SIDN: grote stijging van aantal phishingwebsites met .nl-domein

Er zijn in de eerste maanden van 2020 bijna vijf keer zoveel phishingdomeinen met een Nederlands domein gedetecteerd ten opzichte van de maanden daarvoor. Het SIDN ziet een grote stijging, terwijl andere cybercrimedomeinen juist dalen.

In het eerste kwartaal van 2020 detecteerde de Stichting Internet Domeinregistratie Nederland 5493 .nl-domeinen waarop een phishing-domein werd gehost. In dezelfde periode een jaar eerder waren dat er nog 705, blijkt uit het jaarlijkse transparantierapport van de beheerder van het tld.

In het laatste kwartaal van vorig jaar detecteerde het SIDN 943 Nederlandse phishingwebsites. Andere stijgingen in Nederlandse cybercrimedomeinen zijn websites met een web shell en webshops met skimmingmalware. Die zijn met respectievelijk 210 en 146 meldingen echter een aanzienlijk minder groot probleem.

Het SIDN telt in de berekeningen websites mee die het offline laat halen door registrars. De stichting laat registrars en hosters zelf onderzoek doen en de sites bij misbruik uit de lucht halen. Als de registrar niet reageert wordt de site na een tijdje vanzelf uit de .nl-zone gehaald.

Het SIDN geeft geen verklaring voor de grote stijging. Onlangs bleek dat sinds de uitbraak van de coronacrisis het aantal fraudemeldingen sterk steeg, maar dat begon pas in maart toen de lockdown in Nederland begon. In het eerste kwartaal van het jaar was het coronavirus een minder urgent probleem, waar ook cybercriminelen nog amper op inspeelden.

Het aantal notice and takedown-verzoeken dat het SIDN in Q1 van 2020 kreeg verdubbelde van zeven in het vierde kwartaal van 2019 naar veertien. Eerder deze maand behaalde de stichting de mijlpaal van zes miljoen .nl-domeinnamen.

Reacties (42)

Kunnen ze niet met een beetje AI automatisch aanvragen scannen die veel lijken op bestaande domeinnamen en dan een extra check uitvoeren? Hoe moeilijk moet het zijn om een aanvraag als anbamro.nl eruit te vissen in een aanvraag. Moet echt wel makkelijk kunnen, plagiaatscanners scannen toch ook op overeenkomsten tussen teksten en hangen daar een score aan.

En dan krijg je zo'n domeinnaam niet, tenzij je echt goed kan aantonen dat je het legitiem gaat gebruiken.

Beetje lui van de SIDN dat ze dit niet ondervangen. Je voorkomt hiermee veel maatschappelijke schade.

[Reactie gewijzigd door CyberMania op 26 juni 2020 21:08]

Ik heb even gekeken wat voor soort instantie sidn eigenlijk is... Maar ik heb het idee dat het een vrij kleine organisatie is (wellicht kan iemand dat toelichten?).
Dus geen idee of ze de financiële middelen hebben om dure ai toe te kunnen passen op registraties...

In tegendeel, SIDN heeft als stichting aardig wat geld. En dit zetten ze in om projecten te ondersteunen die het internet verbeteren (https://www.sidnlabs.nl/en/about-sidnlabs). Vorig jaar was er een talk (https://www.meetup.com/nl-NL/SIDN-TechTalk/events/259925651/ talk 3) bij hun over een project in hun labs waarin ze machine learning gebruiken om neppe webshops te herkennen (bv. door verdachte domeinregistraties te ontdekken en onderzoeken). Helaas was er geen video van gemaakt volgens mij, want het was interessant materie.

Zelf ben ik engineer bij een project wat door SIDN labs gesponsord is: https://websecuritymap.org/

SIDN is dus echt wel bezig met dit soort zaken.

