En el ecosistema digital actual, las campañas de phishing continúan evolucionando, buscando nuevas formas de engañar a los usuarios. Una técnica común es registrar dominios que imitan marcas legítimas para crear sitios fraudulentos a través de anuncios publicitarios en buscadores y redes sociales.
Una campaña específica: el caso de Pets Deli
En Pets Deli, el año pasado fuimos víctimas de una campaña de phishing particular: los atacantes usaban anuncios falsos (phishing Ads) que redirigían a sitios fraudulentos diseñados para parecerse a nuestra web. A diferencia del phishing tradicional vía correo electrónico, esta técnica utiliza publicidad engañosa para atraer a potenciales víctimas a través de buscadores y redes sociales.
Phishing por anuncios vs malvertising
Mientras que el malvertising consiste en el uso de anuncios online con el fin principal de propagar malware (virus, ransomware, spyware), en nuestro caso nos enfrentamos a un tipo diferente: phishing por anuncios. Aquí, los anuncios fraudulentos no instalan malware en los dispositivos, sino que llevan a usuarios a sitios falsos para robar sus datos personales o credenciales.
El desafío del monitoreo de certificados SSL
Una pieza clave en el monitoreo de certificados SSL son los CT logs (Certificate Transparency logs): registros públicos donde se almacenan todos los certificados SSL emitidos por las autoridades de certificación. Estos logs permiten detectar rápidamente la aparición de nuevos dominios, facilitando la identificación temprana de posibles intentos de phishing o abuso de marca. Sin ellos, sería prácticamente imposible conocer en tiempo real qué dominios están siendo certificados en Internet.
Una solución local y Open Source
Antes de desarrollar esta solución, evalué otras alternativas como certstream-server-go, que es una excelente opción open source y muy robusta, pero para nuestro caso de uso era demasiado: no necesitábamos toda la información detallada de cada certificado ni métricas avanzadas, solo queríamos monitorear en tiempo real la aparición de nuevas URLs sospechosas. Por eso creé CertPatrol como una alternativa mucho más ligera y enfocada en la detección rápida de dominios relevantes para la marca, sin la complejidad de desplegar y mantener un servidor completo.
Cómo funciona CertPatrol
- Se conecta directamente a fuentes públicas de certificados recientes.
- Busca coincidencias con palabras clave o marcas definidas (por ejemplo, «petsdeli»).
- Esto nos permite generar alertas inmediatas con la información mínima necesaria para evaluar y actuar rápido.
Guía rápida: cómo instalar y usar CertPatrol paso a paso
Toda la información, documentación y el código están disponibles en: 👉 https://torito.io