Domain Menyerupai dan Typosquatting: Cara Mengesan dan Bertindak Apabila Ada Salinan Palsu Domain Perniagaan Anda

Kebanyakan pemilik perniagaan menemui masalah ini dengan cara yang sama: seorang pelanggan memajukan e-mel yang kelihatan datang daripada anda, atau seorang rakan berkata “saya cari laman anda tetapi sampai ke tempat yang pelik”. Alamatnya hampir sama dengan alamat anda, tetapi tidak tepat. Seseorang telah mendaftarkan domain yang menyerupai domain perniagaan anda, dan menggunakannya untuk menangkap lawatan yang tersalah taip, menyamar sebagai anda, atau meminta pelanggan anda membayar ke akaun yang salah. Panduan ini menerangkan cara domain menyerupai berfungsi, cara menyemak sama ada ia wujud, apa yang perlu dibuat dalam beberapa jam pertama jika ia digunakan terhadap anda, kepada siapa ia perlu dilaporkan, dan apa yang benar-benar mengurangkan risiko. Ini maklumat umum, bukan nasihat undang-undang; jika wang telah hilang atau anda mempertimbangkan aduan undang-undang, dapatkan nasihat daripada penasihat yang berkelayakan.

Apa itu domain menyerupai, dan mengapa ia berkesan

Nama domain didaftarkan atas dasar siapa cepat dia dapat: sesiapa yang mendaftar sesuatu nama dahulu, dan terus memperbaharuinya, memegang nama itu. Tiada semakan pusat bahawa pendaftaran baharu tidak mengelirukan dengan perniagaan sedia ada. Itulah sebabnya sesiapa sahaja boleh mendaftarkan yourbusines.com atau yourbusiness-billing.com dalam beberapa minit, dan amalan ini mempunyai nama: typosquatting apabila salinan itu bergantung pada kesilapan menaip, dan istilah yang lebih luas domain menyerupai apabila ia bergantung pada nama yang sekali pandang kelihatan betul.

Ia berkesan kerana orang tidak membaca alamat dengan teliti. Pada telefon, nama penghantar dan alamat yang dipendekkan selalunya satu-satunya yang kelihatan. Pelanggan yang sedang menunggu invois daripada anda tidak akan berhenti membandingkan sembilan huruf. Salinan itu tidak perlu sempurna, cukup meyakinkan selama beberapa saat.

Perkara ini juga perlu dibezakan daripada masalah lain. E-mel pembaharuan palsu berpura-pura datang daripada pendaftar anda dan cuba mengambil wang untuk domain yang sudah anda miliki; itu dibincangkan dalam e-mel pembaharuan domain palsu dan cara mengesannya. Konflik tanda dagangan pula berkaitan pemilihan nama yang haknya sudah dipegang orang lain; itu dibincangkan dalam konflik tanda dagangan dan nama perniagaan sebelum mendaftar domain. Domain menyerupai ialah kebalikan kedua-duanya: orang asing meniru nama anda selepas anda membinanya.

Corak yang biasa

Domain menyerupai mengikut beberapa helah sahaja. Mengenali helah itu memberitahu anda apa yang perlu dicari. Contoh di bawah menggunakan yourbusiness.com sebagai pengganti alamat anda.

Bilangan varian yang mungkin bagi sebuah nama yang pendek pun mencecah ratusan. Ini penting nanti, apabila kita membincangkan sama ada anda boleh mendaftarkan kesemuanya.

Apa yang orang lakukan dengan domain menyerupai

Tidak semua domain menyerupai ialah serangan. Penggunaan yang realistik jatuh dalam empat kumpulan, dan tindakan yang betul berbeza bagi setiap satu.

• Parkir dan pengiklanan. Domain memaparkan halaman iklan atau tawaran menjual nama itu. Ia mengaut keuntungan daripada lawatan yang tersalah taip. Ia menjengkelkan dan boleh mengalihkan trafik anda, tetapi ia kumpulan yang paling rendah risikonya.
• Salinan laman web anda. Logo, foto dan teks anda disalin ke halaman pada domain menyerupai itu, kadangkala dengan butiran hubungan yang diubah atau kaedah pembayaran yang berbeza. Inilah yang membuatkan pelanggan percaya mereka berurusan dengan anda.
• Halaman pancingan data. Halaman yang meniru skrin log masuk, tempahan atau pembayaran anda untuk mengumpul kata laluan atau butiran kad. Tujuannya ialah menuai maklumat, dan halaman itu mungkin hanya hidup beberapa hari.
• Penyamaran melalui e-mel. Mesej dihantar daripada alamat pada domain menyerupai itu, seperti invois, nota “kami telah menukar akaun bank” atau permintaan daripada seseorang yang mendakwa pengarah. Ini sering ditujukan kepada pelanggan atau pembekal anda, bukan kepada anda, sebab itu anda mungkin mengetahuinya secara tidak langsung.

