Wat is typosquatting? Methoden van domeinaanvallen & preventie

Typosquatting-aanvallen maken misbruik van typefouten om gebruikers om te leiden naar valse domeinen die inloggegevens stelen. Leer de aanvalsmethoden en preventiestrategieën voor ondernemingen.

Wat is typosquatting?

Je typt "gogle.com" in plaats van "google.com" en drukt op Enter. Binnen milliseconden kijk je naar een pagina voor het oogsten van inloggegevens die misbruik maakt van een simpele typefout. Die ene verkeerde toetsaanslag heeft aanvallers zojuist toegang gegeven tot je zakelijke inloggegevens.

Typosquatting is een domeingebaseerde aanval waarbij dreigingsactoren domeinnamen registreren die sterk lijken op legitieme websites door gebruik te maken van veelvoorkomende typefouten. Volgens het Internet Crime Report 2023 van de FBI genereerden  phishing- en spoofingaanvallen (de primaire toepassing van typosquatted domeinen) alleen al in 2023 298.878 meldingen.

De officiële richtlijnen van CISA definiëren typosquatting als een domeingebaseerde  social engineering-aanval waarbij dreigingsactoren "gespoofte domeinen opzetten met licht gewijzigde kenmerken van legitieme domeinen" via karaktervariaties die bedoeld zijn om gebruikers te misleiden. Aanvallers maken gebruik van veelvoorkomende typefouten door domeinen te registreren zoals "gogle.com" (karakter weglaten), "googel.com" (karakteromwisseling), of "googlr.com" (fout door aangrenzende toets) om overtuigende phishinginfrastructuur te creëren.

De aanval slaagt omdat menselijke waarneming verschilt van machineprecisie. Je ogen zien "paypal.com" op het scherm, maar de browser verwijst naar "pаypal.com" met een Cyrillische 'а' (U+0430) die identiek wordt weergegeven aan de Latijnse 'a' (U+0061). Het domein behoort toe aan aanvallers, niet aan PayPal.

Voor typosquatting is geen social engineering-verhaal nodig. Aanvallers wachten simpelweg op typefouten die statistisch gezien met voorspelbare frequentie voorkomen. Op ondernemingsniveau, met duizenden medewerkers die dagelijks honderden SaaS-platforms bezoeken, worden die fouten aanvalskansen die in volume worden gemeten, niet in waarschijnlijkheid.

Het begrijpen van de omvang van deze dreiging roept direct de vraag op: waarom stoppen bestaande beveiligingsmaatregelen deze aanvallen niet?

Waarom traditionele beveiliging faalt tegen typosquatting

Typosquatting fungeert als het toegangspunt voor meerfasige aanvalsketens die je perimeterverdediging volledig omzeilen. Volgens  CISA-advies AA23-025A "leidt het kwaadaardige domein in de eerste fase, dat in de initiële phishingmail is gelinkt, periodiek door naar andere sites voor extra redirects en downloads van RMM-software." Je endpointbeveiliging ziet het initiële compromis niet omdat je vrijwillig naar het kwaadaardige domein bent genavigeerd.

Traditionele URL-filtering faalt omdat typosquatted domeinen geen kwaadaardige reputatiegeschiedenis hebben. DNS-logs tonen legitieme, door gebruikers geïnitieerde queries in plaats van command-and-control-patronen. SSL-certificaten slagen voor validatiecontroles en tonen vertrouwde slotpictogrammen. Je beveiligingsstack ziet geautoriseerd gebruikersgedrag, geen kwaadaardige activiteit, totdat de payload wordt uitgevoerd.

De impact op cybersecurity reikt verder dan individuele diefstal van inloggegevens.  Onderzoek van Carnegie Mellon University documenteerde dat typosquattingdomeinen jaarlijks aanzienlijke hoeveelheden verkeerd gerichte e-mails ontvangen via gecentraliseerde mailserverinfrastructuur. Wanneer je gebruikers per ongeluk zakelijke communicatie sturen naar typosquatted versies van je eigen domein, onderscheppen aanvallers bedrijfsinformatie, financiële gegevens en strategische communicatie zonder dat er een enkele beveiligingswaarschuwing wordt geactiveerd.

