De blocklist waar niemand je over vertelt: hoe een gehackte website je bereik ruïneert
Een hack is in dagen verholpen. Het herstel van de reputatie van je domein kost weken. Hoe domeinblocklists werken, waarom ze zwaarder wegen dan de hack zelf en hoe je het vóór je klanten ontdekt.
Als een klein bedrijf wordt gehackt, denkt de eigenaar meestal aan de directe schade: gestolen data, een gesaboteerde homepage, een schoonmaakrekening. Maar de duurste gevolg is vaak onzichtbaar en komt pas nádat de hack al is verholpen. Het is het moment waarop je domein op een blocklist belandt. Opeens stuiteren je facturen, valt je nieuwsbrief in de spammap en zien klanten een rood waarschuwingsscherm in plaats van je website.
Wij bewaken de domeinreputatie van elke Noroshi-klant. In dit artikel leggen we uit wat blocklists zijn, waarom één vermelding meer schade kan doen dan de hack die hem veroorzaakte, en wat je kunt doen om het vóór je klanten te ontdekken.
Wat er gebeurt als je domein wordt gekaapt
Aanvallers willen zelden de inhoud van een mkb-website. Wat ze willen is het bereik: een domein met historie, een vertrouwde afzenderreputatie en bezoekers die terugkomen. Een gecompromitteerde website is infrastructuur, en wordt ook precies zo gebruikt. Drie patronen blijven terugkeren:
- Spam- en phishingrelais. De aanvaller installeert een mailscript op je hostingaccount en verstuurt duizenden phishing-e-mails die afkomstig lijken uit je domein. De ontvangers vertrouwen de afzender omdat het domein echt is. Dat is precies waarom het is gestolen.
- Malwarehosting. Kwaadaardige bestanden duiken op in een vergeten uploadmap, of een verborgen pagina stuurt bezoekers door naar een oplichtingssite. De aanvaller leent je goede reputatie om zijn payload langs securityfilters te krijgen.
- Deelname aan een botnet. Je server wordt onderdeel van een crimineel netwerk: hij verstuurt aanvalsverkeer of host een besturingskanaal voor geïnfecteerde machines elders.
In alle drie de gevallen gebeurt hierna hetzelfde: securityonderzoekers, spamfilters en anti-misbruikorganisaties zien de kwaadaardige activiteit. En zij wijzen niet de aanvaller aan. Zij wijzen jouw domein aan.
Wat een blocklist-vermelding je werkelijk kost
Domein- en IP-reputatie wordt bijgehouden in gedeelde blocklists: databases waarvan gemelde kwaadaardige infrastructuur wordt gepubliceerd zodat mailservers, firewalls en browsers die automatisch kunnen blokkeren. Bekende feeds zijn de abuse.ch-familie (URLhaus, ThreatFox) en Spamhaus. Zodra je domein op zo'n lijst staat, gebeuren er drie dingen en geen enkele daarvan is in je handen:
- Je e-mail komt niet meer aan. Ontvangende mailservers raadplegen deze lijsten vóór het aannemen van een bericht. Zodra je domein of IP op een lijst staat, verdwijnt een groot deel van je e-mail geruisloos in spammappen of stuitert ronduit. Offertes, facturen, betalingsherinneringen: niets komt aan, en de meeste ontvangers zeggen er niets over.
- Bezoekers zien een waarschuwing in plaats van je site. Browsers en antivirusproducten gebruiken dezelfde feeds. Een klant die op je link klikt krijgt mogelijk een rood “deze site kan uw computer beschadigen”-tussenscherm te zien, en de meeste vertrekken gewoon.
- Partners en platforms zetten je buitenspel. Veel B2B-platforms, betaalverwerkers en marktplaatsen voeren eigen reputatiechecks uit. Een vermelding kan je account pauzeren of elk bericht dat je verstuurt als verdacht markeren.
Het brutale is: een deskundige opschoning van een gesaboteerde of geïnfecteerde website kost dagen. Van de lijst afkomen kost weken. De vermelding berust op bewijs dat reëel was: er kwam kwaadaardig verkeer uit je domein, dus elke feed hanteert zijn eigen afkoelperiode en zijn eigen verwijderprocedure, als die er al is. Ondertussen communiceert je bedrijf via een kanaal dat niet meer werkt.
Het faalpatroon: niemand merkt het wekenlang
Bovenstaande scenario's veronderstellen dat je de hack snel merkt. In de praktijk merken kleine bedrijven zonder IT-afdeling dat vaak niet. Aanvallers zorgen er bewust voor dat de site er normaal uitziet: je homepage laadt gewoon, je contactformulier werkt. Het spamscript en de malwaremappen leven in paden waar jij nooit komt. Van binnenuit ziet er niets verkeerd uit.
Het eerste signaal komt van buiten: een klant zegt dat je e-mail stuitert. Of erger, niemand zegt iets, en drie weken aan opvolging verdwijnt geruisloos in spammappen. De gemiddelde tijd om een compromittering bij een kleine organisatie te ontdekken wordt nog steeds gemeten in weken tot maanden. Al die tijd wordt je reputatie actief gesloopt, en elke dag maakt het van de lijst afkomen moeilijker.
Dit is precies het gat dat externe monitoring dicht. Niet door je bestanden te scannen, maar door je domein van buitenaf te bekijken, op dezelfde manier waarop de rest van het internet hem ziet.
Wat je zelf kunt doen
Het blocklistrisico laat zich niet wegnemen, maar wel beheersen:
- Maak de site zelf moeilijk te compromitteren. De meeste kapingen beginnen met een verouderd CMS, een blootliggend adminpaneel of een ontbrekende securityheader. Pak eerst de basis aan: updates, sterke inloggegevens, geen onnodige poorten.
- Bescherm je e-mailkanaal. Correcte SPF-, DKIM- en DMARC-records maken het voor een aanvaller veel moeilijker om mail te versturen die zich voortselt jij te zijn, en ze verbeteren de aflevering van je legitieme mail.
- Bewaak je reputatie continu. Controleer of je domein op de grote abuse-feeds staat: automatisch, niet één keer per jaar. Een vermelding die je dezelfde dag ontdekt waarop hij verschijnt, is een hanteerbaar incident. Een vermelding die je drie weken later ontdekt, is een crisis.
- Weet het delisting-pad vooraf. Elke feed heeft zijn eigen verwijderproces. Als je ooit op een lijst belandt, wil je er onmiddellijk doorheen werken, niet ernaar zoeken onder tijdsdruk.
Hoe Noroshi dit voor je bewaakt
Noroshi controleert je domein elke dag tegen gevestigde abuse-blocklists (de abuse.ch-familie, waaronder URLhaus en ThreatFox). Staat je domein genoteerd als malwarehost, phishingbron of botnetinfrastructuur, dan krijg je een alert met de bron van de vermelding en concrete stappen om op te ruimen en verwijdering aan te vragen. Je hoort het binnen 24 uur in plaats van drie weken.
Het is een van de meerdere externe checks die Noroshi continu draait: securityheaders, TLS-certificaat, e-mailauthenticatie (SPF, DKIM, DMARC), blootliggende bestanden, open poorten en lookalike-domeinen. Alles draait vanuit onze eigen Europese infrastructuur, zonder dat er iets op je server wordt geïnstalleerd.