什麼是 Typosquatting？網域攻擊方法與預防

什麼是 Typosquatting？

您輸入 "gogle.com" 而不是 "google.com"，然後按下 Enter。短短幾毫秒內，您就會看到一個利用簡單字元遺漏來蒐集憑證的頁面。這一次按鍵錯誤，便讓攻擊者取得了您的企業憑證存取權。

Typosquatting 是一種以網域為基礎的攻擊，威脅行為者會利用常見的輸入錯誤註冊與合法網站極為相似的網域名稱。根據 FBI 2023 年網際網路犯罪報告， 網路釣魚 與詐騙攻擊（typosquatted 網域的主要使用案例）僅在 2023 年就產生了 298,878 起申訴。

CISA 的官方指引將 typosquatting 定義為一種以網域為基礎的 社交工程攻擊，威脅行為者會透過旨在欺騙使用者的字元變化，「建立具有與合法網域略微不同特徵的偽冒網域」。攻擊者會註冊如 "gogle.com"（字元遺漏）、"googel.com"（字元換位）或 "googlr.com"（相鄰按鍵錯誤）等網域，利用常見輸入錯誤建立具說服力的網路釣魚基礎設施。

這種攻擊之所以成功，是因為人類感知與機器精確性不同。您的眼睛在螢幕上看到的是 "paypal.com"，但瀏覽器實際解析到的是含有西里爾字母 'а'（U+0430）的 "pаypal.com"，其顯示效果與拉丁字母 'a'（U+0061）完全相同。該網域屬於攻擊者，而非 PayPal。

Typosquatting 不需要社交工程敘事。攻擊者只需等待那些在統計上會以可預測頻率發生的輸入錯誤。當您在企業規模下運作，每天有數千名員工存取數百個 SaaS 平台時，這些錯誤就會成為以數量衡量、而非以機率衡量的攻擊機會。

了解這項威脅的規模後，會立即引出一個問題：為什麼現有的安全控制無法阻止這些攻擊？

為什麼傳統安全機制無法防禦 Typosquatting

Typosquatting 可作為多階段攻擊鏈的進入點，完全繞過您的邊界防禦。根據 CISA 公告 AA23-025A，「初始網路釣魚電子郵件中連結的第一階段惡意網域，會定期重新導向至其他網站，以進行額外的重新導向與下載 RMM 軟體。」您的端點安全機制永遠看不到初始入侵，因為是您自願瀏覽到該惡意網域。

傳統 URL 過濾之所以失效，是因為 typosquatted 網域沒有惡意信譽歷史。DNS 記錄顯示的是由合法使用者主動發起的查詢，而非命令與控制模式。SSL 憑證可通過驗證檢查，並顯示受信任的掛鎖圖示。在承載程式執行之前，您的安全堆疊看到的是經授權的使用者行為，而非惡意活動。

其資安影響不僅止於個別憑證遭竊。 Carnegie Mellon University 研究記錄指出，typosquatting 網域每年會透過集中式郵件伺服器基礎設施接收大量誤寄電子郵件。當您的使用者不小心將企業通訊寄送到您自有網域的 typosquatted 版本時，攻擊者便能攔截商業情報、財務資料與策略性通訊，而不會觸發任何安全警示。

