--- id: CP-015 slug: typosquatting-combosquatting-lookalike-domeinen lang: nl title: Typosquatting en combosquatting description: Hoe een aanvaller een domein registreert dat lijkt op dat van een merk om uw inloggegevens te stelen, en hoe u het valse adres herkent. canonical_url: https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Typosquatting en combosquatting”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-005 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/ fr: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ en: https://startbrain.io/cyberpedia/en/articles/typosquatting-combosquatting-lookalike-domains/ de: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ es: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ it: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ sources: - "n": 1 title: "Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1583/001/ accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/003/ accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Typosquatting en combosquatting Een domeinnaam is het leesbare adres van een website, bijvoorbeeld het deel na de "@" in een e-mailadres of het adres dat in de adresbalk van de browser staat. Een domein kan worden gekocht en in sommige gevallen gratis worden verkregen [1]. Een aanvaller kiest soms een domein dat lijkt op dat van een legitiem bedrijf: letters vervangen door tekens die erop lijken (homoglyfen) of een andere extensie, zoals .co in plaats van .com [1]. Domeinen die lijken op een legitiem domein kunnen dienen om schadelijke payloads te verspreiden via een drive-by compromise van een website [1]. ## In 30 seconden - Waar het gebeurt: in een e-mail, sms of ander bericht waarvan het afzenderadres of de link een bekend bedrijf nabootst. Het adres kan sterk op het echte lijken, met een paar gewijzigde of weggelaten tekens [2]. - Wat de aanvaller wil: u naar een nepsite lokken om persoonlijke gegevens te verzamelen, vaak inloggegevens [4]. - De reflex: De reflex: lees het adres helemaal, volg de ontvangen link niet om persoonlijke of financiële gegevens in te vullen [2], open de dienst liever via uw favorieten (advies van Brain) en meld het bericht. - Als het al gebeurd is: breng de bevoegde personen in de organisatie op de hoogte en wijzig onmiddellijk de ingevoerde wachtwoorden, en ook die van andere accounts waar hetzelfde wachtwoord wordt gebruikt [2]. ## Directe vragen ### Wat is een lookalike-domein? Het is een domeinnaam die is geregistreerd om te lijken op die van een bestaande organisatie. MITRE ATT&CK beschrijft domeinen die lijken op legitieme domeinen, verkregen met homoglyfen of een andere extensie [1]. CISA beschrijft afzenderadressen die sterk lijken op dat van een gerenommeerd bedrijf, doordat enkele tekens zijn aangepast of weggelaten [2]. ### Wat is een homoglyf? Het is een teken dat er visueel uitziet als een ander teken. MITRE noemt de "IDN homograph attacks": de aanvaller gebruikt geïnternationaliseerde domeinnamen en andere alfabetten (Cyrillisch, Grieks) om domeinen te maken die er visueel uitzien als het origineel [1]. Links die op het eerste gezicht onschuldig zijn maar speciale tekens misbruiken om een legitieme site na te bootsen, vallen onder dezelfde techniek [3]. ### Bewijst een hangslot in de browser dat de site de juiste is? De hier aangehaalde CISA-bron raadt aan te zoeken naar een adres met "https" en een gesloten hangslot, tekenen dat de informatie wordt versleuteld [2]. Ze heeft het over versleuteling, niet over de identiteit van de site: dezelfde tekst vraagt ook de spelling van het adres en het domein te controleren [2]. Het hangslot vervangt het lezen van het adres dus niet. ### Kan een e-mail met een lookalike-link ook malware installeren? Ja. MITRE stelt dat typosquatting kan dienen om schadelijke payloads af te leveren bij een bezoek aan