Itch.io: domeinnaam onterecht offline gehaald na valse melding Funko

Gamewebsite Itch.io claimt dat zijn domeinnaam offline is gehaald na een vermeende klacht van Funko bij domeinnaamhouder Iwantmyname. Die klacht zou volgens Itch.io door AI zijn gegenereerd. De domeinnaamhouder zou het weerwoord van Itch.io niet hebben afgewacht.

Itch.io schrijft in een post op X dat Funko 'een valse melding' heeft gedaan via AI-merkenrechtensoftware van BrandShield. Deze software zou een bepaalde pagina van de gamingwebsite als 'fraude en phishing' hebben aangeduid en hebben gemeld bij Iwantmyname. Itch.io vermeldt niet wat er precies op die webpagina stond, maar zegt wel dat deze inmiddels offline is gehaald.

De beheerders van Itch.io schrijven dat er contact is opgenomen met Iwantmyname, maar dat ze nog geen antwoord hebben ontvangen. De domeinnaamhouder zou het ticket van Itch.io ook niet hebben geopend voordat de ban van kracht ging. Het is op het moment van schrijven wel mogelijk om Itch.io te bereiken. Uit een vervolgpost op X blijkt dat bezoekers worden doorverwezen naar een IP-adres dat niet van de webwinkel is. Itch.io hoopt de problemen de komende uren op te kunnen lossen.

I kid you not, @itchio has been taken down by @OriginalFunko because they use some trash "AI Powered" Brand Protection Software called @BrandShieldltd that created some bogus Phishing report to our registrar, @iwantmyname, who ignored our response and just disabled the domain

— itch.io (@itchio) December 9, 2024

Reacties (59)

[hanskroll]

Extra info:

I'm the one running itch.io, so here's some more context for you:
From what I can tell, some person made a fan page for an existing Funko Pop video game (Funko Fusion), with links to the official site and screenshots of the game. The BrandShield software is probably instructed to eradicate all "unauthorized" use of their trademark, so they sent reports independently to our host and registrar claiming there was "fraud and phishing" going on, likely to cause escalation instead of doing the expected DMCA/cease-and-desist. Because of this, I honestly think they're the malicious actor in all of this. Their website, if you care: https://www.brandshield.com/
About 5 or 6 days ago, I received these reports on our host (Linode) and from our registrar (iwantmyname). I expressed my disappointment in my responses to both of them but told them I had removed the page and disabled the account. Linode confirmed and closed the case. iwantmyname never responded. This evening, I got a downtime alert, and while debugging, I noticed that the domain status had been set to "serverHold" on iwantmyname's domain panel. We have no other abuse reports from iwantmyname other than this one. I'm assuming no one on their end "closed" the ticket, so it went into an automatic system to disable the domain after some number of days.
I've been trying to get in touch with them via their abuse and support emails, but no response likely due to the time of day, so I decided to "escalate" the issue myself on social media.

https://news.ycombinator.com/item?id=42364033

[Musical-Memoirs]

Extra info:
About 15 minutes ago Funko responded this.

Funko
@OriginalFunko
Hi there - We'd like to directly connect with the @itchio team to clear the air and resolve this. Can someone from the team please DM us? Thanks kindly.

[kodak]

Ik vraag me af waarom er in die context ontbreekt waarom ze vertrouwen in een registrar hebben die letterlijk stelt op ieder moment zelf te bepalen of je nog recht op hun dienstverlening hebt. Dat klinkt namelijk niet als een betrouwbare dienstverlening kunnen verwachten waarbij ze je als klant behoorlijk willen behandelen.

[supersnathan94]

Ooit iets bij TransIP gedaan?

Er wordt veel te hard en snel gereageerd op DMCA zaken die al jaren geautomatiseerd worden verstuurd. Op YT precies hetzelfde.

[Remzi1993]

Er wordt veel te hard en snel gereageerd op DMCA zaken die al jaren geautomatiseerd worden verstuurd. Op YT precies hetzelfde.

