Een website die tickets voor Formule 1-races verkoopt, zonder die ooit te leveren. Mijndomein kreeg ermee te maken en haalde de website na een melding snel offline. Maar daarmee was de zaak niet afgedaan. De echte aanbieders van tickets wilden weten wie achter de website zat. De hoster leek het overduidelijk dat de dader niet met zijn eigen persoonsgegevens geregistreerd stond, maar met gestolen gegevens. Die gegevens delen, zou dan ook een ander slachtoffer kunnen raken.
Het voorbeeld laat zien hoe ingewikkeld de verantwoordelijkheid van een hostingbedrijf en registrar kan zijn. Deze organisaties zitten dicht bij de bron van online misbruik en malafide content. Dat vraagt om zorgvuldig ingrijpen. ‘Een hostingbedrijf of registrar is geen politieagent en moet dat ook niet worden.’
Een paar rotte appels
Twintig jaar geleden werd de hostingsector nog wel eens als een cowboymarkt gezien. Volgens Goudkuil is dat al lang niet meer het geval. Bedrijven zijn samengevoegd, waardoor grotere aanbieders zijn ontstaan. Wetgeving en toezicht stellen hogere eisen. Externe audits moeten aantonen dat de processen op orde zijn.
Toch blijven er nog grote verschillen. Goudkuil ziet aanbieders die actief misbruik voorkomen, bedrijven die hun processen nog onvoldoende op orde hebben en een kleine groep die bewust verdient aan schadelijke content. Die laatste categorie weet verzoeken om verwijdering te rekken, zodat de content vlak voor een rechtszaak verdwenen is, om later op een andere server terug te komen.
‘Het zijn maar een paar rotte appels in de fruitschaal die het voor de rest verpesten.’ De gevolgen raken wel de hele sector: reputatieschade en meer regeldruk, ook voor bedrijven die hun verantwoordelijkheid wel nemen. Goudkuil vindt dat structureel wegkijken consequenties moet hebben.
Ondertussen blijft de markt in beweging. Een nieuwe aanvraagronde voor topleveldomeinen maakt de komst van nieuwe extensies mogelijk. Goudkuil verwacht daarmee ook nieuwe speculatie: namen vastleggen om ze later met winst te verkopen. Je kunt immers een domein registreren zonder er zelf iets mee te doen. Als ieder bedrijf misbruik alleen binnen zijn eigen omgeving bestrijdt, kan een oplichter ergens anders opnieuw beginnen. Goudkuil ziet daarom veel in gezamenlijke voorzieningen waarmee aanbieders kennis en signalen uitwisselen. SIDN fonds kan helpen om dit soort initiatieven te ontwikkelen.
Bulletproof hosters adverteren op het dark web
Illegale content is van alle tijden en aanbieders zijn verplicht daarop te handelen. Maar op het dark web adverteren sommige bedrijven juist met de belofte dat zij websites ondanks verwijderingsverzoeken online houden. Deze ‘bulletproof hosters’ kunnen infrastructuur gebruiken van andere aanbieders, die niet altijd weten wie hun uiteindelijke klant is.
Partijen uit de sector onderzoeken daarom waar dit soort diensten terechtkomen. Zij nemen diensten af en kijken of de geleverde servers in Nederland staan. Vervolgens informeren ze de betreffende aanbieder. Die kan dan onderzoeken of hij, mogelijk via een tussenpartij, infrastructuur voor misbruik levert.
Ook kennis delen met opsporingsdiensten en toezichthouders helpt. Een aanbieder die alleen servers verhuurt, heeft een andere positie dan een bedrijf dat complete hosting verzorgt. ‘Het is echt wel een complex geheel’, zegt Goudkuil. Praktijkkennis uit de sector maakt duidelijk waar ingrijpen mogelijk is. Vertrouwen in het digitale domein vraagt dus ook om vertrouwen tussen organisaties: weten wie je kunt benaderen en erop kunnen rekenen dat een melding wordt opgepakt.