een site [1]. De link kan ook naar een pagina leiden die aanbiedt een bestand te downloaden [3]. ### Wat moet ik doen als ik denk te hebben geklikt? Als gegevens van de organisatie mogelijk zijn onthuld, raadt CISA aan de betrokken personen te waarschuwen, onder wie de netwerkbeheerders, die ongebruikelijke activiteit kunnen opsporen [2]. Onthulde wachtwoorden moeten onmiddellijk worden gewijzigd [2]. ## In de huid van de aanvaller De aanvaller begint met het kiezen van een naam die lijkt op die van zijn doelwit. MITRE beschrijft meerdere varianten: homoglyfen, een andere extensie, andere alfabetten [1]. De groep EXOTIC LILY deed zich bijvoorbeeld voor als organisaties door de extensie te wijzigen in ".us", ".co" of ".biz" [1]. Daarna koopt hij het domein. Registrars houden elk een openbare database bij met de contactgegevens van elk geregistreerd domein. Privé-WHOIS-diensten tonen in plaats daarvan hun eigen gegevens, waardoor de eigenaar verborgen blijft. De aanvaller kan ook de registratiegegevens en de registrars afwisselen om het volgen van zijn infrastructuur te bemoeilijken [1]. Sommige domeinen zijn voor eenmalig gebruik: MITRE merkt op dat adressen dynamisch kunnen worden gegenereerd om schadelijke inhoud aan één enkel slachtoffer te tonen, ook met domeinnamen voor eenmalig gebruik [1]. Andere aanvallers kopen verlopen domeinen, die op grond van hun geschiedenis al toegestaan of betrouwbaar bevonden kunnen zijn door verdedigers [1]. Dan blijft de site zelf over. De beoogde site kan een kloon van een legitiem inlogportaal zijn, of er genoeg op lijken om elementen van de echte site in het adres te verwerken [4]. Het bijbehorende bericht wil u laten klikken, soms met meerdere berichten die dringend lijken [4]. ## Wat u op het scherm ziet Het bericht lijkt afkomstig van een bekende organisatie. CISA somt aanwijzingen op: een afzenderadres dat lijkt op een echt adres, een algemene aanhef zoals "Dear Valued Customer", een ondertekening zonder contactgegevens, spelfouten en een onsamenhangende opmaak [2]. De link is het zwakke punt. Als u de cursor erboven houdt en het getoonde adres niet overeenkomt met de linktekst, kan de link vervalst zijn. Een schadelijke site kan op het origineel lijken, maar het adres heeft een andere spelling of een ander domein, bijvoorbeeld .com in plaats van .net [2]. Een dienst voor het inkorten van adressen kan ook de echte bestemming verbergen [2]. De inlogpagina kan een kopie van het legitieme portaal zijn: de gegevens die in de formulieren worden ingevoerd, worden verzameld en naar de aanvaller gestuurd [4]. Bij sommige phishingkits (EvilProxy, Evilginx2) wordt het slachtoffer daarna doorgestuurd naar de echte site en onderschept de aanvaller naast de gebruikersnaam en het wachtwoord ook de sessiecookie [4]. Visuele controle heeft grenzen. MITRE erkent dat homoglyfen, zowel in ASCII als in geïnternationaliseerde domeinen, en het versluieren van adressen een handmatige controle moeilijk kunnen maken [3]. Vandaar het nut van hulpmiddelen: waarschuwingsbanners op e-mails van buiten, filters en de antiphishingfuncties van de browser en de mailomgeving [2][3]. ## Onder de motorkap Het technische verloop bestaat uit enkele stappen die de bronnen afzonderlijk beschrijven. De aanvaller verwerft een domein dat lijkt op dat van het doelwit [1]. Hij maakt een site die een legitiem portaal kloont of het uiterlijk nabootst [4]. Hij stuurt een e-mail met een link en een tekst die aanzet tot klikken of tot het kopiëren van het adres naar de browser [4]. De site verzamelt dan de inloggegevens, of biedt een bestand ter download aan, afhankelijk van het voorwendsel [3][4]. De link kan zijn bestemming ook op andere manieren verbergen. MITRE noemt het adresformaat met gehele of hexadecimale getallen als hostnaam, en het feit dat de tekst vóór een "@" wordt genegeerd. Hier