Zoek via RDAP de contactgegevens van de registrar en de afdeling voor netwerkmisbruik voor een domein of IP-adres.
Netwerk: RDAP + DoHNieuw
Generator voor meldingen van misbruik
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Generator voor meldingen van misbruik
Wat het doet
Voer de URL’s, IP-adressen, datums en bewijsmateriaal van een phishing- of oplichtingssite in en ontvang een kant-en-klare e-mail die je direct kunt versturen naar de registrar, hostingprovider of CDN van de betreffende site. De hashwaarden van de bestanden worden in je browser berekend en er wordt nergens iets naartoe verzonden.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je Generator voor meldingen van misbruik
- Kies het type ontvanger en de aanval. Kies bij ‘Rapport aan’ de optie ‘Registrar’, ‘Hostingprovider’ of ‘CDN / reverse proxy’. Kies bij ‘Type aanval’ de optie die het beste past uit de zes beschikbare opties, zoals ‘Phishing’ of ‘Crypto wallet drainer’.
- Vul in wat je hebt gezien. Plak de URL's, één per regel; onschadelijke vormen zoals hxxps:// en [.] worden weer omgezet in echte URL's. Laat het veld ‘Domein’ leeg om het registreerbare domein van de eerste URL te gebruiken, en voeg IP-adressen toe als je die kent.
- Stel de tijden in. Vul de velden ‘Eerste keer gezien’ en ‘Laatste keer gezien’ in; deze worden in UTC gelezen en onder elk veld in ISO-notatie weergegeven. Hiermee wordt ‘Laatste keer gezien’ nu ingesteld op de huidige tijd.
- Bewijs toevoegen. Plak hashes of sleep bestanden in je browser om hun SHA-256 te verkrijgen. Voeg scanlinks toe en een korte beschrijving van wat er op de pagina wordt gevraagd.
- Genereren en corrigeren. Klik op ‘Rapport genereren’. Rode items met de opmerking ‘Voor verzending corrigeren’ blokkeren het rapport; gele items met de opmerking ‘Controleren’ zijn slechts aanbevelingen. Na het eerste rapport wordt de tekst bijgewerkt terwijl u deze bewerkt.
- Verzend het. Kopieer het onderwerp en de tekst, open ze in je e-mailapp of download ze als .txt- of .json-bestand. Voor Cloudflare: plak de tekst in het meldingsformulier voor misbruik.
Voorbeeld
Wallet Drainer op een domein dat er hetzelfde uitziet
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…Een registrarrapport voor wallet-verify.example: het onderwerp vermeldt het aangepaste domein, de hoofdtekst de daadwerkelijke URL, het IP-adres 192.0.2.10, de eerste en laatste waarneming in UTC, een link naar urlscan.io en een verzoek tot opschorting waarin wordt verwezen naar paragraaf 3.18 van de ICANN RAA.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Rapporteer aan | De registrar vraagt om een opschorting (bijvoorbeeld ‘clientHold’) en een overdrachtsblokkering. De hostingprovider vraagt om de inhoud te verwijderen en logbestanden bij te houden. Het CDN vraagt om de oorspronkelijke host, doorsturing en een waarschuwingspagina. |
| Type aanval | In meldingen van phishing, drainer-aanvallen en malware aan een gTLD-registrar wordt verwezen naar DNS-misbruik op grond van artikel 3.18 van de RAA en wordt gevraagd om onmiddellijke maatregelen ter bestrijding daarvan. Wat betreft valse investeringsaanbiedingen, technische ondersteuning en andere vormen van fraude, staat in de tekst alleen dat registrars een onderzoek moeten instellen en op gepaste wijze moeten reageren. |
| Domein overgenomen uit de URL’s | Het registreerbare domein van de eerste URL met een hostnaam, zoals te vinden in de Public Suffix List; connect.wallet-verify.example wordt dus wallet-verify.example. URL’s met alleen een IP-adres bevatten geen domein. |
| Corrigeer dit voordat je het verstuurt | Bijvoorbeeld URL’s zonder http://, https:// of ftp://, ongeldige IP-adressen of hashes, onjuiste datums, ‘Laatst gezien’ vóór ‘Eerste keer gezien’, ongeldige e-mailadressen of bewijslinks die geen weblinks zijn. |
| Waarschuwingen controleren | Een landcode-TLD (de RAA is niet van toepassing), een domein op een gedeeld platform (gebruik het hosting-sjabloon), een datum in de toekomst, een registrarrapport zonder domein, of nog geen bewijs. |
| Instelling 'Defang' | Dit is standaard alleen het onderwerp, zodat e-mailfilters je melding niet als phishing beschouwen, terwijl de meldingsdienst toch de echte links ontvangt. Je kunt ook de indicatoren in de tekst zelf onschadelijk maken, of helemaal niets doen. |
| Hashes van bewijsmateriaal | MD5, SHA-1, SHA-256 of SHA-512 in hexadecimale notatie, één per regel met een optionele bestandsnaam. Bestanden die worden neergelegd met een maximale grootte van 50 MB per stuk worden met SHA-256 gehasht en worden nooit geüpload. |
| Lange mailto-link | Als de e-maillink meer dan 2.000 tekens bevat, verschijnt er een waarschuwing dat sommige e-mailapps de link afkappen. Gebruik in plaats daarvan ‘Kopiëren’. |
Nog meer voorbeelden
Hostingrapport voor een pagina op een losstaand IP-adres
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05Onderwerp: Melding van misbruik: phishing-inhoud op hxxp://198[.]51[.]100[.]23/secure/login[.]php op 198[.]51[.]100[.]23 (zich voordoend als Example Bank). In de tekst worden de echte URL, het IP-adres en de datum van eerste waarneming 2026-10-21T14:05:00Z (UTC) vermeld, en wordt gevraagd de inhoud te verwijderen en de logbestanden te bewaren. Een selectievakje geeft aan dat er nog geen bewijsmateriaal is toegevoegd.
CDN-rapport over een valse update
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateOnderwerp: Melding van misbruik: de website example[.]org, die malware verspreidt, wordt via uw netwerk aangeboden. In de tekst wordt de provider verzocht de hostingprovider te noemen, de melding door te sturen en een waarschuwingspagina weer te geven, en uw contactgegevens niet te delen.
Gegevens die moeten worden gecorrigeerd
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipGeen melding. Corrigeer voordat je lijsten verstuurt: Geen URL (moet beginnen met http://, https:// of ftp://), Geen hash, en ‘Laatst gezien’ is eerder dan ‘Eerste keer gezien’. Een selectievakje voegt toe: Nog geen bewijs.
Veelgestelde vragen
Wat wordt er in de drie sjablonen gevraagd?
In het sjabloon voor de registrar wordt gevraagd om opschorting van het domein (bijvoorbeeld ‘clientHold’) en een overdrachtsblokkering, onder verwijzing naar paragraaf 3.18 van de ICANN-accreditatieovereenkomst voor registrars van generieke TLD’s. In het sjabloon voor hostingbedrijven wordt gevraagd om verwijdering van de inhoud en het bewaren van logbestanden, en in het CDN-sjabloon wordt de provider gevraagd om de oorspronkelijke host te vermelden, het rapport door te sturen en een phishingwaarschuwing weer te geven.
Controleert de generator of de website schadelijk is?
Nee. Het systeem zet je invoer in de juiste indeling en controleert uitsluitend de vorm: URL, IP-adres, hash en datumnotatie, de datum van de laatste waarneming na de eerste waarneming, en een domein voor rapporten van registrars. Of het bewijs voldoende is, is aan jou, en de RAA-verwijzing geldt alleen voor door ICANN geaccrediteerde registrars van generieke TLD’s.
Wordt het rapport of worden mijn contactgegevens ergens naartoe gestuurd?
Nee. Het rapport wordt in je browser samengesteld en de geüploade bestanden worden lokaal gehasht zonder dat ze daadwerkelijk worden geüpload. Ze verlaten de pagina pas wanneer je ze kopieert, in je e-mailapp opent of downloadt.
Moet ik dit melden bij de griffier, de gastheer of het CDN?
Een registrar kan ervoor zorgen dat het domein niet meer wordt omgezet; een host kan de pagina verwijderen; een CDN kan de echte host onthullen en een waarschuwing weergeven. Het is gebruikelijk om afzonderlijke rapporten te sturen naar de registrar en het netwerk achter het IP-adres. Met ‘Abuse Contact Lookup’ kun je beide adressen achterhalen.
Hoe meld ik een website die achter Cloudflare zit?
Kies het CDN-sjabloon. Cloudflare neemt meldingen van misbruik in ontvangst via het formulier op abuse.cloudflare.com, onder de categorie ‘Phishing & Malware’. Plak de gegenereerde tekst dus daar in plaats van een e-mail te sturen.
Wat staat er in het gedownloade JSON-bestand?
Het tijdstip waarop het bericht is gegenereerd, het sjabloon, het type aanval, het merk, het domein, de URL’s, de IP-adressen, de eerste en laatste keer dat het is waargenomen, links naar bewijsmateriaal en hashes, de beschrijving, de ontvanger, je naam en e-mailadres (indien je die hebt ingevuld), en het onderwerp en de tekst. Dit is handig om bij te houden wat je hebt gemeld en wanneer.