image

Kamervragen over invoering dns-gebaseerd phishingfilter in Nederland

donderdag 15 oktober 2026, 15:57 door Redactie, 17 reacties

In de Tweede Kamer zijn vragen aan minister Herbert van Economische Zaken gesteld over de invoering van een dns-gebaseerd phishingfilter in Nederland, om zo internetgebruikers tegen malafide websites te beschermen. "Bent u bekend met de Belgische werkwijze om online misleiding tegen te gaan, waarbij internetgebruikers die een als malafide aangemerkte website proberen te bezoeken, automatischworden doorgeleid naar een waarschuwingspagina?", vraagt ChristenUnie-Kamerlid Grinwis aan de bewindsvrouw.

Het Belgium Anti-Phishing Shield (BAPS) is een op dns-gebaseerd filter dat Belgische internetproviders toepassen. De Belgische overheid houdt een lijst van phishing en andere malafide sites bij en deelt die met internetproviders. De grootste Belgische providers maken al enige tijd gebruik van BAPS. Via het filter werden Belgische burgers vorig jaar tweehonderd miljoen keer doorgestuurd naar een waarschuwingspagina. "Bent u bereid te verkennen of een vergelijkbare aanpak in Nederland kan worden ingevoerd", wil Grinwis verder weten.

De Nederlandse autoriteiten zijn al enige tijd met een dergelijk dns-filter bezig, dat de naam Anti Phishing Shield (APS) heeft. Vorig jaar juli werd een eerste pilot met het Nederlandse phishingfilter gestart, waar toen tweehonderdduizend mensen aan deelnamen. Het initiatief is een samenwerking tussen het ministerie van Justitie en Veiligheid, het Nationaal Cyber Security Centrum (NCSC), KPN, de politie, de Nederlandse Vereniging van Banken en NLconnect; de branchevereniging van de telecom- en breedbandindustrie. Tijdens de looptijd van de pilot besloten internetproviders SNLLR, TriNed en Kabelnoord ook aan de pilot deel te nemen.

Minister Van Weel liet vorige maand weten dat inmiddels 300.000 mensen van het filter gebruikmaken en vier miljoen bezoeken aan malafide websites zijn voorkomen. "De komende tijd zal het APS verder worden ontwikkeld en onderzoekt het NCSC samen met de betrokken partijen op welke wijze het bereik van het APS verder kan worden vergroot. Het gaat hierbij zowel om het vergroten van het aantal betrokken partijen als om nader onderzoek naar overige mogelijkheden die het APS kan bieden om proactief de weerbaarheid van Nederland tegen online dreigingen te vergroten", aldus de minister.

Grinwis vraagt verder of de Autoriteit Consument en Markt (ACM) niet al de bevoegdheid heeft om consumenten door te leiden naar een waarschuwingspagina als zij een website van malafide partijen bezoeken. "Hoe vaak heeft de ACM van deze bevoegdheid gebruikgemaakt en welke mogelijkheden biedt deze bepaling voor een aanpak naar Belgisch voorbeeld?", wil het Kamerlid aanvullend weten. Minister Herbert heeft drie weken om de vragen te beantwoorden.

Reacties (17)
15-10-2026, 16:07 door Anoniem
EU lanceert eigen dns-dienst met ingebouwde adblocker en internetfilter: DNS4EU
donderdag 5 juni 2025, 15:09 door Redactie

https://www.joindns4.eu/for-public

DNS4EU biedt vijf opties voor gebruikers. Zo kan er worden gekozen voor een ongefilterde optie, een optie die bekende malafide en frauduleuze websites blokkeert, een versie die voor "kinderen ongeschikte" websites blokkeert, een versie die advertenties blokkeert en als laatste een versie die het internetfilter voor kinderen en de adblocker combineert.

https://www.security.nl/posting/890962/EU+lanceert+eigen+dns-dienst+met+ingebouwde+adblocker+en+filter
15-10-2026, 16:26 door Anoniem
Het is natuurlijk een beter initiatief dan steeds met een bewaarplicht 2.0 van telecomgegevens bezig te zijn binnen Europa of dat cliënt side scan gebeuren. Nu wordt phishing en anderzijds misschien meteen bij de bron aangepakt. Maar ja oplichters worden ook steeds slimmer om mensen om de tuin te lijden. Dat menig individu er toch onverhoopt in kan tuimen. Vooral oude mensen want zij hebben geen idee hoe gemeen oplichters niet kunnen zijn.
15-10-2026, 16:29 door Anoniem
DNS4EU juist

De root zal zijn:

Het Europese Internet van de toekomst

Verplicht moeten inloggen met jou digitale europese id
om gebruik te mogen maken van het europese
internet via een portal die door lokale internet providers
worden opgezet.