Om je tegen deze aanvallen te verdedigen, moet je eerst de specifieke technieken begrijpen die aanvallers gebruiken om misleidende domeinen te creëren.

Typen typosquatting-aanvallen

Aanvallers gebruiken verschillende technieken om overtuigende domeinvarianten te genereren. Onderzoek bevestigt dat ongeveer 99% van de typosquatted domeinen gebruikmaakt van wijzigingen van één teken, waardoor deze patronen voorspelbaar maar effectief zijn.

1. Karakter weglaten verwijdert één letter: "gogle.com" in plaats van "google.com." Dit maakt gebruik van snel typen waarbij vingers toetsen overslaan.
2. Karakterduplicatie voegt extra letters toe: "googgle.com" richt zich op dubbeltoetsfouten bij herhaalde tekens.
3. Karakteromwisseling verwisselt aangrenzende letters: "googel.com" maakt gebruik van de natuurlijke neiging om lettervolgorde om te draaien bij snel typen.
4. Vervanging door aangrenzende toets vervangt tekens door buren op het toetsenbord: "googlr.com" (r naast e) richt zich op fysieke typefouten.
5. Homograafaanvallen vervangen visueel identieke Unicode-tekens. Volgens  ICANN-onderzoek documenteerden onderzoekers 11.766 unieke IDN-homografen in 20 maanden. De Cyrillische 'а' (U+0430) wordt identiek weergegeven aan de Latijnse 'a' (U+0061), waardoor "pаypal.com" visueel niet te onderscheiden is van het legitieme domein.
6. Doppelganger-domeinen laten punten in subdomeinen weg: "wwwgoogle.com" of "aborofamerica.com" (ontbrekende punt na "boa") vangen verkeer van gebruikers die de punt tussen subdomein en domein missen.
7. Combosquatting voegt legitiem klinkende woorden toe: "google-login.com" of "secure-paypal.com" lijkt een officieel subdomein, maar behoort toe aan aanvallers.
8. Verkeerde TLD-vervanging maakt gebruik van verwarring over domeinextensies: aanvallers registreren company.co, company.net en company.org terwijl je alleen company.com bezit.
9. Variaties met koppeltekens voegen koppeltekens toe of verwijderen ze: "face-book.com" versus "facebook.com" richt zich op onzekerheid over de plaatsing van koppeltekens in merknamen.
10. Bitsquatting maakt gebruik van hardwaregeheugenfouten die willekeurig enkele bits omdraaien in gecachte domeinnamen, waardoor verkeer wordt omgeleid naar domeinen die één bit verschillen van legitieme doelen.

Elk van deze technieken dient hetzelfde doel: slachtoffers naar een kwaadaardige bestemming leiden. Maar het registreren van een misleidend domein is slechts de eerste stap. Zo veranderen aanvallers deze domeinen in operationele dreigingen.

Hoe werkt typosquatting?

Typosquatting-aanvallen volgen een operationele cyclus in vier fasen die geregistreerde domeinen transformeert tot actieve dreigingen voor je organisatie.

1. Fase 1: Domeinidentificatie en registratie. Aanvallers gebruiken algoritmen om typo-varianten van waardevolle domeinen te genereren. Ze identificeren merken met veel verkeer, waardevolle inloggegevens of financiële transactiemogelijkheden en registreren vervolgens honderden varianten over meerdere TLD's.
2. Fase 2: Infrastructuur opzetten richt de kwaadaardige infrastructuur in. Aanvallers configureren DNS-records die typosquatted domeinen verwijzen naar webservers met gekloonde inlogpagina's,  malware-distributieplatforms of redirectketens. Ze verkrijgen geldige SSL-certificaten en configureren mailservers om verkeerd gerichte e-mails te onderscheppen.
3. Fase 3: Verkeersafvang vindt plaats via meerdere kanalen. Directe navigatiefouten ontstaan wanneer je handmatig URL's typt met kleine typefouten. E-mailcampagnes vanuit gecompromitteerde accounts bevatten typosquatted links die legitiem lijken binnen de context van het bericht. De  FBI waarschuwde dat "dreigingsactoren gespoofte websites creëren door kenmerken van legitieme website-domeinen licht te wijzigen, met als doel gevoelige informatie van slachtoffers te verzamelen."
4. Fase 4: Monetisatie gebruikt verschillende strategieën afhankelijk van het doel van de aanvaller:

