Wat is pharming? Hoe werkt het en hoe kunnen organisaties het risico beperken?

Voor organisaties kan pharming het vertrouwen van klanten schaden, gebruikers blootstellen aan diefstal van inloggegevens en de druk op de incidentrespons vergroten. Het is vooral gevaarlijk in combinatie met phishing-e-mails, domeinspoofing of lookalike-domeinen, waardoor frauduleuze campagnes een legitieme indruk wekken.

In deze handleiding wordt uitgelegd hoe pharming werkt, waarin het verschilt van phishing, op welke waarschuwingssignalen u moet letten en welke maatregelen organisaties kunnen nemen om het risico te beperken.

In september 2021 waren er meer dan 50 financiële bedrijven het slachtoffer van een geavanceerde pharming-aanval die gericht was op onlineklanten in de VS, Europa en de APAC-regio. Gedurende drie dagen werden er bijna 1.000 apparaten per dag geïnfecteerd, voordat de pharming-malware werd herkend en uitgeschakeld.

Wat is een pharming-aanval?

Bij een pharming-aanval wordt de manier waarop een browser een domeinnaam omzet, gemanipuleerd. In plaats van gebruikers naar het legitieme IP-adres van een website te sturen, leidt de aanvaller hen om naar een frauduleuze site die door de aanvaller wordt beheerd.

Dit kan gebeuren door middel van DNS-cachevergiftiging, gecompromitteerde routerinstellingen, kwaadaardige browserconfiguraties of malware die lokale hostbestanden wijzigt. Het doel is meestal het stelen van inloggegevens, betalingsgegevens, persoonlijke gegevens of sessiegegevens.

Omdat een frauduleuze kopie van een website vrijwel niet van de echte te onderscheiden is, kunnen gebruikers zonder het te weten gevoelige informatie, waaronder financiële gegevens, burgerservicenummers, medische dossiers, telefoonnummers en e-mailadressen. Zodra aanvallers deze gegevens in handen krijgen, kunnen ze financiële fraude, identiteitsdiefstal en andere cybermisdrijven plegen.

Pharming is een samentrekking van twee woorden: phishing en farming. Aanvallers zoeken via phishing naar een slachtoffer en verzamelen vervolgens diens gegevens door informatie te onderscheppen die naar een vervalste website wordt verzonden.

Hoe werkt een pharming-aanval?

Beveiligingsteams die de volgorde van de aanval begrijpen, kunnen kwetsbare punten eerder opsporen en in elke fase de juiste maatregelen nemen. Zo verloopt een typische pharming-aanval:

1. Stap 1 – Selectie van het doelwit: De aanvaller identificeert een doelwitwebsite, meestal een bankportaal, een e-commerceplatform of de inlogpagina van een bedrijf, en maakt een frauduleuze kopie daarvan.
2. Stap 2 – Manipulatie van de DNS-cache of het hostbestand: De aanvaller beschadigt de DNS-cache op een server of installeert malware die het hostbestand op het apparaat van een gebruiker overschrijft, waardoor het legitieme domein wordt gekoppeld aan een kwaadaardig IP-adres.
3. Stap 3 – De gebruiker gaat naar de site: De gebruiker typt een legitieme URL in zijn browser, in de veronderstelling dat hij de echte website bezoekt.
4. Stap 4 – De browser wordt omgeleid naar een kwaadaardig IP-adres: Omdat de DNS-toewijzing is gewijzigd, wordt de browser ongemerkt omgeleid naar de frauduleuze server van de aanvaller in plaats van naar de legitieme server.
5. Stap 5 – De gebruiker komt op een vervalste website terecht: De valse website ziet er identiek uit aan de echte. De URL in de browser kan er correct uitzien, waardoor de gebruiker geen duidelijke aanwijzingen heeft dat er iets mis is.
6. Stap 6 – Diefstal van inloggegevens en gegevens: De gebruiker verstuurt inloggegevens, betalingsgegevens of andere gevoelige informatie rechtstreeks naar de server van de aanvaller. De aanvaller kan deze gegevens vervolgens gebruiken voor financiële fraude, identiteitsdiefstal of verdere aanvallen.

