Snabbt svar
Vilka typer av look-alike-domäner registrerar phishers?
Phishers registrerar sju typer av look-alike: felstavning, utelämnad bokstav, bindestreck, ändelsebyte, combosquatting, homoglyf och bitsquatting. För det fiktiva varumärket examplecoin.com är examplecoin.co och examplecoin-login.com två av dem. Wardmint säljer 29 ändelser och en massökning på upp till 50 namn så att ett team kan registrera sina egna versioner av var och en.
Sju typer av look-alike, med exempel på examplecoin.com
| Typ | Exempel | Så fungerar det | Vem den fångar |
|---|---|---|---|
| Felstavning (byte eller grannknapp) | examplecion.com | Två bokstäver bytta, eller en knapp bredvid rätt | En användare som skriver adressen |
| Utelämning | exmplecoin.com | En bokstav utelämnad | En användare som skriver snabbt |
| Bindestreck | example-coin.com | Ett bindestreck tillagt mellan ord | En användare som läser en adress i ett inlägg |
| Ändelsebyte | examplecoin.co, examplecoin.cm | Samma namn med en annan ändelse | En användare som antar ändelsen |
| Combosquatting | examplecoin-login.com, claim-examplecoin.com | Namnet plus ett ord som antyder en handling | En användare som följer ett meddelande eller en annons |
| Homoglyf | examp1ecoin.com, exarnplecoin.com | Ett tecken som ser ut som ett annat: 1 för l, rn för m | En användare som läser adressen |
| Bitsquatting | dxamplecoin.com | En bit vänd i en bokstav, till exempel e (01100101) till d (01100100) | En enhet vars minne vänder en bit |
Vad är en felstavnings- eller utelämningsdomän?
En felstavningsdomän skiljer sig från den riktiga genom ett tangentbordsfel; en utelämningsdomän tar bort en bokstav. examplecion.com byter plats på de två sista bokstäverna i varumärket, och exmplecoin.com tar bort det första a:et. Deras värde för en angripare är trafik som kommer av sig själv: människor skriver in adresser, och några gör misstaget. Ett permutationsverktyg genererar alla dessa automatiskt, vilket är skälet till att listan är billig att ta fram och billig att försvara. För försvararen är de de första namnen att registrera efter kärnändelserna. Guiden om att hitta look-alike-domäner visar hur du genererar dem med dnstwist.
Vad är ett ändelsebyte?
Ett ändelsebyte behåller namnet och ändrar ändelsen: examplecoin.co i stället för examplecoin.com. Angriparen satsar på att läsaren inte märker den saknade bokstaven eller antar att projektet äger den ändelsen. Risken är störst för tillägg som liknar .com eller som passar din sektor. Enligt Wardmints undersökning från den 12 november 2026 säljs 6 av de 10 ändelser med flest phishingdomäner i Interisles data från maj 2025 till april 2026 här: .com, .pro, .info, .xyz, .shop och .icu. Valet av ändelser förklaras i vilka domäner ett kryptoprojekt bör registrera.
Vad är combosquatting?
Combosquatting lägger till ett riktigt ord till varumärket, till exempel login, support, claim eller airdrop, och det passar de meddelanden som bedragare skickar. examplecoin-login.com ser ut som en sida ett projekt kan äga. Ett falskt airdrop-inlägg bär en länk till examplecoin-claim.com, och besökaren förväntar sig att se varumärket i adressen. Eftersom de möjliga orden är många går det inte att registrera alla kombinationer: välj de ord som förekommer i de bedrägerier som redan riktar sig mot din sektor och lägg till de övriga när övervakningen hittar dem. Ord finns också som ändelser, och det är skälet till att .support och .live förekommer i ändelseuppsättningen; se registrering av försvarsdomäner för hur en uppsättning byggs.
Vad är en homoglyfdomän?
