Een klant ontvangt een factuur met uw bedrijfsnaam en een gewijzigd rekeningnummer. Het bericht lijkt afkomstig van uw eigen e-mailadres, maar uw organisatie heeft het nooit verstuurd. Dit is e-mailspoofing: misbruik van een vertrouwde afzender om ontvangers te misleiden. Voor bestuurders raakt dit direct aan financiële risico’s, klantvertrouwen en de reputatie van de organisatie.
Volgens een recent bericht van ICT/magazine heeft meer dan een kwart van de onderzochte grotere Benelux-organisaties de bescherming tegen e-mailspoofing onvoldoende op orde. Het onderzoek selecteerde 333 organisaties; 309 daarvan werden meegenomen in de e-mailstatistieken. De bevindingen zijn gebaseerd op publiek beschikbare instellingen en zeggen dus iets over de inrichting van de beveiliging, niet over het aantal daadwerkelijk geslaagde aanvallen.
Uw bedrijfsnaam als middel voor fraude
Bij e-mailspoofing vervalsen criminelen de afzendergegevens van een bericht. Daardoor kan het lijken alsof een e-mail afkomstig is van uw organisatie, terwijl deze buiten uw systemen is verstuurd. Daarvoor hoeft uw eigen mailbox niet te zijn gehackt.
Het vertrouwen dat klanten en partners in uw organisatie hebben, wordt zo een middel voor misleiding. Denk aan een vervalst betaalverzoek, een uitnodiging om vertrouwelijke gegevens te delen of een bericht dat naar een nagemaakte inlogpagina verwijst. Het NCSC adviseert daarom om alle domeinnamen van een organisatie te beschermen met e-mailauthenticatie.
Voor een directie roept dit een concrete vraag op: kunnen klanten en leveranciers erop vertrouwen dat een bericht met onze domeinnaam daadwerkelijk door ons is verzonden?
Bescherming begint bij controle over uw domein
Organisaties gebruiken vaak meerdere systemen die namens hetzelfde domein e-mail verzenden. Naast de reguliere kantooromgeving kunnen dat bijvoorbeeld een CRM-systeem, nieuwsbriefplatform, facturatiepakket en servicedeskapplicatie zijn. Ook externe leveranciers kunnen namens de organisatie communiceren.
Om legitieme berichten van vervalsingen te onderscheiden, zijn drie standaarden van belang: SPF, DKIM en DMARC. Samen helpen ze ontvangende mailservers om de herkomst van berichten te controleren. Met DMARC publiceert de domeineigenaar bovendien een beleid voor berichten die niet aan de authenticatievoorwaarden voldoen.
Alleen registreren wat er gebeurt, biedt daarbij nog geen volledige bescherming. Een organisatie moet toewerken naar een beleid dat ontvangende mailservers vraagt verdachte berichten in quarantaine te plaatsen of te weigeren. Dat vraagt om een zorgvuldige inventarisatie van alle toegestane verzendbronnen, zodat ook legitieme bedrijfscommunicatie correct blijft functioneren.
Drie vragen voor de bestuurstafel
Bestuurders hoeven de technische instellingen niet zelf te beoordelen. Wel kunnen zij zorgen voor duidelijk eigenaarschap en inzicht in de bescherming. Drie vragen helpen daarbij:
- Weten we welke systemen en leveranciers namens onze domeinen mailen?
- Wordt misbruik alleen gemonitord of ook actief tegengegaan?
- En wie bewaakt dat de bescherming blijft werken wanneer applicaties en leveranciers veranderen?
Deze vragen maken domeinbeveiliging onderdeel van de dagelijkse bedrijfsvoering. Een nieuw marketingplatform of facturatiepakket is immers ook een nieuwe verzendbron die gecontroleerd moet worden.
Verified Domain Protection van Lemontree
Met Verified Domain Protection, ook wel Mailreputatie, helpt Lemontree organisaties om hun e-maildomeinen structureel te beschermen. De beheerde dienst combineert de inrichting van SPF, DKIM en DMARC met inzicht in verzendbronnen, doorlopende monitoring en optimalisatie.
Lemontree begeleidt de overgang van inzicht naar een beleid dat misbruik daadwerkelijk helpt tegen te houden. Ook bij nieuwe applicaties of leveranciers blijft de inrichting aandacht krijgen. Zo vermindert uw organisatie het risico op domeinmisbruik en ondersteunt u de betrouwbare aflevering van legitieme e-mail, zonder zelf alle specialistische kennis in huis te hoeven hebben.
Wilt u meer grip op wie er namens uw organisatie mailt? Lees meer over Verified Domain Protection en Mailreputatie van Lemontree en ontdek hoe wij uw domeinen helpen beschermen.
