Existem algumas maneiras excelentes de ofuscar URLs, uma das minhas favoritas é usar unicode (veja aqui um artigo interessante):
https://www.xudongz.com/blog/2017/idn-phishing/
O método de mascaramento ao qual vou vincular hoje é um script bash para ocultar URL de phishing em um URL de aparência normal (google.com ou facebook.com). Útil se você não planeja comprar um domínio. Aqui está a página do GitHub e o artigo Kali: