Denk je dat we het verkeerd hebben?
Dwing ons het te bewijzen.
Dien uw domein in voor herbeoordeling. Wij controleren onze bewijsstukken af tegen actuele threat-intelligence-feeds, voeren een onafhankelijke geautomatiseerde beoordeling uit en een menselijke beoordelaar bekijkt alle zaken die niet eenduidig zijn.
Elk beroep wordt deels geanalyseerd door AI, maar de eindbeslissing vereist nog steeds een operator. Als er binnen 48 uur geen operator is die het uw beroep kan bevestigen, dan automatisch goedkeurt — uw domein wordt verwijderd van onze website, GitHub-repository en database. De teller start op het moment dat u het formulier indient.
Plak uw beroep-ID (UUID) of open de tracking-URL die we u hebben verstuurd.
Duidelijke antwoorden
Over excuses, “hardheid” en waarvan we worden beschuldigd.
Waarom boden jullie niet eerder excuses aan?
Het domein verwijderden we altijd — daar is nooit twijfel over geweest. Wat we niet deden, was schrijven om onze excuses aan te bieden. Niet uit arrogantie: we dachten gewoon dat een brief van ons voor niemand waarde had. Een verwijdering is concreet; excuses zijn woorden. Daarin hadden we het mis. Voor wie verkeer is kwijtgeraakt of het met zijn registrar moest uitzoeken, is het belangrijk om duidelijk te horen dat de fout bij ons lag. Het kost ons geen moeite, en we hebben altijd geprobeerd het te doen waar dat kon.
Het echte obstakel waren de gegevens. We zijn principieel tegen het bewaren van niet-openbare gegevens: elk opgeslagen adres is een last en een risico. PhishDestroy is niet ons werk, en het is zo opgezet dat het op elk moment kan ophouden van ons te zijn zonder dat er iets stukgaat. Het mag niet van ons afhankelijk zijn. Mailinglijsten, gebruikersgegevens en bewaarde logs: dat alles bindt het persoonlijk aan ons.
Nu kunnen we het doen zonder iets op te slaan. Als uw bezwaar is goedgekeurd — vandaag of op enig moment in het verleden —, vul dan hieronder uw bezwaar-ID en een e-mailadres in. We sturen u één keer excuses, met een brief als pdf die u kunt doorsturen naar uw registrar of klanten, en daarna wordt het adres gewist. Eén vals-positieve melding — één brief.
“PhishDestroy is te hard.”
Dat horen we vaak. We gaan er niet over in discussie — maar we zien eerlijk gezegd niet waar die hardheid zit, of tegen wie die gericht is. Daarom hier precies wat we doen, en u kunt elk onderdeel ervan controleren.
“Jullie bestoken registrars met massameldingen.”
“Massa” slaat op het aantal phishingdomeinen dat we behandelen, niet op hoe hard we één ervan aanpakken. Een domein krijgt één melding, die naar zijn registrar gaat. Een vervolgmelding gaat er alleen uit als het domein nog online is, en kan dan ook naar ICANN of de TLD-beheerder worden gestuurd. Vervolgmeldingen zijn strikt begrensd: nooit eerder dan 48 uur na de vorige melding. Volgens onze eigen gegevens kreeg in 2026 ongeveer 7% van de domeinen meer dan alleen de eerste melding — en elk daarvan was aantoonbaar kwaadaardig. Ons systeem is open: hoeveel meldingen er voor een domein zijn verstuurd, is openbaar.
We roepen niet “blokkeer ze!” naar registrars. We hebben geen enkele macht om iemand te dwingen, en onze meldingssjablonen zijn al lang openbaar. Daarin vragen we het abuse-team van de registrar om het domein, de eigenaar en de inhoud met spoed te onderzoeken. We beweren niet dat de eigenaar kwaadwillend is, of zelfs maar dat de inhoud van hem is. We zeggen dat de site mogelijk gecompromitteerd of gehackt is, en vragen de registrar of hostingprovider om dat te controleren. We respecteren uitdrukkelijk hun interne procedures en laten de beslissing over aan hun AUP en servicevoorwaarden. De melding vermeldt ook dat het domein met een tijdstempel aan onze openbare lijst is toegevoegd, om de beveiligingscommunity te informeren.
