Een klant belt: hij heeft een factuur van u ontvangen met een gewijzigd rekeningnummer en inmiddels €8.400 overgemaakt. U heeft die factuur nooit verstuurd. Uw website is niet gehackt, uw mailbox is niet binnengedrongen. Iemand heeft gewoon een e-mail verzonden die eruitzag alsof die van uw domein kwam. Dit heet domeinspoofing, en het is bij de helft van de MKB-bedrijven die wij binnenkrijgen technisch gezien nog steeds mogelijk zonder dat er ergens een alarm afgaat.
Hoe spoofing werkt zonder dat uw server gehackt is
E-mail is gebouwd op vertrouwen uit de jaren tachtig: iedereen mag claimen dat hij namens elk domein verstuurt. Een aanvaller heeft geen toegang tot uw systemen nodig. Hij hoeft alleen het afzenderveld in te vullen met facturatie@uwbedrijf.nl en de mail gaat de deur uit, vaak via een goedkope mailserver ergens anders ter wereld. Of die mail bij de ontvanger in de inbox landt, met een vertrouwd logo en al, hangt af van drie technische records die u zelf in uw DNS moet zetten. Staan die er niet, dan is uw domein in feite onbeveiligd verhuurbaar aan iedereen die e-mail wil versturen uit uw naam.
SPF, DKIM en DMARC: wat ze echt doen
SPF: de gastenlijst
Een SPF-record (Sender Policy Framework) is een DNS-regel waarin staat welke mailservers namens uw domein mogen versturen. Iets als v=spf1 include:_spf.google.com -all. Ontbreekt deze regel, dan accepteren ontvangende mailservers e-mail van vrijwel elke afzender zonder te twijfelen.
DKIM: de handtekening
DKIM voegt een cryptografische handtekening toe aan elke uitgaande mail. De ontvangende server controleert of die handtekening klopt met een publieke sleutel in uw DNS. Is de mail onderweg gewijzigd of komt hij niet van de echte afzender, dan faalt de check stilletjes op de achtergrond.
DMARC: de instructie wat te doen bij twijfel
Dit is het onderdeel dat negen van de tien bedrijven mist of verkeerd instellen. DMARC vertelt ontvangende mailservers wat ze moeten doen als SPF of DKIM faalt: niets doen (p=none), de mail naar spam sturen (p=quarantine) of hem gewoon weigeren (p=reject). Zonder DMARC-record, of met DMARC op none, mag een spoof-mail gewoon de inbox in, ook al faalt elke technische check.
Wij zien regelmatig bedrijven die wel een DMARC-record hebben, maar op p=none staan sinds de implementatie drie jaar geleden. Dat record doet dan letterlijk niets anders dan rapporten versturen die niemand leest.
Wat het kost als het misgaat
Facturatiefraude via gespoofte e-mail is geen theoretisch risico. Bij de gevallen die wij hebben zien binnenkomen lag de schade tussen de €4.000 en €45.000, met een gemiddelde doorlooptijd van drie tot zes werkdagen voordat iemand doorhad dat er iets mis was. In die tijd is het geld allang overgemaakt naar een rekening in het buitenland en is terughalen vrijwel kansloos. Daarnaast is er reputatieschade: de klant die slachtoffer werd, vertrouwt uw facturen voorlopig niet meer, en vertelt dat verhaal door aan anderen in zijn netwerk. Dat raakt precies het deel van uw online aanwezigheid dat het langst duurt om op te bouwen: uw naam.
Controleer het zelf in tien minuten
U hoeft hiervoor geen beveiligingsexpert te zijn. Dit kunt u vandaag nog doen:
- Ga naar een gratis tool zoals MXToolbox of dmarcian en vul uw domeinnaam in bij de SPF- en DMARC-check.
- Controleer of er überhaupt een SPF-record staat, en of al uw verzendende systemen daarin genoemd worden (eigen mailserver, maar ook factuursoftware, CRM of nieuwsbrieftool die namens u mailt).
- Controleer uw DMARC-record. Staat er p=none, dan heeft u wel de rapportage maar geen bescherming.
- Bouw de policy stapsgewijs op: begin met p=quarantine en een lage percentage (pct=10), bekijk twee weken de rapporten, en verhoog dan geleidelijk naar p=reject; pct=100.
- Zet dit nooit in één keer hard op reject zonder monitoring: als u een systeem vergeet dat namens u mailt, blokkeert u per ongeluk uw eigen legitieme e-mail, bijvoorbeeld facturen vanuit uw boekhoudpakket.
Waarom dit bij branding en hosting hoort, niet alleen bij IT
Veel ondernemers plaatsen e-mailbeveiliging in het hokje “techniek” en laten het liggen tot er iets misgaat. Maar uw domeinnaam is het fundament van uw online merk: dezelfde naam die op uw website staat, in uw advertenties en op uw visitekaartjes, wordt hier als wapen tegen uzelf en uw klanten gebruikt. Wij nemen deze check daarom standaard mee bij elk hostingtraject, naast de gebruikelijke aandacht voor SSL, back-ups en toegangsbeheer. Een goed ingericht SPF-, DKIM- en DMARC-record kost een half uur werk in de DNS-instellingen en voorkomt precies het scenario waarmee dit artikel begon.