Perniagaan lain yang tiada kaitan tetapi kebetulan bernama serupa, tanpa salinan dan tanpa cubaan mengelirukan, ialah kes kelima dan perkara yang berbeza: itu pertindihan nama, bukan serangan, dan panduan tanda dagangan di atas ialah titik permulaan yang lebih baik.

Cara menyemak sama ada ia wujud

Anda tidak memerlukan perisian khas untuk membuat semakan pertama yang berguna. Lakukan yang berikut, dan catat setiap alamat yang ditemui, jangan klik merata-rata.

1. Cari nama perniagaan anda bersama perkataan yang ditambah pelanggan, seperti “login”, “payment”, “invoice” atau “promo”. Lihat melepasi halaman pertama, dan periksa hasil berbayar di bahagian atas.
2. Taip sendiri kesilapan yang mungkin ke dalam pelayar: huruf tertinggal, huruf berganda, hujung domain lain yang biasa. Lakukan pada peranti yang tidak log masuk ke apa-apa yang penting, dan jangan masukkan sebarang butiran pada halaman yang tidak anda kenali.
3. Semak ke mana senarai anda menunjuk. Profil Perniagaan Google, halaman sosial dan entri direktori anda semuanya harus menunjukkan domain sebenar anda. Pautan yang salah di situ menghantar pelawat terus ke salinan.
4. Minta kakitangan dan pelanggan memajukan, bukan memadam, apa-apa yang pelik. Beritahu mereka apa yang perlu diperhatikan: alamat penghantar yang hampir sama dengan anda, atau permintaan bayaran yang datang dengan butiran bank baharu.
5. Semak rekod pendaftaran domain yang mencurigakan. Carian pendaftaran awam biasanya menunjukkan pendaftar, tarikh ia dicipta dan tarikh ia tamat. Domain yang dicipta beberapa hari lalu tetapi meniru perniagaan yang ditubuhkan bertahun-tahun lalu ialah isyarat kuat. Banyak pendaftaran menyembunyikan butiran pemilik, jadi jangkakan melihat pendaftar dan tarikh, bukan nama.
6. Gunakan alat penyemak domain menyerupai jika mahu liputan lebih luas. Alat percuma dan perkhidmatan berbayar wujud untuk menjana varian lazim sesuatu nama dan melaporkan yang mana sudah didaftarkan, dan sesetengahnya juga menyenaraikan domain yang baru didaftarkan. Anggap hasilnya sebagai petunjuk untuk disiasat, bukan bukti kesalahan.

Adakah ia benar-benar masalah? Saringan pantas

Menemui domain menyerupai tidak bermakna anda mesti bertindak. Asingkan apa yang anda temui sebelum membuang masa.

Jika domain palsu sedang digunakan: beberapa jam pertama

Kelajuan lebih penting daripada kesempurnaan, kerana halaman pancingan data mungkin dibuang atau dialihkan dalam beberapa hari. Ikut turutan ini.

