De gevolgen van het kwijtraken van een domein zijn direct en ernstig. Je website ligt eruit, je e-mail werkt niet meer en elke bezoeker die je adres typt, komt ergens terecht waar jij geen controle over hebt. Voor een merk dat zijn reputatie rond een bepaalde naam heeft opgebouwd, reikt de schade veel verder dan de technische verstoring. Een gekaapt domein terugkrijgen is mogelijk, maar traag, onzeker en soms niet succesvol. Veel beter is het om kapen vooraf moeilijk te maken.
Wat is domeinkaping?
Bij domeinkaping neemt iemand zonder jouw toestemming de controle over van een domein dat van jou is. De aanvaller draagt het domein over naar een andere registrar, zet het eigendom over naar een ander account, of doet beide na elkaar. Is de overdracht eenmaal klaar, dan kun je het domein niet meer beheren, verlengen of naar je server laten wijzen.
Het is iets anders dan domeinsquatten, waarbij iemand een naam registreert die op de jouwe lijkt. Kapen richt zich op een domein dat je al bezit en waar je je merk omheen hebt gebouwd. Het doel van de aanvaller is meestal het domein tegen een opgeblazen prijs aan jou terug te verkopen, het vast te houden voor losgeld, je verkeer om te leiden of je e-mail over te nemen om bij andere accounts te komen die aan dat adres hangen.
Om te begrijpen waarom dit kan, helpt het om te weten hoe een domeinoverdracht normaal werkt. Verhuis je een domein van de ene registrar naar de andere, dan geef je een autorisatiecode op en bevestig je het verzoek. De overdracht duurt enkele dagen en kan in die periode worden geannuleerd. Kapers misbruiken dit proces door in je registraraccount of e-mailadres te komen, de overdracht zelf goed te keuren en af te ronden voordat je merkt dat er iets mis is. Meer over hoe het overdrachtsproces werkt lees je in het hoofdstuk wat is een domeinoverdracht.
Hoe gebeurt domeinkaping?
Kapen begint bijna altijd via een van vier ingangen. Alle vier dichtzetten is hoe je jezelf beschermt.
Phishingaanvallen op je registrarlogin
De meest voorkomende methode is een phishingmail die een bericht van je domeinregistrar nabootst. Het bericht kan waarschuwen dat je domein bijna verloopt, dat er een verdachte login is gezien of dat je je account moet verifiëren. De link in de e-mail leidt naar een nepinlogpagina die je gebruikersnaam en wachtwoord opvangt. Met die gegevens logt de aanvaller in op je echte account en start een overdracht.
Phishingmails gericht op domeineigenaren zijn zeer overtuigend geworden. Ze kopiëren de exacte huisstijl en taal van echte berichten van registrars. De enige betrouwbare verdediging is nooit te klikken op links in e-mails die vragen om in te loggen. Open in plaats daarvan de website van je registrar rechtstreeks vanuit je browser en bekijk je account vandaar.
Gehackte e-mailaccounts
Je registraraccount is maar zo veilig als het e-mailadres dat eraan hangt. Krijgt een aanvaller toegang tot je e-mail, dan kan hij bij je registrar de functie "wachtwoord vergeten" gebruiken om je login te resetten en je account over te nemen. Daarom is het contact-e-mailadres van je registrar een van de gevoeligste dingen die je bezit. Een zwak of hergebruikt wachtwoord op dat e-mailaccount geeft een directe weg naar je domein.
Zwakke of hergebruikte wachtwoorden
Een zwak wachtwoord op je registraraccount is een open uitnodiging. Aanvallers gebruiken geautomatiseerde tools die combinaties van gebruikersnaam en wachtwoord uit andere datalekken automatisch op inlogpagina's van registrars uitproberen. Hergebruik je een wachtwoord van een dienst die ooit is gehackt, dan loopt je domein gevaar.
Social engineering
Sommige kapers omzeilen technische methoden helemaal en nemen rechtstreeks contact op met de klantenservice van je registrar, waarbij ze zich voordoen als jou. Ze zeggen de toegang tot hun account kwijt te zijn en vragen de klantenservice de inloggegevens te resetten. Zijn je WHOIS-contactgegevens openbaar zichtbaar, dan hebben ze al je naam, e-mailadres en adres om hun verhaal te onderbouwen. Dit is een van de redenen dat WHOIS-privacy ertoe doet voor domeinbeveiliging, een onderwerp uit het vorige hoofdstuk over wat WHOIS-privacy is.
Wat zijn de gevolgen van domeinkaping?
