# Motores de detección > Los doce motores de Phishing Shield, qué ataque detecta cada uno, con qué evidencia y cuándo la extensión bloquea la página o solo avisa. URL: https://docs.ironchip.com/phishing-shield/motores-de-deteccion/ Phishing Shield combina doce motores de detección. Cada uno detecta lo que los demás no ven, y juntos cubren desde dominios parecidos a los reales hasta ataques que esquivan el MFA. Esta página es para quien administra la extensión y quiere saber qué detecta y por qué. ## Los doce motores | Motor | Qué detecta | | ------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Detección de clonado de contenido | Páginas de inicio de sesión clonadas, incluidas las copias perfectas que esquivan los filtros por URL. Analiza la estructura de la página, los elementos del DOM y el diseño visual | | Typosquatting | Dominios con cambios de letras, como `g00gle.com` o `mircosoft.com`, en tiempo real | | Detección de homoglifos | Trucos Unicode, como una «a» cirílica que se hace pasar por una «a» latina | | AiTM y proxy inverso | Kits adversary-in-the-middle como Tycoon2FA, EvilProxy, Sneaky2FA, Evilginx, Modlishka, Caffeine y Greatness. Analiza cabeceras, tiempos y patrones de recursos | | Protección ClickFix | Secuestro del portapapeles que intenta que el usuario pegue y ejecute comandos de PowerShell, curl u otros | | Form hijacking | Formularios que envían en secreto las credenciales al servidor de un atacante | | Phishing por QR | Códigos QR que llevan a páginas de robo de credenciales (quishing) | | Detección de ataques VNC | Ataques de pantalla compartida en los que el atacante ve cómo escribes, con firmas de noVNC y WebSocket | | Protección contra secuestro de sesión | Robo de tokens incluso después de haber iniciado sesión con seguridad, vigilando cookies y almacenamiento del navegador | | Detección de bypass de MFA | Códigos de doble factor interceptados en tránsito mediante relay de tokens AiTM | | Inteligencia de amenazas | Cruce con una base de datos de más de un millón de dominios de confianza, listas curadas de URL de phishing y más de 18.000 direcciones IP maliciosas conocidas, actualizada de forma continua | | Base de datos de phishing | Sitios de phishing conocidos, con las listas agregadas de PhishTank y OpenPhish, antes de que el usuario vea la página | Además, la extensión detecta las páginas de phishing que se generan en el propio navegador a partir de un bloque de datos (blob). ## Cuándo analiza Hay dos fases: 1. **Antes de cargar la página**, con la dirección: typosquatting, homoglifos y las bases de datos de phishing y de IP maliciosas. 2. **Poco después de cargarla**, con su contenido: clonado, AiTM, VNC, QR, ClickFix y blobs. Los motores de comportamiento, como el secuestro de sesión y el bypass de MFA, vigilan además mientras la página está abierta. Un dominio parecido a una marca no se bloquea solo por su nombre: en la segunda fase, la extensión confirma si la página imita a esa marca, porque la menciona o porque copia su icono. Las señales fuertes, como un homoglifo o una dirección que figura en las bases de datos de phishing o de IP maliciosas, bloquean aunque la página no llegue a cargar. ## Cuándo bloquea y cuándo avisa La extensión combina el resultado de todos los motores para cada página: | Resultado | Qué ocurre | | ---------------------------------- | ------------------------------------- | | Algún motor con riesgo alto | Bloquea la página y muestra el aviso | | Dos o más motores con riesgo medio | Bloquea la página | | Un motor con riesgo medio | Muestra una notificación y no bloquea | | Un motor con riesgo bajo | Solo lo registra | ## Detecta la implementación, no la mención Los motores basados en texto exigen evidencia técnica real, no palabras sueltas. Por ejemplo, ClickFix y VNC solo se activan con código ejecutable en la página, no con un artículo que describa el ataque. Así una página que explica un ataque no se bloquea. ## Marcas con detección avanzada La detección de clonado y de typosquatting protege por defecto las marcas más suplantadas: Microsoft, Google, Apple, Facebook, Amazon, PayPal, LinkedIn, GitHub, Netflix, Twitter, Instagram, Yahoo, Adobe, Dropbox, DHL, Santander, BBVA, CaixaBank, ING e Ironchip. Puedes añadir los dominios de tu organización para protegerlos también. Consulta [Avisos y falsos positivos](https://docs.ironchip.com/phishing-shield/avisos-y-falsos-positivos/). ## Más información - [Cómo funciona](https://docs.ironchip.com/phishing-shield/como-funciona/): la visión general para el usuario. - [Desplegar en la organización](https://docs.ironchip.com/phishing-shield/despliegue/)