Phishing via zoekadvertenties: waarom het bovenste resultaat nep kan zijn

Oplichters kopen zoekadvertenties op de namen van populaire wallets, exchanges en DeFi-apps, waardoor het eerste ‘gesponsorde’ resultaat kan leiden naar een overtuigende nepsite die is gebouwd om je herstelzin, inloggegevens of wallet-goedkeuringen te stelen. De veiligste gewoonte is eenvoudig: ga nooit via een advertentie naar een cryptosite, maar gebruik je eigen bladwijzers.

Deze aanval werkt omdat hij inspeelt op een moment van vertrouwen. Je zoekt op een naam die je kent, klikt op het eerste resultaat en ziet een pagina die er precies goed uitziet. Niets voelt verdacht – en dat is precies de bedoeling. Deze gids legt uit hoe de truc werkt, hoe die er in de praktijk uitziet en hoe je jezelf beschermt.

Hoe phishing via zoekadvertenties werkt, stap voor stap

1. 1De oplichter registreert een sprekend gelijkend domein. Daarbij kan een letter worden verwisseld, een woord als ‘app’ of ‘claim’ worden toegevoegd, een andere domeinextensie worden gebruikt of kunnen tekens worden gebruikt die er identiek uitzien als Latijnse letters.
2. 2Ze klonen de echte site. Het ontwerp van een wallet, exchange of DeFi-app kopiëren kost weinig moeite.
3. 3Ze kopen advertenties op de merknaam. De advertentie richt zich op zoekopdrachten zoals de naam van de wallet plus ‘download’ of de naam van de exchange plus ‘login’.
4. 4Ze ontwijken de controle. Trucs zijn onder meer een onschuldige pagina tonen aan controleurs en de phishingpagina aan echte bezoekers, of doorverwijzen via meerdere domeinen.
5. 5Slachtoffers klikken en handelen. De nepsite vraagt om een herstelzin om een wallet te ‘herstellen’, onderschept een exchangewachtwoord en een tweefactorcode, biedt een kwaadaardige app ter download aan of vraagt je een wallet te verbinden en een transactie te ondertekenen.
6. 6De tegoeden worden leeggehaald. Met een herstelzin of een uitgavegoedkeuring verplaatst de aanvaller de activa binnen enkele minuten, vaak via mixers of bridges.

De neppagina verdwijnt meestal snel en wordt vervangen door een nieuw domein met een nieuwe advertentie. We gaan hier dieper op in bij Oplichting met cryptoleningen.

Een hypothetisch voorbeeld

Het volgende is een samengesteld, illustratief scenario – geen echte zaak.

Stel dat Sam een DeFi-positie wil controleren. Sam typt de naam van het protocol in een zoekmachine en klikt op het bovenste resultaat, dat in kleine letters als ‘Gesponsord’ is gemarkeerd. De pagina ziet er identiek uit aan de echte app. Een banner meldt dat een ‘beveiligingsmigratie’ vereist dat gebruikers hun wallet opnieuw verbinden. Sam maakt verbinding en wordt gevraagd een bericht te ondertekenen dat eruitziet als een routinematige login. Zie ook: E-mailaccountbeveiliging voor cryptogebruikers.

In werkelijkheid is de handtekening een token-permit die de aanvaller toestemming geeft om Sams stablecoins te verplaatsen. Minuten later is het saldo weg. Als Sam naar de adresbalk kijkt, heeft het domein één letter te veel. Onze uitleg over ice phishing en permit-handtekeningen laat zien hoe zulke handtekeningen werken.

Checklist met waarschuwingssignalen

Zo bescherm je jezelf

Bouw veilige toegangsgewoonten op

• Maak bladwijzers van officiële sites één keer, nadat je ze zorgvuldig hebt gecontroleerd, en gebruik alleen die bladwijzers. Onze gids over hoe je controleert of een website de officiële projectsite is behandelt de controles.
• Scrol voorbij advertenties bij elke zoekopdracht over financiën of crypto. Nog beter: zoek helemaal niet naar inlogpagina’s.
• Installeer wallet-apps alleen via links op de officiële website of geverifieerde vermeldingen in appstores, en controleer de naam van de ontwikkelaar. Zie nep-wallet-apps voor waarschuwingssignalen.

Beperk de schade als het misgaat

• Gebruik een hardwarewallet die transactiegegevens op het eigen scherm toont, en lees ze.
• Bewaar het grootste deel van je tegoeden in een wallet die je zelden aan apps koppelt, en gebruik een aparte wallet om te experimenteren.
• Controleer en trek tokengoedkeuringen regelmatig in.
• Gebruik een adblocker of een browserinstelling die gesponsorde resultaten verbergt, als je je daar prettig bij voelt.

Controleer adressen, niet het uiterlijk

Lees het domein in de adresbalk voordat je iets typt. Een perfect ogende pagina bewijst niets; het domein is wat telt. Voor meer verdieping, zie Supply-chain-aanvallen.

Wat te doen als het jou is overkomen

1. 1Stop met interactie met de site en verbreek de verbinding met je wallet.
2. 2Als je een herstelzin hebt ingevoerd, maak dan een gloednieuwe wallet met een nieuwe herstelzin en verplaats alle resterende tegoeden direct.
3. 3Als je een goedkeuring hebt ondertekend, trek die in met een betrouwbare goedkeuringschecker en overweeg daarna je tegoeden naar een nieuw adres te verplaatsen.
4. 4Als je inloggegevens van een exchange hebt ingevoerd, wijzig dan je wachtwoord, stel tweefactorauthenticatie opnieuw in en neem via de officiële site contact op met de support van de exchange.
5. 5Leg bewijs vast: de advertentie, het domein, transactiehashes en tijdstempels.
6. 6Meld het bij de zoekmachine, bij het nagebootste project en via ons meldformulier voor oplichting.

Onze stapsgewijze gids over wat je direct moet doen als je wallet gecompromitteerd is behandelt het herstel in detail. Wees op je hoede voor iedereen die daarna contact met je opneemt en belooft je geld terug te halen – herstelfraude richt zich op recente slachtoffers.

Conclusie

Een topplek in de zoekresultaten kun je kopen; het is geen bewijs van echtheid. Oplichters gebruiken gesponsorde resultaten om sprekend gelijkende cryptosites voor mensen te plaatsen op precies het moment dat ze willen inloggen of een wallet willen verbinden. Controleer officiële sites één keer, maak er bladwijzers van, sla advertenties volledig over en typ nooit een herstelzin op een website in. Met die gewoonten wordt deze hele categorie aanvallen voor jou irrelevant.