Snel antwoord
Welke soorten look-alike domeinnamen registreren phishers?
Phishers registreren zeven soorten look-alikes: typfout, weglating, koppelteken, extensiewissel, combosquatting, homoglyph en bitsquatting. Voor het fictieve merk examplecoin.com zijn examplecoin.co en examplecoin-login.com er twee van. Wardmint verkoopt 29 extensies en een bulkzoekopdracht van maximaal 50 namen, zodat een team zijn eigen versies van elke soort kan registreren.
Zeven soorten look-alikes, met voorbeelden op examplecoin.com
| Soort | Voorbeeld | Hoe het werkt | Wie het treft |
|---|---|---|---|
| Typfout (verwisseling of naburige toets) | examplecion.com | Twee letters verwisseld, of een toets naast de juiste | Een gebruiker die het adres typt |
| Weglating | exmplecoin.com | Eén letter weggelaten | Een gebruiker die snel typt |
| Koppelteken | example-coin.com | Een koppelteken toegevoegd tussen woorden | Een gebruiker die een adres in een bericht leest |
| Extensiewissel | examplecoin.co, examplecoin.cm | Dezelfde naam onder een andere extensie | Een gebruiker die de extensie veronderstelt |
| Combosquatting | examplecoin-login.com, claim-examplecoin.com | De naam plus een woord dat een handeling suggereert | Een gebruiker die een bericht of advertentie volgt |
| Homoglyph | examp1ecoin.com, exarnplecoin.com | Een teken dat op een ander lijkt: 1 voor l, rn voor m | Een gebruiker die het adres leest |
| Bitsquatting | dxamplecoin.com | Eén bit omgeklapt in een letter, bijvoorbeeld e (01100101) naar d (01100100) | Een apparaat waarvan het geheugen een bit omklapt |
Wat is een typfout- of weglatingsdomeinnaam?
Een typfoutdomeinnaam verschilt van de echte door een toetsenbordfout; een weglatingsdomeinnaam laat een letter weg. examplecion.com verwisselt de laatste twee letters van het merk, en exmplecoin.com laat de eerste a weg. Hun waarde voor een aanvaller is verkeer dat vanzelf binnenkomt: mensen typen adressen, en sommigen maken de fout. Een permutatietool genereert dit alles automatisch, en daarom is de lijst goedkoop te maken en goedkoop te verdedigen. Voor de verdediger zijn het de eerste namen om te registreren na de kernextensies. De gids over het vinden van look-alike domeinnamen laat zien hoe u ze met dnstwist genereert.
Wat is een extensiewissel?
Een extensiewissel behoudt de naam en verandert de extensie: examplecoin.co in plaats van examplecoin.com. De aanvaller gokt erop dat een lezer de ontbrekende letter niet opmerkt of aanneemt dat het project die extensie bezit. Het risico is het grootst bij extensies die op .com lijken of die bij uw sector passen. Volgens het onderzoek van Wardmint van 12 november 2026 worden 6 van de 10 extensies met de meeste phishingdomeinnamen in de gegevens van Interisle van mei 2025 tot april 2026 hier verkocht: .com, .pro, .info, .xyz, .shop en .icu. De keuze van extensies wordt uitgelegd in welke domeinnamen een cryptoproject moet registreren.
Wat is combosquatting?
Combosquatting voegt een echt woord toe aan het merk, zoals login, support, claim of airdrop, en past bij de berichten die oplichters versturen. examplecoin-login.com lijkt op een pagina die een project kan bezitten. Een nep-airdropbericht bevat een link naar examplecoin-claim.com, en de bezoeker verwacht het merk in het adres te zien. Omdat er veel mogelijke woorden zijn, kunt u niet alle combinaties registreren: kies de woorden die voorkomen in de oplichting die al op uw sector is gericht en voeg de andere toe naarmate monitoring ze vindt. Woorden bestaan ook als extensies, en daarom staan .support en .live in de set extensies; zie defensieve domeinregistratie voor hoe een set wordt opgebouwd.
Wat is een homoglyph-domeinnaam?
Een homoglyph-domeinnaam vervangt een teken door een teken dat er hetzelfde uitziet: een cijfer 1 voor l, of de twee letters rn voor m. examp1ecoin.com en exarnplecoin.com zijn zuiver ASCII en vereisen geen bijzondere behandeling. Een tweede familie gebruikt letters uit andere alfabetten, zoals een Cyrillische а in plaats van een Latijnse a. Die namen worden opgeslagen in de punycode-vorm xn-- en komen aan bod in wat een IDN-homograafaanval is. dnstwist bouwt zijn homoglyph-namen uit een onderzocht bereik van Unicode-tekens, gekozen zodat de resultaten kunnen worden geregistreerd.
