Was ist Domain Spoofing und wie funktioniert es?

Damit eine Werbekampagne erfolgreich ist, müssen Werbetreibende sicherstellen, dass ihr Werbebudget bestmöglich eingesetzt wird und möglichst viele echte Menschen erreicht. Doch Betrüger lauern überall und so gibt es eine Vielzahl an Akteuren, die einen Teil des Werbebudgets abschöpfen möchten.

Eine seit Jahren beliebte Betrugstechnik ist das sog. “Domain Spoofing”. Was es damit genau auf sich hat, welche verschiedenen Ausprägungen es gibt und wie Sie als Werbetreibender Ihr Werbebudget davor schützen können, erfahren Sie im folgenden Artikel.

Was ist Domain Spoofing und wie funktioniert es?

Domain Spoofing ist eine weitverbreitete Technik, die von Betrügern eingesetzt wird, um Werbebudget abzuschöpfen. Dabei werden Websites von minderer Qualität erstellt, die sich als bekannte Websites ausgeben und oftmals eine exakte Kopie derer darstellen. Auf den ersten Blick ist die gefälschte Website nur sehr schwer vom Original zu unterscheiden.

Betrüger melden die gefälschten Websites bei verschiedenen Werbenetzwerken an, geben sie als Premium-Inventar aus und binden Display- und Videoanzeigen auf ihnen ein. Anschließend benutzen sie Bot-Traffic, der mit den Anzeigen interagiert, um schlussendlich eine Auszahlung zu erhalten.

Das Vorgehen klingt simpel und effektiv, und das ist es auch. Werbetreibende zahlen für diesen vermeintlichen Premium-Traffic, sehen aber nie eine Conversion oder die erhofften Branding-Effekte.

Die Gründe, warum Domain Spoofing eingesetzt wird, sind vielfältig:

• Um durch minderwertigen bzw. automatisierten Bot-Traffic Anzeigenbetrug zu begehen
• Um die Herkunft des Traffics zu verschleiern, wenn die Website illegale oder unerwünschte Inhalte hat
• Um Phishing zu betreiben
• Um Malware / Spyware zu verbreiten
• Um persönliche Informationen zu stehlen

Welche Arten von Domain Spoofing gibt es?

Beim Domain Spoofing kann man zwischen einfachen und komplexeren Methoden unterscheiden.

Bei einfachen Domain-Spoofing-Methoden werden Websites gefälscht, indem sie 1:1 kopiert und unter einer neuen Domain verfügbar gemacht werden.

Komplexere Methoden beinhalten die Fälschung einer E-Mail-Adresse, die Verbreitung von Malware über eine Website oder das Abgreifen persönlicher Informationen.

Website / URL-Spoofing

Die einfachste Art von Domain Spoofing. Betrüger übermitteln dem Ad Server eine URL eines echten, hochwertigen Publishers. Werbetreibende denken, dass ihre Anzeige auf einer echten Website wie forbes.com ausgespielt wurde, in Wirklichkeit wurde die Anzeige aber auf einer gefälschten Website angezeigt.

Ein weiterer Weg, wie Betrüger eine legitime Website nachahmen können, ist die Nutzung von Unicode-Zeichen in der Domain. Unicode ist ein internationaler Standard für die Zeichenkodierung, der für jedes Zeichen in allen Sprachen und Schriften eine eindeutige Nummer vorsieht, sodass fast alle Zeichen plattform-, programm- und geräteübergreifend zugänglich sind.

Beispielsweise ist der Buchstabe „h“ vom Unicode-Zeichen „һ“ (Shha in Unicode) optisch kaum zu unterscheiden. Betrüger machen sich dies zunutze und registrieren Domains für ihre gefälschten Websites, die dem Domainnamen von legitimen Websites ähneln.
Eine Liste über optisch ähnliche Unicode-Zeichen kann man hier finden.

Cross-domain embedding

Diese Methode macht von iFrames gebrauch. Ein iFrame ist ein HTML-Element, mit dessen Hilfe fremde Inhalte in einer Website eingebunden werden können. Diese Inhalte können z.B. Bilder oder Videos sein, allerdings lassen sich damit auch ganze Websites in andere Websites einbinden.

Durch die Einbindung einer hochwertigen Website in einem iFrame in eine gefälschte Website, kann es für Werbetreibende so aussehen, als wäre ihre Werbung auf der höherwertigen Website ausgespielt worden.

Malware

Mithilfe infizierter Apps oder Browser-Erweiterungen können Betrüger ohne Wissen des Users Werbung in Websites und Apps einschleusen.

Die Funktionsweise ist dabei sehr einfach: Öffnet ein User eine infizierte App, werden im Hintergrund unsichtbare Werbebanner geladen, die anschließend automatisch angeklickt werden. Jeder Klick auf eine Werbeanzeige bringt den Betrügern Geld ein.

Eine Betrugsmasche, die auf diesem Prinzip aufbaute, war Zacinlo. Die Malware führte unter anderem betrügerische Browserumleitungen durch, erzeugte gefälschte Klicks auf Online-Anzeigen in versteckten Browserfenstern und tauschte auch Anzeigen, die auf natürliche Weise im Browser des Opfers geladen wurden, mit den Anzeigen der Angreifer aus, damit diese die Werbeeinnahmen kassieren konnten.