Digital Risk Protection · Erkennung
Was Sie nicht sehen, können Sie nicht entfernen lassen
Die Qualität der Erkennung hängt von den Daten dahinter ab. Die Suche nach neuen Registrierungen und Suchtreffern deckt auffällige Lookalike-Domains ab. Anderes kann dabei unentdeckt bleiben: die Subdomain auf einem kostenlosen Website-Baukasten, die Phishing-Seite hinter einer bezahlten Suchanzeige, die geschlossene Telegram-Gruppe, in der die Logins Ihrer Kunden verkauft werden. Diese Seite beschreibt, was überwacht wird, und wie aus Millionen Signalen eine kurze Liste wird, die die Zeit eines Analysten wert ist.
Sechs Arten von Quellen
| Quelle | Was sie abdeckt |
|---|---|
| Passive DNS | Globale passive DNS mit Daten aus Millionen von DNS-Auflösungen pro Sekunde. Sie zeigt neue Domains und Subdomains, sobald sie aufgelöst werden, nicht nur neue Registrierungen. |
| Instant Messaging | Mehr als 3.000 kriminelle Chatgruppen auf Telegram, WhatsApp, Discord und ICQ, in mehr als 12 Sprachen. |
| Deep und Dark Web | Untergrundforen und -marktplätze, erreicht über betreute Analysten-Identitäten mit dem Ansehen, hineingelassen zu werden. |
| Kontakt zu Bedrohungsakteuren | Hunderte Sitzungen im Monat, in denen Analysten mit Bedrohungsakteuren interagieren, um Absichten zu bestätigen und Nachweise zu sichern. In Ihrem Namen nur, wenn Sie darum bitten. |
| Soziale Medien | Eigener Zugang zu Facebook, Instagram, LinkedIn, X, TikTok und Bluesky zur Erkennung von Nachahmung. |
| Datenleck- und Scandaten | Personenbezogene Daten aus Tausenden Datenlecks, plus aktive Scans von mehr als 2.000 Ports je IP-Adresse. |
Mobile Apps werden in mehr als 300 offiziellen und inoffiziellen App-Stores geprüft.
Warum Domainnamen nicht reichen
Lookalike-Domains sind der Angriff, den alle erwarten, und sie sind immer noch häufig. Aber die Kampagnen mit dem größten Schaden vermeiden sie zunehmend.
Website-Baukästen
Eine Phishing-Kampagne nutzte Vorlagen kostenloser Website-Baukästen, um mehr als 200 US-Banken über Subdomains eines vertrauenswürdigen Anbieters anzugreifen. Es gab keine neue Domain-Registrierung, die sich hätte erkennen lassen.
Suchanzeigen
70 % der Phishing-Seiten, die über bösartige Suchanzeigen erreicht wurden, hatten keinerlei Ähnlichkeit mit der Domain der Marke. Die Erstellung bösartiger Anzeigen nahm 2023 um 28 % zu (BlueVoyant-Studie zu Suchmaschinenanzeigen, 2024).
Kits für Zahlungsmarken
Ein Kit ahmte eine Zahlungsmarke nach und ließ die Opfer ihre eigene Bank aus Hunderten wählen. Der Name der angegriffenen Bank kam in der Domain nie vor.
Deshalb beginnt die Erfassung bei passiver DNS und beim Inhalt von Seiten, nicht nur bei Registrierungsdaten. Eine Seite, die Ihr Logo trägt, Ihr HTML kopiert oder Ihre Login-Seite lädt, wird gefunden, wie auch immer ihre Adresse aussieht.
Neun Modelle, bevor ein Mensch hinsieht
Die Erfassung liefert weit mehr Kandidaten, als ein Team lesen könnte. Neun automatisierte Komponenten bewerten und filtern sie, sodass die Analysten mit einer geordneten Liste beginnen. Nach maschineller Erfassung, Bewertung und Aufbereitung der Nachweise entscheidet ein Analyst; freigegebene Takedown-Anträge werden nach Ihrer Takedown-Regel eingereicht.
| Komponente | Was sie tut |
|---|---|
| Lookalike-Bewertung | Ein Modell für Zeichenkettenähnlichkeit bewertet von 0 bis 100, wie genau eine Domain Ihre nachahmt. |
| Erkennung verdächtiger Domains | Registrierungs- und Infrastrukturdaten markieren Domains mit riskantem Profil. |
| Domain-Beobachtung | Geparkte und inaktive Domains werden regelmäßig erneut geprüft, mit einer Warnmeldung, wenn sich ihr Verhalten ändert. |
| Computer Vision | Ein Deep-Learning-Modell erkennt Ihr Logo und seine Varianten auf einer Seite. |
| HTML-Modell | Maschinelles Lernen findet Login-Seiten und Seiten, die Ihren Code oder Ihr Design wiederverwenden. |
| Social-Media-Erkennung | Profile und Seiten werden geprüft und auf Nachahmung bewertet. |
| Gesichtserkennung | Erkennt die Nachahmung benannter Führungskräfte anhand ihrer Fotos. |
| Überwachung von Chatgruppen | Sucht gestohlene Zugangsdaten und Zahlungsdaten aus Chatgruppen und Dark-Web-Quellen. |
| Takedown-Automatisierung | Stellt das Nachweispaket zusammen, damit freigegebene Takedowns in großer Zahl eingereicht werden können. |
Wie eine verdächtige Domain die Pipeline durchläuft
- Ausgangsdaten. Ihre Marken-Schlüsselwörter, offiziellen Domains, Logos und Seiteninhalte legen fest, wonach gesucht wird.
- Entdecken. Passive DNS, neue Registrierungen, Subdomains auf Hosting-Plattformen und Website-Baukästen sowie Suchanzeigen liefern Kandidaten.
