Bekende praktijkgevallen van typosquatting
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: Typosquatting is het registreren van adressen die op de juiste domeinnaam lijken, om te profiteren van een typefout of onoplettendheid van een internetgebruiker. Bekende zaken betreffen onder meer de merken Verizon en Microsoft en het websiteverkeer dat John Zuccarini onderschepte. Zulke domeinen werden gebruikt om advertenties te tonen, bezoekers door te sturen, gegevens te ontfutselen of het gebruikers moeilijk te maken de website te verlaten.
Wat typosquatting precies inhoudt
Typosquatting is een vorm van cybersquatting: het benutten van domeinnamen die verband houden met de naam of het handelsmerk van iemand anders. Kenmerkend is een fout die een gebruiker kan maken bij het intypen van een adres: een ontbrekende letter, een verkeerd teken, een verkeerde volgorde of een extra teken.
Als de juiste domeinnaam bijvoorbeeld veiligebank.pl zou zijn, kan een aanvaller belangstelling hebben voor varianten als veiligebnak.pl of veilige-bank.pl. De eerste maakt gebruik van verwisselde letters. De tweede is strikt genomen geen typefout, maar kan hetzelfde doel dienen: op het eerste gezicht betrouwbaar lijken.
Niet elke gelijkende domeinnaam is automatisch onrechtmatig. Onder meer het gebruik ervan, het risico op verwarring, de rechten op de naam en de bedoeling van de registrant spelen een rol. Om een concreet geval te beoordelen, kan onderzoek nodig zijn naar de voorwaarden van het register, de regels voor geschillenbeslechting en het toepasselijke recht.
John Zuccarini en het massaal onderscheppen van typefouten
John Zuccarini was een van de bekendste typosquatters. Hij registreerde talloze domeinnamen die gebruikmaakten van fouten in de namen van populaire websites en merken. Wie zich bij het intypen van een adres vergiste, belandde op websites die verdienden aan advertenties of doorverwijzingen. Sommige daarvan leidden ook naar pornografische inhoud.
Zijn activiteiten worden in verband gebracht met een mechanisme dat mousetrapping wordt genoemd. Daarbij werden steeds nieuwe browservensters geopend of werd het moeilijk gemaakt de website te verlaten. Zo leverde een onbedoeld bezoek steeds meer advertentieweergaven op. Amerikaanse instanties en rechtbanken behandelden zaken tegen Zuccarini. Zijn naam werd een bekend voorbeeld van het commercieel uitbuiten van op grote schaal geregistreerde domeinnamen met typefouten.
Dit geval laat zien dat typosquatting niet meteen hoeft te betekenen dat er wachtwoorden worden gestolen. Alleen al het verkeer van bezoekers die per ongeluk op een website belanden, kan waarde hebben als de domeineigenaar aan elk bezoek verdient.
Verizon tegen OnlineNIC
Het spraakmakende geschil tussen Verizon en registrar OnlineNIC draaide om honderden adressen die leken op de handelsmerken van het Amerikaanse telecommerk. Daaronder waren varianten met spelfouten in de naam Verizon. De domeinen stuurden bezoekers door naar websites met advertenties en commerciële links.
Een Amerikaanse rechtbank wees bij verstek vonnis in het voordeel van Verizon en kende een hoge schadevergoeding op grond van de wet toe. De zaak wordt vaak aangehaald omdat het niet om één toevallig adres ging, maar om een georganiseerde domeinportefeuille die geld opleverde dankzij de gelijkenis met een beschermd merk.
De zaak laat ook het verschil zien tussen defensieve registratie en typosquatting. Een bedrijf kan de meest voor de hand liggende typefoutvarianten van zijn eigen domeinnaam kopen en doorsturen naar de juiste website. Een derde die dezelfde varianten registreert om te profiteren van vergissingen van klanten, heeft een heel ander doel.
De zaak Microsoft tegen Shah
Microsoft trad op tegen Amar Shah en aan hem verbonden partijen vanwege domeinnamen die leken op de namen van zijn producten en diensten. De beschuldigingen betroffen onder meer het registreren van verkeerd gespelde varianten en het doorsturen van gebruikers naar websites met advertenties. Het geschil eindigde met een schikking die een betaling en de overdracht van domeinen omvatte.
Belangrijk was hier het terugkerende patroon: veel gelijkende adressen, gebruikmaken van de naamsbekendheid van het merk en verdienen aan bezoeken die uit vergissingen voortkwamen. Eén typefout kan onschuldig lijken, maar met een heel netwerk van zulke domeinen kan verkeer voor verschillende producten of diensten van hetzelfde bedrijf worden onderschept.
Typefouten, homografen en misleidende extensies
Niet alle misleidende domeinen vallen onder klassieke typosquatting. Een homograafaanval maakt gebruik van tekens die op elkaar lijken, maar verschillende tekens zijn, bijvoorbeeld de Latijnse a en een daarop gelijkend teken uit een ander alfabet. Het vervangen van de extensie, bijvoorbeeld .com door een andere, wordt soms aangeduid als TLD-verwarring of als nabootsing met een gelijkende domeinnaam.
Voor de gebruiker is het onderscheid tussen die termen minder belangrijk dan het resultaat. Controleer vóór het inloggen of betalen het volledige adres, niet alleen de naam aan het begin. Het is veiliger om een bank, webwinkel of bedrijfsportaal via een bladwijzer te openen dan de domeinnaam handmatig in te typen of een link uit een bericht te gebruiken.
Hoe beide partijen het risico kunnen beperken
Een merkeigenaar moet eerst de meest waarschijnlijke vergissingen in kaart brengen: een ontbrekende letter, een dubbel teken, verwisselde aangrenzende letters en een verkeerde extensie. Elke mogelijke variant registreren is meestal niet haalbaar. Geef daarom voorrang aan adressen die worden gebruikt voor inloggen, betalingen en klantenservice. Ook het monitoren van nieuwe domeinnamen die op de bedrijfsnaam lijken, is nuttig.
Bewaar na het ontdekken van een verdacht adres bewijs van het gebruik ervan, stel vast wie de beheerder is en controleer welke geschillenprocedure van toepassing is. Afhankelijk van de extensie en de omstandigheden kan het gaan om een melding van misbruik, een arbitrageprocedure zoals UDRP of een gerechtelijke procedure. Dit is algemene informatie, geen individueel juridisch advies. Bevestig de actuele regels en de benodigde bewijzen bij de registerbeheerder, de aanbieder van de procedure of een jurist.
Een praktische volgende stap is eenvoudig: sla de belangrijkste websites op als bladwijzers en controleer binnen het bedrijf vandaag nog enkele van de meest voor de hand liggende typefoutvarianten van de domeinnaam die voor e-mail en betalingen wordt gebruikt.
Zie ook: Domeinnamen en phishing — hoe bescherm je klanten tegen nabootsing?
Lees ook
