¿Qué es el typosquatting?
El typosquatting es registrar un dominio casi igual que otro conocido, con una letra cambiada, otra extensión, un guion o caracteres que se confunden. INCIBE lo explica desde quien teclea mal una dirección; para una empresa, el riesgo es que alguien escriba a sus clientes haciéndose pasar por ella.
Según INCIBE, el término se refiere a cuando un usuario «acaba en una página web que no es la que estaba buscando por el hecho de teclear mal por error la URL», y los delincuentes intentan reservar «dominios parecidos a servicios legítimos» para mostrar publicidad, alojar programas maliciosos o suplantar «la identidad de alguna empresa». Su artículo es de 2017 y está pensado para el ciudadano. Esta guía es para la empresa a la que imitan.
| Forma | Ejemplo inventado con tuempresa.es | Por qué engaña |
|---|---|---|
| Letra cambiada, de más o de menos | tuempressa.es, tuenpresa.es | De un vistazo se lee como el original |
| Otra extensión | tuempresa.com, tuempresa.eu | El nombre es idéntico y casi nadie mira el final |
| Guion o añadido | tu-empresa.es, tuempresa-sa.es, grupotuempresa.es | Parece una variante oficial |
| Caracteres que se confunden | tuernpresa.es (rn por m) | En muchas tipografías no se distinguen |
| Dos letras cambiadas de orden | tuepmresa.es | Leyendo deprisa no se nota |
¿Para qué usan un dominio parecido al de tu empresa?
Un dominio parecido sirve para escribir a tus clientes y proveedores desde una dirección que se lee casi igual que la tuya: una factura con un IBAN nuevo o un cambio de datos. También para montar una web falsa que copie la tuya. Si tienes DMARC en reject, tu dominio exacto ya no les sirve.
El diagnóstico de dominio de Talvit lo explica en su propio hallazgo: un dominio parecido registrado y con servidor de correo permite que alguien escriba a tus clientes «desde una dirección que se lee casi igual que la tuya», y es «el montaje del fraude del cambio de cuenta bancaria». No hace falta entrar en ningún sistema tuyo: basta con que tu cliente esté a punto de pagarte una factura (cómo funciona ese fraude).
La web falsa es la otra cara: una copia de tu tienda o de tu página de pago en una dirección parecida, a la que se llega desde un correo trampa o un anuncio. INCIBE cita el robo de datos personales y bancarios como uno de los usos de estas webs. Si vendes en internet, la guía de seguridad de la tienda online cubre lo que depende de ti.
¿Por qué SPF, DKIM y DMARC no frenan un dominio parecido?
SPF, DKIM y DMARC protegen tu nombre exacto. Un dominio parecido es otro dominio, con su dueño y sus propios registros SPF, DKIM y DMARC, que pueden estar perfectos: sus correos pasan todas las comprobaciones. El RFC 9989, la norma de DMARC desde mayo de 2026, dice que no aborda los dominios visualmente parecidos.
| Situación | DMARC en reject | Filtro de correo | Registrar variantes | Formación y simulacros |
|---|---|---|---|---|
| Correo falso con tu dominio exacto | Pide al receptor que lo rechace | Ayuda | No aplica | Ayuda a quien lo recibe |
| Correo a tus clientes desde un dominio parecido al tuyo | No | Depende del filtro de tu cliente | Solo las variantes que registres | La de tu equipo, no: lo recibe tu cliente |
| Correo a tu empresa desde un dominio parecido al de un proveedor | No | Ayuda | No | Ayuda: lo recibe tu equipo |
| Web falsa con una dirección parecida a la tuya | No | Solo si el enlace llega por correo | Solo las variantes que registres | Ayuda a tu equipo |
El RFC 9989 lo dice en su apartado 2.2: DMARC solo puede combatir directamente la suplantación del dominio exacto y no aborda el uso de dominios visualmente parecidos. INCIBE lo advertía en 2018 al explicar DMARC a las empresas: se pueden usar «dominios con similitudes al original esperando que el cliente pique, a través de técnicas como el typosquatting».
Lo que sí consigues con DMARC es empujar a quien quiera suplantarte hacia un dominio parecido, que se puede vigilar y reclamar. Cómo se configura, en SPF, DKIM y DMARC.
¿Cómo saber si hay dominios parecidos al tuyo en uso?
Se sabe probando las variantes de tu nombre: letras cambiadas, de más o de menos, guiones, otras extensiones y caracteres que se confunden. El diagnóstico gratuito de Talvit prueba hasta 60 variantes habituales, te dice cuáles están en uso y cuáles tienen servidor de correo, y descarta las que apuntan a tus propios servidores.
