1. Varningarna behövs – men de visar sällan infrastrukturen

Myndigheters varningslistor fyller en viktig funktion. De ger konsumenter, banker, medier och andra aktörer konkreta namn och webbadresser att reagera på. En myndighet måste kunna knyta sin publicering till ett faktiskt objekt som har observerats och bedömts.

Problemet uppstår när den offentliga bilden stannar vid den enskilda domänen.

En investeringssajt kan tas ned, överges eller blockeras. Samtidigt kan webbmall, formulär, namnserverstruktur, hostkonto, affiliatekanaler och reservdomäner fortsätta att fungera. Det som försvinner är då bara den del som råkade vara synlig vid varningstillfället.

Varningskollens tidigare kartläggning av Kluster A visade omkring 4 600 domäner i ett återkommande namnserverkluster och minst 127 myndighetsvarningar från åtta tillsynsmyndigheter. Poängen var inte att samtliga domäner var myndighetsvarnade eller att en delad teknisk indikator ensam bevisar gemensam ägare. Poängen var att enskilda varningar återkom i en betydligt större och systematiskt uppbyggd miljö.

Den här analysen går ett steg längre. Den handlar inte bara om namnservrar och IP-adresser, utan om hur produktion, lokalisering och trafikanskaffning tillsammans skapar återväxt.

2. Bedrägeriträdet: rot, stam, grenar, kvistar och löv

Trädmodellen är en förenkling, men den gör det lättare att skilja mellan det som syns och det som bär verksamheten.

Det är här Varningsdatabasen ofta hittar kontinuiteten. Domännamnen kan ändras, men produktionsreceptet kan leva vidare.

När ett löv faller behöver trädet därför inte dö. Så länge stammen, grenarna och distributionssystemet finns kvar kan nya löv växa fram.

3. Ett textstycke ledde till drygt 200 domäner

Ett av de tydligaste fynden i det aktuella VDB-arbetet började inte med en IP-adress eller en reverse-sökning. Det började med ett ovanligt textstycke i en särskild webbmall på en investeringssida.

En exakt sökning på formuleringen ledde till en Google-indexerad population på omkring 215–216 unika domäner. När populationen granskades närmare visade det sig att sidorna delade samma webbmall. Nästan hela populationen använde dessutom en återkommande parametriserad sidtitel, där handelsnamnet byttes ut:

Det viktiga är alltså inte bara titeln. Själva ingången var den ovanliga textsammansättningen i den gemensamma webbmallen, och titelstrukturen blev sedan en parallell indikator. Triangeln ▷ ligger direkt efter handelsnamnet och följs av den fasta formuleringen Official Trading Platform Website.

Det förekom vissa titelavvikelser i populationen. Det förändrar dock inte helhetsbilden, eftersom sidorna samtidigt var bundna till varandra av samma webbmall, samma innehållslogik och senare även samma tekniska beröringspunkter.

När domänerna därefter kontrollerades mot DNS landade en stor del i redan kända Kluster A-miljöer. I arbetsmaterialet rapporterades 172 domäner på redan kända Kluster A-hostar, åtta på två nya starka hostkandidater, 34 bakom Cloudflare och två utan aktuell DNS.

Urvalet gjordes alltså via innehåll och webbmall – och därefter stärktes sambandet ytterligare av titelstrukturen och den tekniska miljön. Resultatet blir mindre cirkulärt än när man börjar med en känd IP-adress och sedan hittar fler domäner på samma IP.

Det bevisar inte att varje domän har samma juridiska huvudman. Men kombinationen av exakt textfingerprint, gemensam webbmall, återkommande titelmönster och överlappande DNS-miljö är en stark indikator på gemensam generator, gemensamt innehållspaket eller en återanvänd produktionsleverantör.

4. En äldre generation på omkring 6 100 domäner

Det aktuella materialet kan också relateras till en äldre eller parallell domängeneration på omkring 6 100 domäner, identifierad genom reverse-MX kring mx.idusfsdfifs.xyz.

Stora delar av den populationen är nedsläckta, men en aktiv delpopulation på 67 så kallade uni-tokv2-domäner har observerats. Kopplingen mellan generationerna bygger inte på en enda indikator, utan på flera paralleller:

• närliggande MX- och DNS-infrastruktur,
• återanvända eller närbesläktade brandnamn,
• samma typ av genererade fantasinamn och landvarianter,
• återkommande mall- och textlogik,
• liknande distributionsspår genom affiliates, routers, videokanaler och tredjepartsplattformar.

Det är därför mer träffande att tala om kontinuitet i ett produktionssystem än om en enda lista med aktiva domäner. Domäner kan bytas ut mellan generationerna samtidigt som metoden och verktygen består.

5. Marknadsföringen är en graf – inte en rak kedja

En vanlig föreställning är att varje investeringsbrand har en egen affiliate eller en egen annonskanal. VDB-materialet pekar i stället mot ett många-till-många-system.

