Typosquatting: cómo proteger el dominio de tu empresa

El typosquatting es el registro de dominios casi idénticos al de una empresa para aprovechar errores de escritura o engañar a sus clientes. Un ejemplo: si tu dominio es tuempresa.co, alguien registra tuempressa.co, tu-empresa.co o tuempresa.com y lo usa para montar un sitio falso, enviar facturas fraudulentas o robar contraseñas.

Para una pyme en Colombia, el daño puede ser grande: pagos desviados, clientes estafados en tu nombre y pérdida de confianza. En esta guía te explicamos cómo funciona y cómo proteger tu dominio de forma práctica.

Cómo funciona el typosquatting

Los atacantes registran dominios que se parecen al tuyo usando trucos como:

Técnica	Ejemplo con moshipp.com
Letra omitida	moship.com
Letra duplicada	mosshipp.com
Letras invertidas	mohsipp.com
Tecla vecina	moshiop.com
Otra extensión	moshipp.co, moshipp.net
Guion o palabra extra	moshipp-pagos.com, soporte-moshipp.com
Caracteres parecidos	rn en lugar de m, 0 en lugar de o, o letras de otros alfabetos

Luego usan esos dominios para:

• Phishing: un sitio que copia tu página de inicio de sesión o de pagos.
• Fraude por correo (BEC): correos desde facturacion@tuempressa.co pidiendo a tus clientes que paguen a otra cuenta bancaria.
• Desvío de tráfico: publicidad, sitios de apuestas o malware para quien escribe mal tu dirección.
• Reventa: te ofrecen el dominio a un precio alto.

1. Registra las variantes más importantes

No tienes que comprar cientos de dominios. Prioriza:

1. Tu nombre en las extensiones principales: .com, .co y .com.co si operas en Colombia.
2. Errores de escritura frecuentes de tu marca, sobre todo si es larga o difícil de deletrear.
3. Variantes con guion si tu marca tiene dos palabras.
4. Extensiones ligadas a tu actividad, como .store si vendes en línea.

Redirige todos esos dominios con una redirección 301 a tu sitio principal. Así también capturas el tráfico de quien se equivoca. Si no sabes qué extensiones elegir, lee dominio .com, .co, .ai o .store: cuál elegir.

2. Protege tu correo con SPF, DKIM y DMARC

El typosquatting usa dominios parecidos, pero muchos fraudes también intentan enviar correos desde tu dominio real. Tres registros DNS lo impiden:

• SPF: indica qué servidores pueden enviar correos con tu dominio.
• DKIM: firma tus correos para demostrar que no fueron alterados.
• DMARC: le dice a Gmail, Outlook y otros qué hacer con los correos que no pasan la verificación, y te envía reportes.

Con DMARC en modo quarantine o reject, los correos falsos que usan tu dominio exacto terminan en spam o son rechazados. Tienes la guía completa en SPF, DKIM y DMARC y los requisitos actuales de los grandes proveedores en DMARC en 2026: requisitos de Gmail.

Además, un logo verificado con BIMI ayuda a que tus clientes reconozcan tus correos legítimos a simple vista.

3. Vigila los dominios parecidos

• Alertas de registro: existen servicios de monitoreo de marca que avisan cuando se registra un dominio similar al tuyo.
• Certificados SSL: los registros públicos de certificados (Certificate Transparency) permiten ver cuándo se emite un certificado para un dominio parecido. Algunas herramientas gratuitas los consultan por ti.
• Búsquedas periódicas de tu marca en Google y en redes sociales.
• Reportes de clientes: dales un canal claro para avisarte si reciben algo sospechoso.

4. Registra tu marca

Tener la marca registrada ante la Superintendencia de Industria y Comercio (SIC) en Colombia fortalece mucho tu posición si necesitas reclamar un dominio que usa tu nombre de mala fe.

5. Qué hacer si ya registraron un dominio parecido

1. Documenta todo: capturas del sitio, correos recibidos y datos WHOIS. Puedes consultar el dominio con nuestra herramienta WHOIS.
2. Reporta el abuso al registrador del dominio y al proveedor de hosting, sobre todo si hay phishing.
3. Reporta el sitio de phishing a Google Safe Browsing para que el navegador muestre alertas.
4. Avisa a tus clientes por tus canales oficiales.
5. Evalúa una reclamación formal: los dominios .com y .co cuentan con la política UDRP para disputas por uso de mala fe de una marca. Para este paso, lo recomendable es contar con asesoría legal especializada en propiedad intelectual.

6. Educa a tu equipo y a tus clientes

• Revisar siempre el dominio del remitente antes de abrir enlaces o adjuntos.
• No cambiar datos bancarios de proveedores o clientes solo por correo: confirmar por teléfono a un número conocido.
• Usar verificación en dos pasos en correo, banca y paneles de administración.
• Publicar en tu sitio cuáles son tus dominios y correos oficiales.

Checklist anti typosquatting

• Dominio principal y variantes clave registradas.
• Todas las variantes redirigen al sitio principal.
• SPF, DKIM y DMARC configurados en el dominio de correo.
• Renovación automática activa para no perder ningún dominio.
• Marca registrada o en trámite ante la SIC.
• Protocolo interno para cambios de datos bancarios.

Preguntas frecuentes

¿Qué es el typosquatting en palabras simples?

Es registrar un dominio casi igual al de una empresa, con una letra cambiada u otra extensión, para aprovechar errores de escritura o engañar a sus clientes.

¿Cuántas variantes de mi dominio debo registrar?

Depende de tu marca y presupuesto. Como mínimo, las extensiones principales de tu mercado (.com, .co y .com.co en Colombia) y los errores de escritura más probables de tu nombre.

¿DMARC evita el typosquatting?

No por completo. DMARC impide que falsifiquen tu dominio exacto, pero no controla dominios parecidos. Por eso se combina con registros defensivos, monitoreo y capacitación.

¿Puedo recuperar un dominio registrado con mi marca?

Es posible mediante procesos como la UDRP si demuestras derechos sobre la marca y mala fe del titular. Tener la marca registrada ante la SIC ayuda mucho. Recomendamos asesoría legal especializada.

¿Es ilegal registrar un dominio parecido al de otra empresa?

Registrar un dominio no es ilegal en sí mismo, pero usarlo de mala fe para suplantar, estafar o aprovechar una marca ajena puede tener consecuencias legales y permite reclamar el dominio.

¿Qué hago si un cliente pagó a una cuenta falsa?

Contacta de inmediato a tu banco y al del cliente, denuncia ante las autoridades, documenta los correos y dominios usados, y reporta el dominio al registrador y al hosting.

Conclusión

El typosquatting es barato para el atacante y costoso para la víctima. La buena noticia es que las defensas básicas también son sencillas: registrar las variantes clave, proteger el correo con SPF, DKIM y DMARC, vigilar dominios parecidos y tener reglas claras para pagos. Con eso cierras la mayoría de puertas.