Pharming-aanval versus phishing: wat is het verschil?

Pharming en phishing zijn verwant, maar ze zijn niet hetzelfde. Bij phishing wordt meestal gebruikgemaakt van misleidende e-mails, berichten of links waarmee gebruikers worden verleid om een kwaadaardige website te bezoeken. Bij pharming worden DNS-instellingen of lokale apparaatinstellingen gemanipuleerd, zodat gebruikers worden omgeleid naar een frauduleuze website, soms zelfs wanneer ze de juiste URL invoeren.

Bij daadwerkelijke aanvallen kunnen deze twee technieken samen voorkomen. Een vervalste e-mail kan gebruikers naar een valse inlogpagina leiden, terwijl DNS-manipulatie of domeinnamen die op de echte lijken ervoor zorgen dat de campagne moeilijker te detecteren is. Daarom hebben organisaties zowel maatregelen nodig om gebruikers bewust te maken als technische beveiligingsmaatregelen, zoals e-mailverificatie, DNS-monitoring en eindpuntbeveiliging.

Pharming versus phishing versus spoofing: vergelijkingstabel

Soorten pharming-aanvallen en praktijkvoorbeelden

Bij pharming-aanvallen wordt de manier waarop een browser een webadres omzet, gemanipuleerd, waardoor gebruikers naar het verkeerde IP-adres worden geleid en op een nagemaakte website terechtkomen. Er zijn verschillende soorten aanvallen, die elk gericht zijn op een andere laag van de netwerkstack, en incidenten uit de praktijk laten zien hoe snel elk van deze aanvallen zich kan uitbreiden.

Lokale/hostgebaseerde pharming vindt plaats wanneer malware het hostbestand op één enkel apparaat overschrijft, waardoor bepaalde webadressen worden omgeleid naar een kwaadaardig IP-adres. Detectie is moeilijk omdat alleen dat apparaat wordt getroffen; daarom vormen eindpuntbeveiliging en monitoring van het hostbestand de belangrijkste verdedigingsmaatregelen.

De DNSChanger-malwarecampagne is een van de grootste voorbeelden van dit type aanval op grote schaal:

• Werkwijze: De DNSChanger-malwarecampagne wijzigde de DNS-instellingen rechtstreeks op geïnfecteerde apparaten, waardoor het verkeer werd omgeleid via malafide DNS-servers die door de aanvallers werden beheerd.
• Doelgroep: Meer dan 4 miljoen apparaten wereldwijd, zowel in consumenten- als in bedrijfsnetwerken.
• Gevolgen: Slachtoffers werden ongemerkt doorgestuurd naar frauduleuze websites, waardoor advertentiefraude en diefstal van inloggegevens mogelijk werden, totdat de FBI de malafide servers in 2011 in beslag nam.
• Les: De instellingen van routers en DNS moeten regelmatig worden gecontroleerd, en organisaties moeten hun omgevingen in de gaten houden om ongeautoriseerde DNS-wijzigingen op te sporen.

Er is sprake van DNS-cachevergiftiging wanneer aanvallers de cache van een DNS-resolver met valse records besmetten, waardoor elke gebruiker die daar een verzoek aan doet, wordt misleid. Dit is zeer moeilijk op te sporen, aangezien de aanval plaatsvindt vóór het apparaat van het slachtoffer. DNSSEC en beveiligde DNS-resolvers (DoH/DoT) vormen de sterkste verdedigingsmiddelen.

