Como os domínios estacionados se tornaram uma mina de ouro do crime cibernético

Todos os dias, milhões de pessoas digitam um endereço da web em seus navegadores, geralmente com uma série de pressionamentos rápidos de teclas, e chegam exatamente onde pretendiam. No entanto, um número pequeno, mas significativo de pessoas não o faz. Eles podem perder uma carta, digitar uma carta extra com pressa ou confundir algumas letras.

Em vez de acessar o LinkedIn[.]com, eles acessaram o linkdein[.]com. Esses erros deram lugar a um dos destinos menos glamorosos da Internet – o domínio estacionado. Dra.

Renée Burton é vice-presidente de ameaças Intel da Infoblox. A maioria dos usuários da Internet já os encontrou em algum momento, mesmo sem saber o que estava vendo. Normalmente, um domínio estacionado seria apenas uma página esparsa e confusa, cheia de anúncios e uma barra de pesquisa com muito pouco mais.

Eles existiram porque alguém, em algum lugar, reconheceu que, nos primórdios da Internet, uma porcentagem de usuários inevitavelmente digitaria incorretamente um site popular – então, eles registraram para si próprios os nomes de domínio com aparência mais semelhante, em um movimento conhecido como “typosquatting” e obtiveram receitas de publicidade com o tráfego resultante. Se apenas 0,1% dos milhões de pessoas que acessam amazon[.]com acidentalmente acessassem o domínio amazon[.]com que compraram, ainda assim valeria a pena. Era um canto mundano da economia digital, construído com base na conveniência, na coincidência e em erros de digitação ocasionais.

A história pode ser uma professora dura, mas também pode semear complacência. Em 2026, muitas equipes de segurança ainda consideram os domínios estacionados como pouco mais do que outdoors digitais preguiçosos – inconvenientes e irritantes, mas não uma preocupação de segurança significativa. Inscreva-se no boletim informativo TechRadar Pro para receber todas as principais notícias, opiniões, recursos e orientações que sua empresa precisa para ter sucesso!

No entanto, a infraestrutura em torno dos domínios estacionados evoluiu consideravelmente a partir das páginas publicitárias amadoras e cheias de pop-ups dos primórdios da Internet. O que antes era um simples caso de monetização oportunista de domínios agora está inserido em um ecossistema muito mais complexo de anunciantes, corretores e redes de distribuição de tráfego. Em muitos casos, a visita acidental de um usuário não termina mais em uma página estacionada.

Em vez disso, desencadeia uma viagem através de uma cadeia de intermediários que operam em grande parte fora da vista. Em algum ponto dessa jornada, a publicidade legítima pode dar lugar a fraudes, golpes e distribuição de malware. Por outras palavras, um dos mecanismos mais familiares e negligenciados da Web tornou-se num dos veículos mais lucrativos e insidiosos do crime cibernético.

A transformação de domínios estacionados de curiosidades digitais em riscos de segurança cibernética tem sido sutil, e essa é uma das razões pelas quais é tão perigoso. Durante décadas, o modelo seguiu os mesmos padrões – um usuário acessava um domínio estacionado, via uma coleção de banners, clicava em algo acidental ou não e gerava uma pequena receita para o proprietário do domínio. Era cínico, mas pelo menos transparente porque os usuários podiam pelo menos ver onde haviam ido parar e decidir por si mesmos o que fazer a seguir – geralmente apenas fechando a guia e indo para onde pretendiam.

O único perigo real aqui vinha de anúncios ocasionais enganosos ou maliciosos, e não da mecânica do domínio em si. Hoje as coisas são diferentes. As mudanças na indústria da publicidade online, incluindo políticas mais rigorosas em torno da monetização de domínios tradicionais, incentivaram os cibercriminosos e os fraudadores a tentarem novas abordagens para manter o comboio da monetização em movimento.

Cada vez mais, os usuários que chegam a um domínio estacionado não encontram nenhuma página estacionada. Em vez disso, eles são imediatamente redirecionados para outro lugar por meio de um processo conhecido como “publicidade com clique zero”, às vezes chamado de pesquisa direta. O que parece ser um simples erro de digitação pode desencadear um leilão rápido no qual a visita de um usuário é comprada, vendida e repassada entre vários parceiros de publicidade antes mesmo de ele ver um site de destino.

