- Typosquatting is het registreren van domeinnamen die één detail verschillen van het origineel: een gedraaide letter, een ander achtervoegsel of een sluwe subdomein-constructie.
- Je brein leest geen letters maar woordbeelden — daarom glipt “rabobnak” of “micros0ft” er bij vluchtig kijken zo makkelijk doorheen.
- Nepdomeinen duiken op in mails, advertenties, zoekresultaten en facturen; de plek waar je de link tegenkomt zegt niets over de betrouwbaarheid.
- De verdediging is niet beter spellen maar anders navigeren: bladwijzers, zelf intypen en de app — zodat je het nepdomein simpelweg nooit bereikt.
Lees deze twee adressen: jouwbank.nl en jouwbnak.nl. Grote kans dat je het verschil pas zag toen je ernaar zócht — en dat is precies het verdienmodel van typosquatting. Wie een domein registreert dat één detail afwijkt van een bekend adres, hoeft verder bijna niets te doen. Het slachtoffer doet het werk: even niet opletten, en je staat op de verkeerde site die er verdacht goed uitziet.
Typosquatting is een vorm van spoofing: je doet je voor als iets dat je niet bent, in dit geval op het niveau van de domeinnaam zelf. En omdat de truc inspeelt op hoe lezen in je hoofd werkt, helpt “beter opletten” maar beperkt. Laten we eerst kijken hoe de trucendoos eruitziet.
De vier smaken nepdomein
| Truc | Hoe het werkt | Voorbeeld (fictief) |
|---|---|---|
| Letterdraai of tikfout | Twee letters wisselen van plek, een letter verdwijnt of verdubbelt | jouwbnak.nl, jouwbankk.nl |
| Ander achtervoegsel | Zelfde naam, andere extensie of toevoeging | jouwbank.co in plaats van .nl, jouwbank-login.nl |
| Subdomein-truc | De echte naam staat vooraan, maar het werkelijke domein staat erachter | jouwbank.nl.veilig-inloggen.com |
| Homoglyfen | Tekens die op letters lijken: een nul voor een o, een hoofdletter I voor een kleine l, of letters uit een ander alfabet | j0uwbank.nl, jouwbɑnk.nl |
Vooral die subdomein-truc verdient een tweede blik, want hij voelt tegennatuurlijk: in een webadres telt wat er vlak vóór het laatste punt-en-achtervoegsel staat. Bij jouwbank.nl.veilig-inloggen.com is het echte domein dus veilig-inloggen.com — het vertrouwde “jouwbank.nl” is daar slechts een voorvoegsel, zoals iedereen “jouwbank” vóór zijn eigen domein kan plakken. En vergis je niet: zo’n nepsite kan gewoon een slotje en https hebben. Dat slotje zegt alleen dat de verbinding versleuteld is, niet met wíe je verbonden bent.
Waarom je brein dit niet ziet: woordbeelden in plaats van letters
Geoefende lezers spellen niet, ze herkennen. Je brein matcht de globale vorm van een woord — eerste letter, laatste letter, lengte, omtrek — met een woordbeeld in je geheugen, en vult de rest in. Dat is normaal gesproken een zegen: het maakt lezen snel en moeiteloos. Bij domeinnamen is het een achilleshiel, want “jouwbnak” heeft vrijwel hetzelfde woordbeeld als “jouwbank” en wordt dus probleemloos als zodanig gelezen.
Tel daar verwachting bij op. Wie op een link klikt in een mail die over zijn bank lijkt te gaan, verwácht de banksite — en zien is voor een flink deel verwachten. Het brein corrigeert kleine afwijkingen stilzwijgend weg in de richting van wat het al dacht te zullen zien. Tegen een homoglyf, waarbij de afwijking optisch nagenoeg nul is, is aandachtig kijken al helemaal kansloos: sommige tekens uit andere alfabetten zijn op een scherm letterlijk niet van de echte letter te onderscheiden.
Je leest niet wat er staat; je leest wat je verwacht dat er staat. Typosquatting verkoopt je je eigen verwachting terug.
Waarom opletten niet volstaat
Waar nepdomeinen opduiken
Het klassieke beeld — je typt zelf een adres verkeerd in en belandt op de nepsite — bestaat nog steeds, maar is allang niet meer de hoofdroute. Nepdomeinen worden actief naar je toe gebracht. In phishingmails, uiteraard, waar het lookalike-domein de link geloofwaardig moet maken. Maar ook in advertenties bovenaan zoekresultaten: wie naar zijn bank of een populaire webshop zoekt, kan boven het echte resultaat een gekochte advertentie met een lookalike-adres aantreffen. Zoekmachines halen die er meestal snel uit, maar “meestal snel” is niet “altijd meteen”.
De sluwste variant zit in zakelijke facturen en betaalverzoeken. Een mail van “je leverancier” vanaf een domein dat één letter afwijkt, met een factuur die verder klopt tot en met het logo en het projectnummer — daar is menig administratie ingetrapt. Het lookalike-domein doet hier dubbel werk: het maakt de afzender geloofwaardig én het vangt eventuele antwoorden af, zodat de echte leverancier nergens van weet.
Niet beter spellen, maar anders navigeren
Als je brein woordbeelden leest, is “controleer de spelling van elk domein” een advies dat tegen je eigen bedrading ingaat. Slimmer is het om de route te veranderen, zodat de spelling er niet meer toe doet.
- Maak bladwijzers voor alles wat geld of inloggegevens raakt. Je bank, je verzekeraar, je belangrijkste webshops, je werkportalen. Eén keer goed aanmaken, daarna kun je nooit meer verkeerd typen of verkeerd klikken.
- Gebruik de app waar die bestaat. Een app verbindt met zijn eigen dienst; de hele kans op een verkeerde domeinnaam vervalt.
- Behandel links als bezorgers, niet als bestemmingen. Een link in een mail, sms of advertentie brengt je ergens heen — maar voor alles wat gevoelig is, ga je er via je eigen bladwijzer of de zelf ingetypte naam naartoe. Wat de link beweerde, controleer je dáár.
- Geef je wachtwoordmanager een rol als waakhond. Een wachtwoordmanager vult inloggegevens alleen in op het exacte domein waarvoor ze zijn opgeslagen. Weigert hij op een inlogpagina ineens te vullen, dan is dat geen storing maar een signaal: dit is niet de site die je denkt dat het is.
Praktijktip voor teams: spreek af dat gewijzigde rekeningnummers of betaalgegevens van leveranciers nooit alleen per mail worden geaccepteerd, maar altijd telefonisch worden geverifieerd via het nummer dat je al hád. Dat ontmantelt de gevaarlijkste toepassing van lookalike-domeinen in één klap.
Wat je morgen anders doet
Trek er een kwartier voor uit: zet bladwijzers klaar voor de vijf à tien sites waar je inlogt of betaalt, en neem je voor om die voortaan als enige ingang te gebruiken. Vanaf dat moment mag elk lookalike-domein zo perfect zijn als het wil — jij komt er gewoon nooit meer langs. Wie zijn navigatie op orde heeft, hoeft de spelfout niet meer te winnen van zijn eigen woordbeeld.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.