Typosquatting: hoe één tikfout je naar een nepwebsite stuurt
Stel je tikt in haast "gmial.com" in plaats van "gmail.com", of je vergeet een punt en schrijft "wwwbank.nl" in plaats van "www.bank.nl". Een kleine verschrijving, niet meer dan één letter verkeerd of verwisseld. Als iemand die fout van tevoren heeft voorzien en die domeinnaam alvast heeft vastgelegd, land je niet bij je e-mail of je bank, maar op een nepsite die er verrassend echt uitziet. Dat is typosquatting: het bewust registreren van domeinnamen die sterk lijken op bekende, drukbezochte websites, in de hoop dat bezoekers zich verschrijven of de naam niet helemaal goed onthouden.
De term is een samentrekking van "typo" (tikfout) en "squatting" (iets bezetten waar je feitelijk geen recht op hebt, zoals bij het kraken van een leegstaand huis). Typosquatting bestaat al zo lang als het internet commercieel is, en is daarmee een van de oudste vormen van online misleiding. Toch is het onverminderd relevant: mensen maken nog steeds tikfouten, bedrijven claimen nog steeds nieuwe domeinnamen, en criminelen bedenken voortdurend nieuwe manieren om die kleine menselijke foutjes uit te buiten.
Wat is het precies?
Typosquatting draait om het registreren van een domeinnaam die net iets afwijkt van een bestaande, populaire naam. Dat kan op verschillende manieren. De meest voorkomende vorm is een letter laten vallen, toevoegen of verwisselen: "gogle.com", "googel.com" of "gooogle.com" in plaats van "google.com". Een andere variant is het verwisselen van de extensie, bijvoorbeeld ".cm" of ".om" in plaats van ".com" — landen als Kameroen (.cm) en Oman (.om) hebben hierdoor onbedoeld veel verkeer van verdwaalde internetgebruikers gekregen.
Een geavanceerdere techniek is het zogeheten homograph-attack, waarbij letters uit een ander alfabet worden gebruikt die visueel identiek zijn aan Latijnse letters. Denk aan de Cyrillische "а" die op het scherm precies hetzelfde uitziet als de Latijnse "a". Omdat domeinnamen technisch alleen bepaalde tekens mogen bevatten, wordt zo'n domein achter de schermen omgezet naar een reeks tekens die begint met "xn--" (dit heet punycode). Voor het blote oog is het verschil met de echte domeinnaam in de adresbalk vaak niet te zien.
Eenmaal geregistreerd, kan een typosquat-domein op meerdere manieren worden ingezet: als doorverwijzing naar advertenties waarmee de eigenaar geld verdient per klik, als phishingsite die inloggegevens of betaalgegevens steelt door een echte website te imiteren, als verspreider van malware, of — bij bedrijfsdomeinen — om zakelijke e-mail te onderscheppen die per ongeluk naar het verkeerde domein wordt gestuurd.
Wat wil men ermee bereiken?
Achter typosquatting schuilen verschillende motieven, en niet allemaal zijn crimineel. Sommige registranten willen simpelweg advertentie-inkomsten genereren: bezoekers die per ongeluk op de nepsite belanden, krijgen een pagina vol advertenties te zien. Elke klik levert een paar centen op, en bij miljoenen tikfouten per dag loopt dat aardig op.
Een tweede, veel schadelijker doel is fraude en diefstal van gegevens. Door een inlogpagina van een bank, webshop of e-mailprovider bijna exact te kopiëren, kunnen aanvallers gebruikersnamen, wachtwoorden en creditcardgegevens buitmaken. Deze vorm wordt vaak gecombineerd met phishingmails die bewust naar het verkeerd gespelde domein verwijzen.
Ten derde wordt typosquatting ingezet binnen bedrijfsspionage en zakelijke fraude, het zogeheten "business email compromise". Een aanvaller registreert een domein dat bijna identiek is aan dat van een leverancier of klant, en verstuurt vanaf dat domein een factuur met gewijzigde bankgegevens. Omdat het adres er op het eerste gezicht normaal uitziet, valt de vervalsing vaak pas op nadat het geld al is overgemaakt.
Tot slot registreren bedrijven soms zelf preventief de meest voorkomende tikfouten van hun eigen domeinnaam — dit heet defensieve registratie — juist om te voorkomen dat kwaadwillenden dat voor hen doen.
Voorbeelden uit de praktijk
Een van de bekendste vroege gevallen is dat van John Zuccarini, een Amerikaan die aan het begin van de jaren 2000 duizenden domeinnamen registreerde die leken op populaire merken en bekende kindersites, zoals varianten op "Teletubbies" en "Disney". Bezoekers die zich verschreven, kwamen terecht op pagina's vol advertenties, en soms werden kinderen zo doorgestuurd naar volwassen content. De Amerikaanse toezichthouder FTC klaagde hem aan wegens overtreding van kinderbeschermingswetgeving, en Zuccarini kreeg later ook te maken met strafrechtelijke vervolging op basis van wetgeving tegen misleidend gebruik van domeinnamen. Zijn zaak wordt nog steeds aangehaald als schoolvoorbeeld van typosquatting op grote schaal.