• Het oogsten van inloggegevens richt zich op SaaS-platforms waar gestolen inloggegevens toegang geven tot bedrijfsdata
• Malwaredistributie levert  ransomware en infostealers via drive-by downloads
• E-mailonderschepping vangt verkeerd gerichte communicatie met gevoelige bedrijfsinformatie
• Advertentiefraude genereert inkomsten via geforceerde redirects naar advertentienetwerken
• Merkimitatie ondersteunt business email compromise-aanvallen

Onderzoek van Carnegie Mellon University documenteerde dat typosquattingdomeinen jaarlijks ongeveer 800.000 e-mails ontvangen via gecentraliseerde infrastructuur.

Dit operationele model is niet theoretisch. Incidenten met grote impact tonen precies aan hoe deze aanvallen organisaties in de praktijk raken.

Typosquatting-aanvallen in de praktijk

Gedocumenteerde incidenten laten zien hoe typosquatting organisaties treft, ongeacht omvang, sector of volwassenheid van de beveiliging. Deze gevallen tonen zowel de directe schade van aanvallen als de reputatierisico's die daarop volgen.

• Google vs. Gooogle LLC (2022): In oktober 2022 diende Google een rechtszaak in bij de U.S. District Court for the Southern District of New York tegen Gooogle LLC, een bedrijf dat domeinen registreerde waaronder "gooogle.com" (met een extra 'o'). Volgens rechtbankdocumenten verspreidde het typosquatted domein malware en voerde phishingcampagnes uit gericht op Google-gebruikers. De zaak toonde aan dat zelfs de meest herkenbare merken ter wereld voortdurend worden bedreigd door typosquatting.
• Equifax Typosquatting-incident (2017): Tijdens de nasleep van het grote  datalek van Equifax, dat 147 miljoen consumenten trof, verwees het bedrijf zelf per ongeluk slachtoffers van het lek naar een typosquatted domein. Het officiële Twitter-account van Equifax plaatste links naar "securityequifax2017.com" in plaats van de legitieme "equifaxsecurity2017.com" responswebsite. Het typosquatted domein, aangemaakt door een beveiligingsonderzoeker, had door aanvallers kunnen worden misbruikt om inloggegevens te verzamelen van verwarde slachtoffers.

Deze incidenten illustreren hoe typosquatting organisaties bedreigt, zowel als doelwit als onbedoelde facilitator van aanvallen op hun eigen klanten. Maar wat maakt deze aanvalsvector zo consequent effectief in verschillende sectoren en bij uiteenlopende doelwitten?

Waarom typosquatting slaagt

Typosquatting maakt gebruik van fundamentele voordelen voor aanvallers die deze techniek consequent effectief maken, ongeacht je beveiligingsinvesteringen.

• Menselijke fouten zijn statistisch gegarandeerd. De FBI documenteerde 298.878 phishingmeldingen in 2023. Op ondernemingsniveau, met duizenden medewerkers die dagelijks URL's typen, komen typefouten met wiskundige zekerheid voor. Aanvallers hebben geen geavanceerde exploits nodig als simpele domeinregistratie organisch verkeerd gericht verkeer opvangt door voorspelbaar menselijk gedrag.
• Visuele waarneming kan pixel-identieke tekens niet onderscheiden. Wanneer je vluchtig kijkt naar "pаypal.com" met een Cyrillische 'а' (U+0430) in plaats van een Latijnse 'a' (U+0061), verwerkt je visuele cortex dit als "paypal.com" omdat de weergegeven glyphs identiek zijn. Volgens ICANN-onderzoek registreerden aanvallers duizenden unieke homograafvarianten die misbruik maken van deze biologische beperking.
• Vertrouwensindicatoren worden wapens. Aanvallers verkrijgen geldige SSL-certificaten voor typosquatted domeinen bij legitieme certificaatautoriteiten binnen enkele minuten. Het slotpictogram dat je gebruikers hebt geleerd te controleren, biedt nu valse zekerheid. Volgens  ICANN's documentatie bewijst het certificaat alleen dat de verbinding is versleuteld, niet dat het domein zelf legitiem is.
• Uitvoering van de aanval vereist minimale middelen. Domeinregistratie kost minder dan $15 en is binnen enkele minuten afgerond. Gratis SSL-certificaten van Let's Encrypt bieden directe legitimiteit. Phishingkits automatiseren de uitrol van pagina's voor het oogsten van inloggegevens. Aanvallers ondervinden geen technische barrières, waardoor campagnes op grote schaal mogelijk zijn met minimale investering.

