Op X ging deze week een waarschuwing rond die op 15 oktober om 09.15 uur ruim 1,7 miljoen keer bekeken was: twee keer amazon.com onder elkaar, waarvan er één nep is. De uitleg erbij klopt niet helemaal. De nep-letter is geen Griekse a maar een Cyrillische. Het is de eerste a, niet de tweede. En in allebei de regels zit een onzichtbaar teken.
Ik heb de tekst uit de post van @tkzwgrs letter voor letter uitgelezen. Daarna heb ik opgezocht of het nepadres echt bestaat en hoe Chrome zo'n adres laat zien. De scam checker herkende deze truc tot vandaag niet. Nu wel.
Eén Cyrillische а en twee onzichtbare spaties
Dit staat er echt in de twee regels, uitgelezen per teken:
| Regel uit de post | Wat je ziet | Wat er echt staat |
|---|---|---|
| "偽物" (nep) | аmazon.com | Eerste letter U+0430, de Cyrillische а. Tussen amazon en .com een zero-width space (U+200B). |
| "本物" (echt) | amazon.com | Gewone Latijnse letters. Maar óók hier een zero-width space vóór .com. Een browser laat dat teken weg en komt op amazon.com uit, maar schoon is de tekst niet. |
Die onzichtbare spaties staan er waarschijnlijk zodat X de adressen niet automatisch klikbaar maakt. Dat is netjes van de plaatser. Alleen laat het meteen zien hoe weinig je aan je ogen hebt: twee regels die er hetzelfde uitzien, en geen van beide is wat je denkt. Onder de post kwam dezelfde correctie al van @chopin_raind, die de tekens door een AI liet uitlezen: eerste a, Cyrillisch, niet Grieks.
Bestaat аmazon.com met een Cyrillische а echt?
Ja, maar je komt nergens uit. Het adres heet voor computers xn--mazon-3ve.com. Dat is de punycode-vorm: zo schrijft het internet een adres met letters buiten het gewone alfabet. Volgens het register van Verisign, dat .com beheert, is het domein geregistreerd sinds 21 januari 2005, via MarkMonitor. Dat is dezelfde registrar als die van amazon.com. Een website draait er niet: op 15 oktober gaf het domein geen IP-adres terug.
Ik heb daarna alle 26 varianten opgezocht waarbij je de twee a's en de o van amazon vervangt door een Cyrillische of Griekse lookalike:
| Varianten van amazon.com | Aantal | Status op 15 oktober |
|---|---|---|
| Cyrillische vervangers met minstens één а | 6 | Geregistreerd sinds 21 januari 2005, via MarkMonitor |
| Alleen een Griekse ο (amazοn.com) | 1 | Geregistreerd sinds 24 januari 2005, via MarkMonitor |
| Alleen een Cyrillische о (amazоn.com) | 1 | Niet geregistreerd |
| Overige mengvormen met een Griekse α of ο | 18 | Niet geregistreerd |
Zeven van de 26 zijn dus bezet, negentien niet. Wie er achter die zeven registraties zit, toont het register niet. Dat ze tegelijk met dezelfde registrar zijn vastgelegd, wijst op een merkeigenaar die zijn naam afschermt. Bewezen is dat niet. En "niet geregistreerd" betekent niet dat je ze vandaag nog kunt kopen: registers hebben eigen regels voor gemengde alfabetten. Dat heb ik niet getest.
Chrome laat dit nepadres niet als amazon.com zien
In de video staan twee adresbalken met een hangslotje en twee keer amazon.com. Zo ziet het er in Chrome niet uit. De regels van Chromium zeggen dat Latijnse, Cyrillische en Griekse letters in één deel van een adres niet door elkaar mogen. Gebeurt dat wel, dan toont Chrome de punycode. Je ziet dan xn--mazon-3ve.com in de adresbalk. Een adres dat na het vervangen van lookalikes precies een bekende site spelt, krijgt dezelfde behandeling.
Dat gat is in 2017 gedicht. Toen registreerde onderzoeker Xudong Zheng een adres dat volledig uit Cyrillische letters bestond en in Chrome en Firefox als apple.com verscheen, met hangslot. Omdat alle letters uit één alfabet kwamen, glipte het door de oude controle.
