Wie is in het bezit van het internetdomein 'overpelt.be'? Dat weet alleen de eigenaar(s). Na de fusie tussen Overpelt en Neerpelt in 2019 is niet meer betaald voor het online domein. Daardoor kon het opgekocht worden door onbekenden, die nu eigenaar zijn van alle mailadressen die eindigen op '@overpelt.be' en de website 'overpelt.be'. Dat is niet zonder gevaar, volgens ethisch hacker Inti de Ceukelaire.
Overpelt
Domeinnaam '@overpelt.be' is in handen van onbekenden, Limburg slechtste leerling van de klas in onderzoek van ethisch hacker
De Ceukelaire kocht zelf 107 verlopen domeinnamen op, voor 8 euro per stuk. Die behoorden in een vorig leven toe aan OCMW's, CAW's, CLB's en politiezones. "Als ik kijk naar de lijst, ligt het zwaartepunt in Limburg. De provincie is in alle categorieën sterk vertegenwoordigd."
Wat is een domeinnaam?
Een domeinnaam is de unieke naam die een particulier, een onderneming of een organisatie identificeert op het internet. "Iedereen die een professioneel e-mailadres heeft via het werk, die gebruikt een domeinnaam, te herkennen door het deeltje achter het apenstaartje", legt De Ceukelaire uit in De Ochtend op Radio 1. "Organisaties huren domeinnamen. Dat wil zeggen dat ze er elk jaar of om de paar jaar voor moeten betalen. Maar domeinnamen kunnen ook vervallen door faillissementen, splitsingen of fusies."
Dat is in Overpelt dus fout gelopen. De ethische hacker heeft 'overpelt.be' niet zelf kunnen opkopen. Iemand anders was hem te snel af. "Overpelt en Neerpelt zijn in 2019 gefusioneerd tot Pelt. Dan moet je alle mailadressen en websites updaten. 'Neerpelt.be' gaat nu heel netjes naar 'Pelt.be', maar dat is niet zo voor de oude website van Overpelt. De huur voor dat domein is niet verlengd."
Nu staat er volgens de Ceukelaire een soort van valse website op. "We weten niet wie erachter zit en wat ze er van plan mee zijn. Dat is zorgwekkend voor een gemeente van die omvang."
De Ceukelaire onderzocht de website. "Momenteel loop je geen gevaar als je er terechtkomt. In de toekomst kan je dat niet uitsluiten. De eigenaars krijgen nu misschien al mails waar ze iets mee aanvangen. Ze kunnen later ook een phishing-website onderbrengen op het domein. De oude domeinnaam komt nog veel voor in oude documenten. Geldige overheidswebsites zouden dan dus doorverwijzen naar een phishing-website. Die kan dan vragen om je (bank)gegevens."
Zelf raakte de hacker met zijn verlopen domeinnamen en de eraan gekoppelde mailadressen aan documenten rond bewindvoering, gerechtsdeurwaarders, informatie over gedetineerden en verzekeringsverslagen. "Maar ook zeer persoonlijke mails van mensen die om hulp vroegen bij een organisatie. Die is echter nooit gekomen, omdat het mailadres niet langer gebruikt werd."
Wat nu in Overpelt?
"Het gaat om een vergetelheid", zegt burgemeester Dennis Franssen (CD&V) van Pelt. "Bij de fusie hebben we de domeinnaam 'neerpelt.be' wel verlengd, maar met 'overpelt.be' is dat niet gebeurd. We hebben dat in 2022 gemerkt en hebben toen ook geprobeerd om die domeinnaam terug te kopen, maar dat is niet gelukt, ook niet via de Belgische organisatie die '.be' beheert."
De burgemeester vraagt inwoners om alert te zijn. "Voor alle duidelijkheid, de website 'overpelt.be' heeft geen enkele link met de website van de gemeente of onze servers. Er is geen sprake van een datalek."
"Als gemeente communiceren we altijd vanuit 'gemeentepelt.be'", vult Franssen aan. "Dus niet vanuit 'overpelt.be', maar ook niet vanuit 'neerpelt.be', of 'gemeentepelt.org'. En zo zijn er nog veel meer gelijkaardige namen te bedenken." De gemeente gaat nu een sensibiliseringscampagne uitwerken om de inwoners daar nog eens attent op te maken.
Er is niets mis met fusioneren, maar privacy vervalt niet
Inti De Ceukelaire, ethisch hacker
Ethisch hacker De Ceukelaire kon zelf ook verschillende oude domeinnamen van Limburgse organisaties opkopen, maar hij wil niet zeggen welke dat zijn. "Ik bezit hun domeinnamen nu voor een jaar. Tegen dan willen we ze zoveel mogelijk teruggeven aan de vorige eigenaars. Het is een structureel probleem. Heel wat domeinen zullen verlopen als we niet ingrijpen."
En wat met toekomstige fusies in Limburg?
Hij waarschuwt dan ook fuserende gemeenten. "Zeker in hun geval. Het kan altijd gebeuren, maar het is vrij onverantwoord om de domeinnaam en data te laten verlopen. Je moet die toch 10 tot 15 jaar behouden. Dat kost je tussen 100 en 200 euro, maar zo stel je wel de gegevens van mensen veilig. Ondertussen kan je hen dan doorverwijzen naar de nieuwe website. Er is niets mis met fusioneren, maar privacy vervalt niet."
Regionaal nieuws uit Limburg
Gepubliceerd:
