Motores de detección

Phishing Shield combina doce motores de detección. Cada uno detecta lo que los demás no ven, y juntos cubren desde dominios parecidos a los reales hasta ataques que esquivan el MFA. Esta página es para quien administra la extensión y quiere saber qué detecta y por qué.

Los doce motores

Motor	Qué detecta
Detección de clonado de contenido	Páginas de inicio de sesión clonadas, incluidas las copias perfectas que esquivan los filtros por URL. Analiza la estructura de la página, los elementos del DOM y el diseño visual
Typosquatting	Dominios con cambios de letras, como g00gle.com o mircosoft.com, en tiempo real
Detección de homoglifos	Trucos Unicode, como una «a» cirílica que se hace pasar por una «a» latina
AiTM y proxy inverso	Kits adversary-in-the-middle como Tycoon2FA, EvilProxy, Sneaky2FA, Evilginx, Modlishka, Caffeine y Greatness. Analiza cabeceras, tiempos y patrones de recursos
Protección ClickFix	Secuestro del portapapeles que intenta que el usuario pegue y ejecute comandos de PowerShell, curl u otros
Form hijacking	Formularios que envían en secreto las credenciales al servidor de un atacante
Phishing por QR	Códigos QR que llevan a páginas de robo de credenciales (quishing)
Detección de ataques VNC	Ataques de pantalla compartida en los que el atacante ve cómo escribes, con firmas de noVNC y WebSocket
Protección contra secuestro de sesión	Robo de tokens incluso después de haber iniciado sesión con seguridad, vigilando cookies y almacenamiento del navegador
Detección de bypass de MFA	Códigos de doble factor interceptados en tránsito mediante relay de tokens AiTM
Inteligencia de amenazas	Cruce con una base de datos de más de un millón de dominios de confianza, listas curadas de URL de phishing y más de 18.000 direcciones IP maliciosas conocidas, actualizada de forma continua
Base de datos de phishing	Sitios de phishing conocidos, con las listas agregadas de PhishTank y OpenPhish, antes de que el usuario vea la página

Además, la extensión detecta las páginas de phishing que se generan en el propio navegador a partir de un bloque de datos (blob).

Cuándo analiza

Hay dos fases:

1. Antes de cargar la página, con la dirección: typosquatting, homoglifos y las bases de datos de phishing y de IP maliciosas.
2. Poco después de cargarla, con su contenido: clonado, AiTM, VNC, QR, ClickFix y blobs.

Los motores de comportamiento, como el secuestro de sesión y el bypass de MFA, vigilan además mientras la página está abierta.

Un dominio parecido a una marca no se bloquea solo por su nombre: en la segunda fase, la extensión confirma si la página imita a esa marca, porque la menciona o porque copia su icono. Las señales fuertes, como un homoglifo o una dirección que figura en las bases de datos de phishing o de IP maliciosas, bloquean aunque la página no llegue a cargar.

Cuándo bloquea y cuándo avisa

La extensión combina el resultado de todos los motores para cada página:

Resultado	Qué ocurre
Algún motor con riesgo alto	Bloquea la página y muestra el aviso
Dos o más motores con riesgo medio	Bloquea la página
Un motor con riesgo medio	Muestra una notificación y no bloquea
Un motor con riesgo bajo	Solo lo registra

Detecta la implementación, no la mención

Los motores basados en texto exigen evidencia técnica real, no palabras sueltas. Por ejemplo, ClickFix y VNC solo se activan con código ejecutable en la página, no con un artículo que describa el ataque. Así una página que explica un ataque no se bloquea.

Marcas con detección avanzada

La detección de clonado y de typosquatting protege por defecto las marcas más suplantadas: Microsoft, Google, Apple, Facebook, Amazon, PayPal, LinkedIn, GitHub, Netflix, Twitter, Instagram, Yahoo, Adobe, Dropbox, DHL, Santander, BBVA, CaixaBank, ING e Ironchip. Puedes añadir los dominios de tu organización para protegerlos también. Consulta Avisos y falsos positivos.

Más información

• Cómo funciona: la visión general para el usuario.
• Desplegar en la organización