Deze voordelen voor aanvallers creëren bijbehorende uitdagingen voor beveiligingsteams die zich proberen te verdedigen tegen typosquatting.

Uitdagingen bij verdediging tegen typosquatting

Beveiligingsteams worden geconfronteerd met structurele beperkingen die verdediging tegen typosquatting fundamenteel moeilijk maken, zelfs met voldoende middelen en tooling.

• Detectie op basis van reputatie komt te laat. Je beveiligingsstack vertrouwt op blocklists en  threat intelligence-feeds die kwaadaardige domeinen identificeren nadat ze zijn waargenomen in aanvallen. Nieuw geregistreerde typosquatted domeinen hebben geen reputatiegeschiedenis en omzeilen je filters totdat de eerste slachtoffers al zijn gecompromitteerd.
• Variantenschaal overstijgt monitoringcapaciteit. Eén merk genereert honderden wiskundig mogelijke typosquatted varianten via karakterwijzigingen, TLD-alternatieven en combosquattingcombinaties. Het monitoren van elke permutatie over elke TLD, gecombineerd met IDN-homografen, overstijgt de praktische capaciteit van mens of automatisering.
• Aanvalsoppervlak reikt verder dan webdomeinen. Aanvallers passen typosquatting nu toe in softwarepakketrepositories (NPM, PyPI, RubyGems) en AI/ML-modelrepositories (Hugging Face). Je domeinmonitoring biedt geen zicht wanneer ontwikkelaars per ongeluk "requets" in plaats van "requests" installeren vanuit gecompromitteerde pakketbeheerders.
• E-mailonderschepping genereert geen beveiligingswaarschuwingen. Wanneer medewerkers per ongeluk interne communicatie sturen naar typosquatted versies van je domein, wordt er geen detectie geactiveerd. Aanvallers beheren gecentraliseerde mailservers die stilletjes verkeerd gerichte e-mails verzamelen met bedrijfsinformatie, financiële data en strategische communicatie.
• Takedownprocessen verlopen trager dan aanvallen. UDRP-klachten en meldingen van misbruik bij registrars vergen dagen of weken om te verwerken. Aanvallers registreren sneller vervangende domeinen dan juridische mechanismen ze kunnen verwijderen, waardoor een eindeloze cyclus ontstaat waarin verdediging permanent achterloopt op de aanval.

Deze structurele uitdagingen leiden er vaak toe dat beveiligingsteams veelgemaakte fouten maken die de gaten vergroten die aanvallers benutten.

Veelgemaakte fouten bij verdediging tegen typosquatting

Je organisatie maakt waarschijnlijk fouten bij het implementeren van typosquattingverdediging die uitbuitbare gaten creëren waar aanvallers actief op inspelen.

• Fout 1: Aannemen dat URL-filtering voldoende bescherming biedt. Je hebt webproxy's en DNS-filterdiensten geïmplementeerd die bekende kwaadaardige domeinen blokkeren. Deze aanname faalt omdat typosquatted domeinen als nieuw geregistreerd verschijnen zonder kwaadaardige reputatiegeschiedenis.
• Fout 2: Verzuimen e-mailauthenticatie te implementeren. Je hebt geen DMARC met handhavingsbeleid (p=quarantine of p=reject) uitgerold voor de domeinen van je organisatie. Zonder DMARC-handhaving bereiken gespoofte berichten de inboxen van ontvangers terwijl je merkreputatie lijdt onder phishingcampagnes die je niet hebt verzonden.
• Fout 3: Exclusieve focus op webdomeinen en het negeren van software supply chains. Je beveiligingsteam monitort domeinregistraties op webgebaseerde typosquatting, maar biedt geen zicht op pakketinstallaties op ontwikkelwerkplekken. Wanneer ontwikkelaars "requets" in plaats van "requests" typen in een pip install-commando, worden typosquatted pakketten direct uitgerold naar ontwikkelomgevingen.
• Fout 4: Gebruikers trainen om slotpictogrammen te controleren zonder de beperkingen van certificaten uit te leggen. Je security awareness training heeft een lacune: je hebt niet uitgelegd dat aanvallers eenvoudig geldige SSL-certificaten verkrijgen voor typosquatted domeinen. Het certificaat bewijst versleuteling, niet legitimiteit.
• Fout 5: Verdedigingsmaatregelen implementeren zonder effectiviteit te meten. Je hebt defensieve domeinvarianten geregistreerd en e-mailauthenticatie geconfigureerd, maar je hebt geen monitoring uitgerold om te meten hoe vaak gebruikers typosquatted domeinen tegen je organisatie tegenkomen.

