Affiliate hijacking en traffic hijacking: hoe frauduleuze scripts gebruikers omleiden

Heb je ooit op een link geklikt en ergens anders terechtgekomen dan verwacht? Of heb je gemerkt dat een website zich vreemd gedroeg en je doorstuurde naar sites waar je niet om had gevraagd? Dit kan een teken zijn van traffic hijacking.

Laten we uitleggen wat dit betekent, hoe het werkt en hoe je jezelf kunt beschermen.

Update 2026: we hebben deze gids aangescherpt om affiliate hijacking te scheiden van bredere traffic hijacking en te laten zien waarom browser-side redirects kunnen plaatsvinden, ook wanneer de server en betaalpagina schoon zijn.

Wat is affiliate hijacking?

Affiliate hijacking is een vorm van traffic hijacking waarbij geïnjecteerde JavaScript de klik, uitgaande link of sessieroute van een gebruiker verandert, zodat die via de affiliate-URL van een aanvaller loopt voordat de echte bestemming wordt bereikt. De gebruiker kan nog steeds op de verwachte site uitkomen, maar de attributie en commissie gaan naar de aanvaller. Omdat de redirect in de browser wordt geactiveerd, zien serverlogs, WAF's en checkout-only controles vaak een normale paginarequest terwijl de omzetdiefstal plaatsvindt tussen klik en bestemming.

Wat is traffic hijacking?

Traffic hijacking is wanneer iemand stiekem verandert waar de links van een website naartoe gaan, zodat bezoekers naar andere sites worden gestuurd. Vaak met kwaadaardige bedoelingen. Dit is slecht voor gebruikers (die worden misleid of aan gevaar blootgesteld) en voor website-eigenaren (die vertrouwen en inkomsten verliezen).

We hebben gebruikers geconditioneerd om te denken dat het normaal is dat, wanneer ze op "Betalen" klikken, het scherm even flitst en er een gloednieuwe pagina laadt van een volledig ander domein.

Maar dit is een enorme blinde vlek — en aanvallers weten dat.

Als je dus het betaalformulier zelf beveiligt — door scripts op die pagina te valideren met bijvoorbeeld cside — dan is het voor een kwaadwillende partij volkomen logisch om in plaats daarvan de klik te kapen die gebruikers daarheen brengt.

We gaan dieper in op deze tactiek in deze PCI DSS-update van januari voor SAQ A-bedrijven.

Deze specifieke tactiek staat bekend als clickjacking (simpelweg een variant van traffic hijacking) en wordt vaak gebruikt om vertrouwde flows na te bootsen.

Soorten hijacking in één oogopslag

Hoe werkt affiliatefraude?

Affiliate hijacking is de meest voorkomende vorm: kwaadaardige code stuurt de klik of sessie van een gebruiker via de affiliatelink van een aanvaller voordat de echte bestemming laadt, zodat de aanvaller een commissie int die de bezoeker nooit had willen genereren. In bredere zin is affiliatefraude wanneer iemand misbruik maakt van affiliateprogramma's (die betalen voor klikken of verkopen) door gebruikers via hun speciale links te sturen, ook als de gebruiker daar nooit om heeft gevraagd. Dit is oneerlijk tegenover zowel de echte website als de bedrijven die de affiliateprogramma's beheren.

Een veelgebruikte tactiek is link hijacking, waarbij een script een gebruiker via de affiliatelink van de aanvaller omleidt voordat de eindbestemming wordt bereikt. In meer geavanceerde gevallen voegen aanvallers dynamisch affiliatelinks in, maar alleen voor bepaalde hoogwaardige gebruikers of op basis van browsersignalen, waardoor detectie moeilijker wordt.

Hoe vinden deze aanvallen plaats? (met eenvoudige codevoorbeelden)

Aanvallers maken gebruik van verborgen JavaScript op websites.

Zo werkt het, stap voor stap:

1. Je browser detecteren

Het script controleert eerst welke browser je gebruikt:

// Controleert of je Chrome, Firefox, Safari, etc. gebruikt.  
function getBrowser() {  
  // ...detecteert browsertype...  
}

2. Downloadlinks vervangen

Het zoekt alle downloadlinks op en verandert wat er gebeurt wanneer je erop klikt:

// Zoekt alle downloadlinks en wijzigt hun gedrag  
let links = document.querySelectorAll('a.dlink');  
for (let link of links) {  
  link.setAttribute('href', 'javascript:void(0);');  
  link.addEventListener('click', function () {  
    // In plaats van downloaden word je omgeleid  
    window.open('https://malicious-redirect[.]com', "_blank");  
  });  
}

3. Omleidingen bijhouden en beperken

Om niet te opvallend te zijn, gebruikt het script cookies om te beperken hoe vaak je wordt omgeleid:

function hasCookie() {  
  return document.cookie.includes('wpdlInterval=1');  
}

Wat betekent dit voor jou?

• Voor gebruikers: Je kunt terechtkomen op frauduleuze of gevaarlijke sites, of je computer kan geïnfecteerd raken.
• Voor website-eigenaren: Je bezoekers verliezen vertrouwen, je reputatie lijdt eronder, je loopt het risico op een compliance-overtreding en je misloopt echte inkomsten.

Hoe kun je dit herkennen en voorkomen?

Voor gebruikers:

• Wees voorzichtig met downloadlinks, vooral op onbekende sites.
• Gebruik een browserextensie of adblocker die waarschuwt voor verdachte omleidingen.
• Houd je browser en antivirussoftware up-to-date.

Voor website-eigenaren:

• Scan je site regelmatig op onbekende scripts.
• Gebruik beveiligingsplugins en houd je software bijgewerkt.
• Stel meldingen in voor ongewone verkeerspatronen.

Slotgedachten

Traffic hijacking en affiliatefraude zijn reële bedreigingen. Door te begrijpen hoe deze aanvallen werken, kun je jezelf en je website beter beschermen. Blijf alert en wees altijd voorzichtig met onbekende links.

Voor website-eigenaren is de verdediging zichtbaarheid op browserniveau. Affiliate-hijacking- en redirect-code onthult zich pas tijdens runtime in de browser, dus client-side security-monitoring die elk script inventariseert en waarschuwt bij ongeautoriseerde wijzigingen aan uitgaande links is wat het onderschept. cside signaleert ook de AI-agents en bots die dit misbruik in toenemende mate automatiseren.

Meld je aan om te beginnen of een demo boeken.