In de wereld van softwareontwikkeling duikt typosquatting op in pakketbeheersystemen. In 2017 werd op npm, het populaire platform voor JavaScript-bibliotheken, een kwaadaardig pakket genaamd "crossenv" ontdekt — een typfout-variant van het legitieme en veelgebruikte pakket "cross-env". Wie het verkeerde pakket installeerde, kreeg code binnen die stiekem omgevingsvariabelen (vaak wachtwoorden en API-sleutels) naar een externe server stuurde. Vergelijkbare gevallen zijn later ook gemeld bij PyPI, het pakketarchief voor de programmeertaal Python, waar nepversies van populaire bibliotheken zijn aangetroffen die schadelijke code bevatten.
Grootschalig misbruik zag je ook rond de coronapandemie. Begin 2020 registreerden kwaadwillenden wereldwijd in korte tijd tienduizenden nieuwe domeinnamen met woorden als "corona" of "covid", vaak in combinatie met bekende merknamen van bijvoorbeeld gezondheidsorganisaties of pakketbezorgers. Beveiligingsbedrijven en Interpol meldden een sterke piek in dit soort registraties, waarvan een deel werd gebruikt voor phishing en nepwebshops met mondkapjes of testkits.
Ook in Nederland is het een terugkerend probleem: banken als ING, ABN AMRO en Rabobank waarschuwen regelmatig voor nepdomeinen die sterk op hun officiële sites lijken en worden gebruikt in phishingcampagnes, meestal via sms of e-mail met een link naar het vervalste adres.
Hoe ver is de techniek?
Typosquatting is geen technologie die zich ontwikkelt zoals een nieuwe chip of AI-model; het is een tactiek die zich aanpast aan de gewoontes van internetgebruikers en aan de verdedigingsmaatregelen die ertegen worden ingezet. Toch is er wel duidelijk sprake van een wapenwedloop.
Aan de aanvallende kant is er steeds meer automatisering: software die op grote schaal duizenden domeinvarianten van een merknaam tegelijk registreert en test, vaak gecombineerd met automatisch gegenereerde phishingpagina's. Ook het gebruik van homograph-domeinen met buitenlandse lettertekens is een groeiende zorg, omdat deze voor het menselijk oog nauwelijks te onderscheiden zijn van het origineel.
Aan de verdedigende kant zijn browsers en beveiligingssoftware inmiddels beter in het herkennen van verdachte domeinen: veel browsers waarschuwen tegenwoordig automatisch voor punycode-domeinen die op een bekend merk lijken, en zwarte lijsten met bekende phishingdomeinen worden continu bijgewerkt. Domeinregistrars zijn daarnaast verplicht sneller te reageren op klachten over kwaadwillende registraties.
Het grootste obstakel blijft de menselijke factor: hoe goed de techniek ook wordt, mensen blijven tikfouten maken en vertrouwen te snel op een bekend logo of kleurenschema. Zolang dat zo is, blijft typosquatting een laagdrempelige en relatief goedkope aanvalsmethode, ook voor minder technisch onderlegde criminelen.
Wie werken eraan?
De bestrijding van typosquatting is verdeeld over verschillende partijen. ICANN, de internationale organisatie die verantwoordelijk is voor het beheer van domeinnamen, beheert een geschillenregeling genaamd de Uniform Domain-Name Dispute-Resolution Policy (UDRP), waarmee merkhouders relatief snel en goedkoop een kwaadwillend geregistreerd domein kunnen laten overdragen of blokkeren.
Daarnaast bestaan er commerciële "brand protection"-bedrijven die gespecialiseerd zijn in het opsporen van typosquat-domeinen namens grote merken, zoals MarkMonitor en Netcraft. Zij scannen doorlopend nieuw geregistreerde domeinnamen en signaleren verdachte gelijkenissen, waarna juridische stappen kunnen volgen.
Nationale cybersecurity-instanties spelen eveneens een rol: in Nederland houdt het Nationaal Cyber Security Centrum (NCSC) toezicht op grootschalige phishingcampagnes en waarschuwt het publiek en bedrijven, terwijl internationale samenwerkingsverbanden als Interpol en Europol optreden tegen criminele netwerken die typosquatting gebruiken voor fraude.
Ook grote techbedrijven zelf, zoals Google en financiële instellingen, hebben interne teams die continu monitoren op misbruik van hun merknaam en actief domeinen laten verwijderen. Tot slot draagt de open source-gemeenschap bij met scantools die pakketbeheerders als npm en PyPI helpen om verdachte, op naam gelijkende pakketten sneller te herkennen en te verwijderen.