Bedankt voor je informatieve reactie.
Deze organisatie is dus beter gefinancierd dan ik dacht.
Ik zie nu dat er zo'n 100man werkt daar. Maar alsnog kan ik niet echt makkelijk vinden hoe ze gefinancierd worden, en of ze onder de overheid vallen of een particuliere organisatie zijn.
Mijn reactie ging dus over de post waarom er niet geïnvesteerd wordt in technische middelen om phishing registraties tegen te gaan? Zijn ze financieel in staat om dit soort grote stappen te nemen?

Dude, het is een openbare toko. Gewoon even op de website kijken en je ziet alles incl het financiële plaatje. Prima dat je deze vragen stelt maar cmon

Maargoed, er zit 18 miljoen in kas, en dat is ook ongeveer het bedrag aan jaarlijkse inkomsten van de domeinen en ik geloof ook de niet liquide activa.

Maar ze krijgen OOK geld binnen door bedrijven te laten betalen voor deze dienst. (het in de gaten houden van domainsquatting phishing domains etc). Dus ja ze innoveren daar in, maar ze laten de registraties van scam domains toe. Het is iets genuanceerder dan 'Van 2 walletjes eten en de simpele Nederlandse consument heeft pech gehad.' maar smakelijk is het in ieder geval niet.

[Reactie gewijzigd door TWeaKLeGeND op 27 juni 2020 05:22]

maar ze laten de registraties van scam domains toe.

Probleem is natuurlijk ook dat SIDN de defacto monopolist is van .nl domeinnamen. Wie zijn zij om te zeggen welk domein wel of niet geregistreerd mag worden? Dus ze willen een zo neutraal mogelijk positie behouden kwa beleidsvoering om dit soort discussies te voorkomen. Maar dat wil niet zeggen dat ze niet initiatieven kunnen ondersteunen om het net beter te maken.

Maar alsnog kan ik niet echt makkelijk vinden hoe ze gefinancierd worden

Ze bestaan voor het beheer van .nl, en halen daar hun inkomsten ook uit. Er zijn 6 miljoen .nl-domeinen, die per stuk een paar euro per jaar kosten.

Bedoelde je deze toevallig?

https://ripe80.ripe.net/archives/video/322/

Ja, al lijkt deze iets meer uitgebreid te zijn.

Ik vind het wel goed dat dit niet gebeurd.

Deze bedrijven zijn geen politie. En dat moet je ook niet willen.

Persoonlijk vind ik het een schande dat banken fraude moeten opsporen. Dat is een taak voor de staat niet voor een bank. Misschien dat je overboekingen van grote bedragen (of veel in korte tijd) nog moet elden maar meer dan melden zou het nooit moeten zijn.

Dat blijft een lastig probleem. Want de mensen die zicht hebben én er iets tegen kunnen doen zijn beiden geen politie. Als je wil dat de politie dit werk doet, dan moet deze dus toegang hebben tot alle transactie gegevens met controle op het bevriezen van rekeningen met de vraag of dat dan wenselijk is.

Daarbij zijn er weinig legitieme redenen om in korte tijd veel grote bedragen over te maken dus kan het juist beschermend zijn voor je eigen klanten om hier dan tijdelijk een pauze op te zetten. Dit kan in sommige gevallen erg hinderlijk zijn voor wie dit bewust doet maar de aantallen waarin fraude voorkomt en de gevolgen hiervan weeg je af tegen de frequentie en last van wie het nodig heeft.

Grote bedrijven hebben al lang zelf geregeld dat er actief gescand wordt op nieuwe domeinnaam registraties die op hun merk lijken.

Naam merknaam bescherming is iets wat bedrijven zowiezo doen, lijkt me niet logisch om dat van stichting internet domeinregistratie te verwachten. Er zijn bovendien genoeg andere tld's. Bedrijven brengen zo'n monitoring dienst graag onder bij een partij die meerdere tld's in de gaten houdt. SIDN gaat alleen over .NL domeinen.

Grote bedrijven hebben al lang zelf geregeld dat er actief gescand wordt op nieuwe domeinnaam registraties die op hun merk lijken.