Lo que hace el diagnóstico gratuito de tu dominio, para que sepas qué esperar: genera variantes del nombre (una letra que se come, una que se repite, dos que cambian de orden, la tecla de al lado en un teclado español, un guion, «rn» por «m», añadidos como «-sa» o «grupo») y el mismo nombre en otras extensiones, como .com, .eu o .net. Después consulta cuáles tienen dirección en internet y si tienen servidor de correo. Con nombres de menos de cuatro letras no lo hace: cualquier variante sería otra palabra.
Si ya sabes de uno, averigua con qué registrador está. La OMPI aconseja empezar por ahí cualquier reclamación, con la herramienta de consulta de datos de registro de ICANN.
¿Qué hacer si un dominio parecido al tuyo ya está enviando correos?
Avisa ese mismo día a tus clientes y proveedores, por un canal que ya conozcan, de que no atiendan correos de esa dirección ni cambios de cuenta. Guarda los correos con sus cabeceras, denuncia, repórtalo a INCIBE-CERT y pide al registrador y al proveedor de correo de ese dominio que actúen por abuso.
¿Envía correo o tiene una web activa?
- Sí
- Sigue al paso 2: es urgente.
- No
- Vigílalo: anota la fecha y revísalo cada mes.
Avisa a clientes y proveedores por un canal que ya conozcan y guarda las pruebas: correos con cabeceras, capturas de la web y fechas.
Denuncia y repórtalo al buzón de fraude de INCIBE-CERT.
Pide al registrador y al proveedor de correo del dominio que actúen por abuso.
¿Es un dominio .es?
- Sí
- Procedimiento de Red.es: 1.400 € y unos dos meses.
- No
- Si es .com, .net, .org o una extensión genérica nueva: UDRP ante la OMPI, desde 1.500 dólares.
El aviso a clientes va primero: quien usa el dominio parecido escribe a quien está a punto de pagarte. Que sea breve y por un canal que ya conozcan, como el teléfono de siempre o un correo desde tu dominio real sin enlaces: «Hemos detectado correos desde tuernpresa.es, que no es nuestro. Nunca cambiamos de cuenta por correo; si recibes algo así, llámanos».
INCIBE-CERT tiene un buzón y un formulario para reportar fraudes, como correos trampa o webs fraudulentas, y pide una descripción detallada y la prueba: el correo reenviado, una captura o la dirección. Si dudas de cómo hacerlo, el 017 atiende a empresas, gratis, de 8:00 a 23:00.
4.600
dominios .es potencialmente fraudulentos cerró INCIBE en colaboración con Red.es en 2025, todos ellos reportados por INCIBE.
¿Cómo se recupera un dominio .es registrado de mala fe?
Un .es se recupera con el procedimiento extrajudicial de Red.es, ante uno de sus cuatro proveedores acreditados: cuesta 1.400 € y el experto resuelve en un plazo medio de dos meses. Tienes que acreditar derechos previos, como tu razón social, nombre comercial o marca registrada en España, y que el registro es especulativo o abusivo.
| Qué | Dominio .es | .com, .net, .org y genéricos nuevos |
|---|---|---|
| Procedimiento | Resolución extrajudicial de conflictos de Red.es | UDRP, la política uniforme de resolución de disputas de dominios |
| Ante quién | ADIGITAL, Autocontrol, el Consejo Superior de Cámaras o el Centro de Arbitraje y Mediación de la OMPI | El Centro de Arbitraje y Mediación de la OMPI |
| Requisito previo | Derechos previos protegidos en España: razón social, nombre comercial, marca u otro derecho de propiedad industrial | Derechos sobre una marca |
| Qué hay que probar | Que el dominio es idéntico o se confunde, que el titular no tiene derechos y que lo registró o lo usa de mala fe | Que el titular no tiene derechos sobre el dominio y que lo registró y lo usa de mala fe |
| Coste | 1.400 € | 1.500 dólares con un experto y de 1 a 5 dominios; 4.000 con tres expertos |
| Plazo | Plazo medio de dos meses desde la demanda; el titular tiene 20 días naturales para responder | Servicio prioritario con decisión en un mes, por 4.000 dólares, anunciado en marzo de 2026 |
Según dominios.es, al presentar la demanda el proveedor notifica a Red.es el bloqueo del dominio: no se puede dar de baja, transferir ni cambiar sus datos. En la demanda decides si pides que te lo transmitan o solo que se cancele, y la vía judicial sigue abierta para las dos partes. Las resoluciones dictadas se publican en la misma página.
¿Y si el dominio parecido es .com u otra extensión genérica?
Un .com parecido se reclama por la UDRP, la política uniforme que se aplica a .com, .net, .org y las extensiones genéricas nuevas. Ante la OMPI cuesta 1.500 dólares para uno a cinco dominios con un solo experto, y hay que probar derechos sobre una marca, que el titular no los tiene y mala fe.
La OMPI resume los pasos: averiguar con qué registrador está el dominio, revisar la política y sus reglas, reunir pruebas y pagar la tasa, sin la que el caso no empieza. Las pruebas de mala fe que pide son concretas: capturas de la web, los correos fraudulentos y la correspondencia previa con el titular. Si retiras la demanda antes de que se notifique al titular, la OMPI se queda 100 dólares de la tasa.