De truc werkt dus vooral vóórdat je op de link drukt. In een sms, mail, WhatsApp-bericht of post op X staat de Cyrillische а gewoon als a in beeld. Daar beslis je of je klikt. En in een mail kan de tekst van een link sowieso iets anders zeggen dan het adres erachter; daar heb je geen nep-letter voor nodig.
Het adres goed lezen helpt hier niet
Op onze eigen pagina over de link checker leggen we uit dat je een adres van rechts naar links leest, tot de eerste schuine streep. Dat advies werkt tegen postnl-bezorging-nl.com. Tegen deze truc werkt het niet: ook letter voor letter lezen geeft je amazon.com. Ons eigen advies schiet hier tekort, en dat zetten we er nu bij.
Het advies uit de post, "klik dan gewoon nergens meer op", gaat de andere kant op te ver. Een link van je sportclub of je collega ga je echt wel openen. Waar het om gaat zijn berichten die iets van je willen: inloggen, betalen, je pas verlengen, een pakket vrijgeven. Bij die berichten gebruik je de link nooit, hoe echt hij er ook uitziet. Je opent de app of typt het adres zelf.
Sinds 15 oktober ziet de scam checker het wel
Tot vandaag haalde onze checker uit de nep-regel van de post helemaal niets. Een kaal аmazon.com las hij als mazon.com, zonder waarschuwing. Dat hebben we aangepast. Hij kijkt nu naar:
- Onzichtbare tekens. Zero-width spaces en tekens die de leesrichting omdraaien horen niet in een webadres.
- Alfabetten door elkaar. Latijnse letters met Cyrillische, Griekse of Armeense in één deel van het adres. De uitslag wordt dan altijd minstens "verdacht".
- Nagemaakte letters. Hij vervangt lookalikes door de letter die ze nadoen en kijkt of er dan een bekend merk staat, zoals amazon.com, rabobank.nl of paypal.com. De uitslag noemt de letter, het alfabet en het tekennummer.
- Afzenders. Hetzelfde voor e-mailadressen, zoals support@аmazon.com.
Dit geldt voor de website, de Chrome-extensie en de koppelingen met ChatGPT, Claude, Zapier en n8n, want die gebruiken dezelfde controle. De letterlijke regels uit de post zitten in onze testset.
Er zijn twee grenzen. Een screenshot helpt hier weinig: op een plaatje ziet een Cyrillische а eruit als een gewone a, en de tekstherkenning leest hem meestal ook zo. Plak bij twijfel over een link dus de tekst of de link zelf. En de merkcontrole kent een vaste lijst van zo'n vijftig merken. Een nagemaakte letter in de naam van een kleine webshop krijgt wel de waarschuwing voor gemengde alfabetten, maar geen merknaam.
Mail over een Amazon-bestelling die je niet kent?
Open de Amazon-app zelf en kijk bij je bestellingen. Staat de bestelling daar niet, dan klopt de mail niet, wat de link er ook van maakt. Heb je al op zo'n link gedrukt, kijk dan wat je moet doen bij een phishing link geklikt. Voor een verdacht bericht op je telefoon staan de kenmerken bij nep-sms, en een rare website zelf toets je bij is deze website betrouwbaar. Zo'n bericht kun je daarna gewoon phishing melden.
De volgende variant gebruikt Grieks
Op X ging dezelfde dag ook amazοn.com met een Griekse ο rond. Ook die staat sinds 2005 geregistreerd via MarkMonitor, zonder website erop, en Chrome toont hem als punycode. In een sms ziet hij er net zo echt uit. De lettertest bovenaan deze pagina en de checker hieronder pakken hem allebei.
Bronnen
- Post van @tkzwgrs, 15 oktober 2026 en de oorspronkelijke video van @ZeppelinLed5
- Chromium: Internationalized Domain Names in Google Chrome
- Unicode Technical Standard #39, Unicode Security Mechanisms
- Xudong Zheng, Phishing with Unicode Domains (2017)
- Verisign RDAP: xn--mazon-3ve.com, opgevraagd op 15 oktober 2026, plus 25 andere varianten