DNS:ets mörka sida: Varför var femte nya domän kan vara farlig

Varje sekund registreras dussintals domäner någonstans i världen. Någon startar ett startup-företag. En utvecklare sätter upp en portfölj. En bedragare skapar ytterligare en nätfiskesida utformad för att stjäla inloggningsuppgifter. Processen är identisk för alla – några klick, en betalning, och plötsligt finns det en ny adress på internet.

Hastigheten och tillgängligheten vid domänregistrering är genuint anmärkningsvärd. Det är en av sakerna som gör det moderna webbnätverket så dynamiskt. Men samma tillgänglighet har en skuggsida som branschen har haft svårt att hantera.

Siffrorna är slående

En nyligen genomförd analys av Interisle Consulting Group undersökte generiska toppdomäner (gTLD) – .com, .website och .fun i världen – och fann något alarmerande. Av de 85 miljoner nya domänregistreringarna under 2025 hamnade cirka 8,5 miljoner på säkerhetsblocklistor senast i maj. Det innebär att 10 % flaggades som skadliga. Men forskare tror att den verkliga siffran ligger närmare 20 % när man tar hänsyn till domäner som ännu inte upptäckts eller som är kopplade till flaggade webbplatser.

Låt det sjunka in. Var femte nyligen registrerad domän med en gTLD är sannolikt inblandad i bedrägerier, spridning av skadlig kod eller annan brottslig verksamhet.

Vissa toppdomäner är värre än andra. Tretton toppdomäner hade mer än hälften av sina registreringar på blocklistor. Förutsägbart visade domäner som .bid och .loan – ofta använda för falska bank- och betalningsbedrägerier – extremt höga missbruksnivåer. Men förekomsten av toppdomäner som .mobi på den listan tyder på att problemet inte är begränsat till uppenbart misstänkta tillägg.

Varför registreringsbolagen har svårt att hänga med

På NameOcean tar vi domänsäkerhet på allvar. Vi implementerar skyddsåtgärder, övervakar missbruksmönster och arbetar för att säkerställa att vår plattform inte används för skadliga ändamål. Men här är den obekväma sanningen: inget registreringsbolag kan fånga upp allt, och ekonomiska incitament gynnar angriparna.

När en skadlig aktör registrerar en domän för en nätfiskekampanj använder de den ofta bara i 24–48 timmar. De skickar ut miljontals spammejl, samlar in inloggningsuppgifter från ovetande offer och överger domänen innan de flesta blocklistor hinner reagera. När vårt missbruksteam eller externa säkerhetstjänster väl flaggar domänen är skadan redan skedd.

Så här ser DNS-missbruk ut i praktiken:

• Nätfiskedomäner som utger sig för att vara banker, statliga tjänster eller populära varumärken
• Sidor för spridning av skadlig kod utklädda till programvarunedladdningar eller uppdateringar
• Kommando- och kontroll-domäner som används av botnät
• Stavfelutnyttjande domäner (typosquatting) som utnyttjar vanliga stavfel (tänk "g00gle.com" eller "paypa1.com")

Internet rör sig i ljusets hastighet. Missbruket rör sig snabbare.

Vad fungerar egentligen?

Forskningen visar att suspenderingsgraden för domäner på blocklistor ligger mellan bara 7,4 % och 16,3 % – vilket innebär att de flesta skadliga domäner förblir aktiva även efter att de flaggats. Detta tyder på att det nuvarande reaktiva tillvägagångssättet inte fungerar.

Vad kan då ändra ekvationen?

Bättre registreringspolicys vore en början. Flera stora