Phishingaanvallen op banken worden steeds slimmer. In een recente campagne zet een aanvallende partij valse suspended pagina’s in om inhoud verborgen te houden voor mensen die een gemelde site opnieuw controleren. Daardoor lijkt een look-alike domein “uit” terwijl het voor nieuwe bezoekers juist actief is.
Securitybedrijf Kela beschrijft hoe de infrastructuur werkt met een kit die bezoekers onthoudt via hun IP-adres. Als het doelwit terugkomt (bij een tweede check), krijgt die een pagina die lijkt op een gesloten hosting- of accountmelding. Zo kan een takedown-proces worden misleid, terwijl de phishingpagina ondertussen blijft doorlopen.
Wat zijn valse suspended pagina’s en waarom helpen ze tegen takedowns?
De kern van de aanpak is eenvoudig, maar effectief. De campagne serveert bij een eerste bezoek een klassieke inlogpagina met branding van de betreffende bank. Bij terugkeer laat dezelfde domeinnaam iets anders zien: een “This account has been suspended” scherm dat lijkt op een bericht dat een hostingprovider toont na het sluiten van een account.
Volgens Kela is dit precies gericht op de werkwijze van partijen die sites willen uitschakelen. Vaak volgen ze een gemelde URL op en controleren ze later nogmaals om te bevestigen dat de aanval inderdaad is gestopt.
- Een eerste bezoek toont phishinginhoud.
- Een tweede controle toont een “gesloten” pagina.
- Daardoor kan een domein onterecht als onschadelijk worden gemarkeerd.
Belangrijk detail: om het echte phishinggedrag te zien, moeten controles opnieuw met een nieuw IP-adres uitvoeren. Wie met dezelfde bron test, loopt het risico de “gesuspended” variant te zien.
Honderden domeinen met herhaalbare naamspatronen
Kela rapporteert dat de actor al sinds mei actief is met meer dan 300 domeinen. Daarvan zijn er volgens de analyse 248 domeinen die 189 financiële instellingen imiteren in de Verenigde Staten. De eerste registraties zouden al eind 2025 zijn begonnen, maar het grootste deel is volgens Kela zichtbaar geworden tussen juli en september 2026.
Op 25 oktober hadden 183 van de gerichte organisaties nog steeds werkende look-alikes, vooral gericht op middelgrote regionale banken. In de week erna zag Kela nog 49 nieuwe domeinen verschijnen.
Hoe ziet de phishingketen eruit voor slachtoffers?
Volgens Kela lijkt de gebruikerservaring op wat je van bankphishing verwacht, maar met extra “vernis” voor detectie-omzeiling.
Nieuwe bezoekers
Bij het eerste bezoek tonen de domeinen pagina’s met de branding van de doelbank. Daarna vragen ze om een gebruikers-ID en wachtwoord. In sommige gevallen staat er ook een reCAPTCHA op de pagina, wat de aanval geloofwaardiger kan laten overkomen.
Daarnaast kopieert de pagina de tabtitel “Attention required”, wat verwijst naar een Cloudflare-uitdaging. Ook blijkt er een script aanwezig dat de browserinstellingen rond ontwikkelhulpmiddelen beperkt, wat analytici kan vertragen.
Terugkerende bezoekers
Wie later opnieuw dezelfde look-alike bezoekt, krijgt een scherm te zien dat lijkt op een “geschorst/gesloten” hostingmelding. Kela noemt dit samen de “Suspended” infrastructuur — omdat het gedrag precies lijkt op een situatie waarin de site niet meer actief hoort te zijn.
Variaties in infrastructuur: meer dan één template
Een deel van de domeinen gebruikt volgens Kela een herhaalbaar naampatroon. Die namen bevatten vaak een woord zoals secure, disable, protect, cancel, authorize, terminate, credentials of commercial, gevolgd door een koppelteken en de naam van de doelbank.
Daarnaast ziet Kela een kleiner, groeiend segment met andere varianten. Daarbij worden subnamen gebruikt die doen alsof het om een help-desk, live support, treasury-portal of zelfs primary device gaat, steeds opnieuw met de banknaam erin verwerkt.
