Bijvoorbeeld wanneer websites voor een trackingbedrijf een subdomein aanmaken.
De betrouwbaarheid van domeinnamen wordt steeds verder ondergraven door:
thirdparty.example.com
Dat ervan uitgaande dat je example.com vertrouwt maar geen idee hebt wie er achter thirdparty zit, laat staan of deze betrouwbaar is en niet is gehacked.
Deze constructie wordt al massaal misbruikt voor bulkmailers. Dit levert allerlei risico’s op (zoek op internet naar “subdomain takeover”), wat wordt vergroot door dit uit te breiden naar “cookie-subdomeinen”.
In dit geval zal een foute werknemer of externe cybercrimineel waarschijnlijk niet eens een https servercertificaat aan hoeven te vragen (dat is er al) en het gaat ook niet om een domein dat gisteren op naam is gezet (en daarom mogelijk niet wordt vertrouwd); sterker, zo’n subdomein kan meeliften als het hoofddomein op een “allow list” (voorheen whitelist) staat.
Nb. als je e-mail ontvangt van bijvoorbeeld noreply@e.example.com, is dat zelden afkomstig van example.com, maar van een derde partij:
1) Waarvan example.com jou wil doen geloven dat zij de afzender zijn;
2) Die jouw persoonsgegevens en wellicht andere (voor phishers interessante) informatie van example.com heeft gekregen (zonder dat jou daar toestemming voor gevraagd is). Gebruikelijk is het dat elke link in elke e-mail naar een website van die derde partij verwijst, zodat zij precies weten of en op welk moment precies jij op links in die mail klikt (meestal redirecten die sites jou vervolgens naar een pagina op de “echte” site, maar als ze gehacked zijn hoeft dat natuurlijk niet);
3) Sterker, example.com verbergt zo met wie zij jouw persoonsgegevens deelt. Bovendien kan example.com voor steeds andere subcontractors kiezen zonder dat doorsnee internetters hier iets van merken.
Ik hoop dat organisaties zo verstandig zijn om hiermee te stoppen i.p.v. dit uit te breiden met “cookie-subdomeinen”. Wellicht wordt het tijd om bedrijven die zo omspingen met risico’s (privacy en security) van hun klanten, publiekelijk aan de schandpaal te nagelen.
Bron: Security.nl