De gevolgen van een geslaagde kaping reiken verder dan het domein zelf. Je website gaat offline zodra de aanvaller de DNS-instellingen wijzigt. Bezoekers krijgen foutmeldingen of komen op een pagina die jij niet hebt gemaakt. E-mail naar je domein komt terug of belandt in de inbox van de aanvaller, inclusief e-mails voor het resetten van wachtwoorden van elke dienst die aan dat adres hangt. Elk account dat je domein-e-mail gebruikt, ligt bloot.
De merkschade loopt snel op. Klanten die je proberen te bereiken, lukt dat niet. Partners die e-mails sturen krijgen geen antwoord. Zet de aanvaller een frauduleuze pagina op je domein, dan kunnen bezoekers worden misleid of hun gegevens kwijtraken, en wordt de naam van je merk met die ervaring verbonden.
Het domein terugkrijgen via het geschillenproces van ICANN of een rechterlijk bevel kan weken tot maanden duren. Terugkrijgen is niet gegarandeerd. Sommige domeinen worden overgedragen naar registrars in landen waar geschillen moeilijk te voeren zijn, en sommige aanvallers verkopen domeinen zo snel door dat het spoor ingewikkeld wordt. Hoe langer herstel duurt, hoe meer de zoekposities en e-mailreputatie van een merk achteruitgaan.
Hoe voorkom je domeinkaping?
Voorkomen is eenvoudig. Elke maatregel hieronder dicht een van de ingangen die aanvallers gebruiken. Samen maken ze het kapen van je domein aanzienlijk moeilijker dan bij iemand die deze stappen niet heeft genomen.
Houd het registrarslot (overdrachtsslot) aan
Het registrarslot, ook wel overdrachtsslot of domeinslot genoemd, is een statusinstelling die voorkomt dat je domein naar een andere registrar wordt overgedragen totdat je het uitdrukkelijk uitzet. Staat het slot aan, dan wordt elk overdrachtsverzoek automatisch afgewezen. De meeste registrars bieden deze functie en laten hem standaard uit, het tegenovergestelde van wat je wilt.
Log nu in op je registraraccount en controleer of het slot op je domein aanstaat. Staat het uit, zet het dan aan. Het enige moment waarop je het uit zou moeten zetten is wanneer je zelf actief bezig bent het domein over te dragen, en zet het weer aan zodra de overdracht klaar is.
Gebruik een sterk, uniek wachtwoord voor je registraraccount
Het wachtwoord van je registraraccount moet lang en willekeurig zijn en nergens anders worden gebruikt. Een wachtwoordmanager maakt dit makkelijk. Maak een wachtwoord van minstens 16 tekens en bewaar het in een wachtwoordmanager in plaats van het op te schrijven of te proberen te onthouden. Hergebruik nooit een wachtwoord van een andere dienst voor je registrarlogin.
Zet tweestapsverificatie aan op je registraraccount
Tweestapsverificatie (2FA) vraagt bij het inloggen om een tweede bewijs, meestal een code uit een authenticatie-app, naast je wachtwoord. Ook als een aanvaller je wachtwoord via phishing of een datalek bemachtigt, komt hij niet in je account zonder ook je tweede factor te beheersen. De meeste grote registrars ondersteunen 2FA. Doet die van jou dat niet, dan is dat een reden om over te stappen naar een registrar die het wel doet.
Gebruik waar mogelijk een authenticatie-app in plaats van verificatie via sms. Sms-codes kunnen worden onderschept via aanvallen waarbij iemand je mobiele provider misleidt je telefoonnummer naar een toestel te verplaatsen dat hij beheert. Een authenticator in een app is daar beter tegen bestand.
Houd je WHOIS-contactmailadres veilig en bereikbaar
Het e-mailadres in het WHOIS-record van je domein is het adres waarnaar je registrar bevestigingsverzoeken voor overdrachten stuurt. Start een aanvaller een overdracht, dan gaat er een bevestigingsmail naar dat adres. Heb je geen toegang meer tot dat adres, of beheert de aanvaller het, dan kan de overdracht doorgaan zonder dat je het weet.
Gebruik een eigen e-mailadres voor je domeinregistratie, geen persoonlijk adres dat je misschien opgeeft en geen gedeelde inbox waar anderen bij kunnen. Zorg dat het account een sterk wachtwoord en 2FA heeft. Kijk er vaak genoeg in om een bevestigingsmail van een overdracht te zien voordat de overdrachtsperiode voorbij is.
Zet WHOIS-privacy aan om het risico op social engineering te verkleinen
Staat WHOIS-privacy uit, dan zijn je naam, e-mailadres, telefoonnummer en postadres openbaar doorzoekbaar in de wereldwijde WHOIS-database. Die informatie geeft een social engineer alles wat hij nodig heeft om zich voor te doen als jou bij de klantenservice van je registrar. WHOIS-privacy vervangt je persoonlijke contactgegevens door algemene contactgegevens van de registrar, waardoor het basismateriaal voor dit soort aanvallen verdwijnt.
