Typosquatting

Typosquatting is een cyberaanval waarbij een aanvaller domeinnamen registreert die lijken op bekende websites, maar met een typfout erin. Denk aan googel.com in plaats van google.com, of rabobnk.nl in plaats van rabobank.nl. Wanneer je per ongeluk een verkeerd adres intypt, beland je op een nagemaakte website die eruitziet als het echte domein. De aanvaller misbruikt dit om inloggegevens te stelen, malware te verspreiden of advertentie-inkomsten te genereren. Typosquatting wordt ook wel URL hijacking genoemd en is een van de oudste maar nog steeds effectieve social engineering technieken op het internet.

De term is een samenvoeging van "typo" (typfout) en "squatting" (kraken, in de zin van een domein claimen dat je niet toebehoort). De techniek bestaat al sinds de vroege dagen van het commerciele internet in de jaren negentig, maar is met de groei van online bankieren, e-commerce en cloudapplicaties relevanter dan ooit. Aanvallers professionaliseren hun methoden en combineren typosquatting steeds vaker met gerichte phishingcampagnes tegen specifieke organisaties.

Hoe werkt typosquatting?

Aanvallers analyseren populaire domeinnamen en registreren systematisch varianten met veelvoorkomende typfouten. De technieken variaren van weggelaten letters (gogle.com), verwisselde letters (gogole.com), dubbele letters (googgle.com) tot verkeerde topleveldomein-extensies (.cm in plaats van .com, .co in plaats van .com, .nl in plaats van .com en vice versa). Een onderzoek van Palo Alto Networks identificeerde bijna 13.857 typosquatting-domeinen gericht op de top 500 meest bezochte websites wereldwijd.

Op de nagemaakte website plaatst de aanvaller een kopie van de originele site, vaak pixel-perfect nagemaakt met dezelfde huisstijl, logo's en formulieren. Zodra je je inloggegevens invoert, worden die direct doorgestuurd naar de aanvaller. Dit is een specifieke vorm van phishing. Sommige typosquatting-sites installeren drive-by malware: je hoeft niets te klikken, het bezoeken van de pagina is voldoende om besmet te raken met kwaadaardige software.

Een verwante techniek is combosquatting, waarbij een aanvaller legitieme merknamen combineert met extra woorden, zoals microsoft-login.com of paypal-support.net. Homoglyph attacks vormen een andere variant: hierbij worden Unicode-tekens gebruikt die visueel identiek zijn aan ASCII-tekens maar technisch anders zijn, zoals een Cyrillisch "a" in plaats van een Latijns "a". Volgens Proofpoint worden typosquatting en combosquatting steeds vaker gecombineerd in gerichte aanvallen op zakelijke doelwitten.

Aanvallers maken ook misbruik van typosquatting voor e-mail. Door een domein te registreren dat lijkt op een leverancier of partner, onderscheppen ze of sturen ze frauduleuze e-mails. Dit is bijzonder effectief in supply chain attacks, waarbij een aanvaller zich voordoet als een betrouwbare zakelijke relatie om facturen te wijzigen of gevoelige informatie op te vragen.

Hoe herken je typosquatting?

Controleer altijd de URL in de adresbalk van je browser voordat je inloggegevens invoert. Let op subtiele verschillen: een ontbrekende letter, een extra letter, een afwijkende extensie of een ongewoon subdomein. Gebruik bladwijzers voor belangrijke websites in plaats van het adres handmatig in te typen. Bij twijfel typ je het adres opnieuw zorgvuldig in of gebruik je een zoekmachine om de officiele website te vinden.

Op organisatieniveau detecteer je typosquatting door je eigen domeinnaam actief te monitoren. Diensten als brand monitoring en domain monitoring scannen het internet op nieuw geregistreerde domeinen die lijken op jouw merknaam. DNS-monitoring kan helpen bij het identificeren van verdachte domeinen die je medewerkers proberen te bereiken via je bedrijfsnetwerk.

Let ook op certificaatwaarschuwingen in je browser. Hoewel steeds meer typosquatting-sites gratis SSL-certificaten gebruiken via Let's Encrypt, controleer je bij twijfel het certificaat op de organisatienaam. Phishingfilters in moderne browsers blokkeren veel bekende typosquatting-domeinen automatisch, maar zijn nooit volledig waterdicht. Aanvallers registreren continu nieuwe domeinen om detectie voor te blijven.

Hoe bescherm je je tegen typosquatting?