volgt een geneutraliseerde illustratie van dit type adres, ontleend aan het voorbeeld van MITRE [4]: ```text Illustratie (geneutraliseerd adres): hxxp://google[.]com@1157586937 [de browser negeert "google.com" vóór de @ en maakt verbinding met het numerieke adres] ``` Aan de verdedigingskant van een organisatie stelt MITRE voor om vrijwillig domeinen te registreren die lijken op de eigen domeinen, om typosquatting te ontmoedigen [1], recent aangemaakte domeinen met een soortgelijke structuur te monitoren, ook onder een andere extensie [1], en SPF, DKIM en DMARC te gebruiken om berichten te filteren op basis van de geldigheid van het afzenderdomein [6]. ## Incidentanalyses De pagina's van MITRE geven echte gevallen zonder datum van de campagne: de datum van de laatste wijziging van een pagina dateert het incident niet. De onderstaande gevallen worden dus zonder datum weergegeven. ### FIN7: een getyposquatte link naar een nep-hulpmiddel (datum niet vermeld door de bron) MITRE meldt dat FIN7 gerichte phishingmails stuurde met een getyposquatte link naar "ip-sccanner[.]com" [3]. De groep registreerde ook een schadelijk domein, advanced-ip-sccanner[.]com, dat doorverwees naar een door de aanvaller beheerde Dropbox met het schadelijke uitvoerbare bestand [1]. ### Magic Hound: domeinen gekozen voor specifieke slachtoffers (datum niet vermeld door de bron) Magic Hound registreerde frauduleuze domeinen zoals "mail-newyorker[.]com" en "news12[.]com.recover-session-service[.]site" om bepaalde slachtoffers te treffen met phishingaanvallen [1]. ### Scattered Spider en Silent Librarian (datum niet vermeld door de bron) Scattered Spider registreerde domeinen om inlogportalen van bedrijven na te bootsen [1]. Silent Librarian verwierf domeinen voor pagina's die inloggegevens verzamelen, vaak met nabootsing van de beoogde organisatie, met gratis extensies: .TK, .ML, .GA, .CF en .GQ [1]. ## Wat u doet - Lees het adres helemaal, van links naar rechts, voordat u klikt. Houd de cursor boven de link en vergelijk die met de getoonde tekst [2]. - Open de dienst niet via de ontvangen link: CISA raadt aan geen links uit e-mails te volgen om persoonlijke of financiële gegevens te verstrekken [2]. Brain adviseert uw favorieten te gebruiken. CISA raadt ook aan het verzoek te controleren bij de organisatie, met contactgegevens uit een eerder contact, niet van de site in het bericht [2]. - Schakel multifactorauthenticatie in wanneer die bestaat [2]. - Meld het bericht. Het Britse NCSC stelt dat het melden van oplichting gratis is, een minuut kost en helpt andere mensen te beschermen [5]. Het kan onderzoek doen naar frauduleuze e-mailadressen en websites en ze laten verwijderen [5]. Volg in een bedrijf eerst de interne meldprocedure. ## De valkuilen - Alleen op het hangslot vertrouwen: zie hierboven, de bron heeft het over versleuteling [2]. - Oordelen op basis van de opmaak: een site kan een getrouwe kloon van het legitieme portaal zijn [4]. - Op uw ogen vertrouwen: homoglyfen maken een handmatige controle moeilijk [3]. - Een wachtwoord hergebruiken: als een wachtwoord dat op een nepsite is ingevoerd elders wordt gebruikt, moet het overal worden gewijzigd [2]. - Te veel informatie over uzelf publiceren: het NCSC merkt op dat criminelen informatie gebruiken die online beschikbaar is, ook op sociale media, om hun berichten overtuigender te maken [5]. ## Bronnen 1. MITRE ATT&CK, “Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1583/001/ (geraadpleegd op 3 november 2026) 2. CISA, “Avoiding Social Engineering and Phishing Attacks”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/003/ (geraadpleegd op 3 november 2026) 5. NCSC (Royaume-Uni), “Phishing scams: how to spot and report them”, 26 november 2021. https://www.ncsc.gov.uk/collection/phishing-scams (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.