Deze fouten vermijden begint met zichtbaarheid. Je kunt je niet verdedigen tegen dreigingen waarvan je het bestaan niet kent.

Hoe typosquatting gericht op je merk detecteren

Het identificeren van typosquatted domeinen voordat aanvallers ze inzetten vereist proactieve monitoring van meerdere databronnen.

• Certificate Transparency-monitoring biedt vrijwel realtime zicht op nieuw uitgegeven SSL-certificaten. Wanneer aanvallers certificaten verkrijgen voor domeinen die op je merk lijken, leggen CT-logs het uitgifte-evenement vast. Stel waarschuwingen in voor certificaatuitgiftes met je organisatienaam of productnamen.
• DNS-analyses onthullen verdachte registratiepatronen. Monitor op bulkregistraties van domeinen die op je merk lijken over meerdere TLD's binnen korte tijdsbestekken. Aanvallers registreren doorgaans tientallen varianten tegelijk voordat ze campagnes starten.
• WHOIS-databasemonitoring volgt nieuwe domeinregistraties die overeenkomen met typosquattingpatronen. Commerciële threat intelligence-diensten genereren typosquattingvarianten algoritmisch en waarschuwen wanneer overeenkomende domeinen in registratiedatabases verschijnen.
• Typosquattinggeneratie-algoritmen maken uitgebreide variantlijsten met behulp van Damerau-Levenshtein-afstandberekeningen. Deze tools genereren elke mogelijke wijziging van één teken en vergelijken die vervolgens met actieve DNS-records om geregistreerde dreigingen te identificeren.
• Webverkeersanalyse identificeert wanneer je gebruikers naar typosquatted domeinen navigeren. DNS-querylogs, webproxydata en endpointtelemetrie onthullen verkeerd gerichte verkeerspatronen die wijzen op actieve typosquattingcampagnes gericht op je organisatie.

Alleen detectie is niet genoeg. Zodra je typosquattingdreigingen kunt identificeren, heb je systematische verdediging nodig die compromittering in de eerste plaats voorkomt.

Best practices voor het voorkomen van typosquatting

Verdediging tegen typosquatting vereist gelaagde maatregelen die kwetsbaarheden op domeinniveau, netwerkniveau, endpointniveau en organisatieniveau gelijktijdig aanpakken.

• Implementeer defensieve domeinregistratie met risicogebaseerde prioritering. Volgens  CIS-richtlijnen moet je "overwegen variaties van je domeinen aan te schaffen om je te beschermen tegen veelvoorkomende typefouten." Registreer de meest voorspelbare typosquattingvarianten in vier hoofdcategorieën:

1. Variaties met koppeltekens (bedrijf-naam.com versus bedrijfsnaam.com)
2. Homoglyph-varianten met lookalike-tekens, met name Cyrillische tekens
3. Veelvoorkomende spelfouten op basis van toetsenbordnabijheid
4. Kritieke TLD-alternatieven (.com, .net, .org, .co)

