Valse inlogpagina's met uw merk: hoe ze ontstaan en hoe u ze offline laat halen

Een valse inlogpagina is een kopie van uw inlogscherm op een domein dat niet van u is. Die is bedoeld om gebruikersnamen, wachtwoorden en soms eenmalige codes te verzamelen van uw klanten of medewerkers, die erop terechtkomen via een e-mail, een sms, een zoekadvertentie of een link in een chat.

Hebt u een klantenportaal, webmail, een SaaS-product of iets anders met een login, dan kan uw pagina in enkele minuten gekopieerd worden, want de HTML, het logo en de stijlen worden aan elke bezoeker geleverd. Wat aanvallers nodig hebben, is een domein dat geloofwaardig oogt en een manier om mensen erheen te krijgen.

Veel van deze pagina's kunt u opmerken voordat ze op grote schaal gebruikt worden, en er is een duidelijk rijtje plekken waar u ze meldt zodat ze geblokkeerd en verwijderd worden.

Hoe valse inlogpagina's worden opgezet

De meeste volgen dezelfde stappen:

1. Een domein. Meestal een lookalike-domein (examp1e.com, example-login.com) of een subdomein op een domein dat er niets mee te maken heeft (example.com.secure-verify.net). Zie lookalike-domeinen en typosquatting.
2. Een certificaat. Browsers tonen een hangslot voor elke site met een geldig certificaat, dus aanvallers regelen er een voor het domein. Dat certificaat wordt vastgelegd in de Certificate Transparency-logs.
3. Een kopie van uw pagina. Vaak uw eigen HTML, met de form action aangepast zodat de inloggegevens ergens anders heen gaan. Sommige opstellingen sturen de gegevens in realtime door naar uw echte site, waardoor ook eenmalige codes onderschept kunnen worden.
4. Verspreiding. E-mail, sms, berichten op sociale media of betaalde advertenties die naar de kopie verwijzen.

De eerste 2 stappen laten sporen na die al zichtbaar zijn voordat veel mensen de pagina zien.

Zo ziet u ze vroeg

Volg de uitgifte van certificaten. Doorzoek de Certificate Transparency-logs op namen met uw merk erin, bijvoorbeeld op crt.sh met een zoekopdracht als %example%. Een nieuw certificaat voor example-account-check.com dat u niet hebt aangevraagd, verdient een nadere blik. Ons artikel over Certificate Transparency-logs legt uit wat deze logs laten zien.

Volg nieuwe lookalike-domeinen. Tools zoals dnstwist tonen geregistreerde varianten van uw domein en vergelijken met de optie --lsh hun HTML met de uwe:

dnstwist --lsh https://example.com/login example.com

Een hoge gelijkenisscore op een domein dat niet van u is, is een sterk signaal.

Luister naar uw gebruikers. Supporttickets als "ik heb ingelogd maar er gebeurde niets" of "uw site vroeg 2 keer om mijn code" zijn vaak het eerste teken. Geef uw supportteam een eenvoudige manier om verdachte links door te sturen naar wie de beveiliging beheert.

Bekijk uw eigen logs. Sommige kopieën laden afbeeldingen, scripts of lettertypen rechtstreeks van uw site. Verzoeken naar uw bestanden met een Referer-header van een onbekend domein kunnen u naar de kopie leiden.

Zo laat u een valse inlogpagina offline halen

Doe deze stappen tegelijk, niet na elkaar:

1. Blokkeerlijsten van browsers. Meld de URL bij Google Safe Browsing en bij Microsoft. Zodra de pagina op de lijst staat, tonen de grote browsers een waarschuwing voordat ze laadt. Dat beschermt mensen ook zolang de site nog online is.
2. De anti-phishinggemeenschap. De Anti-Phishing Working Group vraagt om phishingmails door te sturen naar reportphishing@apwg.org.
3. De registrar. Zoek die op met whois en gebruik het abuse-contact. Door ICANN geaccrediteerde registrars moeten een abuse-contact vermelden en volgens sectie 3.18 van de Registrar Accreditation Agreement van 2013 redelijke en snelle stappen zetten om meldingen van misbruik te onderzoeken.
4. De hostingprovider. Zoek het IP-adres op met dig example-login.com +short, vind de eigenaar van het netwerk met whois <ip> en meld het bij het abuse-adres van die eigenaar.

Een goede melding is kort en controleerbaar: de exacte URL, een schermafbeelding, het tijdstip waarop u de pagina zag, uw echte domein en een zin die uitlegt dat de pagina uw login nabootst om inloggegevens te verzamelen. Probeer niet in te loggen op de valse pagina en doe er niets meer mee dan nodig is om haar vast te leggen.

De schade beperken

Het offline halen kost tijd, dus maak een gestolen wachtwoord minder waard:

• Bied phishingbestendig inloggen aan en moedig het gebruik ervan aan, zoals passkeys of beveiligingssleutels. Die zijn gekoppeld aan uw echte domein en werken niet op een kopie.
• Let op ongebruikelijke logins na een phishingmelding: nieuwe locaties, veel accounts vanaf één IP-adres of wachtwoordresets in bulk.
• Vertel gebruikers waar u inlogt. Een korte mededeling ("wij vragen u alleen in te loggen op example.com") helpt.
• Dwing DMARC af op uw echte domein, zodat de e-mails die naar de kopie leiden uw exacte adres niet kunnen gebruiken. Zie SPF, DKIM en DMARC uitgelegd.
• Reset getroffen accounts en maak sessies ongeldig van gebruikers die melden dat ze hun wachtwoord hebben ingevuld.

Checklist

• Zoeken in Certificate Transparency op uw merknaam, volgens een vast schema herhaald.
• Scannen op lookalike-domeinen, met vergelijking van de pagina's.
• Een supportproces om verdachte links door te sturen.
• Meldingssjablonen klaar voor Google, Microsoft, APWG, registrars en hostingproviders.
• Phishingbestendig inloggen beschikbaar voor gebruikers.

Hoe Datahorses helpt

Datahorses bewaakt uw bedrijf elke dag van buitenaf op valse inlogpagina's op lookalike-domeinen, nieuw uitgegeven certificaten die uw naam gebruiken en bekende phishingmeldingen waarin uw merk voorkomt. Wij gaan uw systemen niet binnen en hebben geen toegang nodig. Vinden wij een pagina die uw login nabootst, dan beoordeelt een specialist die en ontvangt u de details en de stappen om haar offline te laten halen, zoals beschreven in wat er gebeurt als wij iets vinden. Hoe zo'n bevinding eruitziet, ziet u in het voorbeelddashboard.