De eerste verdedigingslinie is defensieve domeinregistratie. Registreer veelvoorkomende typfouten en varianten van je eigen domeinnaam, inclusief alternatieve topleveldomein-extensies zoals .com, .net, .org en landcodes. Leid die domeinen door naar je echte website. Dit kost jaarlijks een beperkt bedrag maar voorkomt dat aanvallers ze misbruiken voor fraude of merkschade.

Implementeer e-mailauthenticatieprotocollen als DMARC, SPF en DKIM. Die voorkomen dat aanvallers e-mails versturen vanuit typosquatting-domeinen die lijken op jouw domein. DMARC zorgt ervoor dat ontvangende mailservers ongeautoriseerde e-mails blokkeren of markeren. Train medewerkers via security awareness programma's om URL's te controleren en verdachte websites te herkennen.

Op netwerkniveau blokkeer je bekende typosquatting-domeinen via je DNS-filter of webproxy. Browser-extensies die URL's controleren op bekende phishing-domeinen bieden een extra beschermingslaag. Voor organisaties met een hoog risicoprofiel is het raadzaam om een takedown-service in te schakelen die typosquatting-domeinen juridisch laat verwijderen via de WIPO of nationale geschillencommissies.

Combineer technische maatregelen met organisatorische maatregelen. Stel een procedure op voor het melden van verdachte websites en communiceer regelmatig over actuele dreigingen. Monitor je eigen merkgerelateerde domeinen proactief en reageer snel wanneer een kwaadaardig domein wordt gedetecteerd.

Een specifieke variant die steeds vaker voorkomt is typosquatting in softwarepakketten. Aanvallers publiceren kwaadaardige packages op repositories als npm, PyPI of NuGet met namen die lijken op populaire libraries. Een ontwikkelaar die per ongeluk "requets" installeert in plaats van "requests" laadt ongemerkt malware in zijn project. Deze supply chain aanval via dependency confusion treft ook grote organisaties en is bijzonder lastig te detecteren zonder geautomatiseerde controles op packagenamen en -integriteit.

In Nederland worden dagelijks tientallen typosquatting-domeinen geregistreerd die zich richten op populaire Nederlandse websites en diensten. Het SIDN (.nl-registry) werkt samen met de security community om kwaadaardige .nl-domeinen te identificeren en offline te halen. Organisaties kunnen bij SIDN een domeinnaam-watch instellen om geattendeerd te worden op nieuw geregistreerde domeinen die lijken op hun merknaam.

Een specifieke variant die steeds vaker voorkomt is typosquatting in softwarepakketten. Aanvallers publiceren kwaadaardige packages op repositories als npm, PyPI of NuGet met namen die lijken op populaire libraries. Een ontwikkelaar die per ongeluk een verkeerde naam installeert, laadt ongemerkt malware in zijn project. In Nederland worden dagelijks tientallen typosquatting-domeinen geregistreerd die zich richten op populaire websites. Het SIDN (.nl-registry) werkt samen met de security community om kwaadaardige .nl-domeinen offline te halen.

Veelgestelde vragen over typosquatting

Wat is het verschil tussen typosquatting en phishing?

Typosquatting is een specifieke techniek waarbij nepwebsites worden geregistreerd met domeinnamen die lijken op echte websites. Phishing is het bredere concept van misleiding om gegevens te stelen. Typosquatting is een van de methoden die bij phishing-aanvallen wordt ingezet.

Is typosquatting illegaal?

Het registreren van domeinen die verwarring veroorzaken met bestaande merken is in veel jurisdicties strafbaar. In Nederland kun je via de WIPO of de Geschillencommissie Domeinnamen actie ondernemen. Het bewust inzetten voor fraude of merkschending is strafbaar.

Hoe bescherm ik mijn merk tegen typosquatting?

Registreer veelvoorkomende typfouten van je domein preventief, monitor nieuw geregistreerde domeinen die op jouw merk lijken en schakel een takedown-service in om kwaadaardige varianten te laten verwijderen. DMARC-implementatie voorkomt e-mailmisbruik vanuit nepvarianten.

Welke domeinen worden het vaakst getarget?

Banken, webshops, sociale media, e-maildiensten en overheidswebsites zijn de meest populaire doelwitten. Elk domein met veel dagelijks verkeer is aantrekkelijk voor typosquatters vanwege het grote aantal potentiele slachtoffers.

Kan antivirussoftware typosquatting detecteren?

Moderne beveiligingssoftware en browsers blokkeren veel bekende typosquatting-domeinen via reputatiedatabases, maar nieuwe domeinen worden niet altijd direct gedetecteerd. Combineer technische maatregelen met awareness-training voor een geschikte bescherming.

Bescherm je organisatie tegen URL-gebaseerde aanvallen. Vergelijk E-mailbeveiliging aanbieders op IBgidsNL.