若要防禦這些攻擊，您首先需要了解攻擊者用來建立欺騙性網域的具體技術。

Typosquatting 攻擊類型

攻擊者會採用不同技術來產生具說服力的網域變體。研究證實，大約 99% 的 typosquatted 網域使用單一字元修改，使這些模式既可預測又有效。

1. 字元遺漏 會移除一個字母："gogle.com" 而非 "google.com"。這利用了快速輸入時手指略過按鍵的情況。
2. 字元重複 會加入額外字母："googgle.com" 針對重複字元上的雙擊錯誤。
3. 字元換位 會交換相鄰字母："googel.com" 利用快速輸入時自然顛倒字母順序的傾向。
4. 相鄰按鍵替換 會以鍵盤相鄰按鍵取代字元："googlr.com"（r 與 e 相鄰）針對實體輸入錯誤。
5. 同形異碼攻擊 會以視覺上相同的 Unicode 字元進行替換。根據 ICANN 研究，研究人員在 20 個月內記錄了 11,766 個獨特的 IDN 同形異碼。西里爾字母 'а'（U+0430）與拉丁字母 'a'（U+0061）顯示完全相同，使 "pаypal.com" 在視覺上與合法網域無法區分。
6. Doppelganger 網域會省略子網域中的句點："wwwgoogle.com" 或 "aborofamerica.com"（"boa" 後缺少句點），藉此攔截漏掉子網域與網域之間句點的使用者流量。
7. Combosquatting會附加聽起來合法的字詞："google-login.com" 或 "secure-paypal.com" 看似官方子網域，實際上屬於攻擊者。
8. 錯誤 TLD 替換 會利用網域副檔名混淆：當您僅擁有 company.com 時，攻擊者會註冊 company.co、company.net 和 company.org。
9. 連字號變體 會新增或移除連字號："face-book.com" 與 "facebook.com" 的差異，針對品牌名稱中連字號位置的不確定性。
10. Bitsquatting 會利用硬體記憶體錯誤，這些錯誤會隨機翻轉快取網域名稱中的單一位元，將流量重新導向至與合法目標僅差一個位元的網域。

這些技術的目的都相同：將受害者導向惡意目的地。但註冊欺騙性網域只是第一步。以下說明攻擊者如何將這些網域轉化為可運作的威脅。

Typosquatting 如何運作？

Typosquatting 攻擊遵循四階段的作業週期，將已註冊的網域轉變為對貴組織的主動威脅。

1. 階段 1：網域識別與註冊。攻擊者使用演算法產生高價值網域的拼寫錯誤變體。他們識別具有高流量、有價值憑證或金融交易能力的品牌，然後在多個 TLD 上註冊數百個變體。
2. 階段 2：基礎架構設置 建立惡意基礎架構。攻擊者設定 DNS 記錄，將 typosquatted 網域指向託管複製登入頁面的網頁伺服器、 惡意軟體 散布平台或重新導向鏈。他們取得有效的 SSL 憑證，並設定郵件伺服器以擷取誤寄的電子郵件。
3. 階段 3：流量擷取 透過多種管道發生。當您手動輸入 URL 時出現輕微字元錯誤，就會發生直接導覽錯誤。來自遭入侵帳戶的電子郵件活動包含 typosquatted 連結，在訊息內容中看起來像是合法連結。 FBI 警告，"威脅行為者經常透過稍微變更合法網站網域的特徵來建立偽冒網站，目的是從受害者蒐集敏感資訊。"
4. 階段 4：變現 根據攻擊者的目標採用多種策略：

• 憑證竊取以 SaaS 平台為目標，在這些平台上，遭竊憑證可授予對企業資料的存取權
• 惡意軟體散布會傳送 ransomware 和資訊竊取程式，透過 drive-by download 散布
• 電子郵件攔截會擷取包含敏感商業資訊的誤寄通訊
• 廣告詐欺透過強制重新導向至廣告網路來產生收益
• 品牌冒充支援商業電子郵件入侵計畫

Carnegie Mellon University 研究 記錄指出，typosquatting 網域每年透過集中式基礎架構接收約 800,000 封電子郵件。

這種作業模型並非理論。知名事件精確展示了這些攻擊在實務中如何影響組織。

真實世界的 Typosquatting 攻擊

有據可查的事件揭示了 typosquatting 如何影響組織，無論其規模、產業或安全成熟度為何。這些案例展示了攻擊造成的直接損害，以及隨之而來的聲譽風險。

• Google 對 Gooogle LLC（2022）： 2022 年 10 月，Google 在美國紐約南區聯邦地方法院對 Gooogle LLC 提起訴訟；該公司註冊了包括 "gooogle.com"（多一個 'o'）在內的網域。根據法院文件，該 typosquatted 網域散布惡意軟體，並對 Google 使用者發動網路釣魚活動。此案顯示，即使是全球辨識度最高的品牌，也持續面臨 typosquatting 威脅。
• Equifax Typosquatting 事件（2017）： 在 Equifax 大規模 資料外洩 影響 1.47 億名消費者之後，公司本身卻意外將資料外洩受害者導向一個 typosquatted 網域。Equifax 的官方 Twitter 帳戶張貼了指向 "securityequifax2017.com" 的連結，而非合法的資料外洩回應網站 "equifaxsecurity2017.com"。該 typosquatted 網域由一名安全研究人員建立，但攻擊者原本可能將其武器化，以從困惑的資料外洩受害者蒐集憑證。

