Cyberpediadoor Brain
NLDEENESFRIT

Typosquatting en combosquatting

Hoe een aanvaller een domein registreert dat lijkt op dat van een merk om uw inloggegevens te stelen, en hoe u het valse adres herkent.

In 30 seconden

Waar het gebeurt
In een e-mail, sms of ander bericht waarvan het afzenderadres of de link een bekend bedrijf nabootst. Het adres kan sterk op het echte lijken, met een paar gewijzigde of weggelaten tekens2.
Wat de aanvaller wil
U naar een nepsite lokken om persoonlijke gegevens te verzamelen, vaak inloggegevens4.
De reflex
De reflex: lees het adres helemaal, volg de ontvangen link niet om persoonlijke of financiële gegevens in te vullen2, open de dienst liever via uw favorieten (advies van Brain) en meld het bericht.
Als het al gebeurd is
Breng de bevoegde personen in de organisatie op de hoogte en wijzig onmiddellijk de ingevoerde wachtwoorden, en ook die van andere accounts waar hetzelfde wachtwoord wordt gebruikt2.

Waar gaat het over

Een domeinnaam is het leesbare adres van een website, bijvoorbeeld het deel na de "@" in een e-mailadres of het adres dat in de adresbalk van de browser staat. Een domein kan worden gekocht en in sommige gevallen gratis worden verkregen1. Een aanvaller kiest soms een domein dat lijkt op dat van een legitiem bedrijf: letters vervangen door tekens die erop lijken (homoglyfen) of een andere extensie, zoals .co in plaats van .com1.

Domeinen die lijken op een legitiem domein kunnen dienen om schadelijke payloads te verspreiden via een drive-by compromise van een website1.

Directe vragen

Wat is een lookalike-domein?

Het is een domeinnaam die is geregistreerd om te lijken op die van een bestaande organisatie. MITRE ATT&CK beschrijft domeinen die lijken op legitieme domeinen, verkregen met homoglyfen of een andere extensie1. CISA beschrijft afzenderadressen die sterk lijken op dat van een gerenommeerd bedrijf, doordat enkele tekens zijn aangepast of weggelaten2.

Wat is een homoglyf?

Het is een teken dat er visueel uitziet als een ander teken. MITRE noemt de "IDN homograph attacks": de aanvaller gebruikt geïnternationaliseerde domeinnamen en andere alfabetten (Cyrillisch, Grieks) om domeinen te maken die er visueel uitzien als het origineel1. Links die op het eerste gezicht onschuldig zijn maar speciale tekens misbruiken om een legitieme site na te bootsen, vallen onder dezelfde techniek3.

Bewijst een hangslot in de browser dat de site de juiste is?

De hier aangehaalde CISA-bron raadt aan te zoeken naar een adres met "https" en een gesloten hangslot, tekenen dat de informatie wordt versleuteld2. Ze heeft het over versleuteling, niet over de identiteit van de site: dezelfde tekst vraagt ook de spelling van het adres en het domein te controleren2. Het hangslot vervangt het lezen van het adres dus niet.

Kan een e-mail met een lookalike-link ook malware installeren?

Ja. MITRE stelt dat typosquatting kan dienen om schadelijke payloads af te leveren bij een bezoek aan een site1. De link kan ook naar een pagina leiden die aanbiedt een bestand te downloaden3.

Wat moet ik doen als ik denk te hebben geklikt?

Als gegevens van de organisatie mogelijk zijn onthuld, raadt CISA aan de betrokken personen te waarschuwen, onder wie de netwerkbeheerders, die ongebruikelijke activiteit kunnen opsporen2. Onthulde wachtwoorden moeten onmiddellijk worden gewijzigd2.

1In de huid van de aanvaller1 min

De aanvaller begint met het kiezen van een naam die lijkt op die van zijn doelwit. MITRE beschrijft meerdere varianten: homoglyfen, een andere extensie, andere alfabetten1. De groep EXOTIC LILY deed zich bijvoorbeeld voor als organisaties door de extensie te wijzigen in ".us", ".co" of ".biz"1.

