Guías 10 min de lectura

Playbook de takedown de phishing: evidencia, escalado y respuesta

Sacar un sitio de phishing de internet es en parte técnico y en parte procedural. Un playbook bien ejecutado reduce el ida y vuelta con proveedores de hosting y registradores, y acorta la ventana de exposición de las víctimas. Este artículo describe un flujo de trabajo que funciona en la mayoría de incidentes.

El objetivo central es simple: reducir el tiempo de disponibilidad del atacante. Pero en la práctica, los takedowns se atascan cuando la evidencia está incompleta, la titularidad no está clara o los reportes llegan al canal de abuso equivocado. Un playbook repetible convierte un incidente caótico en un flujo de trabajo predecible.

Los primeros 30 minutos

  • Confirmar el objetivo: resolver el dominio registrable y capturar URLs completas (incluyendo rutas y parámetros).
  • Comprobar cloaking: probar desde distintas redes y user agents; anotar geofencing y redirecciones condicionales.
  • Proteger a los usuarios: coordinar listas de bloqueo (gateway de email, proxy web, filtros DNS) de inmediato.
  • Abrir un registro del incidente: registrar timestamps, contactos y acciones realizadas.

Checklist de recopilación de evidencia

La mayoría de proveedores responde más rápido cuando la evidencia es clara y autocontenida:

  • Capturas de la página de phishing y de cualquier formulario de captura de credenciales.
  • Evidencia de red: exports HAR, cadenas de redirección, cabeceras de respuesta y detalles del certificado TLS.
  • Prueba de suplantación: logos copiados, textos, nombres de producto y elementos de UI que muestren riesgo de confusión.
  • Indicadores: dominio, IPs, nameservers, SANs del certificado y dominios relacionados en el cluster.
i
Que sea reproducible

Incluye pasos para reproducir lo observado. Si el sitio aplica cloaking, menciona qué rangos de IP o geos se bloquean y qué entorno muestra el contenido de phishing.

Identificar registrador y hosting

Los takedowns rápidos dependen de contactar a la entidad correcta:

  • Registrador: responsable del registro del dominio. Algunos suspenden dominios rápido ante abuso claro.
  • Proveedor de hosting: controla el servidor donde vive el contenido. Suspender hosting suele retirar el sitio más rápido que acciones sobre el dominio.
  • Proveedor DNS: a veces distinto del registrador; puede deshabilitar la resolución.
  • CDN/WAF: si hay CDN, reportar allí puede desplatformar el contenido incluso si el hosting origen es desconocido.

Contactos de abuso y rutas de escalado

Empieza por canales de abuso publicados y escala cuando sea necesario:

  • Email de abuso: incluir toda la evidencia en un reporte conciso y una solicitud clara (suspender hosting, deshabilitar DNS, suspender dominio).
  • Formularios web: muchos proveedores prefieren formularios estructurados; copia la misma evidencia.
  • Programas de trusted reporter: si hay volumen, inscribirse cuando esté disponible; suele reducir fricción.
  • Emisor del certificado: reportar uso indebido; la revocación no es un takedown, pero degrada la confianza.

Contención más allá del takedown

El takedown es un control. Combínalo con acciones de contención para reducir el impacto:

  • Bloquear el dominio similar en email, DNS, proxies y controles de endpoint.
  • Monitorear reaparición: a menudo rehostean el mismo kit en nuevos dominios en cuestión de horas.
  • Comunicación al cliente: para campañas de alto riesgo, publicar guía e indicadores conocidos.
  • Protección de credenciales: reforzar MFA y vigilar anomalías de login ligadas a la campaña.

Conclusiones clave

  • La calidad de la evidencia suele determinar la velocidad del takedown.
  • Suspender hosting retira contenido más rápido que suspender dominio en muchos casos.
  • Espera rehosting: detección + takedown debe ser continuo.
  • Un flujo repetible reduce la disponibilidad del atacante y la exposición de víctimas.