De donkere kant van het DNS: waarom 1 op de 5 nieuwe domeinen gevaarlijk kan zijn

Elke seconde worden er tientallen domeinen ergens ter wereld geregistreerd. Iemand lanceert een startup. Een ontwikkelaar zet een portfolio op. Een oplichter richt een nieuwe phishingpagina in om inloggegevens te stelen. Het proces is voor allemaal identiek: een paar klikken, een betaling, en plotseling is er een nieuw adres op het internet.

De snelheid en toegankelijkheid van domeinregistratie zijn werkelijk opmerkelijk. Het is een van de dingen die het moderne web zo dynamisch maken. Maar diezelfde toegankelijkheid heeft een schaduwzijde waar de industrie moeite mee heeft gehad.

De cijfers zijn verbluffend

Een recente analyse van Interisle Consulting Group onderzocht generieke top-level domeinen (gTLD’s) – de .com’s, .websites en .fun’s van de wereld – en vond iets alarmerends. Van de 85 miljoen nieuwe domeinregistraties in 2025 waren er tegen mei ongeveer 8,5 miljoen opgenomen in beveiligingsblocklists. Dat is 10% die als kwaadaardig is gemarkeerd. Maar onderzoekers geloven dat het werkelijke cijfer dichter bij de 20% ligt, als rekening wordt gehouden met domeinen die nog niet zijn gedetecteerd of gekoppeld aan gemarkeerde sites.

Laat dat even bezinken. Eén op de vijf nieuw geregistreerde domeinen met een gTLD is waarschijnlijk betrokken bij oplichting, malware-distributie of andere criminele activiteiten.

Sommige TLD’s zijn erger dan andere. Dertien top-level domeinen hadden meer dan de helft van hun registraties op blocklists staan. Voorspelbaar vertoonden domeinen zoals .bid en .loan – vaak gebruikt voor nepbankieren en betalingsoplichting – extreem hoge misbruikcijfers. Maar de aanwezigheid van TLD’s zoals .mobi op die lijst suggereert dat het probleem zich niet beperkt tot voor de hand liggend verdachte extensies.

Waarom registrars moeite hebben om bij te houden

Bij NameOcean nemen we domeinbeveiliging serieus. We implementeren waarborgen, monitoren patronen van misbruik en werken eraan om ervoor te zorgen dat ons platform niet voor schadelijke doeleinden wordt gebruikt. Maar hier is de ongemakkelijke waarheid: geen enkele registrar kan alles opvangen, en de economie van de situatie speelt aanvallers in de kaart.

Wanneer een kwaadwillende actor een domein registreert voor een phishingcampagne, gebruiken ze het vaak slechts 24-48 uur. Ze versturen miljoenen spam-e-mails, oogsten inloggegevens van nietsvermoedende slachtoffers en laten het domein achter voordat de meeste blocklists kunnen reageren. Tegen de tijd dat ons misbruikteam of externe beveiligingsdiensten het domein markeren, is de schade al aangericht.

Zo ziet DNS-misbruik er in de praktijk uit:

• Phishing-domeinen die banken, overheidsdiensten of populaire merken nabootsen
• Malware-distributiesites vermomd als software-downloads of updates
• Command-and-control-domeinen die door botnets worden gebruikt
• Typosquatting-domeinen die misbruik maken van veelvoorkomende spelfouten (denk aan "g00gle.com" of "paypa1.com")

Het internet beweegt met de snelheid van het licht. Misbruik beweegt nog sneller.

Wat werkt er wel?

Het onderzoek benadrukt dat de opschortingspercentages voor domeinen op blocklists variëren van slechts 7,4% tot 16,3% – wat betekent dat de meeste kwaadaardige domeinen actief blijven, zelfs nadat ze zijn gemarkeerd. Dit suggereert dat de huidige reactieve aanpak niet werkt.

Wat zou de vergelijking dan kunnen veranderen?

Betere registrar-beleid zou een begin zijn. Verschillende grote registrars zijn bekritiseerd vanwege zwakke afhandeling van misbruik of zelfs het bewust hosten van oplichtingsdomeinen. Registrars die investeren in proactieve monitoring, snellere reactietijden en strengere servicevoorwaarden kunnen misbruik op hun platforms aanzienlijk verminderen.

Domeinreputatiesystemen, vergelijkbaar met afzenderscores voor e-mail, zouden kunnen helpen. Als een nieuw geregistre