Alle losse testmodules zoals

Leeftijdsverificatie
Bewaarplicht
Sleepwet
Chatcontrole
Acten en pacten en nog veel meer
en alle digitale wetten en regels.

Ze zijn ondertekend in 2025
en alle nieuwe digitale verdragen ondertekeningen van het heden
vallen hieronder.

UK/EU/NL2026

De digitale samenleving 2026
15-10-2026, 16:32 door Erik van Straten
Door Redactie: Via het filter werden Belgische burgers vorig jaar tweehonderd miljoen keer doorgestuurd naar een waarschuwingspagina.
Bij een veilig ingestelde webbrowser kan dat niet zonder waarschuwing of foutmelding vanuit die browser.
15-10-2026, 16:59 door Named
Door Erik van Straten:
Door Redactie: Via het filter werden Belgische burgers vorig jaar tweehonderd miljoen keer doorgestuurd naar een waarschuwingspagina.
Bij een veilig ingestelde webbrowser kan dat niet zonder waarschuwing of foutmelding vanuit die browser.
En dat is gelukkig voldoende...
15-10-2026, 17:03 door Anoniem
Beter je eigen DNS server draaien...
15-10-2026, 18:19 door Anoniem
Door Erik van Straten:
Door Redactie: Via het filter werden Belgische burgers vorig jaar tweehonderd miljoen keer doorgestuurd naar een waarschuwingspagina.
Bij een veilig ingestelde webbrowser kan dat niet zonder waarschuwing of foutmelding vanuit die browser.
Beetje de paradox bij een veilig ingestelde browser kom je niet eens naar de pagina tot je handmatig goedkeuring geeft.
Zelfde geintje wat we zien bij die wat lekt je browser tests.
15-10-2026, 21:52 door Erik van Straten
Door Named:
Door Erik van Straten:
Door Redactie: Via het filter werden Belgische burgers vorig jaar tweehonderd miljoen keer doorgestuurd naar een waarschuwingspagina.
Bij een veilig ingestelde webbrowser kan dat niet zonder waarschuwing of foutmelding vanuit die browser.
En dat is gelukkig voldoende...
In zoverre dat de geblokkeerde (phishing-) website niet wordt geopend, maar de getoonde certificaatfoutmelding kan wel verwarrend zijn en mogelijk leiden tot het ietsje meer normaliseren van dergelijke foutmeldingen.

HSTS
Indien de domeinnaam van de phishingwebsite een TLD (Top Level Domeinnaam) heeft die HSTS (HTTP Strict Transport Security) verplicht voor alle subdomeinen, kan de internetter zelfs niet voor "doe dan maar http" kiezen (om zo de waarschuwingspagina te kunnen bekijken).

Fix
Het zou goed zijn als er één IP-adres wordt gereserveerd voor dit doel. Als de internetter met diens browser naar een website gaat waarvan de domeinmaam op de blocklist van de ingestelde DNS-server staat, kan die DNS-server dat specifieke IP-adres retourneren. De browser van de internetter kan dan (aan de hand van dat gereserveerde IP-adres) melden dat het, volgens de ingestelde DNS-server, om een phishingwebsite gaat. De internetter weet dan in elk geval wat er aan de hand is.

Blocklists nauwelijks zinvol
Overigens zijn blocklists van (domeinnamen van) phishingsites nauwelijks zinvol. De meeste (vooral "succesvolle") phishingsites bestaan maar kort (enkele dagen of nog minder); aanvankelijk staan ze nog niet op (veel gebruikte) blocklists. Zodra domeinnamen te vaak worden geblokkeerd worden ze "witgewassen" door domeinnamhandelaren die ze "parkeren" totdat ze van de meeste blocklists en uit virusscanners zijn verwijderd.

