b0rger.dk: Det »buldrer løs« med typosquattede .dk-domæner

b0rger.dk (med nul i stedet for o) eller nordeea.dk. Typosquatting, hvor domæner, der til forveksling ligner kendte domæner, trives i bedste velgående under det danske toplevel-domæne .dk

Det fremgår af en længere liste med domæner, som en læser, der ønsker at være anonym, har samlet og sendt til Version2.

Hos den danske toplevel-domæne-bestyrer DK-Hostmaster har man godt nok oplevet et kraftigt fald i antallet af klager over domæner, der er registreret i mere eller mindre lyssky sammenhænge. Således var der, da domæne-administratoren begyndte at gøre den slags op 950 klager over domæne-misbrug i 2009, mens antallet var faldet til 50 i 2016, altså sidste år.

Direktør hos DK-Hostmaster Jakob Bring Truelsen understreger i den forbindelse, at de 50 sager i 2016 kun er baseret på de anmeldelser, DK-Hostmaster faktisk har modtaget.

Og derfor er det hans indtryk, at folk typisk har anmeldt grove tilfælde af domænemisbrug, altså hvor der eksempelvis er blevet spredt malware fra et domæne, der lukrerer på kendtheden af et andet domæne.

»Det buldrer derudaf«

I en anden kategori, så er der typosquatting-domæner, der er fyldt med reklamer, som har til formål at generere indtjening til domæneejeren. Altså eksempelvis når en bruger ved en fejl ender taster nordeea.dk i stedet for nordea.dk

Version2 har i den liste, vi har fået tilsendt, lavet en del stikprøver, og netop reklamebaseret typosquatting lader til at være motivationen i mange tilfælde.

»Det er klart mit indtryk, at disse reklamedomæner, det er noget, der er i stigning,« siger Jakob Bring Truelsen.

Når der ikke direkte bliver spredt malware fra et typosquatting-domæne eller det eksempelvis bliver brugt til phishing, så vurderer Jakob Bring Truelsen, at de legitime domæne-ejere er mindre tilbøjelige til at anmelde det.

Og derfor kan mængden af reklamedomæner, der lukrerer på kendte domæne-navne, være ganske stort, selvom det ikke afspejler sig direkte i henvendelserne til DK-Hostmaster.

»Jeg har en fornemmelse, at det buldrer derudaf, fordi der kan tjenes nogle penge på det,« siger Jakob Bring Trulsen.

I den forbindelse fortæller Jakob Bring Truelsen dog også, at .dk-domænet ikke er det mest eksponerede sammenholdt andre toplevel-domæner.

»Det er fordi, vi har en identitetskontrol, og det vil sige, at vi i langt de fleste tilfælde har ret godt styr på, hvem der står bag.«

Når det er sagt, så er der umiddelbart ikke noget til hinder for, at en enkelt registrant kan gå målrettet efter at typosquatte eksempelvis offentligt ejede domæner som borger.dk.

»Vi kan ikke nægte nogen at få adgang til et domænenavn, hvis alt er i orden. Vi laver ikke en egenkontrol i forhold til, om noget ser dubiøst ud. Det har vi debatteret med internetsamfundet og fundet frem til, at det skal vi ikke.«

72 timer

Uanset om der er tale om domæner, der spreder malware eller typosquatter sig til reklameindtægter, så kan man dog klage til DK-Hostmaster, påpeger Jakob Bring Truelsen.

»Vi skriver til personen, der ejer domænet. De får 72 timer til at reagere på det. Nogen gemmer sig bag en falsk mail-adresse. Uanset hvad, så venter vi 72 timer, fra vi har sendt en mail.«

Jakob Bring Truelsen fortæller, at der dermed kan gå helt ned til 72 timer plus et par timer til sagsbehandling, fra en person klager til DK-Hostmaster over typosquatting, og så til domænet bliver suspenderet. I andre tilfælde kan der gå de 72 timer plus måske tre dage, hvis klagen eksempelvis lander uden for kontortiden hos DK-Hostmaster og lige op til en weekend.

Overvågningstjeneste

DK-Hostmaster overvejer i skrivende stund at tilbyde en service til kunder, så der automatisk bliver holder øje med, om nogen køber et domænenavn, der ligger - måske mistænkeligt - tæt op ad et eksisterende domæne. Der vil i givet fald blive tale om en algoritme, der løbende ville kontrollere nyregistrerede domænenavne for indikatorer på typosquatting.

»Det vil betyde, man kunne få en advarsel med det samme, det sker,« siger Jakob Bring Truelsen.

Sådan en tjeneste synes kontorchef i Digitaliseringsstyrelsen med ansvar for Borger.dk Helle Junge Nielsen umiddelbart lyder som en god idé.

»Det kan være svært systematisk at overvåge det. Der er jo mange forskellige måder at skrive borger.dk på, så det synes jeg lyder som en god tjeneste.«

Helle Junge Nielsen oplyser desuden, at Digitaliseringsstyrelsen på baggrund af Version2's henvendelse har iværksat en proces i forhold til at få suspenderet flere domæner, der umiddelbart lukrerer på typosquatting i forhold til borger.dk

»Når vi identificerer typosquatting og vurderer, at der er en fare for forveksling med borger.dk, så tager vi fat i Statens IT, som er vores leverandør, og som har registreret domænet. De tager efterfølgende fat i DK-Hostmaster.«

Også hos Nordea, der også ser ud til at være typosquatted i forhold til nordeea.dk, holder man øje med den slags.

»Nordea tager it-sikkerhed yderst alvorligt, og vi er meget opmærksomme på problemerne med typosquatting. For at håndtere det bedst muligt samarbejder vi med et privat sikkerhedsfirma, der har stor ekspertise på det her område,« fortæller Thomas Kristmar i en mail sendt via bankvirksomhedens presseafdeling.

Version2 har været i kontakt med den person, som står opført som registrant på en stribe typosquattede domæner, blandt andet dem, der optræder her i artiklen. Personen, der er tilknyttet Georgien, oplyser, at han er fra en virksomhed, der har registreret domænerne på vegne af kunder, og altså ikke til sig selv. Det har ikke umiddelbart været muligt at få oplyst identiteten på kunderne for at høre nærmere til en eventuelt legitim baggrund for at registrere blandt andet b0rger.dk

Gør-det-selv-overvågning

Hvis du ikke kan vente på, at DK-Hostmaster måske søsætter en tjeneste, der kan hjælpe med at holde øje med typosquatting, så kan du måske få fornøjelse af dette proof-of-concept til formålet, som Version2's journalist Jesper Stein Sandal har lavet. Du kan læse mere om projektet her