La OMPI anunció el 9 de marzo de 2026 un servicio prioritario: decisión en un mes desde el inicio, por 4.000 dólares, para hasta cinco dominios del mismo titular resueltos por un solo experto. Las tarifas están en dólares y son las publicadas por la OMPI a octubre de 2026.
¿Merece la pena registrar las variantes de tu dominio?
Merece la pena registrar las dos o tres variantes más probables: la otra extensión principal (.com si eres .es, o al revés) y la variante con guion o con la letra más fácil de confundir. Todas no se pueden. INCIBE cuenta que algunas grandes compañías compran dominios parecidos para redirigir a su web.
INCIBE lo cuenta así: «algunas de las grandes compañías combaten este tipo de fraudes comprando los dominios parecidos a sus URLs a fin de redirigir a los usuarios a la web legítima», y añade que no siempre es posible. Registrar las variantes más probables antes es más sencillo que reclamar una después; el resto se vigila.
Las variantes que registres tú no salen como amenaza en el diagnóstico si apuntan a tus mismos servidores: las descarta para no acusarte de suplantarte a ti mismo. Si no vas a enviar correo desde ellas, publica también un SPF que no autorice a nadie y un DMARC en reject, para que nadie pueda usarlas. Y vigila el tuyo: un dominio de empresa caducado se puede perder. Más fraudes que llegan por correo, en correo y fraude.
Dominio
- Tienes registrada la otra extensión principal (.es o .com)
- Tienes la variante con guion o con la letra más fácil de confundir
- Las variantes que no envían correo tienen SPF y DMARC que lo impiden
Vigilancia
- Has pasado el diagnóstico gratuito y sabes qué variantes están en uso
- Alguien revisa cada cierto tiempo si aparecen dominios nuevos con tu nombre
Respuesta
- Tienes escrito el aviso a clientes y proveedores, listo para enviar
- Sabes cómo reportar a INCIBE-CERT y que el 017 atiende a empresas
- Tus clientes saben que nunca cambias de cuenta por correo
Tu propio dominio
- Tiene SPF, DKIM y DMARC en reject
- Sabes cuándo caduca y se renueva solo
Lo que esta guía no cubre
- La suplantación de tu dominio exacto, que se frena con SPF, DKIM y DMARC y tiene su propia guía.
- La defensa de tu marca en redes sociales o en tiendas de aplicaciones.
- Asesoramiento jurídico sobre propiedad industrial: si vas a reclamar, consulta a un abogado especialista.
Preguntas frecuentes
¿Cuánto tarda Red.es en resolver la reclamación de un .es?
El experto resuelve en un plazo medio de dos meses desde que se presenta la demanda, según dominios.es. El titular del dominio tiene 20 días naturales para responder.
¿Puedo reclamar un dominio parecido si no tengo marca registrada?
En .es, la denominación de tu empresa o tu nombre comercial cuentan como derechos previos. En .com y genéricos, la UDRP pide derechos sobre una marca: consúltalo antes de pagar la tasa.
¿El diagnóstico gratuito encuentra todos los dominios parecidos?
No. Prueba hasta 60 variantes habituales de tu nombre y te dice cuáles están en uso y cuáles tienen correo. Un dominio que aún no apunta a ninguna parte, o una variante fuera de esas reglas, no sale.
¿Aviso a mis clientes aunque el dominio parecido no haya enviado nada?
Si solo está registrado, basta con vigilarlo. Si tiene servidor de correo, conviene recordar a quien te paga que nunca cambias de cuenta por correo: no cuesta nada y le da la regla para pararlo.
Fuentes
- INCIBE, «¿Has oído hablar del typosquatting? Ten cuidado al teclear» (9 de agosto de 2017), consultado el
- INCIBE, «El correo electrónico: la primera barrera a proteger para evitar el fraude» (4 de octubre de 2018), consultado el
- IETF, RFC 9989, «Domain-Based Message Authentication, Reporting, and Conformance (DMARC)», apartado 2.2 (mayo de 2026), consultado el
- dominios.es (Red.es), «Recupera tu dominio»: procedimiento de resolución extrajudicial de conflictos, consultado el
- OMPI, «Schedule of Fees under the UDRP», consultado el
- OMPI, «Updated WIPO UDRP Fee Schedule and NEW Services» (9 de marzo de 2026), consultado el
- OMPI, «Domain Name Dispute Resolution»: cuándo se aplica la UDRP y cómo se presenta una demanda, consultado el
- INCIBE, «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025» (9 de febrero de 2026), consultado el
- INCIBE-CERT, «Reporte de fraude», consultado el
- INCIBE, Tu Ayuda en Ciberseguridad, 017, consultado el
Registro de cambios
- : Publicación.