We beschuldigen niemand en we eisen geen blokkade. Dat zou ongepast zijn, en het valt buiten onze bevoegdheid. Onze conclusies komen voort uit gekwalificeerde scansystemen en indicatoren die we zelf verzamelen, maar geen enkele scanner, gecertificeerd of niet, kan nul fouten garanderen — cloaking alleen al zorgt daarvoor. We hebben nooit beweerd dat we geen fouten maken. We zeggen overal het tegenovergestelde.
Als we registrars zouden aanvallen, hadden ze ons allang op een blocklist gezet.
Deze mythe heeft een bedenker. Ongeveer een jaar geleden publiceerden oplichters een handleiding om schorsingen bij NiceNIC te omzeilen. De voorbeeldbrief aan de registrar daarin beweerde dat hun oplichterscasino het doelwit was van “gecoördineerde massa-aanvallen in opdracht van concurrenten”.
“PhishDestroy voert DDoS-aanvallen uit op websites.”
Nee. Deze is verzonnen door AI, op basis van de woorden “seed-phrase flooding”. Voor een AI betekent “flood” een kwaadaardige aanval. Dat is het niet.
Seed flooding betekent dat we nep-herstelzinnen invoeren in het verzamelformulier van een phishingkit. Dat ondermijnt de waarde van de gestolen gegevens en laat zien hoe de kit ze verwerkt, zodat de backend ervan kan worden gemeld. Diensten zoals EmailJS hebben meestal gereageerd door de sleutels in te trekken waarmee de phishingsites werden geïdentificeerd. We hebben de methode in veel infrastructuuronderzoeken gebruikt, en de volledige methode staat beschreven op /seed-flooding/.
Elke actie wordt vastgelegd — doelwit, tijdstip en aantal verzoeken. De volumes kunnen groot zijn, soms tot wel een miljoen inzendingen. Maar het was bijna nooit volledig geautomatiseerd. Jaren geleden probeerden we het te automatiseren tegen phishingformulieren uit Google-advertenties, en dat werkte niet: phishers veranderden van formaat, voegden captcha's en versleutelde payloads toe, en het juiste moment automatisch vinden bleek onmogelijk.
- Eén inzending is één POST-verzoek met 12 woorden plus een responsstatus. Een website openen vanaf uw eigen IP weegt veel zwaarder.
- Vrijwel elk gebruik in al die jaren vond plaats binnen Cloudflare, van Cloudflare naar Cloudflare. Gezien de pakketgrootte, de gedeelde infrastructuur en de lastverdeling kan het niet als aanval werken. De twee uitzonderingen werden met basale voorzorgsmaatregelen afgehandeld: de hostingprovider was vooraf gewaarschuwd voor onze tests.
- We zijn een non-profitproject. We hebben geen botnet, geen proxy's, niets waarmee je een server platlegt.
- Een legitieme site heeft niets te vrezen. Als u überhaupt een formulier hebt, doet een zin van 12/24 woorden daar niets mee. Kit-handlers hebben specifieke variabelen; op een normale site zijn dit onschuldige POST-verzoeken naar nergens.
Wij hebben juist het tegenovergestelde van een storing nodig: de phishingsite moet online blijven terwijl de registrar hem controleert. PhishDestroy heeft nooit een DDoS-aanval op iemand uitgevoerd. We vinden deze methode niet prettig, maar er zit geen kwade opzet achter, en we houden het binnen fatsoenlijke grenzen.
“Iemand gebruikt jullie systeem tegen een concurrent.”
Laat het ons direct weten — via een GitHub-issue of de Telegram-bot. We reageren.
We hebben er geen enkel belang bij om iets legitiems of iets ten onrechte op te nemen. We winnen er niets mee, alleen reputatieschade en strengere filters op ons eigen systeem. Maar het systeem heeft bijdragers. Het recht om zonder controle in te dienen verdien je pas nadat eerst een aanzienlijk aantal domeinen de standaardbeoordeling heeft doorstaan. Die status heeft waarde, en er is misbruik van gemaakt, zoals door sommige “stresstest”-diensten en een schimmige Indonesische casino-operatie.