Totdat je een grote klant bent waarbij je letterlijk duizenden of miljoenen euros per uur misgelopen inkomsten hebt dan is de registrar of hoster aanklagen makkelijker gedaan en zullen ze zulke geintjes niet met je uithalen. Helaas wordt de kleine man eerder genaaid, maarja dat krijg je dus met kapitalisme. Diegene die meer geld heeft, heeft gewoonweg meer invloed en kan makkelijk een advocatenkantoor inhuren en aanhouden voor dit soort dingen.

[Reactie gewijzigd door Remzi1993 op 10 december 2024 16:11]

[surfin]

Bij echt kapitalisme zou de kleine man prima een advocaat kunnen inhuren en in de rechtszaak de kosten terug krijgen. Wacht, zelfs in onze sociaal semi-kapitalistische maatschappij kan dit...

Dat (kleine) bedrijven besluiten om dat soort kosten niet te verzekeren of geld voor apart te leggen is hun eigen keuze. Het is een soort ondernemersrisico wat je wel of niet kan afdekken met sparen of een verzekering.
Als er niets gebeurd waarvoor ze een rechtsbijstandverzekering nodig hebben en geen verzekering hebben afgesloten: dan hebben ze daar direct voordeel van (genoten).

[Remzi1993]

Bij echt kapitalisme zou de kleine man prima een advocaat kunnen inhuren en in de rechtszaak de kosten terug krijgen.

Nee, want de advocaat zou dan te duur zijn zonder enige sociale toevoegingen en dergelijke. Als er geen rechtsbijstand was dan kon bijna niemand een advocaat inhuren en omdat no cure no pay principe hier in Nederland verboden is (ik vraag me af waarom) dan had de kleine man niks kunnen doen.

[surfin]

Je hebt geen sociale toevoegingen/subsidies etc. nodig om een rechtsbijstandsverzekering beschikbaar te maken.
Als een bedrijf niet bereid is om te betalen voor het afdekken van het risico, dan is het risico ofwel niet groot genoeg ofwel is de ondernemer bereid om dat risico te dragen (en daar voordeel van te nemen tot er wel iets vervelends gebeurt).

Beetje dezelfde discussie als de pensioenen en arbeidsongeschiktheidsverzekering van ZZPers: ze genieten het voordeel door die kosten niet te maken (en dus rianter kunnen leven/meer kunnen investeren in het bedrijf). Dan moet je niet achteraf gaan klagen of op het sociale stelsel leunen als je arbeidsongeschikt raakt en dat niet verzekerd hebt.

Zijn beide gewone ondernemersrisico's waar ondernemers voordeel of nadeel uit kunnen halen en dit risico af kunnen dekken met een verzekering/zelf sparen/risico accepteren.

De ondernemers die niet genoeg nadenken over deze risico's zouden niet moeten ondernemen en worden vanzelf afgestraft. Dat het vervelend is voor die falende ondernemers is precies dat: vervelend voor die mensen (maar echt hun eigen keuze).
De mensen die wel bereid zijn om de ondernemersrisico's te lopen kiezen daar bewust voor en hoef je niet te betuttelen.

[supersnathan94]

Totdat je een grote klant bent waarbij je letterlijk duizenden of miljoenen euros per uur misgelopen inkomsten hebt

De industrie heeft al meerdere malen aangetoond dat dit nooit het geval is (onderzoeken die naar voren zijn gebracht in rechtszaken waar inkomsten derving van "downloaden" aangetoond zou moeten worden). Paar duizend misschien, maar miljoenen per uur is het nooit.

In het geval van YT is het dan bijvoorbeeld heel simpel aangezien de funds toch per maand worden uitbetaald. Bij een dispuut kan dat gewoon on-hold worden gezet tot het onderzoek is afgelopen.

Probleem bij YT is dat alle revenue direct wordt doorgezet naar de aanklager en dat je die NOOIT meer terug krijgt. Ook als het een vals/foutief verzoek bleek.

[Remzi1993]

De industrie heeft al meerdere malen aangetoond dat dit nooit het geval is (onderzoeken die naar voren zijn gebracht in rechtszaken waar inkomsten derving van "downloaden" aangetoond zou moeten worden). Paar duizend misschien, maar miljoenen per uur is het nooit.

