Internationaal onderzoek naar phishing met ccTLD's

We onderzochten meer dan 28.000 domeinnamen die bij phishing betrokken waren. In onze analyse hielden we rekening met het respectieve aantal domeinnamen in de drie landen en met het feit dat Ierland – in tegenstelling tot België en Nederland – geen open registratiebeleid heeft. Enkel bedrijven en personen die een link hebben met Ierland kunnen een .ie-domeinnaam registreren.

Uit onze analyse kwamen we tot volgende bevindingen:

Wereldwijd misbruik

Het onderzoek identificeerde twee aanvalsstrategieën. Nationale bedrijven worden vaak geïmiteerd binnen hun eigen ccTLD . Een ccTLD – een country code top domain level – wordt geassocieerd met een land en boezemt daarom veel vertrouwen in bij de inwoners van dat land. Ga bij jezelf maar na of je eerder bij www.coolepennenzakken.be een bestelling zou plaatsen of bij www.coolepennenzakken.xyz 

We onderzochten of aanvallers dit vertrouwen uitbuiten voor phishingaanvallen.

Er blijkt dat voor de 3 ccTLD's de meeste geïmiteerde bedrijven niet gevestigd zijn in België, Nederland of Ierland, en dat cybercriminelen zich het vaakst voordoen als banken en financiële instellingen. 

Phishingaanvallen die gebruik maken van domeinnamen uit 1 van de 3 ccTLD’s in dit onderzoek richten zich tot 78 landen en bestrijken 114 marktsegmenten. Dat wijst erop dat cybercriminelen ccTLD’s gebruiken voor wereldwijd misbruik.

Nieuwe en bestaande domeinnamen gecompromitteerd 

Uit ons onderzoek blijkt dat 80% van de phishingaanvallen gebruik maakt van gecompromitteerde websites en niet van nieuw geregistreerde domeinen. 

Bestaande domeinnamen worden het vaakst gecompromitteerd door criminelen die zich als een internationaal bedrijf willen voordoen. Nieuwe domeinnamen gebruiken ze eerder voor nationale phishingaanvallen.

Die keuze kan ook financiële redenen hebben. Het is voor de cybercriminelen goedkoper om een bestaande domeinnaam te misbruiken dan om te betalen voor een nieuwe domeinnaam en de hosting ervan.

Financiële instellingen en techbedrijven

Cybercriminelen doen zich bij phishingaanvallen het liefst voor als banken, financiële instellingen en grote technologiebedrijven. Microsoft is daarbij de jammerlijke favoriet van cybercriminelen. Ze gebruiken domeinnamen van Microsoft, Google, Netflix en PayPal in maar liefst 58% van alle phishingaanvallen in de drie onderzochte zones.

De financiële sector en de technologiesector zijn aantrekkelijk voor cybercriminelen omdat ze toegang hebben tot waardevolle gegevens en financiële middelen van hun klanten.

Beleid van registries blijkt cruciaal

Het onderzoek benadrukt het belang van effectief beleid en maatregelen om misbruik te voorkomen. De aanpak van ccTLD-registries zoals DNS Belgium speelt een cruciale rol in het beperken van phishingaanvallen. 

Phishing kan je op 2 niveaus aanpakken:

Door strikte registratievereisten en snelle reactie op meldingen van misbruik kunnen registries helpen om phishing te verminderen. Elke registry voor een ccTLD heeft de vrijheid een eigen beleid uit te werken om misbruik tegen te gaan.

Het onderzoek stelt vast dat 75% van de kwaadwillig geregistreerde domeinnamen in de .be-zone op DNS-niveau worden aangepakt. In 49,6% van de gevallen gebeurt dat rechtstreeks door DNS Belgium. Onze Nederlandse collega’s kiezen ervoor het misbruik in eerste instantie door registrars te laten afhandelen.

Continue actie en bewustmaking

Op basis van ons onderzoek kunnen we verschillende aanbevelingen doen om phishing effectiever te bestrijden.