We zijn er fel op tegen dat iemand PhishDestroy gebruikt voor persoonlijk gewin in plaats van om phishing te bestrijden. Ook als uw eigen dienst niet helemaal zuiver is: als u denkt dat iemand betaalt voor takedowns, stuur ons dan het domein of de domeinen. Wij controleren het. Als een lid van onze community takedowns verkoopt, blokkeren we dat lid en elk domein dat het commercieel heeft opgenomen. Elke kwestie is op te lossen. Maar als uw site echt illegaal is, zullen we hem waarschijnlijk niet verwijderen.
Onderzoeken jullie je eigen fouten?
Ja. Elke vals-positieve melding wordt teruggekoppeld naar onze regels. Massagevallen of afwijkingen — meerdere legitieme sites tegelijk in de database — blijven nooit onopgemerkt: we zoeken uit welk signaal faalde, welke bron het voedde en wat die bron nog meer heeft geraakt.
Is elke correctie openbaar?
Ja. Elk vals-positief domein wordt openbaar van GitHub verwijderd en in een aparte commit toegevoegd aan allow/allowlist.json. Een correctie die niemand kan controleren, is niets waard.
Veelgestelde vragen
Hoe snel wordt de beslissing genomen?
Binnen 48 uur na indiening. Onze AI voert een gedeeltelijke voorcontrole uit op elk bezwaarschrift, maar de definitieve beslissing vereist nog steeds een beoordeling door een operator. Als geen enkele operator op tijd bevestiging kan verlenen, dan automatisch goedkeurt en verwijdert uw domein van onze website, GitHub-repository en database — zonder menselijke goedkeuring. De tijdslimiet wordt afgedwongen in de code, niet in het beleid.
Stuurt u mij een e-mail?
Alleen als u daarom vraagt: na goedkeuring kunt u hierboven eenmalig excuses aanvragen. Privacy staat bij ons voorop: we bewaren geen verzoeklogs en we gebruiken geen e-mailmarketingpipeline. U kunt uw bezwaarschrift volgen via de ID met behulp van de link die u bij het indienen ontvangt. We nemen uitsluitend in uitzonderlijke gevallen, wanneer verduidelijking nodig is, contact met u op via e-mail.
Neem je daadwerkelijk websites offline?
Nee.We hebben geen knop voor het verwijderen van deze site. Wij scannen, analyseren en doorsturen onze bevindingen naar domeinregistranten, hostingproviders en partner threat-intel-feeds. De daadwerkelijke beslissing tot takedown ligt bij hen — en registranten handelen uitsluitend bij legitiem phishing. Als uw website legitiem is, hoeft u zich geen zorgen te maken.
Moet ik bewijs van eigendom overleggen?
Nee. Stuur alleen het domein en een zin met context. Wij voeren de verificatie zelf uit — door cross-checking met actuele threat-intel, DNS-records, certificaatgeschiedenis en ons eigen bewijsmateriaal. Het vragen aan eigenaars om zichzelf te bewijzen voelde indringend, dus hebben we ermee gestopt.
Waarom is mijn domein in de eerste plaats op de lijst geplaatst?
De meeste meldingen zijn afkomstig van geautomatiseerde detectie van phishingkits, drainerscripts, merkvervalsing of meldingen vanuit de community. Als u precies wilt zien welk bewijsmateriaal wij hebben, dient u een bezwaarschrift in en controleert u de openbare trackingpagina.
Beslist u al automatisch met behulp van AI?
Nog niet — we werken er zorgvuldig aan. Momenteel gaan bezwaarschriften door een geautomatiseerde triage die signalen oppakt (VirusTotal, urlscan, DNS, certificaatgeschiedenis), maar de beslissing wordt nog steeds door een mens genomen. We weigeren iets te automatiseren dat echte gevolgen heeft voor site-eigenaars, totdat we het systeem voldoende vertrouwen.
Wat als ik wordt afgewezen?
U kunt later opnieuw indienen als de omstandigheden veranderen, of een GitHub-issue openen voor openbare discussie als u van mening bent dat de afwijzing onterecht was. Wij hanteren geen e-mailcorrespondentie voor onderhandelingen; het doel is eerlijke beslissingen, geen onderhandelingen.