De Stichting Internet Domeinregistratie Nederland (SIDN), de organisatie die de .nl-domeinnamen beheert, is bezig met onderzoek om malafide registraties van .nl-domeinen automatisch te detecteren. Maar liefst 62 procent van de .nl-domeinnamen waarvan wordt gemeld dat het om phishing of andere malafide sites gaat, zijn met malafide intenties geregistreerd.

"De .nl-zone zou nog veiliger kunnen worden als we deze malafide registraties proactief herkennen en offline halen; het liefst voordat iemand wordt opgelicht", aldus SIDN. De stichting deed onderzoek naar het gebruik van machinelearning-algoritmes en statische regels om verdachte registraties te herkennen.

Het gebruik van websites voor malafide doeleinden kan onder andere door het registreren van een malafide site of het compromitteren van legitieme sites. Uit eerder onderzoek van SIDN bleek dat in 62 procent van de gevallen er sprake van een malafide registratie is. "Het registeren van een domeinnaam voor malafide doeleinden heeft voor een crimineel onder andere het voordeel dat deze zo gekozen kan worden, dat hij op een bestaande domeinnaam lijkt. Zo zien we soms registraties van domeinnamen die trefwoorden als 'digid' of 'betaalpas' bevatten om meer gebruikers te verleiden hun bankgegevens in te vullen in neppe inlogformulieren", laat Thymen Wabeke van SIDN weten.

De stichting maakt voor het vinden van verdachte registraties op dit moment gebruik van handmatige steekproeven en securitymeldingen van Netcraft, dat meldingen van verschillende blocklists en rapporten van vrijwilligers verzamelt. Het onderzoeken of een website met malafide intenties is geregistreerd kost SIDN naar eigen zeggen veel tijd. Zo kan het handmatig controleren of bijvoorbeeld een adres daadwerkelijk bestaat, of dat een bedrijf in het KvK-register ingeschreven staat, soms wel vijftien minuten of langer duren.

SIDN zoekt daarom naar een algoritme dat automatisch bepaalt of een registratie verdacht is. Zodoende hoeven medewerkers alleen écht verdachte registraties te onderzoeken en vast te stellen of deze met malafide intenties zijn geregistreerd en wordt er geen tijd verdaan met het onnodig controleren van bonafide registraties. Voor het onderzoek werden drie algoritmes vergeleken, een scoresysteem op basis van statische regels en twee machine learning algoritmes.

Uit het onderzoek blijkt dat het identificeren van verdachte domeinnamen op basis van alleen registratiegegevens mogelijk is. "Er is alleen nog geen kandidaat die er op alle fronten bovenuit springt. Dit komt door de relatief korte evaluatieperiode, maar ook omdat de evaluatie een aantal beleidskeuzes voor het voetlicht bracht", laat Wabeke weten. SIDN zet het onderzoek daarom de komende tijd voort.