Netneutraliteit en veiligheid
Goudkuil hecht aan netneutraliteit en aan een internet waar mensen hun mening kunnen delen. Alleen een verzoek om verwijdering is voor hem onvoldoende reden om een website direct offline te halen. Bij aantoonbaar misbruik moet een provider optreden, maar het gaat te ver om voortdurend de content van alle klanten te beoordelen.
Daartussen liggen lastige dilemma’s. Denk aan websites voor mensen met een eetstoornis. Daar kunnen bezoekers bijvoorbeeld tips vinden voor gedrag dat hun aandoening erger maakt. Tegelijkertijd bieden dit soort websites een plek waar lotgenoten elkaar vinden, ervaringen kunnen delen en mogelijk hulp zoeken.
‘Aan de ene kant kan dat tot bijna levensbedreigende situaties leiden. Aan de andere kant kunnen lotgenoten elkaar ook wel vinden en juist ook hulp kunnen vinden.’ Zo’n website kun je wel offline halen, maar help je daarmee de mensen die er komen?
Medewerkers bewust maken met nagebootste aanvallen
Ingrijpender is bijvoorbeeld het tijdelijk blokkeren van toegang vanuit bepaalde werelddelen tijdens DDoS-aanvallen. Zo’n blokkade kan de aanval stoppen, terwijl klanten met internationale bezoekers er dan ook hinder van ondervinden. Gelukkig is zo’n drastische maatregel tijdelijk, maar de afweging blijft lastig.
Hoe goed de techniek ook is ingericht, keer op keer blijkt dat mensen de belangrijkste factor zijn bij veiligheidsincidenten. Phishingmails worden steeds overtuigender. Met gekloonde stemmen of gespoofte telefoonnummers wordt het steeds lastiger echt van nep te onderscheiden. Die bewustwording wordt de komende jaren nog belangrijker, nu criminelen met AI steeds overtuigender berichten en telefoongesprekken kunnen nabootsen.
Bij Mijndomein zijn bewustwordingstrainingen daarom verplicht. Het bedrijf test medewerkers ook met nagebootste phishingaanvallen. Wie klikt, krijgt aanvullende training. ‘Het gaat niet om naming en shaming, maar om bewustwording door het in de praktijk te ervaren. Het doel is dat mensen een volgende poging herkennen.’
Samenwerken aan oplossingen voor de hele sector
Goudkuil ziet het als een belangrijke rol voor SIDN fonds om initiatieven te steunen die de gezamenlijke weerbaarheid versterken. Goudkuil noemt NaWas, de Nationale anti-DDoS Wasstraat, en DIVD, dat digitale kwetsbaarheden opspoort en helpt aanpakken.
Goudkuil is ook betrokken bij ISP Blacklist II. Met steun van het fonds onderzoekt de Vereniging van Registrars of aanbieders juridisch en technisch verantwoord informatie over misbruik kunnen delen. Zo hoeft een provider niet opnieuw te ontdekken wat een collega al weet. Daarvoor zijn heldere afspraken nodig: welke gegevens mogen aanbieders uitwisselen en wie krijgt toegang? Zo organiseer je vertrouwen tussen aanbieders en bescherm je tegelijk de mensen van wie zij gegevens delen.
Als het onderzoek perspectief biedt, wil Goudkuil een vervolg waarin de oplossing daadwerkelijk wordt ontwikkeld en gebruikt. Ook Europese samenwerking vindt hij belangrijk: misbruik houdt zich niet aan landsgrenzen.
Die actieve rol spreekt hem aan in de Raad van Advies. Leden beoordelen aanvragen, denken mee en brengen initiatiefnemers in contact met anderen. ‘Heb je hieraan gedacht?’ of ‘Je zou eens met die en die moeten praten’ kan een voorstel verder helpen. Praktijkkennis krijgt zo een plek naast andere perspectieven. Voor Goudkuil zit daar de waarde van SIDN fonds: het helpt om ideeën uit de sector te laten uitgroeien tot oplossingen waar ook anderen gebruik van kunnen maken. Met financiering en het netwerk van het fonds krijgen initiatiefnemers de kans om hun aanpak verder te brengen. Zo kan een goed idee bij één organisatie bijdragen aan een veiliger internet voor iedereen.
