Patronen die veel voorkomen bij phishing-infrastructuur
Veel phishing- en lookalike-domeinen delen een technische vingerafdruk, zelfs wanneer hun inhoud een overtuigende kopie is van een legitiem merk: een zeer recente aanmaakdatum, een registrar die favoriet is voor laagdrempelige bulkregistratie, privacy-geredigeerde WHOIS-contacten, en hosting die geen verbinding heeft met de organisatie die wordt geïmiteerd.
URL Forensics verzamelt deze gegevenspunten via RDAP, DNS, netwerk-RDAP en opzoekingen in certificaattransparantie in één keer, waardoor een onderzoeker de infrastructuur van een verdacht domein direct kan vergelijken met wat verwacht zou worden van de legitieme organisatie.
- Aanmaakdatum van het domein ten opzichte van de incidenttijdlijn
- Registrar en privacy/proxy-status bij de registratie
- Hostingprovider en IP-toewijzing versus de bekende infrastructuur van het legitieme merk
- Aanwezigheid en beleidssterkte van SPF en DMARC
- Certificaattransparantielogboeken, inclusief subdomeinen uitgegeven onder het domein
Waarom mailauthenticatiecontroles belangrijk zijn bij phishing
Phishing en business email compromise (BEC) berusten vaak op domeinen zonder SPF-record, een permissief SPF-record, of helemaal geen DMARC-beleid, omdat dit het gemakkelijker maakt om e-mails te verzenden die lijken afkomstig te zijn van het domein. URL Forensics controleert de SPF- en DMARC-configuratie als onderdeel van elk onderzoek.
Een domein met een strikt DMARC-beleid en een nauwkeurig afgebakend SPF-record is minder waarschijnlijk de bron van de gespoofde e-mail zelf, hoewel een onderzoeker nog steeds moet overwegen dat de aanvaller een apart, nieuw geregistreerd domein kan gebruiken in plaats van het legitieme domein direct te spoofen.
Bewijsmateriaal vastleggen voordat infrastructuur verdwijnt
Phishing-infrastructuur is vaak van korte duur; domeinen worden offline gehaald, DNS wordt omgeleid, of hosting wordt verlaten zodra een campagne wordt gedetecteerd. Het tijdig vastleggen van het openbare record en het verzegelen ervan met een SHA-256 hash van de canonieke rapport-JSON, bewaart de staat van het bewijs voordat het verandert of verdwijnt.
Een downloadbaar DIGITPOL PDF-rapport biedt onderzoekers, juridische teams en takedown-providers een document dat zij kunnen toevoegen aan klachten over misbruik, doorverwijzingen naar de wetshandhaving of interne incidentenrapporten, met de hash beschikbaar om te bevestigen dat het rapport achteraf niet is gewijzigd.
Beperkingen van geautomatiseerde phishing-triage
URL Forensics bezoekt de verdachte phishingpagina niet, scant deze niet op scripts voor het oogsten van inloggegevens of malware, en levert geen historische DNS-gegevens die laten zien hoe de configuratie van het domein eruitzag voordat het onderzoek werd uitgevoerd.
Het platform labelt een domein niet als een bevestigde phishing-site. Het rapporteert de feiten over de openbare infrastructuur; het bevestigen van phishingactiviteiten en het nemen van handhavingsmaatregelen blijft de verantwoordelijkheid van de onderzoeker, de merkeigenaar, of, waar passend, de wetshandhaving.
Wie gebruikt het
- SOC- en incidentresponsteams
- Fraudeonderzoekers
- Merkbeschermingsteams
- Banken en betaalproviders
- Beheerde beveiligingsdienstverleners
Veelgestelde vragen
Kan URL Forensics bevestigen dat een domein wordt gebruikt voor phishing?
Nee. Het verzamelt openbare registratie-, DNS- en certificaatgegevens die vaak correleren met phishing-infrastructuur, zoals een zeer recente aanmaakdatum of ontbrekend DMARC-beleid, maar het bevestigen van phishing-activiteit vereist het oordeel van de onderzoeker en, vaak, aanvullend bewijsmateriaal.
Scant het platform de verdachte phishingpagina op kwaadaardige code?
Nee. URL Forensics bezoekt of scant geen website-inhoud. Het richt zich op de openbare registratie-, DNS-, hosting- en certificaatgegevens die aan het domein zijn gekoppeld.
Hoe snel moet ik bewijsmateriaal vastleggen over een verdacht phishingdomein?
Zo snel mogelijk. Phishing-infrastructuur wordt frequent verwijderd of geherconfigureerd, en een verzegeld rapport legt het openbare record op dat moment vast, voordat het kan veranderen.
Kan ik een phishing-zaak escaleren buiten het geautomatiseerde rapport?
Ja. Digitpol biedt gespecialiseerde onderzoeksondersteuning voor zaken die meer nodig hebben dan een geautomatiseerd rapport; gebruik de contactpagina om contact op te nemen.
Heeft u bewijs nodig dat u kunt bewaren?
Elke zoekopdracht levert een volledig openbaar rapport op, verzegeld met een SHA-256-digest. Accounts bewaren een opgeslagen geschiedenis en kunnen het DIGITPOL PDF-rapport downloaden.