DNS-kaping via routers vindt plaats wanneer aanvallers misbruik maken van routers met standaard- of zwakke beheerdersgegevens om de DNS-instellingen te wijzigen, waardoor alle apparaten op het netwerk tegelijk worden omgeleid. Dit is een veelgebruikte tactiek tegen slecht beveiligde consumentenrouters:

• Werkwijze: Aanvallers maakten misbruik van routers met standaard- of zwakke beheerdersgegevens om de DNS-instellingen voor hele netwerken te wijzigen.
• Doelgroep: Particuliere gebruikers en kleine bedrijven die gebruikmaken van routers voor consumenten.
• Gevolgen: Alle apparaten op het getroffen netwerk werden zonder enige zichtbare waarschuwing omgeleid naar frauduleuze websites.
• Les: De standaard inloggegevens van de router moeten onmiddellijk na de implementatie worden gewijzigd. De firmware moet up-to-date worden gehouden en de DNS-instellingen moeten worden vergrendeld op vertrouwde resolvers.

Er is sprake van een DNS-serveraanval wanneer aanvallers zich rechtstreeks op een DNS-server richten en gebruikers omleiden zonder dat daarvoor malware op individuele apparaten nodig is. Eén enkele gehackte server kan duizenden gebruikers tegelijk omleiden, waardoor deze techniek het meest wordt gebruikt voor grootschalige diefstal van inloggegevens bij financiële instellingen en bedrijfsplatforms. DNSSEC, DNS-monitoring en strikte toegangscontrole vormen de belangrijkste verdedigingsmaatregelen.

Pharming op basis van malware wordt verspreid via links of bijlagen in e-mails; de malware overschrijft hostbestanden, waardoor geïnfecteerde apparaten een schadelijke website laden zodra een specifiek adres wordt ingevoerd. Het is moeilijk om dit te verhelpen, omdat het scannen met antimalwaresoftware alleen vaak niet voldoende is; doorgaans is een grondige opschoning van het eindpunt nodig. De aanval op de financiële sector in 2021 laat zien hoe grootschalig deze techniek kan zijn:

• Methode: In september 2021 richtte een op malware gebaseerde pharming-campagne zich op apparaten van eindgebruikers in de VS, Europa en de APAC-regio.
• Doelgroep: Klanten van internetbankieren bij meer dan 50 financiële instellingen.
• Gevolgen: Gedurende drie dagen werden er dagelijks bijna 1.000 apparaten geïnfecteerd, voordat de malware werd ontdekt en uitgeschakeld.
• Les: Zelfs financiële instellingen met ruime middelen kunnen op grote schaal worden getroffen. Detectie op eindpunten en DNS-monitoring zijn cruciale maatregelen voor vroegtijdige waarschuwing.

Wat zijn de risico's van een pharming-aanval?

Pharming heeft ernstige gevolgen voor zowel particulieren als organisaties, en de ernst daarvan hangt af van wat er precies is aangetast.

Tekenen van een Pharming-aanval

Beveiligingsteams en gebruikers moeten letten op de volgende indicatoren. De signalen zijn per categorie gegroepeerd om een snellere beoordeling mogelijk te maken:

Tekenen in de browser en op het netwerk

• Onverwachte waarschuwingen over SSL-certificaten of discrepanties op websites die voorheen zonder fouten werden geladen.
• Wijzigingen in de instellingen van de startpagina van de browser die niet door de gebruiker zijn aangebracht.
• Er verschijnen regelmatig pop-ups die naar onbekende websites doorverwijzen.
• De DNS-instellingen op het apparaat of de router zijn zonder toestemming gewijzigd.
• Het opgeloste IP-adres voor een vertrouwd domein komt niet overeen met de verwachte waarde.

Boekhoudkundige en financiële indicatoren

• Financiële activiteiten die gebruikers niet herkennen, zoals bijvoorbeeld creditcardtransacties of bankoverschrijvingen.
• Antwoorden op e-mails die niet door de gebruiker of de organisatie zijn geïnitieerd.
• Ongewone of onbekende activiteiten op sociale media of bedrijfsaccounts.