Bij ongeveer de helft van de 49 nieuwe domeinen die Kela kort voor 25 oktober opvolgde, worden deze templates eveneens ingezet. Kela noemt als voorbeelden help-desk- en live-chat look-alikes van onder andere JPMorgan, Citi, BMO en Santander.
Op wie richten de aanvallers zich: vooral zakelijke toegang
Kela stelt dat de campagne vermoedelijk vooral mikt op business banking en treasury-logins. Dat betekent dat het niet alleen draait om standaard consumentenaccounts, maar juist om toegang die vaak hoge impact heeft als die wordt misbruikt.
De onderzoekers geven aan niet exact te hebben vastgesteld hoe slachtoffers naar de phishingpagina’s worden gelokt. Wel concludeert Kela dat de focus duidelijk ligt op professionele inlogroutes.
Waarom deze aanpak lastig te stoppen is
Kela noemt vier factoren die het verwijderen van deze infrastructuur moeilijk maken:
- Een eenvoudige naamformule die makkelijk voor meerdere banken te herhalen is.
- Cloudflare als laag die de hostinglocatie afschermt, waardoor tracing en blokkering complexer worden.
- Een “tweede-check” effect: wie later opnieuw controleert, ziet een fake suspended scherm.
- Gebruik van gedeelde servers die langer kunnen meegaan dan één afzonderlijk domein.
Met andere woorden: zelfs nadat een domein wordt gemeld, kan het onder de radar blijven voor processen die vooral één of twee checks uitvoeren.
Praktische verdediging: hoe je dit wél beter detecteert
Je kunt deze tactiek niet volledig uitschakelen met één maatregel. Wat je wél kunt doen is je processen aanpassen zodat “tweede bezoek = gesuspendeerd” minder effectief wordt.
1) Controleer met variatie in bron en tijd
Als je test op gemelde look-alikes, doe dat bij voorkeur vanuit verschillende netwerken en met verschillende IP-bronnen. Zo voorkom je dat je alleen het “gesloten” scherm ziet. Automatiseer dit waar mogelijk, zodat je niet afhankelijk bent van één vaste testbron.
2) Let op mismatch tussen uitdaging en echte flow
In deze campagne wordt een Cloudflare-achtige tabtitel gebruikt en bestaan er scripts die onderzoek vertragen. Het blijft belangrijk om in je detectie te letten op afwijkingen in paginaflow, foutmeldingen en call-to-actions. Verdachte inlogpagina’s die “Attention required” tonen, zijn een signaal om extra grondig te inspecteren.
3) Richt beveiligingsmaatregelen op zakelijke logins
Omdat de focus vooral lijkt te liggen op business banking en treasury, is het verstandig om daar prioriteit aan te geven. Denk aan strengere toegangsregels, snelle incidentrespons en het beperken van sessies en token-misbruik bij verdacht gedrag.
Gerelateerd: andere phishing- en evasionsignalen
Deze techniek sluit aan bij bredere trends waarin aanvallers detectie en takedown omzeilen. Als je dit onderwerp vergelijkt met andere recente waarschuwingen, zie je vaak dezelfde rode draad: aanvallers misbruiken het gedrag van meld- en controleprocessen.
- Device code phishing in oktober 2026: wat nu te doen
- Device code phishing in oktober 2026
- Unknown security: zo denkt CISO Ryan Davis erover
Conclusie
De campagne die Kela beschrijft laat zien hoe valse suspended pagina’s gebruikt kunnen worden om phishinginhoud te verbergen voor partijen die een domein pas na een melding opnieuw controleren. Door bezoekers via hun IP te “onthouden”, kan een domein bij eerste inspectie kwaadaardig lijken en bij tweede inspectie als “gesloten”.
Voor organisaties betekent dit dat je niet alleen naar de eerste zichtbare pagina moet kijken, maar ook je controle- en meldprocessen moet aanscherpen. Met variatie in testbronnen, extra aandacht voor zakelijke inlogstromen en een strakkere responscyclus vergroot je de kans dat look-alikes sneller worden onderbroken — voordat ze opnieuw slachtoffers kunnen verleiden.
Bron: https://www.securityweek.com/bank-phishing-sites-show-fake-suspended-pages-to-evade-takedowns/