Bijvoorbeeld op 34.76.205.124 (een cloudserver van Google in België) komen er elke dag heel veel "geparkeerde" domeinnamen bij (zie https://virustotal.com/gui/ip-address/34.76.205.124/relations, open het RELATIONS tabblad als dat niet automatisch gebeurt). De meeste domeinnamen zijn overduidelijk bedoeld en/of gebruikt voor phishingwebsites en velen worden nog door minstens 1 virusscanner als kwaadaardig herkend (het kan maanden duren voordat dit weer 0 is).

Hoe lang blokkeren?
De vraag is wel of ooit foute domeinnamen (denk ook aan gehackte legitieme websites) oneindig lang op blocklists moeten blijven staan.

Anderzijds zie je in het RELATIONS tabblad van bijv. https://virustotal.com/gui/domain/roblox.com.bi, sectie "Historical SSL Certificates", dat voor de domeinnaam van die nep Roblox site gedurende periodes géén certificaten zijn afgegeven; die site is, af en toe, niet via https bereikbaar (of periodes geheel niet live). Dat is beter te zien in https://crt.sh/?q=roblox.com.bi. Er zijn ook certificaten uit 2023 te zien met geheel andere domeinnamen: die zijn hoogstwaarschijnlijk aangevraagd door een domeinparkeerder, want daarbij gaat het om certificaten voor heel véél ongerelateerde domeinnamen (zie bijv. https://crt.sh/?id=8583098192). Oftewel: steeds vaker worden "foute domeinnamen" witgewassen en opnieuw gebruikt voor nepsites (door dezelfde of door andere cybercriminelen).

Legitieme phishing websites
Wat ook gebeurt is dat "nepsites" worden ingezet voor phishing-trainingsdoeleinden. Bijv. in het RELATIONS tabblad van https://virustotal.com/gui/ip-address/34.194.247.17 zie je stinkende domeinnamen die mogelijk door Cofense worden ingezet voor phishing-trainingen. Zou een DNS-server die wél of juist niet moeten blokkeren? En zo niet, hoe weet je zeker dat zo'n site niet toch ineens kwaadaardig wordt (stel dat Cofense de DNS-registratie niet verlengt en zo'n domeinnaam in foute handen valt?).

Censuur
Ten slotte: DNS-servers die opzettelijk onjuiste antwoorden geven, kunnen ook worden misbruikt voor censuur. Vooral als je dan wordt opgescheept met een certificaatfoutmelding, is het lastig om te zien wat daar de oorzaak van is.
16-10-2026, 01:32 door Anoniem
Een gecentraliseerde landelijke internetfilter kan dienen voor censuur.
Dus mag ik aannemen dat dit optioneel is en blijft?
16-10-2026, 09:00 door Anoniem
Dus we geven de overheid nieuwe middelen om ons te bespioneren en te controleren door de DNS van de overheid te gebruiken. nee dank je.
16-10-2026, 09:10 door Anoniem
Door Anoniem: EU lanceert eigen dns-dienst met ingebouwde adblocker en internetfilter: DNS4EU
donderdag 5 juni 2025, 15:09 door Redactie

https://www.joindns4.eu/for-public

DNS4EU biedt vijf opties voor gebruikers. Zo kan er worden gekozen voor een ongefilterde optie, een optie die bekende malafide en frauduleuze websites blokkeert, een versie die voor "kinderen ongeschikte" websites blokkeert, een versie die advertenties blokkeert en als laatste een versie die het internetfilter voor kinderen en de adblocker combineert.

https://www.security.nl/posting/890962/EU+lanceert+eigen+dns-dienst+met+ingebouwde+adblocker+en+filter

Ik heb hier helaas niet al te beste ervaringen mee. Een best wel belangrijke cloudapplicatie voor een ondersteunend proces stond om de een of andere reden op een blacklist. Heeft meer dan een maand geduurd voordat mijn verwijderverzoek was verwerkt. Dan is het al snel klaar met je DNS-dienst wat mij betreft....
16-10-2026, 09:42 door Anoniem
Door Erik van Straten:
Censuur
Ten slotte: DNS-servers die opzettelijk onjuiste antwoorden geven, kunnen ook worden misbruikt voor censuur. Vooral als je dan wordt opgescheept met een certificaatfoutmelding, is het lastig om te zien wat daar de oorzaak van is.
Elke maatregel die bedoeld is om mensen te beschermen tegen een gevaar kan misbruikt worden door de definitie van "gevaar" op te rekken. Dat betekent niet dat we dan als samenleving maar helemaal niks meer moeten doen om mensen te beschermen. Het betekent gewoon dat we daar waakzaam voor moeten zijn.

