Een oud domein zegt niks over een neppagina
"Kijk hoe oud het domein is" is een veelgehoorde tip tegen phishing. We legden hem naast 392.164 phishingadressen die op 3 november 2026 als actief te boek stonden. Een derde staat op een platform waar de leeftijd van het domein niets over de maker zegt. En van de domeinen die we konden opzoeken, was vier op de vijf ouder dan een jaar.
postnl-bezorgen.pages.devdomein: pages.devgeregistreerd in 2020
Een derde van de adressen hangt onder vercel.app, pages.dev of duckdns.org
De lijst komt van Phishing.Database, een open project dat phishingadressen verzamelt en test (licentie MIT). We haalden de lijst met actieve adressen op en zochten per adres het echte domein op met de Public Suffix List. Die lijst houdt bij welke adressen van een platform zijn, waar iedereen een eigen subdomein krijgt.
Van de 392.164 adressen stonden er 126.596 op zo'n platform: 32,3%. Tel je de platforms mee die niet op de Public Suffix List staan, zoals weeblysite.com, 000webhostapp.com en glitch.me, dan komt het rond de 40% uit.
Op al die platforms maak je in een paar minuten een eigen adres aan, vaak gratis. postnl-bezorgen.pages.dev is dan een geldig adres, op een domein dat al jaren bestaat en van Cloudflare is. Vraag je de leeftijd op van pages.dev, dan krijg je de leeftijd van de dienst van Cloudflare. Niet die van de oplichter.
https://postnl-bezorgen.pages.dev/track
- postnl-bezorgen Het deel dat de oplichter koos. Dit is van hem, en dat is een paar minuten oud.
- .pages.dev Het platform van Cloudflare, geregistreerd in 2020. Die datum geeft een leeftijdscheck je terug.
Daarom zegt Linkshield het erbij als een adres op zo'n platform staat, en zoekt het daar de domeinleeftijd niet op. Een oud getal zou je daar alleen maar geruststellen.
81% van de nog bestaande phishingdomeinen is ouder dan een jaar
Voor de adressen met een eigen domein trokken we een steekproef van 400 domeinen. Bij elk domein vroegen we de registratiedatum op via RDAP, het officiële register. Zo ging dat:
| Uitkomst | Domeinen |
|---|---|
| Staat niet (meer) in het register | 204 |
| Extensie zonder RDAP, zoals sommige landcodes | 51 |
| Register gaf geen antwoord (te veel verzoeken, time-out) | 9 |
| Wel een registratiedatum | 135 |
| Wel gevonden, maar zonder datum | 1 |
| Leeftijd op 3 november 2026 (135 domeinen met datum) | Aandeel |
|---|---|
| Jonger dan 30 dagen | 3,7% |
| Jonger dan 1 jaar | 18,5% |
| Jonger dan 2 jaar | 38,5% |
| Jonger dan 5 jaar | 52,6% |
| Jonger dan 10 jaar | 69,6% |
| Middelste waarde | 4,6 jaar |
Steekproef van 400 uit 161.668 eigen domeinen (vaste seed 20261103), opgevraagd via de RDAP-registers uit de IANA-lijst op 3 november 2026.
Een domein van zes jaar oud met een phishingpagina erop hoeft geen oplichter te zijn die geduld had. Het kan een gewone bedrijfssite zijn met een verouderde WordPress, waar iemand een map met een nepinlogpagina in heeft gezet. Hoe vaak dat bij Nederlandse sites gebeurt, telden we in website gehackt voor een phishingpagina. Of een domein dat verliep en werd opgekocht. De datum in het register blijft dan gewoon oud.
Onze meting overdrijft de oude domeinen, en dat geven we toe
Van de 400 stonden er 204 niet meer in het register. Dat zijn voor een groot deel jonge domeinen die zijn opgeheven na meldingen. Wat overblijft, zijn de domeinen die het langer volhouden, en dat zijn vaker oude, gehackte sites. Op het moment dat jij een sms krijgt, is de kans op een jong domein dus groter dan 18,5%.
Ook de lijst zelf heeft een kleur. Phishing.Database verzamelt uit meldingen en feeds, en "actief" betekent dat hun eigen test het adres nog bereikbaar vond. Het is geen telling van alle phishing in Nederland. Wat de meting wel hard laat zien: een oud domein is geen groen licht, en op een platformadres zegt de leeftijd helemaal niets.
Eerst het domein, dan de leeftijd
Kijk bij een link eerst naar het domein: de extensie met het woord ervoor. Is dat een platform als vercel.app of pages.dev, dan staat er een pagina van een onbekende. Is het een eigen domein, kijk dan naar de leeftijd. Jonger dan een maand is een reden om niet te klikken. Ouder dan een jaar zegt weinig.
De linkvolger doet die twee stappen voor je, ook als er eerst een korte link tussen zit. Wil je alleen een datum, gebruik dan domeinleeftijd opzoeken. Waarom een naam in een korte link niets zegt, lees je in bit.ly/ing gaat niet naar ING.
Platforms wisselen. Nu staat duckdns.org bovenaan, maar oplichters trekken naar de dienst waar een nieuw subdomein het snelst en goedkoopst is. Komt er een nieuwe gratis host bij, dan schuift deze top tien mee.