A maior parte desta actividade desenrola-se em fracções de segundo e inteiramente fora da vista do utilizador e, embora muitas dessas transacções permaneçam legítimas, a enorme complexidade do ecossistema cria oportunidades para abusos. Em algum ponto dessa cadeia, o tráfego pode ser adquirido por atores cujos interesses vão muito além das receitas de publicidade, abrindo a porta para fraudes, malware, software fraudulento e uma série de outros resultados maliciosos. Uma das razões pelas quais o abuso de domínios estacionados ainda é subestimado e difícil de definir é que o caminho do ataque raramente segue uma linha reta.

Quando a maioria das pessoas imagina um ataque cibernético, imagina um site malicioso aguardando no final de um link, pronto para capturar um usuário desavisado. Mas, neste caso, no momento em que um usuário alcança o conteúdo que lhe é mostrado, seu tráfego pode já ter passado por um labirinto de trocas de publicidade, corretores, redirecionadores e serviços de cloaking. Cada participante vê apenas um fragmento da jornada geral, tornando extremamente difícil para os “mocinhos” determinar quais “bandidos” são responsáveis ​​por quê.

É um pouco como tentar investigar a cena de um crime onde as evidências se reorganizam constantemente. Os atores cobardes da ameaça envolvidos neste tipo de crime cibernético exploram esta ambiguidade. Eles usam técnicas sofisticadas de cloaking que lhes permitem examinar os visitantes antes de decidir qual conteúdo servir – onde eles estão localizados?

Que tipo de navegador eles estão usando? Qual sistema operacional seu dispositivo está executando? Um pesquisador de segurança na Califórnia pode ver uma página de destino inofensiva, enquanto um corretor financeiro em Londres pode receber um golpe de coleta de credenciais.

Essa entrega seletiva torna as atividades maliciosas mais difíceis de detectar e ainda mais difíceis de reproduzir. O que é pior, o abuso de domínios estacionados raramente visa um setor ou organização específica. Os atores que implantam domínios estacionados geralmente são motivados financeiramente e seu interesse principal é adquirir tráfego, portanto, não farão discriminação.

Depois de capturarem a vítima, tornam-se uma mercadoria que circula por um mercado invisível onde cada clique tem valor e cada redirecionamento cria outra oportunidade de exploração. Então, onde tudo isso deixa os defensores? O abuso de domínios estacionados não se comporta como uma ameaça cibernética convencional.

Embora as equipes de segurança estejam acostumadas a investigar sites suspeitos, arquivos maliciosos ou contas comprometidas que deixam um rastro relativamente óbvio, as campanhas de domínios estacionados são diferentes porque a distribuição do tráfego subjacente muda constantemente. O mesmo domínio de erro de digitação pode enviar um usuário por um caminho totalmente diferente do próximo. No momento em que um analista tenta recriar o que a vítima experienciou, a rota pode já não existir e qualquer “evidência” terá efectivamente evaporado.

Como eles se defendem contra algo que não podem ver ou recriar? Uma coisa é garantida: independentemente de quantos redirecionamentos, intermediários, sistemas de cloaking ou plataformas de publicidade estejam entre o erro de digitação inicial e o destino final, cada etapa da jornada depende do sistema de nomes de domínio (DNS). Muitas vezes descrito como o catálogo de endereços da Internet, o DNS é responsável por traduzir nomes de domínio nos destinos que os usuários alcançam.

Simplificando, cada pesquisa deixa para trás uma trilha que ajuda a revelar relacionamentos que de outra forma permaneceriam ocultos, e essa visibilidade permitiu que os pesquisadores que investigam versões typosquatted de domínios conhecidos seguissem a trilha além do engano inicial. Padrões começam a surgir entre casos de malware aparentemente não relacionados, envolvendo os mesmos provedores de estacionamento, serviços de cloaking e infraestrutura de distribuição de tráfego. Ao examinar os registros históricos de DNS e mapear as relações entre os domínios ao longo do tempo, tornou-se possível conectar incidentes que parecem não estar relacionados e expor as redes que operam por trás deles.

Em vez de brincar de “atacar uma toupeira” e perseguir domínios de nível superficial, o mapeamento de DNS permitiu que os defensores atacassem toda a máquina. O maior perigo representado pelos domínios estacionados não é o erro de digitação em si, mas a suposição de que a infra