1. Jangan berinteraksi. Jangan balas kepada penghantar, jangan masukkan apa-apa ke dalam halaman palsu itu, dan jangan hubungi pemilik domain. Anda mungkin memberi mereka alamat e-mel yang aktif atau sebab untuk memindahkan halaman itu.
2. Ambil bukti. Ambil tangkapan skrin yang menunjukkan bar alamat penuh dan tarikh. Simpan alamat web penuh, e-mel asal (gunakan “forward as attachment” supaya pengepala kekal), sebarang nombor akaun bank atau nombor telefon yang digunakan oleh domain palsu, dan butiran pendaftaran yang anda temui. Simpan semuanya dalam satu folder.
3. Beri amaran melalui saluran yang anda kawal. Letakkan notis ringkas di laman web sebenar anda, halaman sosial dan status atau senarai siaran WhatsApp anda. Nyatakan alamat sebenar yang tepat dan format e-mel yang tepat yang anda gunakan. Nyatakan fakta sahaja, dan elakkan menuduh individu atau syarikat tertentu, kerana anda mungkin tidak tahu siapa di sebalik domain itu.
4. Nyatakan apa yang tidak akan anda lakukan. Jika anda tidak pernah meminta pelanggan membayar melalui pautan dalam mesej sembang, atau tidak pernah menukar butiran bank tanpa panggilan ke nombor yang sudah mereka ada, katakan begitu dalam notis. Itu memberi pelanggan peraturan yang boleh digunakan walaupun terhadap domain palsu yang belum mereka lihat.
5. Laporkan kepada pihak dalam bahagian seterusnya, bermula dengan yang boleh menutupnya dengan paling cepat.
6. Selamatkan akaun anda sendiri jika sesiapa menaip log masuk pada domain palsu itu. Tukar kata laluan, hidupkan log masuk dua langkah jika ditawarkan dan semak log masuk yang tidak anda kenali.

Ke mana melaporkan domain menyerupai

Anda meminta organisasi lain bertindak, jadi bersikap tepat dan sopan, dan lampirkan bukti. Tiada satu pun daripada mereka wajib membuang laman web atas permintaan, dan masa tindak balas berbeza-beza, jadi hantar beberapa laporan serentak dan jangan tunggu satu sahaja.

Jika domain menyerupai itu ialah domain .my dan anda memegang tanda dagangan berdaftar, terdapat proses pertikaian rasmi bagi nama domain yang bercanggah dengan tanda dagangan; ringkasannya ada dalam panduan tanda dagangan yang dipautkan tadi. Sama ada aduan boleh berjaya bergantung pada fakta, termasuk sama ada anda memegang tanda dagangan berdaftar dan sama ada domain itu didaftarkan dengan niat jahat, jadi dapatkan nasihat sebelum bergantung padanya. Proses pertikaian juga lebih perlahan daripada melaporkan halaman pancingan data, jadi lakukan kedua-duanya.

Mengurangkan risiko sebelum ia berlaku

Anda tidak boleh menghalang sesiapa mendaftarkan domain menyerupai. Anda boleh menjadikannya kurang berkesan dan mengesannya lebih awal.

• Gunakan satu alamat di mana-mana. Letakkan domain yang sama pada invois, sebut harga, halaman sosial, tandatangan dan bahan bercetak. Pelanggan yang mengenali satu alamat sebenar anda akan perasan apabila alamat lain muncul.
• Sahkan e-mel anda sendiri. SPF, DKIM dan DMARC menghalang orang lain menghantar mel yang mendakwa datang daripada domain anda yang tepat. Ia tidak menghalang mel daripada domain menyerupai, yang merupakan domain berbeza, jadi ia membantu tetapi bukan jawapan lengkap. Tetapan ini diterangkan dalam e-mel perniagaan pada domain sendiri.
• Lindungi domain sebenar. Pastikan ia dikunci daripada pemindahan (lihat kunci domain diterangkan), gunakan kata laluan unik yang kuat dan log masuk dua langkah pada akaun pendaftar, dan pastikan e-mel akaun itu alamat yang masih anda baca. Domain yang tidak dikunci atau akaun yang dirampas ialah masalah yang lebih teruk daripada mana-mana domain menyerupai.
• Perbaharui tepat pada masanya. Jika domain anda sendiri tamat tempoh, sesiapa boleh mendaftarkannya, dan itulah domain menyerupai yang paling meyakinkan. Lihat cara tidak terlepas pembaharuan domain dan apa yang berlaku apabila domain tamat tempoh.
• Pastikan anda pemilik berdaftar. Jika agensi atau bekas rakan sekerja memegang pendaftaran, anda tidak boleh bertindak pantas apabila sesuatu berlaku. Lihat siapa pemilik nama domain anda.
• Tetapkan peraturan perubahan pembayaran. Sebarang permintaan menukar butiran bank disahkan melalui telefon, pada nombor yang sudah ada dalam rekod, sebelum apa-apa dibayar. Satu tabiat ini menewaskan kebanyakan penyamaran e-mel, daripada domain apa pun.
• Pegang senarai pendek varian, bukan semuanya. Beberapa pendaftaran pertahanan boleh berpatutan: nama yang sama dengan hujung lain yang benar-benar anda guna, dan satu atau dua salah eja yang paling jelas jika pelanggan anda memang tersalah taip. Memandangkan varian yang mungkin mencecah ratusan, membeli kesemuanya tidak mampu milik dan tidak berkesan, dan setiap satu masih perlu diperbaharui setiap tahun. Gunakan usaha itu untuk menyemak dan memberi amaran kepada pelanggan.