Dat klinkt mij niet waarschijnlijk in de oren. Waarom zou een bedrijf doorlopend die moeite nemen als ze ook simpelweg de betreffende domeinnamen zelf kunnen registreren en automagisch door kunnen laten verwijzen naar de juiste URL?

Daarmee voorkom je ook meteen dat een malafide partij een gelijkende domeinnaam registreert, met mogelijke negatieve publiciteit als gevolg. Op het moment dat je scanner aanslaat op zo'n registratie ben je eigenlijk al te laat natuurlijk. En je zult zo'n domeinnaam waarschijnlijk wel uit de lucht kunnen krijgen, maar dat kost tijd, geld en moeite, die je je allemaal had kunnen besparen door de naam zelf bij voorbaat te registreren.

Als je een merknaam registreert moet je het ook beschermen. Zo simpel is het.

Kan zijn dat je het niet logisch vindt, ik geef gewoon aan dat het feitelijk zo is dat een aantal grote bedrijven die ik ken, dit soort tools gebruiken en actief op acteren.

Er zijn duizenden combinaties die je met een merknaam kan maken. En tientallen verschillende verschrijvingen per naam. Doe dat ook voor productnamen.

Verwacht je echt dat grote bedrijven honderdduizenden domeinen moeten registreren die ze nooit zullen gebruiken?

Bij mijn weten is er geen publieke lijst van domeinnaam registraties. Weet jij er wel een? Natuurlijk is er whois, maar dat is voor het opvragen van informatie over een specifieke domeinnaam.

Voor SSL certificaten zijn er Certificate Transparency logs https://crt.sh/

Er zijn methodes voor laten we het daar maar bij laten

Criminaliteit voorkomen en stoppen is nooit alleen een taak van de politie geweest. De politie heeft er vooral bepaalde taken in en op sommige taken een alleenrecht. Het voorkomen en stoppen van ongewenst gedrag of criminaliteit is hoe dan ook dus ook een taak van de samenleving. En bij handel dan vooral in de samenwerkingen zoals kopen/verkopen en gebruiken/aanbieden.

Je wil als koper of gebruiker waarschijnlijk niet samenwerken met een fout bedrijf dat het niets uit maakt dat de handel in gebruik is voor criminele activiteiten en andersom wil een bedrijf waarschijnlijk geen zaken doen met kopers of gebruikers die zijn handel inzetten voor criminele activiteiten. Aan de andere kant wil een klant of bedrijf natuurlijk ook niet dat de eigen rechten worden geschonden als de koper of verkoper wil zorgen voor eerlijke handel. Daarom is het belangrijk dat er tenminste duidelijk is onder welke voorwaarden de handel kan bestaan en wanneer die kan veranderen en ontbonden kan worden.

Ze zijn de beheerder van .nl, een ccTLD ( country code, top level domain ), en gekeurd en toegewezen aan het beheer van de .nl door IANA ( Internet Assigned Numbers Authority, die beheren op Internet alles van DNS namen en IP adressen ).
Voor .be's is het dns.be, voor .lu is het Restena, voor .de is het DENIC enz enz...
Ze moeten zich houden aan de lokale wetgeving, maar ze vallen bij mijn weten niet onder de overheid en zijn normaal gezien non profits.

In het Engels noemen ze officieel de "registry". Daaronder heb je de "registrar". ( de partij waar de klanten hun domeinnamen kopen ). De eindklanten die de domeinen aankopen zijn dan officieel de "registrants"genoemd...

Kan dus wat verwarrend zijn als je daar de eerste keer artikels over leest

Ook bedankt voor de uitgebreide informatie
Maar is het voor een non-profit organisatie mogelijk om naast hun basis werkzaamheden (administratie voornamelijk) dan wel mogelijk om te innoveren? Of blijven ze bij hun basis werkzaamheden?
Er werd eerder al gezegd dat ze een X bedrag per jaar krijgen per registratie, maar zelfs dan lijkt het me geen vetpot waaruit geëxperimenteerd kan worden met het automatiseren van de controles op welke namen er geregistreerd worden.

