Typosquatting là dạng chiếm dụng tên miền dựa vào lỗi gõ phím và lỗi nhìn của người dùng: người chiếm dụng đăng ký những tên miền gần giống nhãn hiệu, như thiếu một chữ, đảo hai chữ, gõ nhầm phím bên cạnh, đổi đuôi, hay dùng ký tự trông giống hệt chữ Latinh. Người dùng gõ vội hoặc bấm vào liên kết trong thư điện tử sẽ tới trang của kẻ chiếm dụng thay vì trang thật.
Khác với chiếm dụng một tên miền trùng hệt, typosquatting tạo ra hàng trăm biến thể cho mỗi nhãn hiệu, nên không thể đăng ký phòng thủ hết. Cách đúng là kết hợp ba lớp: đăng ký có chọn lọc những biến thể nguy hiểm nhất, giám sát liên tục các đăng ký mới, và có quy trình phản ứng nhanh khi một biến thể bắt đầu hoạt động. Bài này đi qua từng lớp, với góc nhìn của chủ nhãn hiệu.
Các kỹ thuật tạo biến thể tên miền
Hiểu kỹ thuật giúp bạn tự liệt kê biến thể cho nhãn hiệu của mình. Ví dụ dưới dùng một nhãn hiệu giả định "minhanh".
| Kỹ thuật | Ví dụ giả định | Cơ chế lừa |
|---|---|---|
| Thiếu ký tự | minhnh | Gõ vội bỏ sót phím |
| Lặp ký tự | minhannh | Phím bị nhấn đôi |
| Đảo ký tự kề nhau | mihnanh | Gõ nhanh sai thứ tự |
| Phím kề bên | minhsnh | Ngón tay trượt sang phím cạnh |
| Thêm hoặc bỏ dấu gạch | minh-anh | Người dùng không nhớ cách viết chuẩn |
| Đổi đuôi | minhanh.co, minhanh.cm | Gõ thiếu chữ cuối của .com |
| Thêm từ | minhanh-support, minhanhvn | Trông giống tên miền chính thức của bộ phận |
| Ký tự đồng dạng | chữ "a" Kirin thay chữ "a" Latinh | Mắt người không phân biệt được |
| Thay ký tự trông giống | rn thay m, 0 thay o, l thay I | Phông chữ làm hai chuỗi trông như nhau |
| Bitsquatting | một bit bị lật trong bộ nhớ thiết bị | Lỗi phần cứng hiếm gặp, khai thác ở quy mô lớn |
Các công cụ mã nguồn mở như dnstwist tự động sinh hàng nghìn biến thể theo các kỹ thuật này và kiểm tra biến thể nào đã được đăng ký. Bạn nên chạy thử một lần cho nhãn hiệu chính để thấy quy mô thật của bề mặt rủi ro.
Ký tự đồng dạng và tên miền quốc tế hoá
Từ khi hệ thống tên miền hỗ trợ tên miền quốc tế hoá (IDN), người dùng có thể đăng ký tên miền chứa chữ có dấu tiếng Việt, chữ Kirin, chữ Hy Lạp, chữ Hán. Về kỹ thuật, các tên này được mã hoá thành chuỗi ASCII bắt đầu bằng tiền tố "xn--" theo chuẩn Punycode. Vấn đề nằm ở chỗ nhiều ký tự trong các bảng chữ khác nhau trông giống hệt nhau trên màn hình: chữ "a", "e", "o", "p", "c" trong bảng Kirin gần như không phân biệt được với chữ Latinh tương ứng. Kẻ tấn công có thể đăng ký một tên miền trông y như nhãn hiệu của bạn nhưng thực chất là một chuỗi khác.
Các nhà phát triển trình duyệt đã phản ứng bằng quy tắc hiển thị: nếu một tên miền trộn lẫn bảng chữ đáng ngờ hoặc trông giống tên miền phổ biến, trình duyệt hiển thị dạng "xn--" thay vì dạng chữ. Nhiều cơ quan quản lý đuôi tên miền cũng hạn chế việc trộn bảng chữ trong một nhãn. Tuy vậy, biện pháp này không bao phủ mọi trường hợp, đặc biệt trong ứng dụng nhắn tin, phần mềm thư điện tử và giao diện di động, nơi tên miền thường bị rút gọn.
Với tiếng Việt, cần để ý thêm một dạng: tên miền có dấu và không dấu. Nếu nhãn hiệu của bạn có dấu, tên miền IDN có dấu tương ứng có thể bị người khác đăng ký. Hãy cân nhắc giữ cả hai dạng cho nhãn hiệu chính.
Typosquatting được dùng vào việc gì
Thu lượt truy cập cho quảng cáo. Dạng phổ biến nhất về số lượng: tên miền gõ nhầm trỏ về trang đỗ chứa liên kết quảng cáo, đôi khi dẫn sang đối thủ. Mỗi lượt truy cập chỉ đáng vài đồng, nhưng nhân với hàng nghìn biến thể của hàng trăm nhãn hiệu là một mô hình kinh doanh.
