Eine Lookalike-Domain ist eine Domain, die registriert wurde, um als Ihre durchzugehen: ein Buchstabe geändert, ein Bindestrich hinzugefügt, eine andere Endung oder Ihre Marke neben einem Wort wie „login“. Die Audits einer verifizierten Domain suchen danach; versendet eine davon E-Mails oder zeigt sie eine Anmeldeseite, hilft Ihnen die Seite Lookalike-Domains der Domain, ihren Takedown zu erreichen.

Das Takedown-Paket ist ab dem Solo-Tarif enthalten, wie die Überwachung von Lookalike-Domains selbst. Im Free-Tarif erklärt die Seite, was es bietet, und verlinkt auf die Tarife.

Einen Takedown-Fall eröffnen

Öffnen Sie eine verifizierte Domain. Die Karte Lookalike-Domains zeigt, wie viele das neueste Audit gefunden hat; folgen Sie ihrem Link (oder Takedown vorbereiten unter einem Lookalike-Befund).
Die Seite listet jede Lookalike-Domain mit dem Grund ihrer Aufnahme (die Art des Tippfehlers, ein Mailserver, eine Website oder Ihre Marke in einem Zertifikat) und dem Datum ihrer Registrierung. Die riskantesten stehen oben. Namen, die Sie in den Einstellungen der Domain als Ihre eigenen markiert haben, bleiben außen vor.
Klicken Sie bei derjenigen, die sich als Sie ausgibt, auf Takedown vorbereiten.

Der Fall wird eröffnet, und die Nachweise werden in etwa einer Minute gesammelt; die Seite aktualisiert sich von selbst.

Die Nachweise

Wir sammeln sie passiv, wie es ein Ermittler täte, ohne je ein Formular auszufüllen oder auf der Lookalike-Domain zu klicken:

ihr DNS: Adressen, Mailserver, Nameserver;
ihre Registrierung (RDAP): der Registrar, seine IANA-Nummer und sein Abuse-Kontakt, das Erstellungsdatum und der Status. Nichts über den Inhaber: Name, Adresse und E-Mail-Adresse werden nie gelesen, selbst wenn die Registry sie veröffentlicht;
das Netz ihrer Adressen (RDAP der regionalen Registries): der Hoster und sein Abuse-Kontakt;
die für sie ausgestellten Zertifikate, aus den öffentlichen Certificate-Transparency-Logs;
eine Anfrage an ihre Startseite, mit dem User-Agent von Perimetry: ihr Titel, ein Auszug, ob sie ein Anmelde- oder Zahlungsformular zeigt, Ihre Marke nennt, Ressourcen von Ihrer eigenen Website lädt und wie nah Titel und Text an Ihren liegen.

Jedes Element trägt den Zeitpunkt, zu dem es gelesen wurde, und seinen SHA-256-Fingerabdruck, und die ganze Akte hat ihren eigenen Fingerabdruck, der auf der Seite und in den Schreiben steht. Laden Sie sie als Nachweise (PDF) in der Sprache des Arbeitsbereichs oder als Nachweise (JSON) herunter: Die JSON-Datei hat genau diesen Fingerabdruck. Erneut sammeln (höchstens einmal alle 10 Minuten) ist vor einer zweiten Meldung nützlich.

Die Schreiben senden

Der Abschnitt Versandfertige Schreiben enthält drei Schreiben, auf Deutsch, Englisch oder Französisch (die Sprache des Arbeitsbereichs zuerst; wechseln Sie mit den Links darüber):

An den Registrar: die Fakten, der Fingerabdruck der Nachweise und die Bitte, die Domain zu sperren und ihre Daten aufzubewahren;
An den Hoster: dasselbe, mit der Bitte, den Inhalt zu entfernen und das Konto zu sperren;
An die Meldedienste: eine kurze Meldung zum Einfügen in deren Formulare und die Liste der offiziellen Stellen mit ihren Adressen: Google Safe Browsing, Microsoft, Netcraft, APWG (für eine Phishing-E-Mail) und für Frankreich PHAROS und Signal Spam.

Ergänzen Sie unten Ihren Namen, Ihre Funktion und Ihre Kontaktdaten und senden Sie die Schreiben dann aus Ihrem eigenen Postfach. Schreiben kopieren, .txt herunterladen oder .eml herunterladen: ein Entwurf, den Ihr E-Mail-Programm mit Adresse, Betreff und bereits angehängten Nachweisen (PDF und JSON) öffnet. Wir senden nie etwas in Ihrem Namen an den Registrar, den Hoster oder sonst jemanden.

Ist keine Abuse-Adresse veröffentlicht, steht das im Schreiben: Suchen Sie auf deren Website nach dem Abuse-Formular.

Den Fall verfolgen

Unter Meldung erfassen notieren Sie jede gesendete Meldung: an wen und an welchem Tag, gegebenenfalls mit einer Ticketnummer. Der Fall zeigt dann „Gemeldet an … am …“.

Solange der Fall offen ist, prüfen wir die Lookalike-Domain alle 6 Stunden: Antwortet ihre Seite noch, wird ihr Name noch aufgelöst? Ihre Benachrichtigungskanäle werden informiert, wenn sie verschwindet und wenn sie zurückkehrt. Der Fall zeigt Abgeschaltet, sobald ihr Name nicht mehr aufgelöst wird.

Fall schließen, wenn er erledigt ist oder sich die Domain als harmlos oder als Ihre eigene herausstellt: Die Prüfungen enden, und Sie können den Fall wieder öffnen. Gehört sie Ihnen, tragen Sie sie außerdem in den Einstellungen der Domain bei den eigenen Namen ein, damit die Audits sie nicht mehr auflisten.

Betrachter können die Fälle lesen und die Nachweise und Schreiben herunterladen; Mitglieder, Administratoren und Inhaber eröffnen, erfassen und schließen sie.

Seiten, die Ihre Marke kopieren (urlscan.io)

Doppelgänger-Domains erkennt man an ihrem Namen. Eine Phishing-Seite kann aber auch auf einer Domain liegen, die Ihrer gar nicht ähnelt. Um solche Seiten zu finden, fügen Sie Ihren eigenen urlscan.io-Schlüssel unter Einstellungen › Überwachung von Markenmissbrauch ein (ein kostenloses urlscan-Konto reicht für die meisten Arbeitsbereiche; die Suchen zählen auf sein Kontingent, nicht auf unseres). Jeden Tag werden für jede nachgewiesene Domain die öffentlichen Analysen von urlscan nach Seiten auf anderen Domains durchsucht, die Dateien Ihrer Domain laden (ein Phishing-Kit behält oft Ihr Logo und Ihre Skripte) oder ihren Namen in der Adresse tragen. In Ihrem Namen wird nie etwas an urlscan übermittelt.

Gefundene Seiten erscheinen in der Karte Überwachung von Markenmissbrauch auf der Seite der Domain, mit dem Urteil von urlscan und einem Link zu Bericht und Screenshot. Die erste Suche dient als Referenz und benachrichtigt niemanden; neue Seiten danach gehen an Ihre Benachrichtigungskanäle. Verwerfen Sie eine erledigte Seite, oder markieren Sie die ganze Website als legitim (ein Partner, der Ihr Logo zeigt, eine Ihrer anderen Websites), damit sie für diese Domain nie wieder gemeldet wird. Bei einer echten Kopie gelten die Schreiben dieser Seite genauso: Schreiben Sie dem Hoster und der Registrierungsstelle der Domain, die sie ausliefert.