Brand-TLD's in financiële diensten

Het juridisch kader

Financiële instellingen zijn een populair doelwit van phishing, want met een lookalike domeinnaam kun je de inloggegevens van een klant buitmaken. Een brand-TLD geeft je een namespace die alleen de instelling zelf kan gebruiken. Bij de beslissing om aan te vragen spelen ook de Europese financiële regels mee. Die vragen geen brand-TLD, maar bepalen wel hoe je er een zou gebruiken en besturen.

Vertrouwen en consumentenbescherming

Een brand-TLD is een signaal en geen garantie. Weten klanten dat echte berichten alleen van namen onder de TLD van de instelling komen, dan is een bericht van een ander domein verdacht. Dat werkt alleen als de instelling de TLD consequent gebruikt voor diensten die de klant ziet en dat ook in haar communicatie zegt. Een TLD die je maar voor een paar diensten gebruikt, is een zwakker signaal. Fraudeurs kunnen nog altijd andere domeinen gebruiken, de instelling nabootsen op sociale media of berichten sturen die echt lijken. De TLD vult e-mailauthenticatie, klantenvoorlichting en monitoring dus aan en vervangt ze niet.

Betalingsdiensten en authenticatie

Richtlijn (EU) 2015/2366 (PSD2) vraagt sterke cliëntauthenticatie voor veel betalingshandelingen. Daarbij gaat het erom hoe de klant zijn identiteit bewijst en niet om het domein van de bank, dus een brand-TLD voldoet daar niet aan. De band met de regel is indirect: een herkenbare namespace onder controle van de instelling helpt klanten erop vertrouwen dat ze zich op de juiste site authenticeren.

Digitale operationele weerbaarheid

Verordening (EU) 2022/2554 (DORA) geldt voor financiële entiteiten en vraagt dat ze ICT-risico's beheren, ook het risico van externe dienstverleners. Maakt een brand-TLD deel uit van de klantgerichte infrastructuur van de entiteit, dan valt ze onder die regels. De registryserviceprovider die de TLD beheert, is een ICT-derdedienstverlener. Zijn contract heeft de waarborgen nodig die DORA opsomt, en de afhankelijkheid moet in het informatieregister van de entiteit over haar ICT-afspraken staan.

Digitale identiteit

Verordening (EU) 2024/1183 wijzigde het eIDAS-kader om Europese digitale-identiteitsportemonnees te creëren. Domeinnamen worden daardoor geen deel van het identiteitssysteem, maar een geverifieerde namespace onder controle van de instelling kan het aanvullen.

Community-TLD's voor de sector

Naast brand-TLD's bestaan er community-TLD's voor de sector: .bank en .insurance worden beheerd door fTLD Registry Services, met geschiktheidscontroles en beveiligingsvereisten voor registranten. Een instelling kan er een gebruiken zonder zelf een registry te beheren. Ze bieden niet de exclusiviteit van een TLD die alleen de eigen naam draagt.

In de praktijk

Een Belgische verzekeraar overweegt een brand-TLD. Hij maakt deze analyse.

Eerst de dreiging. Zijn beveiligingsteam ziet elke maand lookalike domeinnamen verschijnen. Monitoring toont dat de meeste binnen enkele dagen verdwijnen, maar klanten krijgen toch phishingmails. Een brand-TLD zou klanten een simpele regel geven.

Dan de grenzen. Fraudeurs blijven andere extensies en andere kanalen gebruiken. Combineer de TLD dus met e-mailauthenticatie, een klantencampagne en blijvende monitoring van lookalikes onder andere extensies. Onze online brand monitoring blijft nodig.

Ten derde het bestuur. De registryserviceprovider en het interne registryteam worden deel van het ICT-risicokader. Het contract met de provider heeft DORA-clausules nodig, en de raad van bestuur moet zicht hebben op de afhankelijkheid.

Ten vierde het merk. De instelling heeft een Uniemerk voor de naam. Een clearancecheck van de string toont geen conflicterende merken van andere ondernemingen in zijn sector, maar wel één in een andere sector. Dat maakt contention mogelijk en, voor een gewoon woord, een bezwaar.

De verzekeraar besluit dat de TLD past bij zijn risicostrategie, op voorwaarde dat hij zich aan volledig gebruik verbindt. Hij bepaalt de gebruiksscenario's voordat hij beslist aan te vragen. Had hij in 2026 niet aangevraagd, dan ligt de volgende kans mogelijk vele jaren verder. Het artikel over de ICANN-ronde van 2026 legt de huidige stand uit.

Veelgestelde vragen

Maakt een brand-TLD ons conform PSD2 of DORA?

Nee. Geen van beide verordeningen vraagt er een. Een brand-TLD is een instrument dat je binnen je nalevingskader kunt gebruiken, en ze brengt eigen DORA-relevante afhankelijkheden mee.

Stopt een brand-TLD phishing?

Ze haalt één route weg, namelijk lookalikes onder je eigen TLD, en geeft klanten een regel die ze kunnen volgen. Phishing vanaf andere domeinen, via sociale media en e-mailspoofing blijven bestaan.

Kunnen we een brand-TLD alleen intern gebruiken?

Ja. Sommige operatoren gebruiken ze eerst voor e-mail en interne systemen. Het authenticatievoordeel voor klanten vraagt gebruik dat voor klanten zichtbaar is.

Wat zijn de alternatieven?

Defensieve registraties, monitoring met takedowns en, voor banken en verzekeraars, de extensies .bank of .insurance. Elk lost een deel van het probleem op.

Hoe dit samenhangt

Nieuwe gTLD's voor merken beschrijft hoe Pitch je adviseert over de beslissing en het proces. Verwante artikelen gaan over strategisch gebruik, de Applicant Guidebook en de geschiedenis van het programma.