Alle details over hoe WHOIS-privacy werkt en wat het beschermt staan in het vorige hoofdstuk over WHOIS-privacy. Staat het nog niet aan op je domein, dan haal je er nu weer een risico mee weg.
Registreer je domein bij een betrouwbare registrar
Niet elke registrar heeft dezelfde beveiligingsnormen of klantenservicepraktijken. Een registrar met strenge identiteitscontrole, duidelijke escalatieprocedures bij accountgeschillen en sterke ondersteuning van 2FA geeft je domein minder snel weg aan iemand die zich als jou voordoet dan een registrar die op minimale verificatie vertrouwt. Een domein registreren bij een goedkope aanbieder om een paar euro te besparen is een beveiligingsafweging die het niet waard is. Het hoofdstuk over een domein registreren beschrijft waar je op let bij het kiezen van een registrar.
Verleng je domeinregistratie voordat die verloopt
Een verlopen domein is een kwetsbaar domein. Loopt je registratie af, dan komt het domein in een respijtperiode en kan daarna door iedereen worden geregistreerd. Aanvallers houden verlopende domeinen in de gaten, vooral die met een gevestigd merk en backlinks, en registreren ze zodra ze vrijvallen. Dan vraagt het terugkrijgen van het domein onderhandelen met degene die het registreerde, wat duur of onmogelijk kan zijn.
Zet automatische verlenging aan op elk domein dat je bezit. Zet als reserve minstens 60 dagen voor de vervaldatum een herinnering in je agenda. Zorg dat je opgeslagen betaalmethode actueel is, zodat automatische verlenging niet ongemerkt mislukt. Wil je het volledige tijdpad bij verlopen begrijpen en wat er in elke fase gebeurt, dan behandelt het hoofdstuk over het verlopen van een domein en hoe je dat controleert elke fase in detail. Het hoofdstuk over een domeinnaam blijvend kopen beschrijft strategieën voor langdurige registratie die het risico op verlopen verder verkleinen.
Wat doe je als je domein is gekaapt?
Snelheid telt. Hoe eerder je handelt, hoe groter de kans op herstel. Dit is de volgorde van acties.
Neem direct contact op met de klantenservice van je registrar en meld de ongeoorloofde overdracht. Geef zoveel mogelijk documentatie, waaronder de oorspronkelijke registratiebewijzen, betalingsoverzichten en correspondentie waaruit blijkt dat jij de rechtmatige eigenaar bent. Registrars hebben procedures voor meldingen van kaping en kunnen een overdracht soms bevriezen of terugdraaien als die recent is gestart en nog niet helemaal is afgerond.
Is het domein al naar een andere registrar overgedragen, dien dan een klacht in bij ICANN via het geschillenproces voor overdrachten. Dit proces is speciaal bedoeld voor ongeoorloofde overdrachten en kan een registrar verplichten er een terug te draaien. Het duurt meestal 30 tot 60 dagen en vraagt documentatie van eigendom.
Leg ondertussen alles vast. Maak schermafbeeldingen van je registraraccount, alle e-mails die je kreeg en alle wijzigingen die zichtbaar zijn in WHOIS. Deze documentatie ondersteunt zowel de klacht bij ICANN als eventuele juridische stappen die je moet zetten.
Verander direct het wachtwoord en zet 2FA aan op je registraraccount en je WHOIS-contactmailadres, ook als het domein al is verhuisd. Zijn die accounts door een aanvaller gehackt, dan stel je met open accounts andere domeinen van jou bloot en kan de aanvaller een herstelpoging dwarsbomen.
Hoe lang duurt herstel?
De hersteltijd verschilt sterk, afhankelijk van hoe snel je handelt, hoe meewerkend de ontvangende registrar is en of het domein meer dan één keer van eigenaar is gewisseld. Het formele geschillenproces van ICANN duurt weken tot maanden. Vrijwillige medewerking van de ontvangende registrar kan dit versnellen, maar is niet gegarandeerd. Een juridische procedure via een rechterlijk bevel duurt nog langer en heeft geen zekere afloop.
Een gekaapt domein is moeilijker te herstellen dan de meeste beveiligingsincidenten, omdat er geen "ongedaan maken"-knop is. Een gehackt wachtwoord kun je resetten. Een gehackt e-mailaccount kun je herstellen. Een overgedragen domein is in handen van iemand anders, in een ander account, mogelijk bij een andere registrar in een ander land. De oorspronkelijke registratiedocumenten helpen, maar zijn niet altijd genoeg.
