Phishinglinks zijn gemaakt om een snelle blik te doorstaan. De merknaam staat erin, het slotje is er, en de pagina ziet er goed uit. Een URL leren lezen zoals een browser dat doet, kost een paar minuten, en daarmee doorziet u de meeste trucs hieronder.
De voorbeelden in dit artikel gebruiken ons eigen domein, angelforce.eu, en gereserveerde voorbeelddomeinen. Bezoek geen lookalike-domeinen om ze uit te proberen.
Vind het deel dat ertoe doet: het registreerbare domein
Een webadres bestaat uit meerdere delen. Maar één daarvan vertelt u wie de site beheert.
https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu| Deel | Waarde | Wie het beheert |
|---|---|---|
| Schema | https | Zegt niets over wie de eigenaar van de site is |
| Subdomeinen | login.angelforce.eu | Wie het registreerbare domein bezit |
| Registreerbaar domein | account-check.example | De domeineigenaar: dit is de site |
| Pad en query | /session/verify?ref=angelforce.eu | De domeineigenaar, en die kan hier alles neerzetten |
Lees de hostnaam van rechts naar links. Begin aan het eind, .example, en neem er één label links bij. Dat paar is het registreerbare domein, en wie dat heeft geregistreerd, beheert alles wat links ervan staat. Onze naam staat twee keer in de link hierboven, en geen van beide keren betekent iets.
Sommige extensies bestaan uit twee of meer labels. co.uk is een publiek suffix, dus in shop.example.co.uk is het registreerbare domein example.co.uk. Browsers gebruiken hiervoor de Public Suffix List, die door de gemeenschap wordt bijgehouden, bijvoorbeeld om het belangrijkste deel van een domein in de adresbalk te markeren.
Het slotje en https betekenen alleen dat de verbinding is versleuteld. Iedereen kan een certificaat krijgen voor een domein dat hij beheert, ook een aanvaller.
Lookalike-domeinen
De eenvoudigste truc is een domein dat bij een snelle blik leest als het uwe:
- een verwisselde letter:
angeIforce.eu, met een hoofdletter I in plaats van een kleine l, die in veel lettertypen op elkaar lijken - een extra woord:
angelforce-security.euofangelforce-eu.com - een andere extensie:
angelforce.coin plaats vanangelforce.eu
Geen van deze domeinen is van ons. Iedereen zou ze kunnen registreren.
Homografen en punycode
Domeinnamen kunnen letters uit andere alfabetten bevatten. In DNS worden ze opgeslagen in een ASCII-vorm die begint met xn--, gemaakt door een algoritme dat Punycode heet. De cyrillische letter "а" ziet er in de meeste lettertypen hetzelfde uit als de Latijnse "a", dus:
аngelforce.eu (first letter is Cyrillic)
xn--ngelforce-zyh.eu (what DNS actually sees)De eerste regel begint met een cyrillische letter; de tweede regel is wat DNS werkelijk ziet. Chrome toont een label in de xn---vorm als het schriften op een riskante manier mengt, bijvoorbeeld Latijns met cyrillisch. Chrome herkent ook namen die volledig uit lookalike-letters bestaan, zoals аррӏе.com, dat wordt getoond als xn--80ak6aa92e.com, en namen die op populaire domeinen lijken.
Vertrouw hier niet alleen op. Deze controles beschermen vooral bekende domeinen, en ze gelden niet voor de tekst van een link in een e-mail, die alles kan zeggen. Ziet u xn-- in een link die u niet verwachtte, behandel die dan als verdacht.
De @-truc
Staat er een @-teken vóór de eerste / na https://, dan is alles daarvoor "gebruikersinformatie" en niet de host. RFC 3986 waarschuwt dat dit deel zo kan worden opgesteld dat het op een vertrouwde domeinnaam lijkt.
https://www.angelforce.eu@203.0.113.50/loginDeze link gaat naar de server op 203.0.113.50. Het deel www.angelforce.eu wordt behandeld als gebruikersnaam, niet als bestemming. Een legitieme dienst heeft vrijwel nooit een reden om u een link te sturen met een @ vóór de host.
Linkverkorters en QR-codes
Korte links en QR-codes verbergen de bestemming tot nadat u hebt geklikt of gescand. Daar zijn ze voor bedoeld, en daarom gebruiken aanvallers ze ook. Het Britse NCSC raadt aan voorzichtig te zijn met het scannen van QR-codes in e-mails. Laat een korte link eerst uitklappen door een linkcontrole voordat u hem opent, of ga direct naar de dienst zelf.
Open redirects
Sommige legitieme sites hebben een doorverwijsfunctie die bezoekers naar elk adres stuurt dat in een parameter staat. Het OWASP-cheatsheet over ongevalideerde redirects toont een patroon als dit:
https://example.com/example.php?url=https://malicious.example.comDe link begint met een echt, vertrouwd domein, en daar gaat het juist om. Let op parameters zoals url=, next=, redirect= of return= die een tweede volledig adres bevatten. Op dat tweede adres komt u waarschijnlijk terecht.
Misleidende paden en subdomeinen
Merknamen in het pad of in subdomeinen kosten een aanvaller niets:
https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/Beide links horen bij secure-login.example. Lange paden met merknamen, Engelse woorden als "secure", "verify" of "account" en veel willekeurige tekens bewijzen niet dat het om phishing gaat, maar zijn wel een reden om beter te kijken.
Onbekende topleveldomeinen
Sommige topleveldomeinen lijken op iets anders. .zip is sinds 2014 een gedelegeerd topleveldomein, dus invoice.zip kan een website zijn in plaats van een bestand. Een link die eindigt op een bestandsnaam hoeft helemaal geen bestand te zijn.
Praktische gewoonten
- Beweeg eerst met de muis over de link of houd hem lang ingedrukt, en lees de echte bestemming, niet de linktekst.
- Ga zelf naar belangrijke sites. Gebruik bladwijzers of typ het adres in voor uw bank, salarisadministratie en de inlogpagina van Microsoft 365 of Google.
- Controleer bij de afzender via een bekend kanaal. Het NCSC raadt aan rechtstreeks contact op te nemen met de organisatie via de gegevens op haar officiële website, niet via de gegevens in het bericht.
- Gebruik een wachtwoordmanager. Die vult wachtwoorden alleen in op de site waar u ze hebt opgeslagen, dus hij biedt uw wachtwoord niet aan op een lookalike-domein. Passkeys gaan nog verder, omdat elke passkey aan de echte site is gebonden.
- Let op druk. Het NCSC noemt autoriteit, urgentie, emotie, schaarste en actuele gebeurtenissen als veelgebruikte haakjes in oplichtingsberichten.
- Meld het. Een verdacht bericht dat u meldt, helpt uw collega’s te beschermen, ook als u niet hebt geklikt.
Waar u begint
Plak een verdachte link in onze analyse van phishinglinks om te zien waar hij echt naartoe gaat, zonder hem te openen. Ziet de e-mail zelf er verkeerd uit, dan laat onze analyse van e-mailheaders zien welke servers het bericht hebben verwerkt en of SPF, DKIM en DMARC zijn geslaagd.
Wilt u uw team leren links op deze manier te lezen? Onze dienst advies en training kan daarbij helpen.