Tja, een domeinnaam kopen/huren is niet super duur.
Echter als je dit soort 'security' wilt dan kan het natuurlijk zomaar dat dat 5x of 10x zo duur word.

Heb jij dat er voor over?... Ik niet namelijk.
Spijtig voor iedereen die in dat soort phishing websites trapt, maar ikzelf ben er daar niet een van en ik wil ook liever niet betalen voor het ietwat veilig maken van het internet voor leken.

Dat bepaalde dingen gesocialiseerd zijn kan ik begrijpen, en dat mensen die slachtoffer worden van scam praktijken zo goed mogelijk geholpen worden kan ik begrijpen, echter wanneer IK moet gaan betalen voor iets wat 'misschien' in 'enkele gevallen' helpt om het aantal phishing/scam pogingen te reduceren, dán gaat dat mij persoonlijk te ver.

Ze doen wel degelijk onderzoek op een aantal gebieden via SIDN Labs. Maar dat is meer gericht op beveiliging en netwerktechnologie volgens mij.

Dus zijn ze in de positie om te innoveren? Jazeker.

True.. en dat doen ze ook echt wel.

SIDN labs heeft meerder onderzoeken lopen naar de detectie van phishing sites en andere malafide websites. Hierbij zet men Entrada in om grote hoeveelheden DNS data te analyseren. Op http://sidnlabs.nl/ kun je daar meer informatie over vinden. Met deze data is men continu bezig om patronen te analyseren en automatische detectie mogelijk te maken. Maar het is natuurlijk wel een kat en muis spel.

Wat het complexer maakt dan een simpele "abmamro.nl" detectie is dat:
- Veel websites ruim voor het inzetten geregistreerd worden en pas op het moment van de phishing/scam actie live worden geplaatst.
- Men gebruik maakt van generiekere domeinnamen (zoiets als creditcardupdate.nl.. en bij de livegang gaat men over op abnamro.creditcardupdate.nl)
- Het voorkomt dat een bedrijf/bank een oude domeinnaam laat verlopen (denk aan een tijdelijke zomeractie van een bank met een .nl). Scammers houden dat bij en herregistreren dan de link.
- Men falliet gegane webshops overneemt inclusief de totale website. En een maand later opeens een actie start waarop alles 60% korting heeft.. en dan niet levert. High trust rating opgebouwd door de vorige eigenaar en dat misbruikt men zo.

Verder hoor je nog wel eens het argument: "Check vooraf gewoon of de domeinaam wel geregistreerd wordt door het bedrijf zelf. dan heb je zekerheid".

Maar helaas gaat dat ook niet altijd op. Vaak maken bedrijven gebruik van marketingbureau's die alles regelen en voor acties domeinnamen aanvragen op eigen conto. Vaak is het ook zo dat in de domeinnamen een referentie staat naar de actie die men nog niet wil tonen (ivm concurentie). Iets als "ingdubbelespaarrente.nl" .. om maar een random voorbeeld te noemen.

Pas als er content verschijnt op een dergelijke website is het mogelijk om een oordeel te geven over de veiligheid ervan. Al is het wel mogelijk om op basis van bepaalde patronen in de aanvraag of pre-activatie verkeerspatronen te zien of het een phishing site betreft.

Wat het voor een partij als SIDN lastig maakt is dat veel gegevens wel inzicht geven maar dat zij vanuit haar neutrale positie niet mag oordelen / handelen. Dan zou SIDN judge, jury & executioner zijn. Dus het oordeel en de actie dient altijd bij een onafhankelijke partij te liggen. Vergelijk het met de KvK. Zij hebben genoeg dingen in place om malafide BV's en katvangers te detecteren. Maar mogen er niet zelf naar handelen. Dat is iets voor andere partijen.