Samma kanal, redirecttjänst eller kampanjkod kan marknadsföra flera brands. Samma brand kan samtidigt förekomma i flera videor, på flera SEO-sidor och via flera kortlänkar. GitHub-, Hashnode-, Tumblr-, DeviantArt- eller andra tredjepartssidor kan användas som legitimitetsspår eller som mellanled i sökresultaten.

Det gör distributionen motståndskraftig. Om en domän försvinner kan en befintlig kanal styras om. Om ett videokonto stängs kan andra konton fortsätta marknadsföra samma eller närliggande brands. Om ett brandnamn blir för belastat kan en ny kombination av teknikord, finansord och geografisk markör genereras.

Det är också därför nedtagning av enskilda domäner ger begränsad effekt om trafikanskaffningen lämnas orörd.

6. En internationell maskin med tydligt Europafokus

För att uppskatta hur den aktuella webbpopulationen var riktad analyserades skärmbilds- och HTML-materialet från VDB Studio.

Utgångspunkten var 1 430 unika källdomäner. Efter normalisering återstod 1 428 registrerbara domäner. Elva tekniska, blockerade eller inaktiva sidor hölls utanför. Ytterligare elva fall med manuell granskningsflagga undantogs i stället för att pressas in i en kategori.

Det låsta observationsunderlaget omfattar därför 1 406 unika domäner.

Klassificeringen bygger i första hand på huvudspråk och språk-/marknadsinriktning. Den försöker inte göra varje engelskspråkig .com-domän till USA eller Storbritannien. På samma sätt behandlas språk och land som skilda signaler när ett specifikt land inte kan bestämmas på ett rimligt sätt.

De fem största språkmarknaderna stod tillsammans för drygt 80 procent av materialet:

• engelska/internationella: 260 domäner,
• italienska: 254,
• tyska: 231,
• franska: 194,
• spanska: 189.

Därefter följde bland annat portugisiska, rumänska, norska, nederländska och japanska sidor.

Europa dominerar tydligt, men materialet är inte begränsat till Europa. Japanska och turkiska sidor, generiska engelskspråkiga kampanjer och återkommande landvarianter visar att produktionsmodellen har global räckvidd.

Detta ska inte läsas som den faktiska globala fördelningen av investeringsbedrägerier. VDB-populationen har byggts operativt, inte genom ett statistiskt slumpurval. Diagrammen visar den observerade inriktningen i det material som faktiskt fångats.

7. Sverige: omkring en och en halv procent

I den konservativt låsta populationen var 20 av 1 406 domäner svenskspråkiga. Det motsvarar cirka 1,4 procent.

Sverige framstår alltså inte som den huvudsakliga marknaden. Det svenska lagret är snarare en mindre lokal gren i ett mycket större internationellt system.

Det betyder inte att den svenska skadan är liten. En liten andel av en stor och effektiv internationell infrastruktur kan fortfarande orsaka betydande förluster. Det betyder inte heller att .se måste användas. Tidigare VDB-analyser har visat hur svenska markörer kan placeras i generiska domäner som slutar på .com eller .net, medan språk, annons och innehåll skapar den lokala känslan.

Det viktiga är därför inte bara vilken toppdomän som används, utan hur hela sidan och trafikflödet lokaliseras.

9. Varför enstaka nedtagningar inte räcker

Att ta ned en aktiv bedrägeridomän kan stoppa pågående trafik och skydda människor. Det ska göras snabbt. Men effekten blir kortvarig om åtgärden inte kopplas till resten av trädet.

En mer uthållig insats behöver kunna följa flera lager samtidigt:

• återkommande namnservrar och hostkonton,
• domängeneratorer och registreringsmönster,
• webbmallar, titelmallar och exakta textfingerprints,
• formulärendpoints och leadflöden,
• affiliatekonton, redirects, kortlänkar och videokanaler,
• betalnings- och kontoindikatorer som bara registrarer, hostingbolag, plattformar och banker kan se.

Delad hosting är inte i sig bevis för medverkan. En teknisk relation är inte samma sak som en direkt myndighetsvarning. Men när samma miljö återkommer tillsammans med myndighetsvarningar, identiska mallar, genererade brandnamn och systematisk lokalisering finns ett tydligt skäl för fördjupad kontroll.

Det är där klusterperspektivet blir praktiskt. Det hjälper berörda aktörer att gå från en domän i taget till återkommande konton, kundrelationer, betalningsmedel och produktionsflöden.

10. Vad myndigheter, medier och plattformar kan göra annorlunda

Slutsats: se trädet

Myndighetsvarningar är nödvändiga. Men deras synliga objekt är ofta de mest utbytbara delarna av systemet.

Bakom den enskilda investeringssajten finns webbmallar, språkversioner, namnservrar, hostmiljöer, affiliatekanaler och reservdomäner. Det är denna återväxande struktur som gör att nya kampanjer kan lanseras snabbare än gamla hinner försvinna.

Varningsdatabasen ska inte ersätta myndighetsvarningar. Den ska komplettera dem genom att visa det som en domänrad aldrig kan visa ensam.

Myndigheterna varnar för löven. För att bromsa återväxten måste fler börja se stammen, grenarna, kvistarna – och, när det är möjligt, roten.