Inderdaad, bij auteursrechten niet, maar een grote webshop van Amazon of Bol.com wel en dat kunnen ze makkelijk aantonen.

[supersnathan94]

Maar dat is toch exact waar het om gaat? En niet een of ander namaak product (wat een Amazon ook continue aan de lopende band zelf doet).

[Remzi1993]

Als bijvoorbeeld Amazon in de VS paar uur offline gaat of Bol.com hier in Nederland dan kunnen ze zeker wel duizenden euros of Amazon in de VS meer per uur aan misgelopen inkomsten hebben en dit kunnen ze welk degelijk aantonen door het gemiddelde te laten zien wat men verkoopt op soortgelijke dagen.

Dat is wat ik bedoel en daarom hebben webshops wel degelijk nadeel als de webshop eruit ligt en vooral bij grote partijen.

[Reactie gewijzigd door Remzi1993 op 11 december 2024 13:38]

[supersnathan94]

Oooh op die fiets.

Ja nee precies. Dus zomaar onderuit schoffelen van de dienstverlening is natuurlijk best wel een probleem.

Andersom is die schending dat over het algemeen niet en kun je daar best even een onderzoekje naar doen zonder al te veel gevolgen. Dus dat de default is om de boel af te sluiten ipv andersom vind ik heel erg raar.

Zeker gezien de industrie al heeft aangetoond absoluut niet goed met deze positie om kan gaan.

[Remzi1993]

Inderdaad, en daarom vind ik dat partijen die de klacht indienen onderzoeksplicht hebben en diegene die de klacht behandeld ook. Beide zijn dus in de fout gegaan. Ook vind ik dat diegene eerst moet aankloppen bij de partij zelf (als er contactgegevens ergens staan) en dan past de hoster en dan pas de registrar.

[supersnathan94]

als er contactgegevens ergens staan

Niet kloppende WHOIS info wordt tegenwoordig zo’n beetje gezien als een misdrijf. Je kunt het ook niet meer delegeren als particulier. Je moet dus je eigen adresgegevens op gaan geven in publiek toegankelijke data. Ja dikke doei.

[Remzi1993]

Ik bedoelde op de website maar ja als daar niks staat misschien de whois.

En oo itch.io staat gewoon een emailadres en dergelijke.

[Reactie gewijzigd door Remzi1993 op 11 december 2024 14:00]

[Khrome]

Het ding is wel, serverHold is iirc een register ding, niet een registrar ding, dus brandprotection heeft mogelijk ook nic.io gemaand hier iets te doen - Hier kan de registrar weinig tegen doen.

[Dreamvoid]

Er zou voor dit soort meldingen eigenlijk altijd een disclaimer moeten komen: "dit bericht/artikel/etc is door AI gemaakt en kan fouten bevatten, niet gebruiken zonder nader onderzoek". Geen disclaimer -> zware boetes.

[Reactie gewijzigd door Dreamvoid op 9 december 2024 15:26]

[locke960]

AI is het probleem niet. Gebrek aan aansprakelijkheid voor valse meldingen is het probleem.

Of een AI de claim doet is niet relevant en geen excuus. De claim wordt namens een opdrachtgever gedaan, die moet dus aansprakelijk zijn. Maar in de praktijk komen ze er veel te gemakkelijk mee weg helaas.

[Reactie gewijzigd door locke960 op 9 december 2024 15:43]

[gimbal]

AI is zeker wel een flink deel van het probleem aangezien het technologie is wat nog in de kinderschoenen staat (het is nog niet eens echt AI) en het de samenleving in geinjecteerd is voordat er uberhaupt ook maar enige kans was om te leren ermee om te gaan en de faciliteiten erop aan te passen.

Met alle gevolgen van dien, zoals een gebrek aan aansprakelijkheid voor valse claims die nu met kinderlijke eenvoud gemaakt worden.

