Problemen door opruimen domeinnamen

Met digitaal opruimen is niets mis, zou je zeggen. Totdat je iets weggooit wat je nog nodig zou kunnen hebben.

In het rijtje ‘hoe kunnen we misbruik maken van’ kwam er recentelijk weer een leuk artikel voorbij op security.nl. De titel van het artikel is ‘Advocatenkantoren “gehackt” via verlopen domeinnamen’, wat meteen al een aantal haren overeind laat komen.

Advocatenkantoren en domeinnamen. Schijnbaar geen goede combinatie.

Oorzaak

Opruimen. De een kan het met z’n ogen dicht, de ander heeft er wat meer moeite mee. “Kan dit echt niet meer van pas komen?” “Maar ik heb dat vijf jaar geleden nog eens gebruikt!” “Het staat toch niet in de weg?”

Met digitaal opruimen is ook niets mis. Oude accounts die je niet meer gebruikt periodiek opschonen bijvoorbeeld. Een back-up van een site van drie jaar geleden, terwijl je inmiddels al vijf nieuwe designs (en twintig nieuwe back-ups) hebt. Een domeinnaam die je ooit eens hebt aangeschaft maar nooit wat mee hebt gedaan.

Allemaal goede redenen om die digitale bezem weer eens uit de kast te halen. Dat hoeft niet te wachten tot het voorjaar, dat mag gewoon op ieder willekeurig moment.

In het geval van de genoemde advocatenkantoren gebeurde er echter iets anders. Die lieten ook domeinnamen verlopen in het kader van ‘opgeruimd staat netjes’, maar hielden geen rekening met het effect daarvan.

Even nadenken voordat je wat doet

De wereld van ondernemers is dynamisch. Bedrijven worden continue gestart, gaan samenwerken, fuseren, veranderen van naam of houden helemaal op met te bestaan. De domeinnaam ‘jansenenjanssen.nl’ heeft voor jou geen waarde meer als je bedrijf inmiddels is omgedoopt naar Jansen & Willemsen. Je bewaart zo’n domeinnaam dan nog even om al je mailaccounts over te kunnen zetten, maar dan is het een kwestie van ‘weg is weg’.

Daar ontstaat vaak het probleem. Want niet iedereen uit jouw klantenbestand is zo alert. Jouw naam en e-mailadres staan nog in tientallen, honderden of misschien wel duizenden adresboeken van klanten, leveranciers of andere belanghebbenden. Zo lang je domeinnaam nog bestaat, zullen ze daar gebruik van kunnen blijven maken. Als die niet meer bestaat, krijgen ze een foutmelding terug.

Daar kunnen criminelen gebruik van maken. Als ze namelijk, nadat jansenenjanssen.nl wordt vrijgegeven, die domeinnaam registreren en daar een mailserver aan hangen, ontvangen ze alle mail die eigenlijk nog voor jou bestemd was. Geen probleem als het een vraag is over een product of bestelling, lastiger als er in zo’n e-mail dan gevoelige informatie staat.

Zo bleek uit een onderzoek van een Australische onderzoeker dat hij met een handjevol domeinnamen die ooit van advocatenkantoren waren geweest, een mailserver en drie maanden de tijd, zo’n 25.000 e-mails kon onderscheppen waarin gevoelige informatie van cliënten of over rechtszaken werd vermeld.

Daarnaast kon hij door deze techniek toegang verkrijgen tot online diensten voor opslag en social media profielen van bedrijven en (voormalig) personeelsleden.

Schrikbarend eigenlijk hè? Dat zoiets simpels en doorgaans goedkoop als een domeinnaam het effect kan hebben van een uitgebreide phishingcampagne of een geraffineerde inbraak?

Overigens geldt dit natuurlijk niet alleen voor de bekleders van deze juridische functies. In januari 2017 legde een ethische hacker een aantal verlopen domeinnamen vast die zich voorheen in het beheer van de Nederlandse politie bevonden. Door dezelfde tactiek toe te passen, wist hij beveiligingsplannen en arrestatiebevelen te bemachtigen.

Ik ken ook iemand die een domeinnaam heeft geregistreerd die maar een letter verschilt van een internationale bierbrouwer. Geen vuiltje aan de lucht, denk je dan? Toch krijg hij vier keer per jaar de kwartaalcijfers van de bedrijfstak in Afrika in zijn mailbox. De eerste paar keer stuurde hij netjes een mailtje retour met “check je e-mailadres voordat je op verzenden klikt”, maar inmiddels heeft hij de hoop al opgegeven dat er iets mee gedaan wordt.

Conclusie

De grote voorjaarsschoonmaak is in veel huishoudens een terugkerend ritueel. Ook bij bedrijven zijn er misschien wel hele teams die dergelijke projecten voor hun rekening nemen.

Maar net zoals bij je eigen zolder moet je goed opletten met wat je daadwerkelijk aan de straat zet. Misbruik zoals door deze onderzoekers is aangetoond kan zo’n verstrekkende gevolgen hebben, maar het is zo simpel te voorkomen.

Stop met opruimen. Of in ieder geval, stop met het weggooien van domeinnamen van oude bedrijfsnamen die je gehad hebt, waarmee je gefuseerd bent of die je hebt opgekocht.

Oké, in het geval van de politie betekent dit dat ze uiteindelijk 3600 extra domeinnamen moeten aanhouden. Maar goed, veiligheid voor alles, toch?