In 2018 werd British Airways aangevallen door de exploitatie van een JavaScript-pakket van derden dat op hun site draaide. Het script werd gecompromitteerd en de aanvallers voegden regels code toe die automatisch alle creditcard- en transactiegegevens van klanten kopieerden naar een nieuw domein: baways.com. Dit domein werd slim aangekocht door de aanvallers enkele dagen voor de operatie.
cside is momenteel eigenaar van baways.com. Als je de site bezoekt, vind je een uitleg van de hele aanval van begin tot eind. Het domein is nu volledig veilig en dient educatieve doeleinden.
De vraag die we echter stellen is deze: Hoe konden we een domein verkrijgen dat eerder werd gebruikt in een cyberaanval?
Hoe we baways.com verwierven
Toen de aanval plaatsvond, werd het domein gehost in Roemenië door een Litouwse hostingprovider die virtuele servers aanbood tegen betaalbare tarieven.
Vandaag kan cside dergelijke anomalieën detecteren en soortgelijke problemen voorkomen. Helaas waren we toen niet beschikbaar. Je kunt meer leren over hoe deze aanval plaatsvond door het volledige artikel op baways.com te lezen.
De ophef rond deze aanval nam af na oktober 2020 toen British Airways een recordboete kreeg voor een datalek. Eerst vastgesteld op £183 miljoen, later verlaagd tot £20 miljoen. Na juli 2021 rondden ze het af door de juridische claim met de getroffen klanten te schikken.
Toen de nieuwsberichtgeving over het incident uiteindelijk stopte, ging de wereld verder.
Dus, hoe zijn we erin geslaagd het domein te verwerven dat werd gebruikt in de grootste aanval van zijn soort op dat moment?
Hoewel we graag een ingewikkeld verhaal zouden delen over het doorzoeken van dubieuze forums en het onderhandelen over schimmige deals, is de waarheid eigenlijk verontrustender. We kochten het op een openbaar register.
Een paar weken voordat cside officieel werd opgericht, twitterde onze oprichter het volgende:
Terwijl hij onderzoek deed voor wat uiteindelijk cside zou worden, onderzocht hij artikelen over het datalek van British Airways. Tijdens dit onderzoek trok het betreffende domein zijn aandacht. Tot zijn verbazing was het beschikbaar voor iedereen om te claimen.
Het kopen van een verlopen domein dat betrokken was bij een cyberaanval is om verschillende redenen zorgwekkend:
Toegang tot gegevens
Controle krijgen over een domein met eerder gebruik, kan toegang geven tot de meest privégegevens.
Inti De Ceukelaire, een cyberbeveiligingsexpert uit België, deelde deze blogpost in mei 2024. Hij had verschillende verlopen domeinen gekocht die eerder eigendom waren van lokale politiediensten en sociale instellingen in België.
Hij kocht uiteindelijk meer dan 100 domeinen en rapporteerde het volgende:
"Voor de 848 e-mailadressen die ik binnen een week kon identificeren, heb ik met succes de wachtwoordherstel-e-mails verkregen voor 80 Dropbox-accounts, 142 Google Drive-accounts, 57 Microsoft / OneDrive / SharePoint-accounts en een dozijn Smartschool- en Doccle-accounts. Ik realiseerde me dat ik door deze domeinen te kopen toegang had gekregen tot tonnen gevoelige burgerinformatie opgeslagen in de cloudaccounts gekoppeld aan deze e-mailadressen."
Evenals:
"Dit waren niet de enige e-mails die ik begon te ontvangen. Schokkend genoeg ontvingen ze, jaren nadat deze e-mailadressen waren verlaten, nog steeds extreem gevoelige informatie [...]. Vertrouwelijke justitie-informatie, informatie over vrijgelaten gedetineerden en openbare verdedigers, betalingsherinneringen voor mensen met schulden, e-mails met betrekking tot de gezondheid of sociale situatie van kwetsbare mensen, uitnodigingen voor speciale commissies, [...]"
Je kunt zijn volledige onderzoek hier lezen.
Vertrouwen in je merk verliezen
De Royal Mail in het VK gebruikt ongebruikelijk ogende domeinen die het vertrouwen kunnen ondermijnen. Dit blijkt uit een andere tweet (X-post) die we plaatsten nadat we dit probleem zelf tegenkwamen. Hoewel we misschien alerter zijn op dit probleem, zijn we ervan overtuigd dat we niet de enigen zijn die zich ongemakkelijk voelen bij het klikken op dergelijke links.
Wat de situatie erger maakte, was dat hun eigen supportteam reageerde met de mededeling dat dit een phishing-sms was. Maar dat was onjuist. Een oudere tweet van Royal Mail hieronder gebruikte hetzelfde domein als URL-verkorter. Dit ondermijnt het vertrouwen bij oplettende gebruikers en toont duidelijk aan dat bedrijven het overzicht over hun eigen domeinnamen zijn kwijtgeraakt.
We gebruiken HubSpot als laatste voorbeeld. Ze hebben tientallen domeinen met verschillende niveaus van structuur. Deze domeinen worden gebruikt in verschillende scripts en op verschillende platforms:
- hubspot.com
- hs-scripts.com
- hs-banner.com
- hs-analytics.net
- hubapi.com
- hsforms.com
- hscollectedforms.net
- ...
