Возраст домена и фишинг: что нужно знать
Когда вы получаете подозрительную ссылку, один из самых быстрых способов оценить риск — проверить, когда был зарегистрирован домен. Большинство фишинговых доменов — новые: злоумышленники регистрируют их незадолго до атаки, используют несколько недель, а затем бросают. Возраст домена — не абсолютный индикатор, но важная часть общей картины.
Почему мошенники используют новые домены
Есть несколько причин, по которым фишинговые домены как правило молоды:
- Скорость. Зарегистрировать домен можно за минуты. Атака запускается быстро.
- Одноразовость. Как только домен попадает в базы антифишинга, его блокируют. Проще зарегистрировать новый, чем отмываться.
- Дешевизна. Домен стоит несколько сотен рублей в год. Мошенники регистрируют десятки и сотни доменов за раз.
- Отсутствие истории. Новый домен ещё не числится в базах вредоносных сайтов — фильтры его пропускают.
В отличие от мошенников, легитимный банк или маркетплейс работает под одним доменом годами. sberbank.ru зарегистрирован в 1997 году. ozon.ru — в 1998. Если ссылка ведёт на домен с датой регистрации «две недели назад», но утверждает, что это Сбербанк — здесь явное противоречие.
Как 2check.click проверяет возраст домена
Анализатор использует протокол RDAP (Registration Data Access Protocol) — современный стандарт для получения данных о регистрации доменов. В отличие от устаревшего WHOIS, RDAP возвращает структурированные данные JSON, что упрощает парсинг и повышает надёжность.
Для каждого анализируемого URL сервис запрашивает дату регистрации домена и рассчитывает его возраст в днях. Если домену меньше 30 дней — это вклад в высокий риск. Если меньше 7 дней — особенно серьёзный сигнал.
Как интерпретировать результаты
При анализе возраста домена важно понимать контекст:
- Домен старше 2 лет + известный бренд — нормально, других признаков фишинга нет.
- Домен 1–3 месяца + претендует на «официальный» сервис банка — высокий риск: настоящий банк так не работает.
- Домен 1–7 дней + содержит название бренда + просит ввести данные — почти наверняка фишинг.
- Старый домен с плохой репутацией — домен мог быть куплен или взломан, история не всегда защищает.
Ограничения метода
Возраст домена — важный сигнал, но не единственный и не абсолютный:
Новый домен не всегда опасен
Стартапы, новые проекты, временные промо-сайты — всё это может быть зарегистрировано недавно и быть совершенно легитимным. Молодой домен без других признаков риска — поводна для осторожности, но не для паники.
Старый домен не всегда безопасен
Существует практика «выдержки доменов»: мошенники регистрируют домен заранее, используют его для невинной активности несколько месяцев, а затем переключают на фишинг. Также домены продаются и перерегистрируются — старый домен мог сменить владельца.
Данные RDAP не всегда полные
Некоторые регистраторы, особенно в нестандартных доменных зонах, не предоставляют данные через RDAP или скрывают дату регистрации. В таких случаях анализатор показывает, что данные недоступны — само по себе это тоже сигнал.
Возраст домена в сочетании с другими признаками
Наибольшую ценность возраст домена имеет в сочетании с другими факторами. Если молодой домен также:
- Содержит название известного бренда (но не является его официальным доменом)
- Имитирует дизайн банка, маркетплейса или госпортала
- Запрашивает ввод паролей, данных карты или кодов из СМС
- Ссылка пришла в виде SMS или письма с угрозой блокировки
...то совокупность признаков делает фишинг практически несомненным.
Где ещё можно проверить возраст домена
Помимо 2check.click, данные о регистрации доменов доступны через:
- Сервисы WHOIS (whois.domaintools.com и другие)
- Региональные регистраторы — для .ru и .рф: nic.ru предоставляет данные WHOIS
- Браузерные расширения с функцией проверки доменов
Проверьте подозрительную ссылку
Вставьте URL, SMS или QR-код в 2check.click — сервис проверит домен, редиректы, возраст домена и другие признаки фишинга.
Часто задаваемые вопросы
Что такое RDAP и чем он лучше WHOIS?
RDAP — современный протокол для получения регистрационных данных доменов, заменяющий устаревший WHOIS. Возвращает структурированный JSON, поддерживает стандартизированные поля и работает надёжнее для программного использования.
Почему некоторые домены скрывают дату регистрации?
Регуляторы приватности (особенно GDPR в Европе) потребовали скрывать часть WHOIS-данных. Некоторые регистраторы по умолчанию скрывают информацию о владельце, включая дату регистрации, через сервисы приватности (privacy guard).
Может ли фишинговый домен быть старым?
Да. Некоторые мошенники покупают старые домены с хорошей репутацией или заранее регистрируют домены и «прогревают» их. Поэтому возраст — лишь один из факторов анализа.
Как часто фишинговые домены меняются?
Очень часто. Крупные фишинговые операции могут регистрировать новые домены ежедневно, чтобы опережать блокировки. Именно поэтому базы антифишинга всегда отстают от реальности.
Сколько времени занимает проверка возраста домена в 2check.click?
Запрос к RDAP выполняется в режиме реального времени при каждом анализе и занимает обычно 1–3 секунды. Результат включается в итоговую оценку риска.