[timeraider]

Een valse claim zou niet zomaar opgepakt mogen worden en de verzender aangepakt moeten worden, ongeacht of het AI of een normaal persoon is.
Als ze een door AI gemaakte claim zo oppakken, dan zouden ze hetzelfde doen bij een handgeschreven versie.
Er is geen gebrek aan aansprakelijkheid... als bij handmatig versturen van een claim het bedrijf dat de claim stuurt aansprakelijk is, is dat hier ook gewoon het geval.

Nu is het in dit geval het fout van de domeinbeheerder btw, niet van Funko of BrandShield.
De claim was niet vals.. er was copyrighted materiaal op de website. Het enige wta hier fout ging is dat de domeinbeheerder zo dom is dat ze het hele domein neerhalen zonder enig onderzoek.

[Reactie gewijzigd door timeraider op 10 december 2024 11:20]

[jesse!]

Gewoon altijd nader onderzoek doen. Niet enkel als het door AI gemaakt zou zijn.
Laten we niet de schuld bij AI leggen.

[Myri]

Het klopt dat je altijd nader onderzoek moet doen als ontvanger van zo'n claim.. MAAR, als je kijkt op de website van Brainshield dan is het specifiek gericht om hard op te treden, specifiek ahv. AI algoritmes.

Als jij je AI zo instelt dat ie veel te agressief te werk gaat, dan mag je ook op de blaren zitten wanneer dat uitkomt. Het is an-sich idd niet de technologie "AI" wat de schuld heeft, maar hun implementatie en guardrails (mogelijks) wel.

Beetje zelfde verhaal als het UnitedHealthcare verzekeringsverhaal.. Daar ging de AI zo driest te werk dat ie +/- 35% van de aanvragen per direct buitenkegelde en HEEL veel mensen met hun miserie liet zitten, al hadden ze er wel recht op. Is dat de schuld van AI? Nee, dat is de schuld van bedrijven die hun zaken niet op orde hebben en daarvoor best hard mogen aangepakt worden.

[moonlander]

Onbegonnen werk, want bewijs jij maar dat het door AI is gemaakt.

[Dreamvoid]

OK, maar dan is er dus een persoon hoofdelijk aansprakelijk - die kan je nu al aanklagen.

[thomas1907]

Aanklagen met welke onderbouwing?

[ArawnofAnnwn]

Dit is een hele simpele aanklacht voor laster. Dit zal ook een zeer korte rechtzaak zijn als dit hier plaats zou vinden. Ik weet niet hoe het in de VS zit maar hier kun je er voor de gevangenis in gaan.

[Verwijderd]

Laster, Gevangenis?
Hoi domeinbeheerder, domein xx heeft ons auteursrechtelijk beschermd materiaal online staan zonder onze goedkeuring.

Dat dan het hele domein offline gaat lijkt mij nogal een fout van de domein beheerder.

[ArawnofAnnwn]

Het is laster. Een rechter kan daar gevangenisstraffen voor geven.

Mensen of bedrijven fals beschuldigen van crimineel handelen is laster.

Ik weet niet hoe ik dit makkelijker kan maken.

[Verwijderd]

Nee geen laster. Het is niet moedwillig

[supersnathan94]

Het is niet moedwillig

klopt, maar het gebeurt door nalatigheid (het niet mer de hand controleren) dus je kunt niet zeggen dat het te goeder trouw is gegaan.

[ArawnofAnnwn]

Als je dit soort berichten doorstuurd, ongeacht hoe, is het moedwillig. Ze hebben dit zelf gedaan. Als ze bewust hebben geweigerd om op mensen te besparen, is dit nog steeds moedwillig. Dit is echt een super makkelijke uitspraak. Ze zijn schuldig aan laster. Het is niet makkelijker te maken.

[Verwijderd]

nee hoor, je doet geen openbare uitspraak.
daarnaast is het slechts een melding van vermoeden van geschonden auteursrecht.

[ArawnofAnnwn]

Het is een melding van geschonden auteursrecht met als doel het offline halen van andere websites en de inkomsten van andere bedrijven, met serieuze gevolgen. Dat is strafbaar volgens de wet onder laster. Niks meer, niks minder. Hetzelfde is met swatting, mensen weten precies wat de gevolgen kunnen zijn, waardoor dat strafbaar is

[surfin]

Op het plegen van laster is een maximale straf gesteld van twee jaren gevangenisstraf of een boete van de vierde categorie.

