DNS’ens mørke side: Hvorfor hver femte ny domæne kan være farlig

Hvert sekund registreres der dusinvis af domæner et eller andet sted i verden. Nogle starter en startup. En udvikler opretter en portefølje. En svindler opsætter endnu en phishing-side designet til at stjæle loginoplysninger. Processen er identisk for alle – få klik, en betaling, og pludselig er der en ny adresse på internettet.

Hastigheden og tilgængeligheden af domæneregistrering er virkelig bemærkelsesværdig. Det er en af de ting, der gør det moderne web så dynamisk. Men den samme tilgængelighed har en skyggeside, som branchen har haft svært ved at håndtere.

Tallene er slående

En nylig analyse fra Interisle Consulting Group undersøgte generiske topdomæner (gTLD’er) – .com’erne, .websites’erne og .fun’erne i verden – og fandt noget alarmerende. Af de 85 millioner nye domæneregistreringer i 2025 dukkede cirka 8,5 millioner op på sikkerhedsblokeringslister inden maj. Det svarer til 10 %, der er markeret som ondsindede. Men forskere mener, at det reelle tal er tættere på 20 %, når man tager højde for domæner, der endnu ikke er opdaget eller er associeret med markerede sider.

Lad det synke ind. Hver femte nyregistrerede domæne med et gTLD er sandsynligvis involveret i svindel, malware-distribution eller anden kriminel aktivitet.

Nogle topdomæner er værre end andre. Tretten topdomæner havde mere end halvdelen af deres registreringer opført på blokeringslister. Forudsigeligt viste domæner som .bid og .loan – ofte brugt til falske bank- og betalingssvindel – ekstremt høje misbrugsprocenter. Men tilstedeværelsen af topdomæner som .mobi på listen tyder på, at problemet ikke er begrænset til åbenlyst mistænkelige udvidelser.

Hvorfor registrarerne har svært ved at holde trit

Hos NameOcean tager vi domænesikkerhed seriøst. Vi implementerer sikkerhedsforanstaltninger, overvåger misbrugsmønstre og arbejder på at sikre, at vores platform ikke bruges til skadelige formål. Men her er den ubehagelige sandhed: Ingen registrar kan fange alt, og økonomien i situationen begunstiger angriberne.

Når en ondsindet aktør registrerer et domæne til en phishing-kampagne, bruger de det ofte kun i 24-48 timer. De sender millioner af spam-mails, høster loginoplysninger fra uvidende ofre og forlader domænet, før de fleste blokeringslister kan reagere. Når vores misbrugsteam eller eksterne sikkerhedstjenester markerer domænet, er skaden allerede sket.

Sådan ser DNS-misbrug ud i praksis:

• Phishing-domæner, der udgiver sig for banker, offentlige tjenester eller populære mærker
• Malware-distributionssider, der er maskeret som softwaredownloads eller opdateringer
• Command-and-control-domæner, der bruges af botnets
• Typosquatting-domæner, der udnytter almindelige stavefejl (tænk på "g00gle.com" eller "paypa1.com")

Internettet bevæger sig med lysets hastighed. Misbrug bevæger sig hurtigere.

Hvad virker egentlig?

Undersøgelsen fremhæver, at suspenderingsprocenterne for domæner på blokeringslister ligger på blot 7,4 % til 16,3 % – hvilket betyder, at de fleste ondsindede domæner forbliver aktive, selv efter de er blevet markeret. Dette tyder på, at den nuværende reaktive tilgang ikke virker.

Hvad kunne så ændre ligningen?

Bedre registrar-politikker ville være en start. Flere store registrarer er blevet kritiseret for at have svag håndtering af misbrug eller endda bevidst hoste svindeldomæner. Registrarer, der investerer i proaktiv overvågning, hurtigere respon