Daarna koopt hij het domein. Registrars houden elk een openbare database bij met de contactgegevens van elk geregistreerd domein. Privé-WHOIS-diensten tonen in plaats daarvan hun eigen gegevens, waardoor de eigenaar verborgen blijft. De aanvaller kan ook de registratiegegevens en de registrars afwisselen om het volgen van zijn infrastructuur te bemoeilijken1.

Sommige domeinen zijn voor eenmalig gebruik: MITRE merkt op dat adressen dynamisch kunnen worden gegenereerd om schadelijke inhoud aan één enkel slachtoffer te tonen, ook met domeinnamen voor eenmalig gebruik1. Andere aanvallers kopen verlopen domeinen, die op grond van hun geschiedenis al toegestaan of betrouwbaar bevonden kunnen zijn door verdedigers1.

Dan blijft de site zelf over. De beoogde site kan een kloon van een legitiem inlogportaal zijn, of er genoeg op lijken om elementen van de echte site in het adres te verwerken4. Het bijbehorende bericht wil u laten klikken, soms met meerdere berichten die dringend lijken4.

2Wat u op het scherm ziet1 min

Het bericht lijkt afkomstig van een bekende organisatie. CISA somt aanwijzingen op: een afzenderadres dat lijkt op een echt adres, een algemene aanhef zoals "Dear Valued Customer", een ondertekening zonder contactgegevens, spelfouten en een onsamenhangende opmaak2.

De link is het zwakke punt. Als u de cursor erboven houdt en het getoonde adres niet overeenkomt met de linktekst, kan de link vervalst zijn. Een schadelijke site kan op het origineel lijken, maar het adres heeft een andere spelling of een ander domein, bijvoorbeeld .com in plaats van .net2. Een dienst voor het inkorten van adressen kan ook de echte bestemming verbergen2.

De inlogpagina kan een kopie van het legitieme portaal zijn: de gegevens die in de formulieren worden ingevoerd, worden verzameld en naar de aanvaller gestuurd4. Bij sommige phishingkits (EvilProxy, Evilginx2) wordt het slachtoffer daarna doorgestuurd naar de echte site en onderschept de aanvaller naast de gebruikersnaam en het wachtwoord ook de sessiecookie4.

Visuele controle heeft grenzen. MITRE erkent dat homoglyfen, zowel in ASCII als in geïnternationaliseerde domeinen, en het versluieren van adressen een handmatige controle moeilijk kunnen maken3. Vandaar het nut van hulpmiddelen: waarschuwingsbanners op e-mails van buiten, filters en de antiphishingfuncties van de browser en de mailomgeving23.

3Onder de motorkapIT-teams1 min

Het technische verloop bestaat uit enkele stappen die de bronnen afzonderlijk beschrijven. De aanvaller verwerft een domein dat lijkt op dat van het doelwit1. Hij maakt een site die een legitiem portaal kloont of het uiterlijk nabootst4. Hij stuurt een e-mail met een link en een tekst die aanzet tot klikken of tot het kopiëren van het adres naar de browser4. De site verzamelt dan de inloggegevens, of biedt een bestand ter download aan, afhankelijk van het voorwendsel34.

De link kan zijn bestemming ook op andere manieren verbergen. MITRE noemt het adresformaat met gehele of hexadecimale getallen als hostnaam, en het feit dat de tekst vóór een "@" wordt genegeerd. Hier volgt een geneutraliseerde illustratie van dit type adres, ontleend aan het voorbeeld van MITRE4:

Fragment
Illustratie (geneutraliseerd adres):
hxxp://google[.]com@1157586937
[de browser negeert "google.com" vóór de @ en maakt verbinding met het numerieke adres]

Aan de verdedigingskant van een organisatie stelt MITRE voor om vrijwillig domeinen te registreren die lijken op de eigen domeinen, om typosquatting te ontmoedigen1, recent aangemaakte domeinen met een soortgelijke structuur te monitoren, ook onder een andere extensie1, en SPF, DKIM en DMARC te gebruiken om berichten te filteren op basis van de geldigheid van het afzenderdomein6.