En homoglyfdomän byter ut ett tecken mot ett som ser likadant ut: siffran 1 för l, eller de två bokstäverna rn för m. examp1ecoin.com och exarnplecoin.com är ren ASCII och kräver ingen särskild hantering. En andra familj använder bokstäver från andra alfabet, till exempel en kyrillisk а i stället för ett latinskt a. Dessa namn lagras i formen xn-- punycode och tas upp i vad är en IDN-homografattack. dnstwist bygger sina homoglyfnamn utifrån ett undersökt urval av Unicode-tecken som valts så att resultaten kan registreras.
Vad är bitsquatting?
Bitsquatting registrerar ett namn som skiljer sig från ditt med en vänd bit, och det bygger på minnesfel snarare än mänskliga fel. Bokstaven e är 01100101 i ASCII och d är 01100100, så dxamplecoin.com ligger en bit från examplecoin.com. En maskin vars minne vänder den biten medan den håller adressen frågar efter fel namn. Wardmint hittade ingen offentlig räkning av bitsquatting i de källor det läste, så den kommer sist i en försvarslista; de övriga sex utnyttjar det en människa läser eller skriver.
Hur försvarar jag mig mot alla sju?
Äg den mest sannolika av varje typ, omdirigera dem, och använd gratisverktyg för resten. Registrering stänger de namn du håller: massökning av upp till 50 namn samtidigt, sedan en kundvagn och en betalning för alla, till $128.94 per år för de sex kärnnamnen. För varje namn du äger, en DNS-mall "utan e-post" (null MX, SPF -all, DMARC p=reject) så att en defensiv domän inte kan användas för att förfalska din e-post, gratis URL-vidarebefordran för att skicka varje variant till din huvudsajt och automatisk förnyelse från ditt saldo så att ingen variant går ut. En uppsättning look-alike-typer är en checklista du kan köra på ditt eget varumärke på en timme, och du kan bygga den fullständiga listan med stegen i hur du skyddar ditt varumärke mot typosquatting.
Vilka look-alike-typer säljer Wardmint?
Wardmint registrerar ASCII-namnen för ett varumärkes egna felstavnings-, utelämnings-, bindestrecks-, ändelses-, kombinations- och homoglyfvarianter, inom de 29 ändelser det säljer. Det registrerar inte look-alikes av något annat varumärke, och dess användningspolicy förbjuder det. En look-alike-domän är ett registrerat namn byggt för att förväxlas med ett annat; en ägd variant är samma namn innehavt av varumärket som imiteras.
Frågor om look-alike-domäner
Vilken typ av look-alike är vanligast i krypto-phishing?
Wardmint hittade ingen offentlig räkning per typ i de källor det läste. Combosquatting och ändelsebyten är de typer som hänger ihop med falska airdrop- och supportmeddelanden, så registrera dem först.
Är varje look-alike-domän olaglig?
Nej. Vissa är parkerade, vissa innehas av oberoende ägare. Om en domän gör intrång beror på lagen och, för en UDRP, på policyns tre prov.
Kan en look-alike använda ett giltigt HTTPS-certifikat?
Ja. Vilken domän som helst kan skaffa ett, så ett hänglås bevisar ingenting om ägaren. Certifikatloggar visar utfärdade certifikat, vilket hjälper dig att upptäcka nya namn.
Bör jag registrera varje felstavning av mitt namn?
Nej. Registrera de mest sannolika, omdirigera dem och bevaka resten. En lista med 50 namn ryms i en massökning.
Sammanfattning
- Sju typer: felstavning, utelämning, bindestreck, ändelsebyte, combosquatting, homoglyf, bitsquatting.
- Combosquatting och ändelsebyten passar falska airdrop- och supportmeddelanden bäst.
- Homoglyfer inkluderar rn för m, 1 för l och icke-latinska bokstäver lagrade som xn--.
- Bitsquatting kräver ett minnesfel: en bit vänd.
- 6 av de 10 ändelserna med flest phishingdomäner (Interisle) säljs hos Wardmint.
- Wardmint registrerar bara ett varumärkes egna varianter, aldrig något annat varumärkes.
Källor (2)
- dnstwist, motor för permutation av domännamn — GitHub (elceef/dnstwist) (läst 2026-11-12)
- Phishing Activity in TLDs, maj 2025 till april 2026 — Cybercrime Information Center (läst 2026-11-12)