Chuyển hướng qua mạng liên kết. Người dùng gõ nhầm bị chuyển về chính trang thật của bạn, nhưng qua một đường liên kết tiếp thị, để kẻ chiếm dụng ăn hoa hồng từ chính đơn hàng bạn lẽ ra có miễn phí.
Thu thông tin đăng nhập. Biến thể dựng trang đăng nhập giả của ngân hàng, ví điện tử, cổng nội bộ. Đây là dạng gây thiệt hại trực tiếp lớn nhất và thường nhắm vào biến thể ký tự đồng dạng hoặc thêm từ như "login", "secure".
Đón thư điện tử gửi nhầm. Tên miền gõ nhầm được cấu hình bản ghi nhận thư. Người gửi gõ sai địa chỉ của đối tác sẽ gửi thẳng tài liệu, hoá đơn, hợp đồng cho kẻ chiếm dụng mà không hề biết. Các nghiên cứu bảo mật đã chứng minh được lượng thư nhầm đáng kể thu về theo cách này.
Mạo danh để lừa đảo thanh toán. Kẻ gian dùng tên miền gần giống để gửi thư giả là nhà cung cấp, đề nghị đổi số tài khoản nhận tiền. Biến thể chỉ khác một chữ thường lọt qua mắt kế toán bận rộn.
Phát tán mã độc. Biến thể của tên miền phần mềm hay thư viện được dùng để phân phối bản cài đặt giả. Dạng này đặc biệt nguy hiểm với doanh nghiệp phần mềm, vì người bị hại là khách hàng của bạn.
Pháp lý: typosquatting có bị xử lý như chiếm dụng tên miền không
Có. Trong UDRP, tên miền gõ nhầm thường được coi là tương tự gây nhầm lẫn với nhãn hiệu ở yếu tố thứ nhất, vì chính việc cố tình tạo ra một lỗi gõ phổ biến cho thấy tên miền nhắm vào nhãn hiệu. Bản tổng hợp quan điểm của trọng tài viên WIPO ghi nhận rằng tên miền chứa lỗi chính tả hiển nhiên hoặc có chủ đích của nhãn hiệu được coi là gây nhầm lẫn. Ở yếu tố dụng ý xấu, typosquatting tự nó là một dấu hiệu mạnh, vì khó có lời giải thích vô hại cho việc đăng ký một lỗi chính tả của nhãn hiệu nổi tiếng.
Tại Mỹ, vụ Shields v. Zuccarini (Toà phúc thẩm khu vực 3, 2001) là một trong những vụ đầu tiên áp dụng Đạo luật chống chiếm dụng tên miền cho typosquatting: bị đơn đăng ký nhiều biến thể gõ nhầm của tên miền một trang hoạt hình và toà xác định đó là hành vi bị cấm. Tại Việt Nam, việc đăng ký, sử dụng tên miền tương tự gây nhầm lẫn với nhãn hiệu nhằm lợi dụng uy tín có thể bị xử lý như cạnh tranh không lành mạnh, còn hành vi lừa đảo qua tên miền giả thì thuộc phạm vi pháp luật hình sự và an toàn thông tin.
Rào cản thực tế không nằm ở luật mà ở quy mô. Mỗi đơn UDRP tốn phí và công sức, trong khi biến thể có thể đăng ký với chi phí rất thấp. Doanh nghiệp cần ưu tiên: chỉ khiếu nại biến thể đang hoạt động gây hại hoặc có dấu hiệu chuẩn bị gây hại.
Lập hệ thống giám sát tên miền cho nhãn hiệu
Giám sát là lớp phòng thủ quan trọng nhất vì nó phát hiện sớm. Quy trình dưới đây áp dụng được cho cả doanh nghiệp vừa, không cần đội an ninh riêng.
- Lập danh sách chuỗi cần theo dõi: các nhãn hiệu chính, tên sản phẩm chủ lực, tên viết tắt; kèm biến thể có dấu và không dấu.
- Sinh danh sách biến thể: dùng công cụ sinh biến thể theo các kỹ thuật ở bảng trên; lọc bớt biến thể vô nghĩa để danh sách dễ quản lý.
- Theo dõi đăng ký mới: nguồn dữ liệu gồm tệp vùng của các gTLD (ICANN cho phép truy cập qua dịch vụ dữ liệu vùng tập trung theo đăng ký), nguồn cấp dữ liệu tên miền mới đăng ký của nhà cung cấp, và dịch vụ giám sát thương mại.
- Theo dõi chứng thư số: nhật ký Certificate Transparency công khai mọi chứng thư TLS được cấp. Một tên miền gần giống vừa được cấp chứng thư là dấu hiệu nó sắp được dùng làm trang có khoá bảo mật để lừa người dùng.
