانک یا سرویس پرداخت اطلاع دهید.

دستگاه را بررسی کنید

اگر فایلی دانلود یا اجرا کرده‌اید، سیستم را با ابزار امنیتی معتبر بررسی کنید و از ورود مجدد به حساب‌های حساس تا پایان بررسی خودداری نمایید.

دامنه را گزارش کنید

می‌توانید دامنه مشکوک را به Registrar، شرکت میزبانی، مرورگر یا سامانه‌های گزارش فیشینگ معرفی کنید. ICANN نیز راهنمایی برای گزارش سوءاستفاده از DNS و بررسی عملکرد Registrar یا Registry ارائه کرده است.

کسب‌وکارها چگونه از برند خود در برابر دامنه‌های جعلی محافظت کنند؟

کسب‌وکارها نمی‌توانند ثبت تمام دامنه‌های مشابه را متوقف کنند، اما می‌توانند احتمال سوءاستفاده و میزان خسارت را کاهش دهند.

اقدامات پیشنهادی عبارت‌اند از:

• ثبت نام‌های مهم و اشتباهات تایپی رایج برند
• ثبت پسوندهای اصلی و پراستفاده
• پایش دامنه‌های مشابه و تازه ثبت‌شده
• استفاده از MFA در حساب Registrar
• فعال‌کردن Registrar Lock
• محدودکردن دسترسی به مدیریت DNS
• پیکربندی صحیح SPF، DKIM و DMARC
• آموزش کارکنان برای تشخیص ایمیل و دامنه مشابه
• ایجاد مسیر رسمی برای گزارش دامنه‌های جعلی
• اعلام دامنه‌های رسمی به کاربران

ICANN استفاده از احراز هویت چندعاملی، قفل Registrar، رمزهای قوی و حفاظت از اطلاعات حساب ثبت دامنه را برای کاهش خطر دسترسی غیرمجاز توصیه می‌کند.
مایکروسافت نیز برای کاهش جعل ایمیل‌های سازمانی، تنظیم صحیح سیاست‌های SPF و DMARC و کنترل سرویس‌های واسط ایمیل را توصیه کرده است.

آیا می‌توان دامنه جعلی را حذف کرد؟

حذف یا تعلیق دامنه جعلی همیشه فوری نیست و به نوع تخلف، شواهد موجود و همکاری بازیگران مختلف بستگی دارد.

گزارش می‌تواند برای این مجموعه‌ها ارسال شود:

• Registrar دامنه
• Registry پسوند
• شرکت میزبانی
• سرویس ایمیل
• مرورگرها و سامانه‌های Safe Browsing
• مراجع قانونی
• پلتفرمی که لینک در آن منتشر شده است

هنگام گزارش، بهتر است اطلاعات زیر ارائه شود:

• آدرس کامل دامنه و صفحات مشکوک
• تصویر صفحه جعلی
• ایمیل یا پیام دریافت‌شده
• تاریخ و زمان مشاهده
• توضیح روش سوءاستفاده
• نام برند یا سرویس جعل‌شده
• فایل‌های دریافت‌شده، در صورت وجود

ICANN از رجیسترارها و اپراتورهای رجیستری می‌خواهد گزارش‌های مرتبط با DNS Abuse را بررسی کنند و اقدامات متناسب برای کاهش یا متوقف‌کردن سوءاستفاده انجام دهند.

جمع‌بندی

در پاسخ به این پرسش که دامنه جعلی چیست، می‌توان گفت دامنه جعلی آدرسی است که برای تقلید از یک وب‌سایت، برند یا سرویس معتبر ایجاد می‌شود. این دامنه‌ها ممکن است برای فیشینگ، سرقت اطلاعات، کلاهبرداری مالی، ارسال ایمیل جعلی یا انتشار بدافزار استفاده شوند.

برای تشخیص دامنه جعلی، تنها به ظاهر وب‌سایت یا وجود HTTPS اعتماد نکنید. آدرس را حرف‌به‌حرف بررسی کنید، دامنه اصلی را از زیردامنه تشخیص دهید، اطلاعات WHOIS یا RDAP را ببینید و هشدارهای مرورگر را جدی بگیرید.

در صورت دریافت پیام مشکوک، به‌جای کلیک روی لینک، آدرس رسمی وب‌سایت را مستقیماً در مرورگر وارد کنید. این اقدام ساده می‌تواند از سرقت اطلاعات حساب و ورود به صفحات فیشینگ جلوگیری کند.