Een van de oplossingen voor dat probleem is de DBS dienst van SIDN waarmee merknaamhouders inzicht krijgen in alle domeinnaamregistraties en waarmee gematched kan worden op een merknaam, deel van de merknaam en 'typo' registraties (https://en.wikipedia.org/wiki/Levenshtein_distance). SIDN levert daarbij alleen informatie. Het oordeel ligt bij de merkhouder en zij nemen ook de actie.


-

Wordt voor veel bekende merken wel gedaan, maar niets is perfect. En soms hoeft de domein niet op de doel site te lijken. Look & Feel en sub-domein is vaak voldoende om mensen om de tuin te leiden. Fake sites kunnen tegenwoordig binnen een half uurtje operationeel zijn, vanaf het moment dat het doel gekozen is.

Gebeurt door registrar's wel al, vooral de grotere.

Desondanks slippen er nog mensen door, en een phishing domein hoeft niet eens de naam van een bank te bevatten - dit kan ook gewoon beveiligde-login-online.tld zijn.

Het klinkt leuk in theorie maar in de praktijk zitten er veel haken en ogen aan. Waar leg je de grens? Rabobankadviseur.nl mag dat dan wel? Of de ing.nl is zo klein dat je kans heb dat er veel op gaat lijken. Bing.nl (wordt wel doorgestuurd naar .com maar de adres werkt wel) is al een bestaande die er op lijkt. Of dat je het bijvoorbeeld een lening niet krijg en dus de bank belachelijk wil maken door een domme website te hosten met een link die er op lijkt. Ook al klinkt het dom maar verboden is het niet.

En alleen .nl sites om moet dan ook gelijk alle .com en.net versies. Want die fout is ook soms zo gemaakt.

Bewijzen kunnen ook gefabriceerd zijn. Of zelfs dat er een echte "serieuze" website gehost wordt totdat ze niet meer controleert zouden worden en dan de website vervangen door de phishing site.

En waarom stoppen bij de banken? Waarom niet dan ook gelijk andere belangrijke websites. Facebook wordt ook veel gebruikt dus daar wil je ook niet dat mensen een nep pagina vinden. Bol.com heeft ook veel klanten waar dus veel geld rond gaat. Dus ook maar beschermen. En websites van de overheid/gemeentes en andere bedrijven die gebruik maken van Digid ook gelijk maar doen.

Ik denk dat een betere oplossing zou zijn om browsers en email programma's aan te passen.

1: alle links in kleine letters te laten zien. Dan heb je ieder geval geen last meer van hoofdletter i en kleine l, o en 0 of B en 8 bijvoorbeeld.

2: Elke link waar de tekst ongelijk is aan de link zelf (dus denk aan klik hier links of plaatjes als knoppen) en de link niet binnen de huidige domein blijft een melding van je gaat nu naar de website.... Uiteraard wel ern optie om het uit te zetten of een veilige lijst eaar je bijvoorbeeld zoekmachines in kan zetten.

3: Bij emails van onvertrouwde personen, (dus die niet in hun contacten staan of bij webmail die bij hun niet in de vertrouwde lijst staan) de emailadres (ook) laten zijn i.p.v. alleen de naam. Dan zie je tenminste dat bijvoorbeeld emails van "bol.com" niet van bol.com vandaan komt maar van [e-mail]. Ja zulke soorten adressen heb ik echt gezien maar ik moest wel op reply drukken om er achter te komen. Niet erg handig.

Punt is dat SIDN slechts de zone beheerder van de .nl zone is. Registraties gebeuren bij de registrars. Als jij een .nl domein wil, dan ga je naar een registrar waar je bijvoorbeeld anbarmo.nl wilt registreren. Die registrar verwerkt dat request, en verzorgt een update van de .nl zone bij SIDN. Als SIDN dus die naam zou checken zijn ze al te laat want de registrar heeft die al geregistreerd. Zo'n AI oplossing zou dan bij elke registrar moeten draaien wil die effectief zijn....