In dit geval bijvoorbeeld zou het misbruikt kunnen worden voor censuur. Maar dat is ongelofelijk zichtbaar, en zou maatschappelijk niet geaccepteerd worden. Als dat vaker dan slechts incidenteel zou gebeuren, zou het meteen leiden tot kamervragen. Dus moeten we dan een dergelijke maatregel, die mensen daadwerkelijk veiliger kan maken en erg veel economische schade kan voorkomen, maar niet nemen omdat er een schim van een theorie is dat die maatregel misbruikt zou kunnen worden?

De politie kan haar wapens gebruiken om onschuldige burgers te executeren. Dan maar geen wapens meer voor de politie?

Als je auto te water raakt, zou het kunnen dat je de auto niet kunt verlaten omdat je vast zit in je autogordel. Dan maar geen autogordels meer?

Ik trek het een beetje in het absurde door, maar ik hoop dat de boodschap er achter duidelijk is. Ik ben het met je eens dat deze technologie gebruikt kan worden voor censuur, maar dat is een slippery slope fallacy.
16-10-2026, 10:46 door Anoniem
Nee dat zal natuurlijk nooit misbruikt worden om torrent sites te blokkeren of een site die partij X niet leuk vindt...
Het internet moet kapot, dat is wel duidelijk.
16-10-2026, 11:30 door Anoniem
Door Anoniem:
Door Anoniem: EU lanceert eigen dns-dienst met ingebouwde adblocker en internetfilter: DNS4EU
donderdag 5 juni 2025, 15:09 door Redactie

https://www.joindns4.eu/for-public

DNS4EU biedt vijf opties voor gebruikers. Zo kan er worden gekozen voor een ongefilterde optie, een optie die bekende malafide en frauduleuze websites blokkeert, een versie die voor "kinderen ongeschikte" websites blokkeert, een versie die advertenties blokkeert en als laatste een versie die het internetfilter voor kinderen en de adblocker combineert.

https://www.security.nl/posting/890962/EU+lanceert+eigen+dns-dienst+met+ingebouwde+adblocker+en+filter

Ik heb hier helaas niet al te beste ervaringen mee. Een best wel belangrijke cloudapplicatie voor een ondersteunend proces stond om de een of andere reden op een blacklist. Heeft meer dan een maand geduurd voordat mijn verwijderverzoek was verwerkt. Dan is het al snel klaar met je DNS-dienst wat mij betreft....

Was er een rede toe waarom deze op de blokkadelijst stond? Is dat vermeld?

Misschien was of is er wel een hele legitieme rede en is jouw cloud service misschien helemaal niet zo veilig als je denkt dat hij is?
Ik ben trouwens niet de beste graadmeter want alles met betrekking tot cloud trek ik in twijfel qua veiligheid.
16-10-2026, 14:17 door Erik van Straten
Nog een probleem met DNS-gebaseerde blocklists: wat doe je met phishing-pagina's op bijv. sites.google.com en docs.google.com?

Fake Google login op een sites.google.com pagina: https://infosec.exchange/@urldna/117446704415978323; analyse in https://urldna.io/scan/6ad0ba053b775000065801f7.

Phishing pagina op docs.google.com over xFinity: https://infosec.exchange/@urldna/117450003492682506; analyse in https://urldna.io/scan/6ad19b113b77500009cb4ebc.

En ga je alle subdomeinen van bijvoorbeeld blogspot.com, vercel.app en weebly.com blokkeren vanwege het grote aandeel aan kwaadaardige sites? Scroll eens een stuk door https://infosec.exchange/@urldna om te zien wat ik bedoel.
17-10-2026, 13:54 door Anoniem
laat dns4 nou maar eerst eens zorgen dat het goed werkt...en niet de helft
20-10-2026, 08:53 door Anoniem
Door Anoniem: Beter je eigen DNS server draaien...

Yep maar voor het gebruik van internet zal ie nog steeds requiests moeten forwarden om dingen te kunnen vinden
dus ik zie niet in hoe dat gaat beschermen dan zul je toch zelf nog iets van een filter moeten organiseren in de vorm
van een proxy ofzo.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.