De Stichting Internet Domeinregistratie Nederland waarschuwt organisaties voor de risico’s van opgeheven domeinnamen. Aanleiding is een recente casus waarbij een ethisch hacker via opnieuw geregistreerde, eerder opgeheven domeinnamen toegang kreeg tot 258 vertrouwelijke financiële dossiers van cliënten van bewindvoerders. De domeinnamen waren door fusies en overnames buiten gebruik geraakt, maar bleven in gebruik bij derden die naar de bijbehorende e-mailadressen bleven mailen.
Odido-datalek als ingang voor de aanval
Volgens SIDN traceerde de onderzoeker de domeinnamen via gegevens uit het datalek bij telecomprovider Odido, eerder dit jaar gemeld door de NOS. Bij dat incident kregen criminelen toegang tot een bestand met gegevens van 6,2 miljoen accounts, waaronder e-mailadressen. Cliënten van bewindvoerders hadden in hun communicatie met Odido het e-mailadres van hun bewindvoerder gebruikt. Doordat de bewindvoerdersorganisaties inmiddels waren gefuseerd of overgenomen en hun oude domeinnaam niet langer in beheer hadden, kon de onderzoeker deze domeinnamen opnieuw registreren en de binnenkomende mail onderscheppen.
Lage technische drempel, grote organisatorische blinde vlek
Michiel Henneke van SIDN benadrukt dat voor dit type incident geen geavanceerde technische kennis nodig is. Het opnieuw registreren van een opgeheven domeinnaam is een regulier en goedkoop proces. De kwetsbaarheid ontstaat niet door een inbraak, maar doordat systemen en gebruikers e-mailadressen op verouderde domeinen blijven vertrouwen zonder extra verificatie. Henneke wijst op een organisatorische oorzaak die in veel bedrijven onderbelicht blijft: het uitfaseren van domeinnamen is doorgaans geen vastgelegde verantwoordelijkheid binnen het securityteam, waardoor afhankelijkheden in mailverkeer en koppelingen met applicaties buiten beeld raken.
Geen incidenteel probleem
SIDN wijst erop dat een vergelijkbare situatie zich al in 2019 voordeed bij Bureau Jeugdzorg Utrecht, waar opnieuw geregistreerde domeinnamen toegang gaven tot medische dossiers. Het risico beperkt zich niet tot e-mail: ook applicaties met vertrouwelijke gegevens kunnen via een wachtwoordreset op een opgeheven domeinnaam toegankelijk worden voor wie het domein overneemt. Voor organisaties met grote domeinportfolio’s, vaak honderden tot duizenden namen, adviseert SIDN structureel toezicht op zowel het eigen bezit als gelijkende registraties door derden.