Borden voor apparaten

• Uitgeschakelde antivirus-, antimalware- of andere beveiligingssoftware.
• Er is nieuwe software op apparaten geïnstalleerd zonder dat de gebruiker hiervan op de hoogte was.
• Systemen crashen of lopen vaak vast; pharming-malware kan veel systeembronnen in beslag nemen.
• Apparaten waarop bij het opstarten ongebruikelijke berichten of programma’s verschijnen.

Hoe pharming-aanvallen te voorkomen

Om het risico op pharming te verminderen, is gelaagde beveiliging nodig. Geen enkele maatregel kan alle aanvallen op basis van omleiding voorkomen, maar de volgende maatregelen verminderen de kwetsbaarheid op het gebied van DNS, eindpunten, gebruikers en e-mail.

Voor particulieren

1. Wijzig de standaard inloggegevens van de router en voer firmware-updates onmiddellijk door.
2. Gebruik een betrouwbare DNS-resolver. Openbare resolvers, zoals die welke DNS-over-HTTPS (DoH) of DNS-over-TLS (DoT) aanbieden, zorgen voor een extra verificatielaag.
3. Controleer de gegevens van het SSL-certificaat als een inlogpagina er onbekend uitziet. HTTPS versleutelt het verkeer tussen de browser en de server, maar garandeert niet dat de website zelf legitiem is. Controleer de certificaatuitgever en het domein zorgvuldig.
4. Schakel multi-factor authenticatie (MFA) in op alle belangrijke accounts. Zelfs als inloggegevens worden onderschept door een vervalste website, vermindert MFA het risico op ongeoorloofde toegang.
5. Zorg ervoor dat uw antimalware- en eindpuntbeveiligingssoftware up-to-date blijft. Voer regelmatig scans uit om wijzigingen in het hostbestand op te sporen.
6. Klik niet op links in ongevraagde e-mails of berichten. Volg alleen links van bekende en betrouwbare bronnen. Anders kunnen gebruikers worden doorgestuurd naar nagemaakte websites die zijn ontworpen om inloggegevens of betalingsgegevens te stelen. Aanvallers verhullen schadelijke bestemmingen soms met behulp van korte URL’s met een merknaam, dus controleer het onderliggende domein voordat u klikt, zelfs als de link er legitiem uitziet.
7. Wees op je hoede voor aanbiedingen zoals hoge kortingen, loterijen of prijzen die je ongevraagd ontvangt. Dit zijn veelgebruikte lokmiddelen om gebruikers naar frauduleuze websites te lokken.
8. Gebruik waar mogelijk app-gebaseerde of op QR-codes gebaseerde authenticatie in plaats van eenmalige wachtwoorden via sms, die kunnen worden onderschept of omgeleid als onderdeel van een bredere aanval.

Voor organisaties

Beveiligde DNS-infrastructuur

Maak gebruik van een betrouwbare DNS-provider, beperk de toegang tot DNS-beheerconsoles, houd wijzigingen in DNS-records in de gaten en implementeer DNSSEC waar nodig. DNSSEC voegt cryptografische handtekeningen toe aan DNS-records, wat cache poisoning-aanvallen helpt voorkomen.

Eindpunten en browsers beveiligen

Zorg ervoor dat besturingssystemen, browsers, eindpuntbeveiliging en antimalwaretools up-to-date blijven. Bij op malware gebaseerde pharming wordt vaak gebruikgemaakt van het wijzigen van lokale instellingen of hostbestanden op de apparaten van medewerkers.

De beveiliging van routers en netwerken versterken

Wijzig de standaard inloggegevens van routers in de gehele netwerkinfrastructuur, voer firmware-updates door en beperk de beheerderstoegang tot vertrouwde gebruikers en netwerken. Controleer regelmatig de DNS-instellingen op routers.

Gebruik e-mailverificatie om het risico op spoofing te verminderen

SPF, DKIM en DMARC helpen ontvangende mailservers te verifiëren of een bericht dat beweert afkomstig te zijn van uw domein, geautoriseerd is. Wanneer deze protocollen correct zijn geconfigureerd en gecontroleerd, verminderen ze het risico op domeinspoofing en helpen ze voorkomen dat aanvallers uw merk gebruiken in e-mailcampagnes die gebruikers naar frauduleuze websites leiden.

