Lees de naam rnicrosoft.com eens snel door. Je brein leest vrijwel zeker "microsoft.com", terwijl er geen enkele letter m in die naam staat. De letters r en n staan zo dicht tegen elkaar dat ze in bijna elk lettertype samenvloeien tot iets dat op een m lijkt. Cybersecuritybedrijf Netcraft beschreef deze truc begin 2026 in een analyse van tientallen domeinen die precies dit patroon gebruiken, en het opvallende is dat de methode allesbehalve nieuw is: Netcraft ziet hem al teruggaan tot halverwege de jaren 2000.
Toch is de truc relevanter dan ooit. Uit het Brand Phishing Report van cybersecurityonderzoeker Check Point over het tweede kwartaal van 2026 blijkt dat Microsoft nog altijd het meest nagemaakte merk is, goed voor ongeveer 23 procent van alle gesignaleerde phishingpogingen die een bestaand merk imiteren. Samen met LinkedIn, Google, Apple en Amazon vormt Microsoft meer dan de helft van alle onderzochte gevallen. Nieuw in die lijst: ChatGPT dook voor het eerst op in de top tien, met onder meer een nepfactuur voor een ChatGPT Plus-abonnement als voorbeeld.
Hoe de rn-m-truc precies werkt
De techniek heet een homoglyph-aanval: twee verschillende tekens die er bijna identiek uitzien. Bij rn-voor-m gaat het niet om vreemde Unicode-tekens of accenten, maar om doodgewone Latijnse letters. Dat maakt de truc lastiger te blokkeren dan aanvallen met bijvoorbeeld Cyrillische letters, want een filter kan niet zomaar "rn" verbieden zonder ook legitieme domeinnamen te raken. Netcraft noemt ook varianten middenin een woord, zoals "payrnent" in plaats van "payment" of "ernail" in plaats van "email", en zelfs in subdomeinen, waar email.voorbeeld.nl plots ernail.voorbeeld.nl wordt.
Het werkt vooral goed omdat mensen een URL scannen in plaats van letter voor letter lezen. Op een smartphone, waar het scherm kleiner is en het lettertype compacter wordt weergegeven, is het verschil tussen rn en m vaak helemaal niet te zien. Precies de reden waarom dit soort visuele oplichting zo hardnekkig blijft, net als oplichting via een nepQR-code op een parkeerautomaat: de aanval leunt niet op technische kwetsbaarheden, maar op hoe snel we iets vertrouwen wat er bekend uitziet.
Welke merken al zijn nagemaakt
Netcraft trof het patroon aan bij een hele reeks grote namen. Een paar voorbeelden uit de analyse:
- Microsoft: domeinen als rnicrosoft die inloggegevens of beveiligingswaarschuwingen nabouwen
- Mastercard: onder meer rnastercard.de en rnastercard.ca
- Marriott: varianten als rnarriott-sp.com en jwrnarriott.com
- Mercedes-Benz: rnercedes.de en rnercedesbenz.com
- Moderna: rnoderna.com en rnodernaproducts.com
- Instagram: instagrarn.blog en instagrarn.lat
Wat deze lijst duidelijk maakt: de truc werkt bij elk merk waarvan de naam een m bevat, van farmaceutische bedrijven tot hotelketens. Het slachtoffer krijgt doorgaans een e-mail of sms met urgentie, een factuur die moet worden betaald, een beveiligingswaarschuwing die actie vereist, en klikt door naar een pagina die er qua opmaak nauwelijks van het origineel is te onderscheiden.
Waarom dit precies nu weer actueel is
Check Point wijst in het rapport op een bredere verschuiving: phishing richt zich steeds minder op losse slachtoffers en steeds meer op de identiteit achter een account. Technologiebedrijven zijn de meest getroffen sector, gevolgd door sociale netwerken en de bankensector. Dat verklaart ook waarom ChatGPT nu voor het eerst meedoet in de ranglijst: zodra een dienst genoeg gebruikers en betalende abonnees heeft, wordt het merk aantrekkelijk genoeg om na te maken.
Het is dezelfde logica die eerder al zichtbaar werd bij browserbeveiliging. Toen een kwaadaardige browserextensie passkeys kon onderscheppen, ging het niet om een lek in de passkey-techniek zelf, maar om een omweg via software die gebruikers zelf installeerden. Bij de rn-m-truc is het principe vergelijkbaar: niet het systeem wordt aangevallen, maar het moment waarop een mens snel even een linkje aantikt.
Zo herken je een nepdomein zelf
Een paar gewoontes maken het verschil:
- Tik het adres zelf in. Ga bij twijfel niet via de link in een mail of sms naar een inlogpagina, maar open je browser en typ het adres dat je al kent.
- Houd links ingedrukt op mobiel. Daardoor zie je de volledige bestemming voordat je klikt, in plaats van alleen de weergavenaam.
- Gebruik een wachtwoordmanager. Die vult je inloggegevens alleen automatisch in op het échte domein. Op rnicrosoft.com gebeurt simpelweg niets, en dat is precies het signaal dat er iets mis is.
- Installeer beveiligingsupdates op tijd. Een actuele browser blokkeert steeds meer bekende phishingdomeinen automatisch, al is dat geen garantie. Zo hielp ook de laatste grote Chrome-update met 247 gedichte lekken mee om bekende aanvalsroutes te sluiten, al gaat het daarbij om andere kwetsbaarheden dan domeinspoofing.
Belangrijk is ook: deze truc werkt alleen zolang je naar de naam kijkt in plaats van naar het certificaat of de adresbalk als geheel. Een https-slotje zegt niets over de echtheid van een domein, dat beveiligt alleen de verbinding. Wie twijfelt, kan de domeinnaam ook gewoon letter voor letter uitspreken: "r-n-icrosoft" klinkt meteen anders dan "microsoft".
Dit controleer je voordat je op die link klikt
De rn-m-truc is op zichzelf niets nieuws, maar de timing wel: nu phishing zich verplaatst van losse consumenten naar grote platformmerken zoals Microsoft, Google en inmiddels ook ChatGPT, is de kans groter dat je ooit zelf zo'n mail of sms tegenkomt. Het kost twee seconden om een adres rustig te lezen in plaats van te scannen, en dat is precies het verschil tussen een gewone werkdag en een account dat je kwijt bent.