Daarom doen de preventiestappen hierboven meer ertoe dan de herstelstappen. Het doel is je domein zo moeilijk te kapen te maken dat een aanvaller doorgaat naar een makkelijker doelwit. Wil je de meest voorkomende fouten vermijden waardoor domeinen kwetsbaar worden, dan behandelt het hoofdstuk over fouten bij domeinnamen die je moet vermijden de bredere patronen die domeineigenaren in gevaar brengen.
Zo regelt WEMASY domeinbeveiliging
Registreer je een domein via WEMASY, dan staat het overdrachtsslot standaard aan op alle domeinen. WHOIS-privacy zit zonder extra kosten bij elke registratie. Je domeinregistratie hangt direct aan je WEMASY-account, dat tweestapsverificatie ondersteunt, dus voor toegang tot je domeinbeheer heb je zowel je wachtwoord als je tweede factor nodig.
Automatische verlenging staat standaard aan voor alle domeinen die via WEMASY zijn geregistreerd, en verlengingsherinneringen worden 90, 60 en 30 dagen voor de vervaldatum verstuurd, zodat je geen verlenging mist. Wat elk abonnement bevat, zie je op de prijzenpagina van WEMASY.
Veelgestelde vragen over domeinkaping
Kan een domein worden gekaapt als ik niets verkeerd heb gedaan?
Ja. Kaping komt niet altijd door nalatigheid van de eigenaar. Een datalek bij een dienst waar je je registrarwachtwoord hergebruikte, een geraffineerde phishingmail die moeilijk te herkennen was of een social-engineeringtelefoontje naar de klantenservice van je registrar kan allemaal slagen, ook als je voorzichtig bent geweest. Daarom is gelaagde bescherming belangrijk, met registrarslot, 2FA en WHOIS-privacy. Geen enkele maatregel is op zichzelf waterdicht, maar samen maken ze het aanzienlijk moeilijker. Met de websitebouwer van WEMASY zet je dit direct op in je website.
Voorkomt het registrarslot alle vormen van domeinkaping?
Het registrarslot voorkomt ongeoorloofde overdrachten naar een andere registrar. Het houdt een aanvaller die al toegang heeft tot je registraraccount niet tegen om je DNS-records, nameservers of contactgegevens te wijzigen. Voor volledige bescherming heb je het registrarslot nodig plus een sterk wachtwoord, 2FA en een veilig contactmailadres. Elke laag blokkeert een ander soort aanval.
Wat is het verschil tussen domeinkaping en DNS-kaping?
Bij domeinkaping gaat het eigendom van de domeinregistratie zelf over. DNS-kaping verandert waar het domein naartoe wijst zonder het eigendom over te dragen. Bij DNS-kaping wijzigt de aanvaller de DNS-records in je registraraccount om verkeer om te leiden naar een server die hij beheert, maar jouw naam blijft op de registratie staan. Beide zijn ernstig en beide vragen om accountbeveiliging om ze te voorkomen. Het registrarslot pakt specifiek domeinkaping aan door overdrachten te blokkeren. DNS-kaping voorkom je door de toegang tot je account te beveiligen met een sterk wachtwoord en 2FA.
Haalt Google mijn site uit de index als mijn domein wordt gekaapt?
Niet direct. De index van Google geeft de laatst gecrawlde staat van je site weer. Maar wijzigt de aanvaller je DNS zodat het naar andere content wijst, dan crawlt Google uiteindelijk de nieuwe content en past de index daarop aan. Schendt de nieuwe content de richtlijnen van Google, dan kan een handmatige straf volgen. Hoe langer het domein buiten je controle is, hoe meer je zoekposities en de reputatie van je site kunnen achteruitgaan. Snel handelen is belangrijk om je zoekzichtbaarheid te beschermen, niet alleen de toegang tot je website.
Moet ik mijn domein registreren op dezelfde plek waar ik mijn website host?
Daar zijn verschillende meningen over. Domein en hosting bij elkaar houden vereenvoudigt het beheer en verkleint het aantal accounts dat je moet beveiligen. Sommige merken registreren hun domein liever apart van hun hostingaanbieder als voorzorg, zodat een gehackt account niet meteen beide blootstelt. Beide aanpakken kun je veilig maken met goede accountgewoonten. Houd je ze bij elkaar, dan is de prioriteit dat dat gedeelde account een sterk wachtwoord, 2FA en een actief registrarslot heeft.
Het volgende hoofdstuk gaat over SSL-certificaten en domeinen: wat een SSL-certificaat doet, hoe het aan je domein is gekoppeld en waarom het invloed heeft op hoe bezoekers en browsers je site zien.