- Bewerten. Lookalike-Score, Logo-Treffer per Computer Vision und HTML-Ähnlichkeit ordnen das Risiko. Ein MX-Eintrag bei einer Lookalike-Domain kann ein zusätzliches Risikosignal sein und die Schwere erhöhen.
- Validieren. Ein Analyst prüft den Inhalt, entfernt Weiterleitungen und harmlose Seiten und sichert Nachweise. So funktioniert die Validierung →
- Beobachten. Geparkte Domains werden erneut geprüft. Wird eine aktiv, gibt es eine neue Warnmeldung, und der Takedown kann beginnen.
Soziale Medien: ein Klassifikator, dann ein Analyst
Jedes Profil wird nach zwei Dingen bewertet: wie legitim es wirkt, und wie sehr es Ihren offiziellen Konten ähnelt. Legitimitätssignale sind die Zahl der Follower, die Übereinstimmung von Anzeigename und Nutzername sowie ungewöhnliche Zeichen oder Ziffern in Namen. Die Ähnlichkeit vergleicht Namen, Texte und Profilbilder mit Ihrem offiziellen Fußabdruck. Ein Gradient-Boosting-Klassifikator, trainiert auf gekennzeichneten echten und gefälschten Profilen, trifft die erste Entscheidung; Treffer gehen an einen Analysten und dann an die Plattform.
Deshalb zählt die Liste offizieller Konten, die Sie uns beim Onboarding geben: An ihr wird die Ähnlichkeit gemessen.
Drei Integrationen mit Daten, die Sie bereits haben
| Integration | Wie sie funktioniert | Was sie findet |
|---|---|---|
| Web-Beacon | Ein kurzes JavaScript-Snippet auf Ihrer offiziellen Login-Seite. Läuft es außerhalb Ihrer zugelassenen Domains, sendet es einen kurzen API-Aufruf an die Erkennungsplattform, sodass die Analyse der kopierten Seite sofort beginnt. | Geklonte Kopien Ihrer Login-Seite, sobald sie geladen werden. |
| Abuse-Postfach | Phishing-Beschwerden aus Ihrem Abuse-Postfach werden automatisch weitergeleitet. Die URLs werden extrahiert und durch automatische Erkennung geschickt, gefolgt von der Prüfung durch Analysten und Ihrer Takedown-Regel. | Phishing-Seiten, die Ihre Kunden bereits gesehen haben, ohne dass jemand in Ihrem Team die Meldungen sichtet. |
| Referrer-Logs | Sitzungsprotokolle Ihrer Website zeigen, woher Besucher gekommen sind. | Phishing-Seiten, die Opfer danach auf Ihre echte Seite weiterleiten, um ihre Spuren zu verwischen. |
Keine der drei braucht eine neue Lizenz oder zusätzliches Personal. Jede macht die Erkennung früher, und das Abuse-Postfach nimmt Ihrem Team eine manuelle Aufgabe ab.
Grenzen des Dienstes
Die Abdeckung geschlossener Gemeinschaften ist breit, nicht vollständig. Tausende Chatgruppen und Foren werden beobachtet, aber niemand hat Zugang zu allen, und die geschlossensten Gruppen sind aus gutem Grund geschlossen.
Die Suche läuft rund um die Uhr; Analysten nicht. Die abgedeckten Quellen werden laufend durchsucht und alarmiert. Die Prüfung durch Analysten findet in den Geschäftszeiten statt, an Wochenenden bei dringenden Fällen.
Die Erkennung folgt dem Fußabdruck. Eine Marke, App oder Führungskraft, die in Ihrer Onboarding-Liste fehlt, wird nicht erkannt.
Häufig gestellte Fragen
Die Fragen, die uns Sicherheits- und IT-Verantwortliche am häufigsten stellen.
Ihre Frage ist nicht dabei? Fragen Sie uns direkt
Ein Domain-Monitoring-Werkzeug beobachtet Registrierungen und sagt Ihnen, dass ein Lookalike existiert. Das hier beobachtet passive DNS, Seiteninhalte, soziale Medien, App-Stores und kriminelle Kanäle und findet daher auch Subdomains, geklonte Seiten auf vertrauenswürdigen Plattformen, Fake-Profile und geleakte Zugangsdaten. Und was es findet, wird von einem Analysten geprüft und, wo möglich, entfernt, statt in einer Liste liegen zu bleiben.
Oft ja. Auch geparkte Lookalike-Domains können auffallen, solange sie noch ruhen; wir prüfen regelmäßig, ob sich ihre Nutzung ändert. Wird sie aktiv, gibt es eine neue Warnmeldung. Eine geparkte Domain lässt sich meist nicht entfernen, solange sie leer ist, weshalb sie stattdessen beobachtet wird.
Kriminelle Chatgruppen werden in mehr als 12 Sprachen überwacht. Wo Sie einen Analysten bitten, in einem konkreten Fall mit einem Bedrohungsakteur Kontakt aufzunehmen, kann dieses Gespräch in 24 Sprachen geführt werden, Deutsch und Ungarisch darunter.
Der Rest des Service
Onboarding
Was wir von Ihnen für den Start brauchen, und die zwei bis drei Wochen von der Bestellung bis zum laufenden Service.
Validierung
Jeder Fund wird von einem Analysten geprüft: Fehlalarme entfernt, Nachweise angehängt, eine Maßnahme empfohlen.
Markenimitation
Lookalike-Domains, Phishing-Seiten, gefälschte Social-Media-Profile und betrügerische Apps, gefunden und entfernt.
Bereit anzufangen?
Arbeiten Sie mit Spirity Enterprise zusammen, um die passenden Sicherheits- und IT-Lösungen für Ihr Unternehmen umzusetzen.