¿Qué es un dominio aparcado? Significado y riesgos de seguridad

Un dominio aparcado es un nombre de dominio registrado que no se usa para un sitio web ni un servicio de correo reales. En lugar de un sitio que funcione, ves una página provisional: una página predeterminada del registrador, anuncios generados automáticamente, un aviso de «en venta» o nada en absoluto. Aparcar es algo normal del funcionamiento de los dominios, pero también es la fase de preparación silenciosa de buena parte del abuso.

Qué significa aparcar un dominio

Cuando alguien registra un dominio pero no lo apunta a un sitio web o un servidor de correo activos, se dice que el dominio está «aparcado». El nombre tiene propietario y está reservado, pero inactivo. Los registradores suelen rellenar el hueco con una página de aterrizaje predeterminada, y algunos rentabilizan los dominios aparcados con una página de anuncios generados automáticamente, sacando unos pocos ingresos de quien llegue allí. Desde fuera, un dominio aparcado parece inerte: resuelve, pero no hay ningún servicio real detrás.

Mucho aparcamiento es totalmente inofensivo. La gente registra nombres para proyectos que aún no ha construido, las empresas reservan dominios para proteger una marca, los inversores aparcan nombres que piensan revender, y un dominio que compraste esta mañana pero aún no has configurado está técnicamente aparcado hasta que lo configures. El estado en sí es neutro.

Aparcamiento legítimo frente a malicioso

La dificultad es que el aparcamiento legítimo y el malicioso parecen idénticos en el registro del dominio. La diferencia está en la intención y en el propietario, no en el estado técnico. En el lado legítimo están las reservas para uso futuro, la protección de marca, el inventario para reventa y los dominios aún sin configurar. En el lado malicioso hay algo más deliberado: los atacantes registran nombres que imitan una marca real y los aparcan a propósito, para no llamar la atención mientras montan la infraestructura del ataque que vendrá.

Ese segundo caso es la razón por la que los equipos de seguridad no pueden despachar los dominios aparcados como vacíos y, por tanto, inofensivos. Es mejor tratar un dominio aparcado como una señal que ponderar (un dato más en un juicio sobre el riesgo) que como una prueba de nada por sí solo. Reunir quién es el propietario de un nombre, cuándo se registró y cómo se comporta es el tipo de trabajo de correlación en el que ayuda un verificador de reputación.

Cómo alimentan los dominios aparcados el typosquatting y el phishing

El typosquatting es la práctica de registrar dominios que se quedan a un paso de un nombre legítimo: una letra cambiada o duplicada, una palabra añadida como «-secure» o «-login», un dominio de nivel superior distinto o caracteres visualmente parecidos que la vista pasa por alto. Los atacantes registran estas imitaciones en masa y a menudo las aparcan primero. Aparcadas, no llaman la atención: no hay contenido que señalar, ni quejas, ni nada que investigar.

Después, el nombre se activa. El DNS se apunta a un servidor que aloja una página de phishing que imita el inicio de sesión de la marca real, o a malware. Como el dominio se parece tanto a uno de confianza, es más probable que caiga una víctima que escribe mal una URL, sigue un enlace preparado o echa un vistazo a la barra de direcciones sin leerla con atención. La fase de aparcamiento es lo que lo hace paciente y silencioso: el dominio permanece inactivo y anodino hasta el momento en que se convierte en un arma, algo que puede ocurrir en minutos. Una página de inicio de sesión de imitación convincente es también un punto de partida clásico para un ataque de retransmisión de credenciales de intermediario (man-in-the-middle).

Defensas de DNS y monitorización

Como el riesgo tiene que ver con quién es el propietario de un nombre y en qué podría convertirse, las defensas tienen que ver con la visibilidad y con adelantarse a la activación.

• Vigila los registros de nombres parecidos. Observa los nuevos registros de dominios y los logs de transparencia de certificados en busca de nombres que imiten tu marca. Detectar una imitación mientras sigue aparcada te da margen antes de que se convierta en un arma.
• Vigila el DNS para detectar la activación. Una imitación inactiva que de repente empieza a resolver a un servidor activo es una señal fuerte de que un ataque se pone en marcha. Los cambios de DNS o de alojamiento en una imitación vigilada merecen atención inmediata.
• Registra de forma defensiva las variantes obvias. Registra tú mismo las erratas más probables, las variantes ortográficas y los dominios de nivel superior habituales de tu propia marca. Un nombre que es tuyo es uno que un atacante no puede tener.
• Trata los dominios nuevos y recién activados como de mayor riesgo. En el filtrado de correo y web, pondera como más arriesgados los dominios recién registrados o recién activados. Una gran parte del phishing llega desde dominios que solo tienen unos días.
• Lleva el abuso confirmado a las listas de bloqueo y a las retiradas. Una vez confirmado que una imitación es maliciosa, inclúyela en tus listas de bloqueo e inicia el proceso de retirada con el registrador o el proveedor de alojamiento.

La conclusión

Un dominio aparcado es simplemente un nombre registrado que aún no se usa de verdad: un estado normal y cotidiano que es también la base de preparación preferida de los ataques que imitan marcas. La página vacía que tienes delante te dice muy poco; lo que importa es quién es el propietario del nombre, si imita una marca y si está a punto de cobrar vida. Vigila las imitaciones, observa su DNS, registra tus propias variantes obvias y trata con recelo los dominios recientes. La victoria es ver la imitación mientras sigue aparcada, y no cuando tus clientes ya están haciendo clic en ella.

Preguntas frecuentes

¿Qué es un dominio aparcado? Un dominio registrado que no aloja un sitio web ni un servicio de correo reales: muestra una página provisional, anuncios, un aviso de venta o nada. Tiene propietario, pero está inactivo.

¿Aparcar es legítimo o malicioso? Las dos cosas. Los usos legítimos incluyen proyectos futuros, protección de marca y reventa; el uso malicioso es registrar imitaciones de marcas y aparcarlas hasta activarlas para phishing o malware. El estado parece el mismo; la intención es distinta.

¿Cómo facilitan el phishing los dominios aparcados? Los atacantes registran imitaciones por typosquatting, las aparcan discretamente y después apuntan su DNS a páginas de phishing o malware. El nombre de aspecto familiar hace que las víctimas caigan con más facilidad.

¿Cómo te defiendes de ellos? Vigila los registros de nombres parecidos y los logs de certificados, observa el DNS para detectar la activación, registra de forma defensiva las variantes obvias, trata los dominios nuevos como de mayor riesgo y lleva el abuso confirmado a las listas de bloqueo y a las retiradas.

¿Es seguro un dominio aparcado vacío? No de forma fiable. Un dominio sin contenido puede pasar a una página maliciosa en minutos con solo cambiar el DNS, así que el vacío no tranquiliza: lo que importa es el propietario, la imitación y los cambios repentinos de DNS.