Het risico hier is dat mensen deze domeinen in scripts kunnen tegenkomen en ze niet vertrouwen, of dat het gemakkelijker wordt voor een kwaadwillende om een domein te kopen dat legitiem lijkt omdat het een vergelijkbaar formaat volgt als de andere domeinen.
Domeinen worden gebruikt in oude scripts van derden
We rapporteerden onlangs over de Polyfill-aanval. Een domein dat werd gebruikt door een open-sourceproject werd gekocht. Het domein werd vervolgens betrapt op het injecteren van kwaadaardige code. Deze code genereerde dynamisch payloads op basis van HTTP-headers, activeerde alleen op specifieke apparaten, ontweek detectie, vermeed admin-gebruikers en vertraagde de uitvoering.
In sommige gevallen ontvangen gebruikers gemanipuleerde JavaScript-bestanden, die een typosquatted domein bevatten googie-anaiytics[.]com/gtags.js. Deze link leidt gebruikers om naar verschillende sportwedden- en volwassen websites op basis van hun regio. Maar omdat dit JavaScript is, zou het op elk moment nieuwe aanvallen kunnen introduceren zoals formjacking, clickjacking en bredere gegevensdiefstal.
Bij de Polyfill-aanval was de service verouderd en grotendeels niet meer nodig. Toch bleef het domein actief op duizenden websites.
Als het niet het domein is dat wordt gekocht, kunnen tools failliet gaan, worden stopgezet of geen updates meer ontvangen. Wanneer dit gebeurt, slagen sommige websites er niet in de verouderde scripts uit hun code te verwijderen. Als het oude domein of script van een ter ziele gegaan bedrijf vervolgens wordt verworven, wordt het automatisch ingebed in duizenden websites, waardoor een gemakkelijke weg voor aanvallen ontstaat.
Veel beveiligingstools controleren alleen de bronnen van scripts, wat in deze genoemde gevallen niet zou volstaan. Aanvallen zouden gewoon onopgemerkt doorstromen. Lees hier meer over dit probleem.
De noodzaak om je scripts te monitoren
Dit is een van de redenen dat PCI DSS 4.0 tegen maart 2025 monitoring en scanning van scripts op betalingsportalen zal vereisen. cside doet dit automatisch en beveiligt zelfs scripts van derden elke keer dat een pagina door een gebruiker wordt geladen. Dit gebeurt op je hele site, niet alleen op betalingsportalen, wat zelfs verder gaat dan hun aanbevelingen. Lees hier om te begrijpen waarom dit cruciaal is voor de beveiliging van je website.
Hoe de dreiging van verlopen domeinen op te lossen
Dit is een veelzijdig probleem. Het simpelweg kopen van een verlopen domein is niet illegaal. Als een domeinnaam echter een handelsmerk is, kan het kopen ervan (bekend als cybersquatting) mogelijk auteursrechtwetten schenden. Maar dit zal aanvallers die meestal anoniem en onopgemerkt blijven, niet afschrikken.
Toegang krijgen tot e-mails die naar een domein worden gestuurd dat eerder eigendom was van iemand anders (of een ander bedrijf) is juridisch en ethisch een grijs gebied. Hoewel sommige landen wetten hebben die voorkomen dat je fysieke post gericht aan iemand anders opent, is de toepassing van deze wetten op e-mails vaak onderwerp van debat.
Wetten die elektronische communicatie aanpakken, verbieden doorgaans het onderscheppen van communicatie tussen niet-toestemmende of onwetende deelnemers. In het geval van e-mails die naar een verlopen domein worden gestuurd, zou men echter kunnen stellen dat de ontvanger de legitieme eigenaar van de domeinnaam is en daarom de beoogde geadresseerde.
Privacywetten verbieden ook het delen en verwerken van gegevens van individuen zonder hun toestemming. Dus door inhoud naar een verlopen e-mailadres te sturen, kan de afzender eigenlijk indirect de privacyrechten van de ontvanger schenden door een gebrek aan due diligence op het e-mailadres. Een heel ander probleem op zich.
Zoals je kunt zien, is dit een probleem dat het beste helemaal kan worden vermeden als je kunt.
Als bedrijf of website-eigenaar, probeer domeinen met eerder gebruik te behouden, vooral die gebruikt voor het aanmaken van accounts en het overdragen van gegevens. Het verkrijgen van vergelijkbare domeinen en voorkomen dat aanvallers ze gebruiken (dit wordt cybersquatting genoemd) moet ook worden overwogen. Zelfs als dit mogelijk ongewenste jaarlijkse kosten kan toevoegen.
Als je dat niet kunt, of bij het wijzigen van domeinen en e-mailadressen, is het belangrijk om een redelijke aanpassingsperiode voor mensen te bieden. Indien mogelijk, verbeter beveiligingsmaatregelen en stel automatische antwoordmeldingen in voor degenen die tijdens en na deze overgang contact proberen te maken.
Om je site te beschermen tegen kwaadaardige handelingen veroorzaakt door scripts van derden en domeinen in die scripts, is cside er. We proxyen alle scripts van derden op je site en controleren elke sessie voordat de code wordt weergegeven in de browsers van je gebruikers.
Je kunt gratis aan de slag en onze prijsniveaus hier vinden.