這些事件說明，typosquatting 對組織構成威脅，不僅使其成為目標，也可能讓其在無意間成為針對自身客戶攻擊的促成者。但究竟是什麼讓這個 攻擊向量 能在不同產業與目標之間持續如此有效？

為何 Typosquatting 會成功

Typosquatting 利用攻擊者的根本優勢，使這項技術無論您的安全投資程度如何，都能持續發揮效果。

• 人為錯誤在統計上無可避免。 FBI 記錄了 2023 年的 298,878 起網路釣魚投訴。在擁有數千名員工、每天輸入 URL 的企業規模下，輸入錯誤會以數學上的必然性發生。當簡單的網域註冊就能從可預測的人類行為中擷取自然產生的誤導流量時，攻擊者不需要複雜的漏洞利用。
• 視覺感知無法區分像素完全相同的字元。 當您瞥見包含西里爾字母 'а'（U+0430）而非拉丁字母 'a'（U+0061）的 "pаypal.com" 時，您的視覺皮質會將其處理為 "paypal.com"，因為呈現出的字形完全相同。根據 ICANN 研究，攻擊者註冊了數千個獨特的同形異義變體，利用了這項生物學限制。
• 信任指標被武器化。 攻擊者可在幾分鐘內從合法憑證授權單位為 typosquatted 網域取得有效的 SSL 憑證。您訓練使用者驗證的掛鎖圖示，如今反而提供了錯誤的保證。根據 ICANN 的文件，該憑證只能證明連線已加密，無法證明網域本身是合法的。
• 攻擊執行所需資源極少。 網域註冊成本低於 15 美元，且可在幾分鐘內完成。Let's Encrypt 提供的免費 SSL 憑證可立即帶來合法性。網路釣魚工具包可自動化 憑證竊取 頁面的部署。攻擊者幾乎沒有技術門檻，因此能以極低投資大規模發動攻擊活動。

這些攻擊者優勢為試圖防禦 typosquatting 的安全團隊帶來了相應挑戰。

防禦 Typosquatting 的挑戰

資安團隊面臨結構性限制，使得 typosquatting 防禦在根本上難以落實，即使具備充足的資源與工具也是如此。

• 基於信譽的偵測來得太晚。 您的安全堆疊依賴封鎖清單和 threat intelligence 摘要來源，這些來源會在惡意網域已於攻擊中被觀察到之後才識別它們。新註冊的 typosquatted 網域沒有任何信譽歷史，因此會繞過您的篩選機制，直到第一批受害者已經遭到入侵。
• 變體規模超出監控能力。 單一品牌會因字元修改、TLD 替代項，以及 combosquatting 組合而產生數百個在數學上可能成立的 typosquatted 變體。若再加上 IDN 同形異義字，跨所有 TLD 監控每一種排列組合，已超出人工或自動化審查的實務能力範圍。
• 攻擊面已延伸至網頁網域之外。 攻擊者現在會在軟體套件儲存庫（NPM、PyPI、RubyGems）和 AI/ML 模型儲存庫（Hugging Face）中部署 typosquatting。當開發人員在已遭入侵的套件管理器中，誤裝 "requets" 而非 "requests" 時，您的網域監控完全無法提供可視性。
• 電子郵件攔截不會產生任何安全警示。 當員工不慎將內部通訊寄送到您網域的 typosquatted 版本時，不會觸發任何偵測。攻擊者會運作集中式郵件伺服器，悄悄蒐集誤寄的電子郵件，其中包含商業情報、財務資料與策略性通訊。
• 下架流程的速度慢於攻擊。 UDRP 申訴與註冊商濫用通報需要數天或數週才能處理。攻擊者註冊替代網域的速度比法律機制移除它們更快，形成無止盡的循環，使防禦永久落後於攻擊。