Dus de domeinbeheerder moet nagaan of de melding correct is voordat er actie wordt ondernomen?
Als dat zo is dan zullen we flink meer gaan betalen voor domeinbeheerders...

[Verwijderd]

Dit is toch geen laster? Ik zou daar even de definitie van opzoeken.

En ja, een domeinbeheerder dient wel eea te controleren voor je iets offline gooit in mijn ogen. Als ik nou een melding maak over tweakers nadat ik bepaalde content op het forum heb geplaatst, moet het dan meteen worden afgesloten?

[surfin]

Laster is discutabel in mijn ogen maar ben geen jurist. Ging mij om de gevangenisstraf die daar wel bij (kan) horen.

Voor wat betreft de verwachte acties van een domeinbeheerder: ik zou hopen dat we niet gaan verwachten dat zij dit soort verzoeken moeten doorlichten voordat ze het uitvoeren. Als we de verantwoordelijkheid voor het checken bij de domeinbeheerder neerleggen gaan de klanten daar meer voor betalen en ga je waarschijnlijk (grote) verschillen krijgen in hoe goed iets gechecked wordt door de verschillende domeinbeheerders.

Dit kun je afvangen door bijv. een uitspraak van een rechtbank oid. te verwachten voor een actie ondernomen mag worden genomen door de domeinbeheerder. (met natuurlijk weer andere nadelen als minder snel handelen etc.)

[Dreamvoid]

Dat ze foutieve spammeldingen sturen?

[wild_dog]

Geleden schade (manuren om probleem op te lossen), inkomsten derving, reputatie schade, vanwege frauduleuze melding.

[Bender]

Dat is er nu ook, het bedrijf dat de claim verstuurd.

[kdekker]

Er gebeurt in de wereld heel veel op basis van automatische triggers (ook bijv. beurshandel, of krantenberichten). Een disclaimer is louter een juridische-ontsnap route. Waar (voldoene) vervolgschade is, wordt er heus wel een juridisch traject gestart om die te verhalen.

Waar die schade te klein is om een jurist in armen te nemen, lijkt me een gebod tot nadenken het eerste. D.w.z. ik weet geen betere optie, want ook non-AI generated content kan een vals alarm zijn.

Overigens juich ik een verder toenemende juridisering of sactionering van gedrag niet echt toe. Het levert alleen maar een verharding van de maatschappij op, met alleen maar verliezers (in tijd, geld of onderling vertrouwen). De administratieve last om in dit soort gevallen jurdisch wat te kunnen (hetzij als klagende partij hetzij als verdedigende partij) zal alleen maar toenemen. Maar goed, ik heb geen bedrijf en heb wellicht teveel vertrouwen in de inspanningen van een bedrijf (waar je iets van wilt).

[Dreamvoid]

Probleem is dat iemand door allemaal kleine illegale dingen te doen die onder de drempel liggen om actie te ondernemen toch gigantische voordelen kan halen en er ongestraft mee weg kan komen. Zeker met AI kan je op die manier eindeloos veel meldingen genereren (of andere rotzooi).

[Cilph]

Nah. Dan keer je het om. De afzender mag aansprakelijk worden gesteld voor valse berichten.

[ZinloosGeweldig]

DISCLAIMER - Dit bericht bevat AI gegenereerde inhoud, wij hebben zelf niet de moeite gedaan de inhoud te verifiëren voordat dit bericht automatisch verzonden is. Die verantwoordelijkheid leggen we graag bij u als ontvanger neer.

Zou bij mij niet in goede aard vallen...

[Reactie gewijzigd door ZinloosGeweldig op 9 december 2024 16:09]

[nandervv]

Nee, als je zo'n melding maakt zou je gewoon aansprakelijk moeten zijn. Dat jij zo'n domme tool gebruikt is jouw probleem.

[Wo3ps]

Vraag mij af welke gevolgen dit gaat hebben voor Iwantmyname.
Want itch.io is nu weer online, maar ik neem toch aan dat de domeinnaamhouder straks een vergoeding moet betalen?