E-mailverificatie vormt een aanvulling op DNS-beveiliging, eindpuntbeveiliging en maatregelen voor veilig browsen, en vervangt deze niet. De rol ervan is beperkter: het tegenhouden van vervalste berichten die aanvallers gebruiken om pharming- of phishingcampagnes te lanceren.

Houd domeinen die op andere domeinen lijken en verdachte infrastructuur in de gaten

Aanvallers registreren vaak domeinnamen die sterk lijken op die van vertrouwde merken. Gebruik een controleprogramma voor lookalike-domeinen om pogingen tot identiteitsfraude vroegtijdig op te sporen en te voorkomen dat deze worden gebruikt in pharming- of phishingcampagnes.

Leer treinreizigers en medewerkers om verdachte omleidingen te melden

Medewerkers en klanten moeten weten hoe ze melding kunnen maken van ongebruikelijke inlogpagina’s, onverwachte omleidingen, waarschuwingen over SSL-certificaten en verdachte e-mails. Stel duidelijke meldingsprocedures op, zodat beveiligingsteams snel kunnen reageren.

Controleer de beveiligingsstatus van uw domein

Gebruik de Domain Analyzer en DNSSEC Checker om de authenticatiestatus van uw domein te controleren en hiaten op te sporen voordat aanvallers hiervan misbruik kunnen maken.

Hoe PowerDMARC domeinbeveiliging ondersteunt

PowerDMARC helpt organisaties de e-mailauthenticatielaag van hun domeinbeveiliging te versterken. Het platform biedt een gecentraliseerd dashboard voor DMARC, SPF, DKIM, BIMI, MTA-STS en TLS-RPT, waardoor beveiligingsteams een duidelijk overzicht krijgen van geautoriseerde en ongeautoriseerde verzendbronnen.

• DMARC-monitoring en -rapportage: spoor pogingen tot spoofing, authenticatiefouten en onbevoegde afzenders op al uw domeinen op.
• Geautomatiseerd SPF-beheer: voorkom problemen met de limiet voor SPF-opzoekingen wanneer er nieuwe SaaS- en marketingplatforms aan uw verzendomgeving worden toegevoegd.
• Gehoste authenticatiediensten: Beheer DMARC, SPF, DKIM, BIMI, MTA-STS en TLS-RPT vanaf één platform, zonder ingewikkelde DNS-wijzigingen.
• Ondersteuning bij naleving: Zorg ervoor dat u voldoet aan de voorschriften van Google, Microsoft, PCI DSS, de AVG en overheidsvoorschriften inzake e-mailverificatie.
• Snelle wereldwijde ondersteuning: Profiteer van deskundige hulp bij de implementatie, het oplossen van problemen en het opstellen van handhavingsplannen, met 24/7 ondersteuning voor enterprise- en MSP-partners.

Wilt u controleren of uw domein beschermd is tegen e-mailspoofing? Scan uw domein dan op DMARC-, SPF- en DKIM-problemen met de gratis Domain Analyzer van PowerDMARC.

Veelgestelde Vragen

Waarin verschilt pharming van phishing en spoofing?

Bij phishing wordt gebruikgemaakt van misleidende e-mails, berichten of links die gebruikers ertoe verleiden een kwaadaardige website met een andere URL te bezoeken. Spoofing is het zich voordoen als een persoon, domein, e-mailadres of website. Pharming onderscheidt zich van beide: hierbij worden DNS-instellingen of lokale apparaatinstellingen gemanipuleerd om gebruikers om te leiden naar een frauduleuze website, soms zelfs wanneer ze de juiste URL intypen, zonder dat ze op een link hoeven te klikken. In de praktijk combineren aanvallers vaak alle drie de methoden: ze vervalsen een e-mail van een vertrouwd merk om een campagne te starten en gebruiken vervolgens pharming om ervoor te zorgen dat zelfs gebruikers die rechtstreeks naar de site navigeren, worden omgeleid.