這些結構性挑戰經常導致資安團隊犯下常見錯誤，而這些錯誤實際上會擴大攻擊者可利用的缺口。

常見的 Typosquatting 防禦錯誤

您的組織在實作 typosquatting 防禦時，很可能會犯下錯誤，進而形成攻擊者積極鎖定的可利用缺口。

• 錯誤 1：假設 URL 篩選可提供足夠保護。 您已部署 Web Proxy 和 DNS 篩選服務來封鎖已知惡意網域。這項假設之所以失敗，是因為 typosquatted 網域會以剛註冊且沒有任何惡意信譽歷史的狀態出現。
• 錯誤 2：忽略電子郵件驗證的實作。 您尚未為組織網域部署具強制執行原則（p=quarantine 或 p=reject）的 DMARC。若未強制執行 DMARC，spoofed messages 就會進入收件者收件匣，而您的品牌聲譽也會因並非由您發送的網路釣魚活動而受損。
• 錯誤 3：只專注於 Web 網域，卻忽略軟體供應鏈。 您的資安團隊會監控網域註冊以偵測基於 Web 的 typosquatting，但對開發人員工作站上的套件管理器安裝行為完全沒有可視性。當開發人員在 pip install 指令中輸入 "requets" 而非 "requests" 時，typosquatted 套件就會直接部署到開發環境中。
• 錯誤 4：訓練使用者驗證鎖頭圖示，卻未說明憑證的限制。 您的security awareness training 存在缺口：您尚未說明攻擊者可輕易為 typosquatted 網域取得有效的 SSL 憑證。憑證證明的是加密，而非合法性。
• 錯誤 5：在未衡量成效的情況下實作防禦。 您已註冊防禦性網域變體並設定電子郵件驗證，但尚未部署監控來衡量使用者遭遇鎖定您組織的 typosquatted 網域的頻率。

避免這些錯誤要從可視性開始。您無法防禦自己不知道存在的威脅。

如何偵測鎖定您品牌的 Typosquatting

要在攻擊者將 typosquatted 網域武器化之前識別它們，需要跨多個資料來源進行主動監控。

• Certificate Transparency 監控 可近乎即時地掌握新簽發的 SSL 憑證。當攻擊者為與您品牌相似的網域取得憑證時，CT 記錄會擷取該簽發事件。請設定警示，以偵測包含您組織名稱或產品名稱的憑證簽發。
• DNS 分析 可揭露可疑的註冊模式。請監控在短時間內跨多個 TLD 大量註冊與您品牌相似網域的情況。攻擊者通常會在發動活動前，同時註冊數十個變體。
• WHOIS 資料庫監控 可追蹤符合 typosquatting 模式的新網域註冊。商業threat intelligence 服務會以演算法產生 typosquatting 變體，並在註冊資料庫中出現相符網域時發出警示。
• Typosquatting 產生演算法 使用 Damerau-Levenshtein 距離計算建立完整的變體清單。這些工具會產生所有可能的單一字元修改，然後與作用中的 DNS 記錄交叉比對，以識別已註冊的威脅。
• Web 流量分析 可識別您的使用者何時瀏覽至 typosquatted 網域。DNS 查詢記錄、Web Proxy 資料與端點遙測可揭露誤導流量模式，指出有鎖定您組織的活躍 typosquatting 活動。

僅靠偵測還不夠。一旦您能識別 typosquatting 威脅，就需要系統化的防禦措施，從一開始就防止遭到入侵。

Typosquatting 預防最佳實務

防禦 typosquatting 需要分層控制，同時處理網域層級、網路層級、端點層級與組織層級的弱點。

• 以風險為基礎的優先順序實施防禦性網域註冊。 根據 CIS 指引，您應「考慮購買您網域的變體，以防範常見的拼字錯誤。」請在以下四個主要類別中註冊最可預測的 typosquatting 變體：

1. 連字號變體（company-name.com 與 companyname.com）
2. 使用外觀相似字元的同形異義字變體，特別是斯拉夫字母字元
3. 基於鍵盤鄰近按鍵錯誤的常見拼字錯誤
4. 關鍵 TLD 替代項（.com、.net、.org、.co）