4IncidentanalysesEchte gevallen1 min

De pagina's van MITRE geven echte gevallen zonder datum van de campagne: de datum van de laatste wijziging van een pagina dateert het incident niet. De onderstaande gevallen worden dus zonder datum weergegeven.

FIN7: een getyposquatte link naar een nep-hulpmiddel (datum niet vermeld door de bron)

MITRE meldt dat FIN7 gerichte phishingmails stuurde met een getyposquatte link naar "ip-sccanner[.]com"3. De groep registreerde ook een schadelijk domein, advanced-ip-sccanner[.]com, dat doorverwees naar een door de aanvaller beheerde Dropbox met het schadelijke uitvoerbare bestand1.

Magic Hound: domeinen gekozen voor specifieke slachtoffers (datum niet vermeld door de bron)

Magic Hound registreerde frauduleuze domeinen zoals "mail-newyorker[.]com" en "news12[.]com.recover-session-service[.]site" om bepaalde slachtoffers te treffen met phishingaanvallen1.

Scattered Spider en Silent Librarian (datum niet vermeld door de bron)

Scattered Spider registreerde domeinen om inlogportalen van bedrijven na te bootsen1. Silent Librarian verwierf domeinen voor pagina's die inloggegevens verzamelen, vaak met nabootsing van de beoogde organisatie, met gratis extensies: .TK, .ML, .GA, .CF en .GQ1.

5Wat u doet1 min
  • Lees het adres helemaal, van links naar rechts, voordat u klikt. Houd de cursor boven de link en vergelijk die met de getoonde tekst2.
  • Open de dienst niet via de ontvangen link: CISA raadt aan geen links uit e-mails te volgen om persoonlijke of financiële gegevens te verstrekken2. Brain adviseert uw favorieten te gebruiken. CISA raadt ook aan het verzoek te controleren bij de organisatie, met contactgegevens uit een eerder contact, niet van de site in het bericht2.
  • Schakel multifactorauthenticatie in wanneer die bestaat2.
  • Meld het bericht. Het Britse NCSC stelt dat het melden van oplichting gratis is, een minuut kost en helpt andere mensen te beschermen5. Het kan onderzoek doen naar frauduleuze e-mailadressen en websites en ze laten verwijderen5. Volg in een bedrijf eerst de interne meldprocedure.
6De valkuilen1 min
  • Alleen op het hangslot vertrouwen: zie hierboven, de bron heeft het over versleuteling2.
  • Oordelen op basis van de opmaak: een site kan een getrouwe kloon van het legitieme portaal zijn4.
  • Op uw ogen vertrouwen: homoglyfen maken een handmatige controle moeilijk3.
  • Een wachtwoord hergebruiken: als een wachtwoord dat op een nepsite is ingevoerd elders wordt gebruikt, moet het overal worden gewijzigd2.
  • Te veel informatie over uzelf publiceren: het NCSC merkt op dat criminelen informatie gebruiken die online beschikbaar is, ook op sociale media, om hun berichten overtuigender te maken5.

Fiche

Identificatie
CP-015
Vleugel
1. Aanvallen en technieken
Brain-competentie
Phishing herkennen (detect_phishing)
Brain-reflex
cr-005
Schema
G1 · Aanvalsketen (Kill Chain)
Talen
de, en, es, fr, it, nl
Bronnen
6 bronnen gecontroleerd op 3 november 2026
Bronnen6 bronnen
  1. MITRE ATT&CK, “Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1583/001/ (geraadpleegd op 3 november 2026)
  2. CISA, “Avoiding Social Engineering and Phishing Attacks”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/003/ (geraadpleegd op 3 november 2026)
  5. NCSC (Royaume-Uni), “Phishing scams: how to spot and report them”, 26 november 2021. https://www.ncsc.gov.uk/collection/phishing-scams (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Typosquatting en combosquatting”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/

BibTeX 
@misc{brain_cp015_nl_2026,
  author = {Brain},
  title = {Typosquatting en combosquatting},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0