Of zal het worden kwijt gescholden omdat "oeps foutje"? En wat is eigenlijk redelijk in zo'n geval (wel geen vergoeding/hoeveel?)

[Memori]

Slechte pers. Niemand wil klant zijn van een bedrijf dat te lui voor hun klanten is.

[Dreamvoid]

Nou er zijn nog steeds ladingen klanten die bij Crowdstrike of Zoom zitten. Marketing kan echt een hoop rotzooi onder het tapijt moffelen.

[Reactie gewijzigd door Dreamvoid op 9 december 2024 15:39]

[ArawnofAnnwn]

Slechte marketing is ook marketing zullen we maar zeggen. Geen idee wat er goed/slecht is aan Zoom, maar Crowdstrike is wel echt een partij waar je geen zaken mee moet doen als je serieus genomen wilt worden.

[Lodd]

Dat ligt er ook aan wat er in de algemene voorwaarden staat en wat er in de contracten staat. De algemene voorwaarden kun je waarschijnlijk wel opzoeken, een specifiek contract is al een stuk lastiger. Als er een schadevergoeding volgt, wordt vaak afgesproken de details hierover geheim te houden. Dit kom je daarom vaak niet te weten als buitenstaander.

[GertMenkel]

In principe heeft iwantmyname de wet opgevolgd door direct het domein te suspenden na een DMCA-klacht. Dat de afhandeling hiervan wat langer duurt is in elk geval wettelijk geen probleem.

Contractueel gezien kan ik niks vinden in de voorwaarden van iwantmyname. Misschien dat de TLD-houder daar nog wat over te zeggen heeft, maar ik zie geen garanties over responsetijden. Als het drie tot vijf werkdagen duurt om op de mail te reageren, is dat dus niet per se verboden of illegaal. Voor zover ik de ToC lees, lijkt het erop dat itch.io hooguit recht heeft op een proportie van de jaarlijkse domeinkosten (wat zal dat zijn, $20?) naar downtime.

Het is vooral slechte reclame. iwantmyname is een hele onbetrouwbare partij gebleken en klanten hebben contractueel bijna geen poot om op te staan.

[HtheB]

Vreemd dat ze dit zomaar kunnen laten doen... Ondertussen is de website weer bereikbaar.

[Lord Anubis]

De politie in Nederland maakt zich soms schuldig aan ongegronde tenlasteleggingen, waarbij ze zonder voldoende bewijs of onderbouwing beschuldigingen uiten, en platformen zoals Sidn.nl gaat in dergelijke gevallen vaak zonder kritisch onderzoek er in mee.
Daarom wederom iemand van hoger hand moet er toch een laatste blik op werpen zoals een OvJ..

[VDM]

Klopt, SIDN handelt regelmatig als judge, jury and executioner. In mijn geval was een domein drie weken offline voordat ik door een partime legal-medewerker eindelijk geholpen werd.

[stijnb1234]

Iwantmyname geeft nu zelf aan: "We are aware of the issue regarding itch.io. This is a legal matter which we are currently investigating."

Bron: https://iwantmyname.com/support

[jimmy87]

tja dat zie je wel een beetje bij al die hele grote partijen, er gebeurd iets, dat wordt opgelost, mensen spreken daar nog een week over en iedereen gaat weer verder alsof er niks gebeurd is.

Een enkeling die van hetzelfde formaat is wil nog wel eens een rechtszaak beginnen om een schadevergoeding maar verder.

[DLSS]

Persoonlijk ben ik van mening dat er een schadevergoeding betaald moet worden bij een valse melding.

Zo’n schadevergoeding heeft twee voordelen. Uiteraard dat de schade vergoed wordt maar ook dat er een prikkel ontstaat voor bedrijven om even na te denken voordat ze een dergelijke melding doen.

[nandervv]

Ik zeg: miljoenenboete voor Funko en voor de hoster, met de belofte dat als ze nog een keer zo naar AI luisteren dat het dan tien keer zo hoog gaat.

[RoestVrijStaal]

En dit is waarom bulletproof hosting nog steeds relevant is.