• 以分階段 DMARC 強制執行部署電子郵件驗證。設定 SPF 記錄、實作 DKIM 簽署，並先以監控模式（p=none）部署 DMARC。在驗證合法郵件來源後，轉換為 quarantine，接著 reject 原則。
• 以加密解析設定 DNS 安全控制。 部署 DNSSEC 以透過密碼編譯方式驗證 DNS 回應。設定防護型 DNS 服務，在信譽分析完成前封鎖新註冊的網域。
• 建立具備自主警示功能的持續性網域監控。 訂閱來自 Certificate Transparency 記錄、WHOIS 資料庫及商業網域監控服務的網域註冊資訊流。監控將您的組織名稱與 secure、login、portal、verify、account 等常見字詞結合的 combosquatting 變體。
• 建置可阻止點擊後果的端點層級防護。 SentinelOne 的 Singularity Platform 提供自主回應能力，可在發生可疑行為時隔離端點，阻止惡意軟體執行及憑證竊取 嘗試，這些通常發生於 typosquatting 入侵之後。
• 訓練使用者採用特定驗證技術。 訓練使用者在輸入憑證前逐字手動檢查 URL。強調對經常存取的網站使用書籤，而非手動輸入 URL。

即使已部署這些控制措施，部分 typosquatting 攻擊仍會觸及您的使用者。當預防失敗時，您需要能阻止後果的端點層級防護。

使用 SentinelOne 阻止 Typosquatting 攻擊

SentinelOne 的 Singularity Platform 提供端點層級防護，以對抗使用者到達 typosquatted 網域後所發生的惡意活動，補強可防止初始導向惡意網站的網域型防禦。

當惡意酬載在憑證蒐集嘗試後部署到您的端點上時， Singularity Endpoint 提供行為式 AI，可即時發現憑證竊取。根據獨立的 MITRE ATT&CK evaluations，與競品解決方案相比，您可減少 88% 的雜訊，讓您的 SOC 專注於真實威脅，而非調查誤判。

• 使用以下工具加速 typosquatting 事件回應： Purple AI。 根據 SentinelOne research，Purple AI 大幅加速威脅識別與修復。當您發現使用者曾瀏覽仿冒拼寫網域時，Purple AI 會使用自然語言查詢您的端點資料，立即識別哪些系統曾存取該網域，以及之後是否出現可疑行為。您的調查工作流程將從數小時縮短為數分鐘。您不必再手動跨多個平台關聯 DNS 記錄、Web Proxy 資料與端點遙測，而是直接詢問 Purple AI：「過去 7 天內哪些端點解析了 typosquatted-domain.com，之後又執行了哪些程序？」Purple AI 會回傳完整的鑑識時間軸，精確顯示受影響系統上實際發生的情況。
• 當 typosquatting 作為初始入侵入口點時，透過 Storyline 技術獲得完整攻擊鏈可視性。Storyline 會擷取後續發生的每一次程序建立、網路連線、檔案修改及登錄變更。您可在單一統一時間軸中，查看從初始瀏覽器導向開始，經過憑證蒐集、橫向移動嘗試到資料外洩的完整攻擊進程。

申請 SentinelOne 示範，以強化對 typosquatting 攻擊的端點防護。Singularity Endpoint 可阻止惡意軟體執行、以比競品解決方案少 88% 的雜訊即時發現憑證竊取嘗試，並透過行為式 AI 監控阻止攻擊進程。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

Typosquatting 將可預測的人為輸入錯誤武器化，在 2023 年產生了 298,878 件 FBI 投訴，並促成從憑證竊取到勒索軟體散布的各類攻擊。此攻擊之所以成功，是因為新註冊的網域沒有惡意信譽歷史，使其在於主動攻擊中被觀察到之前，得以繞過傳統安全控制。

有效防禦需要分層控制：防禦性網域註冊、電子郵件驗證（DMARC/SPF/DKIM）、DNS 安全、持續監控，以及 端點防護。當 typosquatting 攻擊成功入侵使用者時，SentinelOne Singularity Platform 提供行為式 AI，可用比競品解決方案少 88% 的雜訊發現憑證竊取與惡意軟體執行，從而快速回應網域型入侵後的惡意活動。