Wat zijn enkele bekende pharming-aanvallen?

Opvallende voorbeelden zijn onder meer de aanval uit 2021 op meer dan 50 financiële instellingen, waarbij dagelijks bijna 1.000 apparaten werden geïnfecteerd, de DNSChanger-malwarecampagne die wereldwijd meer dan 4 miljoen apparaten trof, en grootschalige DNS-kapingcampagnes via routers waarbij complete thuis- of kantoornetwerken werden omgeleid. Zie het gedeelte ‘Soorten pharming-aanvallen en praktijkvoorbeelden’ hierboven voor gedetailleerde samenvattingen van deze gevallen.

Kan er een pharming-aanval plaatsvinden, zelfs als de URL er correct uitziet?

Ja. Dit maakt pharming bijzonder gevaarlijk. Bij pharming op DNS-niveau manipuleert de aanvaller de koppeling tussen domeinnaam en IP-adres, zodat de browser naar een frauduleuze server wordt geleid terwijl de URL in de adresbalk nog steeds correct lijkt. Gebruikers kunnen niet alleen op het controleren van de URL vertrouwen om pharming te detecteren.

Hoe kunnen bedrijven pharming-aanvallen voorkomen?

Organisaties moeten DNSSEC implementeren, veilige DNS-resolvers gebruiken, routers en netwerkapparatuur beter beveiligen, eindpuntbeveiliging inzetten, wijzigingen in DNS-records monitoren, meervoudige authenticatie afdwingen, e-mailauthenticatie (SPF, DKIM, DMARC) implementeren, controleren op lookalike-domeinen en medewerkers opleiden om verdachte omleidingen te melden. Een gelaagde aanpak is essentieel, omdat geen enkele maatregel alle pharming-vectoren kan afdekken.

Kan DMARC pharming voorkomen?

DMARC voorkomt DNS-vergiftiging of manipulatie van het hostbestand niet rechtstreeks. Het helpt echter wel voorkomen dat aanvallers uw domein misbruiken in e-mailcampagnes die gebruikers naar frauduleuze websites kunnen leiden. In combinatie met DNS-beveiliging en eindpuntcontroles vormt DMARC een belangrijk onderdeel van een gelaagde verdedigingsstrategie.

Wat moet ik doen als ik een pharming-aanval vermoed?

Als u pharming vermoedt: (1) Controleer de DNS-instellingen van uw apparaat en de DNS-configuratie van uw router op ongeoorloofde wijzigingen. (2) Wis uw DNS-cache en start de browser opnieuw op. (3) Voer een volledige malwarescan op uw eindpunt uit. (4) Wijzig de wachtwoorden van alle accounts die tijdens de vermoedelijke periode zijn gebruikt. (5) Neem onmiddellijk contact op met uw bank of de betrokken dienstverleners. (6) Als u voor een organisatie werkt, escaleer het incident dan naar uw incidentresponsteam en controleer de DNS-monitoringlogs.

• Over
• Laatste berichten

Ahona Rudra

Expert op het gebied van domein- en e-mailbeveiliging bij PowerDMARC

Ahona is marketingmanager bij PowerDMARC en heeft meer dan vijf jaar ervaring met het schrijven over cybersecurity, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een masterdiploma in journalistiek en communicatie, en heeft sinds 2019 haar carrière in de beveiligingssector verder uitgebouwd.

Laatste berichten van Ahona Rudra (Bekijk alle berichten)

• Wat is de vertrouwelijke modus van Gmail? Hoe werkt deze en hoe veilig is deze? - 3 september 2026
• Phishing-e-mails met AI: hoe je door AI geschreven e-mails kunt controleren voordat je ze vertrouwt - 31 augustus 2026
• E-mailbeveiligingsachterstand: de cyberbeveiligingsindicator die niemand meet - 31 augustus 2026