• Implementeer e-mailauthenticatie met gefaseerde DMARC-handhaving. Configureer SPF-records, implementeer DKIM-signing en rol DMARC aanvankelijk uit in monitor-modus (p=none). Na validatie van legitieme mailbronnen, overstappen op quarantaine- en vervolgens afwijsbeleid.
• Configureer DNS-beveiligingsmaatregelen met versleutelde resolutie. Implementeer DNSSEC om DNS-responsen cryptografisch te valideren. Configureer beschermende DNS-diensten die nieuw geregistreerde domeinen blokkeren totdat reputatieanalyse is voltooid.
• Stel continue domeinmonitoring in met autonome waarschuwingen. Abonneer je op domeinregistratiefeeds van Certificate Transparency-logs, WHOIS-databases en commerciële domeinmonitoringdiensten. Monitor op combosquattingvarianten die je organisatienaam combineren met veelvoorkomende woorden zoals secure, login, portal, verify en account.
• Bouw endpointbescherming die gevolgen na klikken stopt. Het Singularity Platform van SentinelOne biedt autonome responsmogelijkheden die endpoints isoleren bij verdachte gedragingen, waardoor malware-uitvoering en diefstal van inloggegevens worden gestopt na typosquattingcompromittering.
• Train gebruikers in specifieke verificatietechnieken. Train gebruikers om URL's handmatig teken voor teken te controleren voordat ze inloggegevens invoeren. Benadruk het gebruik van bladwijzers voor veelbezochte sites in plaats van handmatig URL's te typen.

Zelfs met deze maatregelen zullen sommige typosquattingaanvallen je gebruikers bereiken. Wanneer preventie faalt, heb je endpointbescherming nodig die de gevolgen stopt.

Stop typosquattingaanvallen met SentinelOne

Het  Singularity Platform van SentinelOne biedt endpointbescherming tegen de kwaadaardige activiteiten die volgen wanneer gebruikers typosquatted domeinen bezoeken, als aanvulling op domeingebaseerde verdediging die initiële navigatie naar kwaadaardige sites voorkomt.

Wanneer kwaadaardige payloads worden uitgerold op je endpoints na pogingen tot het oogsten van inloggegevens, levert  Singularity Endpoint gedrags-AI die diefstal van inloggegevens in realtime detecteert. Je ervaart 88% minder ruis dan concurrerende oplossingen volgens onafhankelijke  MITRE ATT&CK-evaluaties, waardoor je SOC zich kan richten op echte dreigingen in plaats van het onderzoeken van false positives.

• Versnel typosquatting-incidentrespons met Purple AI. Volgens  onderzoek van SentinelOne versnelt Purple AI de identificatie en mitigatie van dreigingen aanzienlijk. Wanneer je ontdekt dat gebruikers typosquatted domeinen hebben bezocht, bevraagt Purple AI je endpointdata met natuurlijke taal en identificeert direct welke systemen het domein hebben bezocht en of er verdachte gedragingen volgden. Je onderzoeksworkflow verandert van uren naar minuten. In plaats van handmatig DNS-logs, webproxydata en endpointtelemetrie te correleren over meerdere platforms, vraag je Purple AI: "Welke endpoints hebben typosquatted-domain.com in de afgelopen 7 dagen opgelost en welke processen zijn daarna uitgevoerd?" Purple AI levert volledige forensische tijdlijnen die precies tonen wat er op getroffen systemen is gebeurd.
• Krijg volledig inzicht in de aanvalsketen met Storyline-technologie wanneer typosquatting dient als het initiële compromis. Storyline legt elke procesaanmaak, netwerkverbinding, bestandswijziging en registerwijziging vast die daarop volgt. Je ziet de volledige aanval voortgang van initiële browsernavigatie tot het oogsten van inloggegevens, pogingen tot laterale beweging en data-exfiltratie in één uniforme tijdlijn.

Vraag een demo aan van SentinelOne om endpointbescherming tegen typosquattingaanvallen te versterken. Singularity Endpoint blokkeert malware-uitvoering, detecteert pogingen tot diefstal van inloggegevens realtime met 88% minder ruis dan concurrerende oplossingen en stopt aanval voortgang via gedrags-AI-monitoring.

Belangrijkste punten

Typosquatting maakt voorspelbare menselijke typefouten tot een wapen, genereerde 298.878 FBI-meldingen in 2023 en maakt aanvallen mogelijk variërend van diefstal van inloggegevens tot ransomwaredistributie. De aanval slaagt omdat nieuw geregistreerde domeinen geen kwaadaardige reputatiegeschiedenis hebben, waardoor ze traditionele beveiligingsmaatregelen omzeilen totdat ze worden waargenomen in actieve aanvallen.

Effectieve verdediging vereist gelaagde maatregelen: defensieve domeinregistratie, e-mailauthenticatie (DMARC/SPF/DKIM), DNS-beveiliging, continue monitoring en  endpointbescherming. Wanneer typosquattingaanvallen gebruikers weten te compromitteren, biedt het SentinelOne Singularity Platform gedrags-AI die diefstal van inloggegevens en malware-uitvoering detecteert met 88% minder ruis dan concurrerende oplossingen, waardoor snelle respons op kwaadaardige activiteiten na domeingebaseerde compromittering mogelijk wordt.

Veelgestelde vragen

Wat is typosquatting?

Typosquatting is een domeingebaseerde cyberaanval waarbij dreigingsactoren domeinnamen registreren die sterk lijken op legitieme websites door gebruik te maken van veelvoorkomende typefouten. 

Aanvallers maken domeinen aan met weglatingen van tekens (gogle.com), verwisselingen (googel.com), fouten met aangrenzende toetsen (googlr.com), of visueel vergelijkbare tekens uit andere alfabetten. Wanneer gebruikers per ongeluk naar deze domeinen navigeren, komen ze terecht op pagina's voor het oogsten van inloggegevens, malwareverspreiding of frauduleuze inhoud die is ontworpen om gevoelige informatie te stelen.

Hoe verschilt typosquatting van phishing?

Typosquatting maakt misbruik van typefouten om gebruikers om te leiden naar domeinen die door aanvallers worden beheerd, terwijl phishing gebruikmaakt van social engineering-verhalen om gebruikers te overtuigen op kwaadaardige links te klikken. Voor typosquatting is geen op maat gemaakt bericht nodig; aanvallers registreren eenvoudig lookalike domeinen en wachten op organisch verkeerd verkeer. 

Beide aanvallen werken vaak samen, waarbij typosquatted domeinen dienen als landingspagina's voor phishingcampagnes.

Kunnen SSL-certificaten beschermen tegen typosquatting?

Nee. Aanvallers verkrijgen geldige SSL-certificaten voor typosquatted domeinen van legitieme certificaatautoriteiten, waardoor vertrouwde hangslotpictogrammen in browsers worden weergegeven. 

Certificaatautoriteiten verifiëren alleen dat de aanvrager het domein beheert, niet de legitimiteit ervan. HTTPS bevestigt versleuteling en domeincontrole, niet dat u de bedoelde organisatie hebt bereikt.

Welke sectoren lopen het hoogste risico op typosquatting?

Volgens de U.S. Department of Health and Human Services behoren de gezondheidszorg en financiële sector tot de meest aangevallen sectoren voor social engineering-aanvallen, waaronder typosquatting. 

SaaS- en webmailplatforms vormen het meest frequent aangevallen segment qua volume. Financiële diensten lopen significant risico door IDN-homograafaanvallen gericht op bankgegevens.

Kan defensieve domeinregistratie typosquatting voorkomen?

Defensieve registratie vermindert het risico, maar kan het niet volledig uitsluiten. Eén domein genereert honderden mogelijke varianten via tekenvervangingen, TLD-alternatieven en combosquatting-combinaties. 

Richt defensieve registratie op varianten met de hoogste waarschijnlijkheid: weglatingen van één teken, veelvoorkomende verwisselingen en kritieke TLD-alternatieven. Combineer met DNS-filtering, e-mailauthenticatie en endpointbescherming voor een gelaagde verdediging.

Hoe snel moeten organisaties reageren op typosquatted domeinen?

Organisaties moeten direct reageren zodra ze deze identificeren. Typosquatted domeinen worden binnen enkele uren na registratie misbruikt. Wanneer monitoringsystemen nieuw geregistreerde domeinen detecteren die overeenkomen met uw naamgevingspatronen, analyseer deze dan direct op kwaadaardig gebruik. 

Indien kwaadaardig bevestigd, implementeer gelijktijdig DNS-blokkades, webproxyfilters en e-mailgatewayregels, terwijl u verwijderingsverzoeken indient bij hostingproviders en registrars.