- Chấm điểm rủi ro: ưu tiên biến thể có bản ghi nhận thư, có chứng thư số, có nội dung bắt chước giao diện, hoặc ký tự đồng dạng; xếp sau các tên miền đỗ không hoạt động.
- Phản ứng theo mức: mức thấp thì theo dõi định kỳ; mức trung bình thì lưu bằng chứng và gửi thư yêu cầu; mức cao, như có trang đăng nhập giả, thì kích hoạt quy trình gỡ bỏ khẩn cấp.
- Đóng vòng lặp: mỗi quý xem lại biến thể nào bị lạm dụng nhiều, cân nhắc đăng ký phòng thủ những dạng lặp lại.
Đừng quên phía bên trong: cấu hình xác thực thư điện tử cho tên miền chính và cảnh báo nhân viên khi nhận thư từ tên miền bên ngoài giống tên miền nội bộ giúp giảm thiệt hại ngay cả khi biến thể chưa bị gỡ.
Những hiểu lầm hay gặp về typosquatting
"Đăng ký hết biến thể là xong." Không khả thi. Một nhãn hiệu tám ký tự có thể sinh ra vài trăm biến thể chỉ với các kỹ thuật cơ bản, nhân với hàng trăm đuôi tên miền. Đăng ký phòng thủ chỉ nên nhắm vào nhóm nhỏ biến thể có xác suất bị gõ nhầm cao nhất trên các đuôi người dùng của bạn hay gõ.
"Tên miền đỗ không hoạt động thì vô hại." Một tên miền im lặng hôm nay có thể được kích hoạt ngày mai, và nhiều tên miền chỉ cấu hình nhận thư mà không có trang web. Giám sát cần nhìn vào bản ghi DNS, không chỉ vào nội dung trang.
"Chỉ thương hiệu lớn mới bị nhắm." Các vụ lừa đảo thanh toán qua tên miền gần giống thường nhắm vào doanh nghiệp vừa và nhỏ có giao dịch xuất nhập khẩu, vì quy trình xác minh nội bộ của họ mỏng hơn. Kẻ gian chọn mục tiêu theo khả năng thành công, không theo độ nổi tiếng.
"Báo cho nhà đăng ký là tên miền bị khoá ngay." Nhà đăng ký thường chỉ hành động nhanh với bằng chứng lừa đảo hay mã độc rõ ràng. Với tranh chấp nhãn hiệu thuần tuý, họ sẽ hướng bạn sang UDRP hoặc toà án.
Câu hỏi thường gặp
Tên miền gõ nhầm có thể bị gỡ nhanh hơn UDRP không?
Có, nếu nó đang được dùng cho lừa đảo, thu thông tin đăng nhập hay phát tán mã độc. Khi đó bạn báo trực tiếp cho nhà đăng ký, nhà cung cấp lưu trữ và các danh sách chặn của trình duyệt. Với tên miền chỉ đỗ quảng cáo, con đường thường vẫn là UDRP hoặc thương lượng.
Có nên đăng ký tên miền ký tự đồng dạng của nhãn hiệu mình không?
Thường không cần đăng ký đại trà, vì số lượng quá lớn và nhiều đuôi đã hạn chế trộn bảng chữ. Nên tập trung giám sát. Ngoại lệ là ngân hàng, ví điện tử hay dịch vụ có trang đăng nhập được nhắm nhiều, nơi việc giữ vài biến thể nguy hiểm nhất là hợp lý.
Làm sao biết một tên miền gần giống đang nhận thư điện tử?
Tra bản ghi MX của tên miền đó bằng công cụ tra cứu DNS thông thường. Nếu có bản ghi MX, tên miền có khả năng nhận thư. Kết hợp với việc tên miền mới đăng ký và không có trang web, đây là dấu hiệu nên xếp vào mức rủi ro cao.
Typosquatting có liên quan gì đến tên gói phần mềm không?
Có cùng cơ chế. Kẻ gian đăng tải gói mã nguồn với tên gần giống thư viện phổ biến trên các kho gói như npm hay PyPI để lập trình viên cài nhầm. Doanh nghiệp phần mềm nên giám sát cả tên gói mang nhãn hiệu của mình, không chỉ tên miền.
Giám sát tên miền nên làm nội bộ hay thuê dịch vụ?
Doanh nghiệp có ít nhãn hiệu có thể tự làm với công cụ mã nguồn mở và nguồn chứng thư công khai, mất vài giờ mỗi tháng. Doanh nghiệp nhiều nhãn hiệu, nhiều thị trường, hoặc thường bị mạo danh nên thuê dịch vụ để có dữ liệu đầy đủ hơn và đội xử lý gỡ bỏ có sẵn quan hệ với nhà đăng ký.