Kesilapan lazim

• Cuba mendaftarkan setiap varian. Anda tidak akan dapat mengejar, dan yang baharu boleh muncul keesokan harinya.
• Membayar orang asing yang menawarkan menjual domain menyerupai itu. Bayaran menggalakkan yang seterusnya, dan tarikh akhir dalam mesej ialah taktik tekanan.
• Melawat dan memasukkan butiran pada domain palsu untuk “menguji”nya. Ambil tangkapan skrin dan biarkan.
• Memadam bukti. E-mel asal, pengepalanya dan tangkapan skrin bertarikh ialah apa yang akan diminta oleh pendaftar dan hos.
• Memberitahu pelanggan hanya selepas kerugian. Amaran ringkas pada hari pertama tidak memerlukan kos.
• Menuduh individu tertentu. Anda selalunya tidak tahu siapa yang menjalankan domain itu; terangkan apa yang dilakukan oleh halaman itu.
• Menganggap pengesahan e-mel meliputinya. Ia melindungi domain anda yang tepat, bukan domain yang hanya menyerupainya.
• Bergantung pada satu laporan. Lapor kepada pendaftar, hos dan Google serentak.

Di mana Gotka Technologies sesuai

Gotka Technologies menyediakan bahagian domain bagi langkah perlindungan di atas. Pendaftaran domain bermula dari RM10/tahun dan termasuk pemindahan masuk percuma, kunci domain dan perlindungan privasi, jadi pendaftaran anda sendiri boleh dikunci daripada pemindahan tanpa kebenaran. Kunci domain dan perlindungan privasi terpakai pada domain yang anda daftarkan dengan kami; ia tidak menghalang pihak lain mendaftarkan nama yang serupa, sebab itu menyemak dan memberi amaran kepada pelanggan penting. Jika anda memutuskan untuk memegang satu hujung domain kedua atau ejaan yang hampir sama, anda boleh mendaftarkannya di tempat yang sama dengan domain utama anda. Untuk laman perniagaan yang memerlukan tempat tinggal, pengehosan awan menjalankan pelan cPanel berkuasa AI pada pelayan LiteSpeed dengan SSL percuma, sandaran harian, migrasi percuma, sokongan 24/7 dan jaminan masa aktif 99.9%, dari RM17.80/bulan untuk Go AI Lite pada pelan 36 bulan. Harga sesuatu peringkat sentiasa dikaitkan dengan kitaran pengebilannya, dan pengehosan serta domain disebut harga secara berasingan. Kekalkan rekod pemilik berdaftar atas nama perniagaan anda sendiri.

Istilah utama dalam panduan ini

• Typosquatting: mendaftarkan domain yang bergantung pada kesilapan menaip, seperti huruf tertinggal atau bertukar, untuk menangkap lawatan yang ditujukan kepada laman lain.
• Domain menyerupai: domain yang sekali pandang kelihatan seperti domain lain, melalui ejaan, perkataan tambahan atau hujung domain yang berbeza.
• Pancingan data (phishing): halaman atau mesej palsu yang direka untuk memperdaya seseorang memberikan kata laluan, butiran kad atau bayaran.
• Pendaftar: syarikat yang melaluinya domain didaftarkan dan diurus.
• Pemilik berdaftar: orang atau syarikat yang direkodkan sebagai pemegang domain.
• Carian pendaftaran (WHOIS): rekod awam yang menunjukkan pendaftar dan tarikh penting sesuatu domain, dan kadangkala butiran pemegangnya.
• Hubungan aduan penyalahgunaan: alamat atau borang yang diterbitkan oleh pendaftar atau hos untuk melaporkan penyalahgunaan.
• Kunci domain: tetapan yang menghalang domain dipindahkan ke pendaftar lain sehingga anda membukanya.
• SPF, DKIM dan DMARC: tetapan e-mel yang membantu membuktikan sesuatu mesej benar-benar datang daripada domain anda.
• Penyamaran: berpura-pura menjadi seseorang atau perniagaan, misalnya melalui alamat e-mel yang kelihatan seperti milik mereka.