Typosquatting: el ciberataque que empieza con una letra mal escrita

• Alex De los Llanos Dueñas
• Mayo 2025

En el mundo digital, no todo el riesgo viene disfrazado de malware o de ataques complejos. A veces, lo más peligroso es aquello que pasa por auténtico. Aquello que se parece tanto a lo original, que solo un detalle mínimo lo delata. Eso, en esencia, es lo que define el typosquatting: un método de suplantación digital que aprovecha los errores más humanos para comprometer la seguridad de personas y empresas.

La técnica es simple, pero su impacto puede ser enorme. El atacante registra un dominio que se parece mucho a uno legítimo. Una letra cambiada, un guion que no debería estar ahí, una doble “n” donde debería ir solo una. A simple vista, parece inofensivo. Pero basta con que alguien escriba mal la dirección de una web, o haga clic en un enlace manipulado, para que acabe en el sitio equivocado. Y desde ahí, todo puede pasar.

Este tipo de ataque no requiere una infraestructura compleja ni grandes conocimientos técnicos. De hecho, parte de su eficacia radica en que es extremadamente barato de ejecutar, y suplantar una marca conocida puede ser tan fácil como encontrar un error de escritura común y registrar el dominio correspondiente.

Lo más preocupante es que no siempre se detecta rápido. A veces, el sitio suplantado puede parecer una copia exacta del original. Otras, actúa como una página de phishing, lista para capturar credenciales o distribuir archivos maliciosos. En ciertos casos, ni siquiera hace falta que el sitio falso funcione: basta con que esté activo y se utilice para enviar correos engañosos desde una dirección “creíble”.

El error humano como puerta de entrada

El typosquatting es un recordatorio incómodo de lo vulnerables que pueden ser incluso las mejores estructuras de ciberseguridad si se subestima el factor humano. Porque no importa cuántas capas de protección tenga un sistema si el usuario entra por la puerta equivocada. Y en este tipo de ataques, la puerta equivocada no es otra cosa que una URL mal escrita.

A diferencia de otras amenazas, el typosquatting no suele necesitar que el usuario baje la guardia por completo. Basta con un descuido. Una letra omitida, una sustitución casi imperceptible, un hábito de teclear rápido sin verificar el dominio. Es un tipo de riesgo que se camufla con la rutina.

Muchos atacantes conocen bien cómo escriben los usuarios. Analizan errores comunes, tendencias de búsqueda, formas típicas de abreviar nombres. A partir de ahí, construyen una lista de variantes y registran los dominios que podrían generar tráfico erróneo. Y una vez lo hacen, tienen acceso no solo a visitas legítimas que se equivocan, sino también a potenciales víctimas que ni siquiera sospechan que están en el sitio equivocado.

En los últimos años, también se ha visto cómo esta técnica se integra con campañas más amplias. Por ejemplo, enviando correos electrónicos con enlaces “muy parecidos” al dominio real de una empresa, aprovechando que el receptor no suele fijarse en cada carácter. Todo está diseñado para aprovechar ese primer error, ese clic impulsivo, ese acceso automático.

Y lo más difícil es que detectar el problema no siempre es sencillo. Al no haber una brecha directa en el sistema corporativo, muchos incidentes de typosquatting ni siquiera dejan rastro dentro de la infraestructura interna. La víctima puede entregar información a un sitio falso sin que nadie lo note hasta que es demasiado tarde.

La responsabilidad de mirar de cerca

En el fondo, el typosquatting es una forma de ataque que desafía la confianza excesiva en lo que parece conocido. Obliga a prestar atención. A mirar dos veces. A no dar por hecho que todo lo que suena familiar es necesariamente seguro.

Muchas empresas no se dan cuenta de lo expuestas que están hasta que el daño ya está hecho. Y el daño no es siempre económico o técnico: a veces es reputacional. Clientes que entran en una web falsa creyendo que es la real, que entregan datos, que hacen una compra o que simplemente reciben un malware sin saberlo. Y cuando eso ocurre, la percepción de la marca se resiente, aunque el error haya sido externo.

Algunas organizaciones han empezado a incorporar medidas para prevenir este tipo de ataques. Por ejemplo, monitorizando los dominios similares que se registran en torno a su marca, o reservando proactivamente las variantes más evidentes. No es una solución perfecta, pero sí una forma de cerrar algunas puertas antes de que alguien más las abra.

También se están aplicando tecnologías que analizan los patrones de tráfico y detectan redirecciones o accesos sospechosos. Pero el punto de partida sigue siendo el mismo: saber que esta amenaza existe, y que no se combate solo desde el departamento técnico, sino desde toda la cultura digital de la organización.

Educar a los empleados, revisar las comunicaciones, incluir indicaciones claras en correos y páginas oficiales, advertir a los clientes sobre los dominios auténticos… todo suma. Porque la mejor forma de evitar que alguien caiga en un sitio falso es asegurarse de que sepa cómo reconocer el verdadero.

Otro aspecto que empieza a ganar relevancia es la colaboración entre empresas para identificar campañas activas. Al compartir información sobre intentos de suplantación y detectar patrones comunes, se puede actuar antes de que un dominio malicioso cause más problemas. Y aunque esa coordinación no siempre es fácil, está demostrado que una respuesta colectiva es más eficaz que una acción aislada.

Además, cada vez se exige más a los proveedores de servicios que vigilen lo que se registra en sus plataformas. Algunos registradores de dominios han empezado a implementar filtros para evitar que se utilicen variantes evidentes de marcas conocidas con fines maliciosos, aunque los mecanismos todavía son limitados y, en muchos casos, el atacante simplemente se va a otro proveedor con políticas más laxas.

Lo cierto es que el typosquatting no va a desaparecer. Pero se puede reducir su impacto. Y para eso, la clave está en no subestimarlo por su aparente sencillez.

Conclusión

El typosquatting no es sofisticado. No necesita explotar una vulnerabilidad técnica, ni colarse en redes protegidas. Su fuerza está en lo cotidiano: en la velocidad con la que se teclea, en la falta de atención, en el impulso de hacer clic sin revisar. Es un ataque que se mueve en lo mínimo, pero que puede causar un daño máximo.

Protegerse frente a este tipo de amenaza no pasa por grandes soluciones mágicas. Pasa por tomar conciencia, por formar a quienes usan los sistemas, por vigilar el ecosistema digital donde vive una marca y por actuar antes de que alguien más se aproveche del descuido.

Y si tu empresa necesita ayuda para protegerse frente a este tipo de amenazas, contacta con nosotros.