DNS’ mørke side: Hvorfor én av fem nye domener kan være farlige

Hvert sekund registreres dusinvis av domener et eller annet sted i verden. Noen lanserer en startup. En utvikler setter opp en portefølje. En svindler oppretter en ny phishing-side designet for å stjele legitimasjon. Prosessen er identisk for alle – noen få klikk, en betaling, og plutselig finnes det en ny adresse på internett.

Hastigheten og tilgjengeligheten ved domenerregistrering er virkelig bemerkelsesverdig. Det er en av tingene som gjør det moderne nettet så dynamisk. Men den samme tilgjengeligheten har en skyggeside som bransjen har slitt med å håndtere.

Tallene er slående

En nylig analyse utført av Interisle Consulting Group undersøkte generiske toppnivådomener (gTLDs) – .com-ene, .website-ene og .fun-ene i verden – og fant noe alarmerende. Av de 85 millioner nye domenerregistreringene i 2025, dukket omtrent 8,5 millioner opp på sikkerhetsblokkeringslister innen mai. Det tilsvarer 10 % som er flagget som ondsinnede. Men forskere tror det faktiske tallet er nærmere 20 % når man tar hensyn til domener som ennå ikke er oppdaget eller assosiert med flaggede nettsteder.

La det synke inn. Én av fem nylig registrerte domener med et gTLD er sannsynligvis involvert i svindel, distribusjon av skadelig programvare eller annen kriminell aktivitet.

Noen toppnivådomener er verre enn andre. Tretten toppnivådomener hadde over halvparten av sine registreringer oppført på blokkeringslister. Forutsigbart nok viste domener som .bid og .loan – ofte brukt til falske bank- og betalingssvindel – ekstremt høye misbruksrater. Men tilstedeværelsen av TLD-er som .mobi på den listen tyder på at problemet ikke er begrenset til åpenbart mistenkelige utvidelser.

Hvorfor registrarer sliter med å henge med

Hos NameOcean tar vi domenesikkerhet på alvor. Vi implementerer sikkerhetstiltak, overvåker misbruksmønstre og arbeider for å sikre at plattformen vår ikke brukes til skadelige formål. Men her er den ubehagelige sannheten: Ingen registrar kan fange alt, og økonomien i situasjonen favoriserer angriperne.

Når en ondsinnet aktør registrerer et domene for en phishing-kampanje, bruker de det ofte i bare 24–48 timer. De sender ut millioner av spam-e-poster, høster legitimasjon fra uvitende ofre, og forlater domenet før de fleste blokkeringslistene reagerer. Når vårt misbruks-team eller eksterne sikkerhetstjenester flagger domenet, er skaden allerede skjedd.

Slik ser DNS-misbruk ut i praksis:

• Phishing-domener som etterligner banker, offentlige tjenester eller populære merkevarer
• Nettsteder for distribusjon av skadelig programvare forkledd som programvarenedlastinger eller oppdateringer
• Kommando- og kontroll-domener brukt av botnett
• Typosquatting-domener som utnytter vanlige skrivefeil (tenk «g00gle.com» eller «paypa1.com»)

Internett beveger seg i lysets hastighet. Misbruk beveger seg raskere.

Hva fungerer egentlig?

Forskningen fremhever at suspensjonsratene for blokkerte domener varierer fra kun 7,4 % til 16,3 % – noe som betyr at de fleste ondsinnede domenene forblir aktive selv etter å ha blitt flagget. Dette tyder på at den nåværende reaktive tilnærmingen ikke fungerer.

Så hva kan endre ligningen?

Bedre registrar-politikk ville vært en start. Flere store registrarer har blitt kritisert for svak håndtering av misbruk eller til og med for å bevisst hoste svindeldomener. Registrarer som investerer i proaktiv overvåking, raskere responstider og strengere vilkår for bruk, kan betydelig redusere misbruk på