A l­­­­­­­­­­­a m­­­­­­i­­­­­­­­­­­­er­­­­­­­da e­­­­sta jo­­­­­­­­­­­ven y sex­­­­­­­­­­­­­­y vi­­­­­­­­­rg­­­­en - >>> CLICK <<<

Zolang gemeentes en andere instanties nog steeds gebruik maken van URL shorteners, maakt het eigenlijk niet uit welke domeinnaam je gebruikt. of het nou rababank.nl is of geldbank.nl mensen kijken niet naar de url.

Mensen zouden helemaal niet op linkjes uit mails moeten klikken.

Maar het zijn niet alleen maar mails, social media (twitter, facebook) maar ook chatkanalen als whatsapp etc.

Mooiste voorbeeld vind ik nog altijd de rabobank. Die sturen plain text mailtjes als het gaat om bankzaken zoals de berichteninbox. Hierin staat geen enkel linkje.

Maar vervolgens sturen ze wel nieuwsbrieven in html opmaak met vele linkjes..

Iemand een idee of de lijst met domeinen ergens online te vinden is? Dan kan ik m toevoegen aan de blocklist.

Ik vind het bizar dat SIDN geen zonefiles publiceert, zo is het als "verdediger" een stuk lastiger om uit te vinden of er phishing en andere ongure domeinen voor je business bestaan.

Je bent nu afhankelijk van derde partijen en andere open bronnen om uit te vinden of er phishing domeinen bestaan.

Dat past niet in hun business model:
https://www.sidn.nl/product/dbs

DBS is trouwens een prima systeem om wereldwijd domeinnaam registraties voor je 'business' in de gaten te houden.

Die DBS is niet erg uitgebreid, maar wel al goed vind ik dat ze als registry zijnde, toch al een goeie basis aanbieden voor naam protectie.

Iedereen is echter voor verbetering vatbaar, zo merkte is op dat SIDN wel niet controleert of de contactgegevens van hun registrars nog kloppen.

Ik heb destijds zo wel nog een oude aftakking van KPN gevonden, die officieel niet meer bestond en waar ik online alsook met de vermelde telefoon de oude registrar gewoon niet meer kon contacteren en een website van een bank geregistreerd bleek bij een niet meer bestaande afdeling van KPN. Success om de DNS master te vinden dan...

Criminelen gaan er vanuit dat door gebruik te maken van Nederlandse phishing domeinen, hun slagingskans groter wordt. En Nederlandse slachtoffers minder snel gaan twijfelen. En daardoor sneller aanklikken.

Alhoewel ik het concept dat internet zo vrij mogelijk moet blijven, kan het ook heel eenvoudig slachtoffers maken. Gelukkig is er een groot deel van de bevolking die enigszins verstandig na durft te denken en niet zo 1..2..3.. ergens intrapt. Degene die wel een makkelijk doelwit is zou hiertegen beter beschermd moeten worden.

Er mag in mijn ogen wel meer voorlichting komen in internetveiligheid, de risico's en hoe je frauduleuze website opspoort. De drempel voor oplichters is op internet nog veel kleiner dan dat je iemand op de markt oplicht. Zo stoor ik me de laatste maanden enorm aan de dropship websites, vaak jongeren die even denken makkelijk geld te verdienen met pakketjes uit China zonder hiervoor enige verantwoording op te nemen (misschien is dit niet oplichting, maar eerder onwetendheid). Ik vind dat je zeker wel aan een website kan zien of het pluis is of niet... maar dan moet je de verschillen wel weten

allemaal levenloze mensen die niet normaal kunnen werken of ondernemen.
walgelijk

idd, hoop echt dat ze wat meer gaan investeren om vooral de pakkans van dit soort gasten te vergroten.
Het lijkt allemaal te makkelijk te gaan de laatste tijd.

context, denkt dat hij mensen bedoeld zonder "leven" als in het hebben van een goed leven.
niet in de zin van in leven zijn.
Tegenwoordig moet ieder woord worden uitgelegd hier op tweakers lijkt het wel.

[Reactie gewijzigd door mvrhrln op 27 juni 2020 16:27]