Wat is bitsquatting?
Bitsquatting registreert een naam die door één omgeklapte bit van de uwe verschilt, en berust op geheugenfouten in plaats van menselijke fouten. De letter e is 01100101 in ASCII en d is 01100100, dus dxamplecoin.com ligt één bit van examplecoin.com. Een machine waarvan het geheugen die bit omklapt terwijl het adres erin staat, vraagt om de verkeerde naam. Wardmint vond in de bronnen die het las geen openbare telling van bitsquatting, dus komt het laatst in een defensieve lijst; de andere zes buiten uit wat een mens leest of typt.
Hoe verdedig ik me tegen alle zeven?
Bezit de waarschijnlijkste van elke soort, verwijs ze door, en gebruik gratis tools voor de rest. Registratie sluit de namen die u bezit: bulkzoekopdracht van maximaal 50 namen tegelijk, daarna één winkelwagen en één betaling voor alle namen, tegen $128.94 per jaar voor de zes kernnamen. Voor elke naam die u wel bezit, een DNS-sjabloon "geen e-mail" (null MX, SPF -all, DMARC p=reject) zodat een defensief domein niet kan worden gebruikt om uw e-mail te vervalsen, gratis URL-doorverwijzing om elke variant naar uw hoofdsite te sturen en automatische verlenging vanaf uw saldo zodat geen enkele variant verloopt. Een set look-alike-soorten is een checklist die u in een uur op uw eigen merk kunt toepassen, en u kunt de volledige lijst opstellen met de stappen in hoe u uw merk beschermt tegen typosquatting.
Welke look-alike-soorten verkoopt Wardmint?
Wardmint registreert de ASCII-namen van de eigen typfout-, weglatings-, koppelteken-, extensie-, combinatie- en homoglyph-varianten van een merk, binnen de 29 extensies die het verkoopt. Het registreert geen look-alikes van andermans merk, en zijn beleid voor acceptabel gebruik verbiedt dat. Een look-alike domeinnaam is een geregistreerde naam die is gebouwd om voor een andere te worden aangezien; een bezeten variant is dezelfde naam in handen van het merk dat hij nabootst.
Vragen over look-alike domeinnamen
Welke soort look-alike komt het meest voor bij cryptophishing?
Wardmint vond in de bronnen die het las geen openbare telling per soort. Combosquatting en extensiewissels zijn de soorten die bij valse airdrop- en supportberichten horen, dus registreer die eerst.
Is elke look-alike domeinnaam illegaal?
Nee. Sommige zijn geparkeerd, sommige zijn in handen van niet-gerelateerde eigenaren. Of er een inbreuk is, hangt af van de wet en, voor een UDRP, van de drie toetsen van het beleid.
Kan een look-alike een geldig HTTPS-certificaat gebruiken?
Ja. Elke domeinnaam kan er een krijgen, dus een slotje bewijst niets over de eigenaar. Certificaatlogs tonen uitgegeven certificaten, wat helpt om nieuwe namen op te merken.
Moet ik elke typfout van mijn naam registreren?
Nee. Registreer de waarschijnlijkste, verwijs ze door en houd de rest in de gaten. Een lijst van 50 namen past in één bulkzoekopdracht.
Samengevat
- Zeven soorten: typfout, weglating, koppelteken, extensiewissel, combosquatting, homoglyph, bitsquatting.
- Combosquatting en extensiewissels passen het best bij valse airdrop- en supportberichten.
- Homoglyphs omvatten rn voor m, 1 voor l en niet-Latijnse letters opgeslagen als xn--.
- Bitsquatting vereist een geheugenfout: één bit omgeklapt.
- 6 van de 10 extensies met de meeste phishingdomeinnamen (Interisle) worden verkocht bij Wardmint.
- Wardmint registreert alleen de eigen varianten van een merk, nooit die van een ander merk.
Bronnen (2)
- dnstwist, domain name permutation engine — GitHub (elceef/dnstwist) (gelezen 2026-11-12)
- Phishingactiviteit per TLD, mei 2025 tot april 2026 — Cybercrime Information Center (gelezen 2026-11-12)