Lookalike-domeinen en typosquatting: een domein herkennen dat zich als u voordoet

Een lookalike-domein is een domeinnaam die zo is geregistreerd dat hij op het eerste gezicht op de uwe lijkt: examp1e.com in plaats van example.com, example-billing.com, example.co, of een variant die een Latijnse letter vervangt door een gelijkend teken uit een ander alfabet. Typosquatting is de oudste vorm ervan: iemand registreert het domein waar uw klanten uitkomen als ze uw naam verkeerd typen.

De meeste van zulke registraties zijn onschuldig of geparkeerd. De domeinen die ertoe doen, hebben mailservers ingesteld, een TLS-certificaat of een webpagina die uw vormgeving kopieert. Met die domeinen worden valse facturen op uw naam verstuurd, valse inlogpagina's gehost of e-mails verzameld die voor u bedoeld waren.

Het goede nieuws is dat u ze zelf kunt vinden met een paar opdrachten, en dat er een duidelijke weg bestaat om de gevaarlijke te laten verwijderen.

Hoe lookalike-domeinen worden opgebouwd

Aanvallers en opportunisten gebruiken een handvol voorspelbare patronen:

• Verwisselde tekens: 1 voor l, 0 voor o, rn voor m (exarnple.com).
• Weglating en herhaling: een ontbrekende of dubbele letter (exmple.com, exaample.com).
• Toegevoegde woorden: example-login.com, example-support.com, secure-example.com.
• Andere topleveldomeinen: example.co, example.net, example.io.
• Homogliefen: geïnternationaliseerde domeinnamen met Cyrillische of Griekse tekens die bijna als Latijnse worden weergegeven. In de DNS verschijnen ze als Punycode, beginnend met xn--.
• Trucs met subdomeinen: example.com.account-verify.net, waarbij het echt geregistreerde domein het laatste deel is.

Omdat de patronen voorspelbaar zijn, kunnen ze automatisch worden gegenereerd en gecontroleerd.

Zo zoekt u zelf naar lookalikes

De opensourcetool dnstwist genereert varianten van uw domein en controleert welke daarvan werkelijk bestaan. Een goede eerste run toont alleen geregistreerde varianten:

dnstwist --registered example.com

Om te zien welke ervan een pagina tonen die op de uwe lijkt, kan de tool de HTML van elke site met fuzzy hashing vergelijken met uw eigen site:

dnstwist --lsh example.com

Kijk bij elk geregistreerd lookalike-domein naar 3 zaken:

1. Mailrecords. Een lookalike met MX-records kan mail ontvangen. Controleer dat met dig MX examp1e.com +short. De mogelijkheid om mail te ontvangen maakt van een geparkeerd domein een instrument voor factuurfraude.
2. Certificaten. Een certificaat dat voor de lookalike is uitgegeven, wijst erop dat iemand er HTTPS mee wil aanbieden. Certificate Transparency-logs leggen uitgegeven certificaten vast en u kunt ze doorzoeken op crt.sh. Ons artikel over Certificate Transparency-logs legt uit hoe.
3. Inhoud. Open de site in een geïsoleerde browser of bekijk hem via een screenshotdienst. Een kopie van uw logo, inlogformulier of facturatieportaal is het duidelijkste signaal.

Herhaal de controle daarna regelmatig. Een lookalike die vorige maand is geregistreerd en vandaag stil is, kan morgen mailrecords en een inlogpagina hebben.

Welke bevindingen actie verdienen

Niet elke variant vraagt om een reactie. Een redelijke manier om ze in te delen:

• Volgen: geregistreerd, geparkeerd, geen MX, geen certificaat. Noteer het en controleer later opnieuw.
• Onderzoeken: MX-records aanwezig, of een recent certificaat, of een registratiedatum in de afgelopen weken.
• Nu handelen: een pagina die uw merk nabootst, een inlogformulier, of meldingen van klanten of medewerkers die mail van het domein ontvingen.

Verstuurt een lookalike mail op uw naam, laat dan ook uw financiële afdeling en belangrijkste klanten weten op welk domein ze moeten letten. Een kort bericht ("wij factureren alleen vanaf example.com") voorkomt meer schade dan welke verwijdering ook.

Een lookalike-domein laten verwijderen

Begin bij een actieve phishingpagina met de snelste wegen:

• Meld de URL bij Google Safe Browsing en bij Microsoft, zodat browsers bezoekers gaan waarschuwen.
• Meld het bij de registrar van het domein. Door ICANN geaccrediteerde registrars moeten een misbruikcontact publiceren en moeten volgens de Registrar Accreditation Agreement van 2013 (sectie 3.18) redelijke en snelle stappen zetten om misbruikmeldingen te onderzoeken.
• Meld het bij de hostingprovider die bij het IP-adres van de site hoort.

Voor een domein dat inbreuk maakt op uw merk maar niet duidelijk kwaadaardig is, is de gebruikelijke weg bij generieke topleveldomeinen de Uniform Domain Name Dispute Resolution Policy (UDRP). De klager moet aantonen dat het domein identiek is aan of verwarrend lijkt op een merk waarop hij rechten heeft, dat de houder er geen rechten of legitiem belang bij heeft, en dat het te kwader trouw is geregistreerd en wordt gebruikt. De mogelijke uitkomsten zijn opheffing of overdracht van het domein. Dit is een juridische stap, dus betrek uw advocaat.

Ons artikel over valse inlogpagina's met uw merk beschrijft het verwijderingsproces uitgebreider.

De schade beperken voordat het gebeurt

U kunt niet voorkomen dat mensen domeinen registreren, maar u kunt lookalikes minder bruikbaar maken:

• Registreer de voor de hand liggende varianten van uw hoofddomein: de meest voorkomende typfouten en de topleveldomeinen die uw klanten waarschijnlijk intypen.
• Publiceer strikte e-mailauthenticatie op uw echte domein. SPF, DKIM en een DMARC-beleid quarantine of reject houden een lookalike niet tegen, maar ze stoppen exacte vervalsing van uw eigen domein, zodat de lookalike de enige optie van de aanvaller wordt. Zie SPF, DKIM en DMARC uitgelegd.
• Spreek een controleprocedure voor betalingen af. Elke wijziging van bankgegevens wordt telefonisch bevestigd via een nummer dat u al hebt, nooit via een nummer uit de e-mail.
• Vermeld uw officiële domeinen op uw website en op uw facturen.

Checklist

• Voer dnstwist --registered uit voor elk van uw domeinen.
• Controleer bij elke treffer de MX-records, de certificaten op crt.sh en de inhoud van de pagina.
• Meld actieve phishing bij Google, Microsoft, de registrar en de hostingprovider.
• Overweeg met uw advocaat een UDRP-procedure bij merkmisbruik.
• Registreer belangrijke varianten en dwing DMARC af op uw echte domein.
• Herhaal de zoektocht volgens een vast schema, niet eenmalig.

Hoe Datahorses helpt

Datahorses bewaakt uw bedrijf dagelijks van buitenaf, waaronder nieuw geregistreerde domeinen die op het uwe lijken: of ze mail kunnen ontvangen en of er een pagina verschijnt die uw inlogpagina nabootst. We gaan uw systemen niet binnen en hebben geen toegang nodig. Verandert er iets, dan beoordeelt een specialist het en krijgt u de bevinding met duidelijke vervolgstappen, zoals beschreven bij wat er gebeurt als we iets vinden. De volledige lijst staat onder wat wij bewaken.