Een relatie belt je op. Hij vraagt of jij gisteren een e-mail hebt gestuurd over een openstaande betaling, met een betaallink erin. Jij hebt geen e-mail gestuurd. De betaallink ging naar een rekening van criminelen. Je relatie heeft betaald.
Dit is email spoofing. En het is makkelijker uit te voeren dan de meeste ondernemers denken en tegelijkertijd volledig te stoppen met de juiste technische maatregelen.
In dit artikel leggen wij uit wat email spoofing precies is, hoe criminelen het inzetten, hoe jij het herkent en, het belangrijkste, hoe je jouw bedrijf ertegen beschermt.
Wat is email spoofing?
Email spoofing is het vervalsen van het afzenderadres van een e-mail. De ontvanger ziet een vertrouwd e-mailadres, bijvoorbeeld info@jouwnaam.nl maar de e-mail is nooit via jouw server verstuurd. Een crimineel heeft het afzenderadres nagebootst.
Het woord “spoofing” komt van het Engelse werkwoord to spoof, nabootsen of bedriegen. En dat is precies wat er gebeurt: de identiteit van jouw bedrijf wordt nagebootst om ontvangers te misleiden.
Het verraderlijke is dat dit technisch niet bijzonder ingewikkeld is. E-mail is van origine een open systeem dat nooit is ontworpen met strenge identiteitscontroles. Zonder aanvullende beveiliging op jouw domein kan letterlijk iedereen een e-mail versturen die er precies uitziet alsof hij van jou komt.
Hoe werkt email spoofing technisch?
Om te begrijpen waarom spoofing mogelijk is, helpt het om te weten hoe e-mail in de basis werkt.
Wanneer jij een e-mail verstuurt, communiceert jouw mailserver met de mailserver van de ontvanger via een protocol dat SMTP heet, Simple Mail Transfer Protocol. Dit protocol is ontworpen in de beginjaren van het internet, toen beveiliging geen prioriteit was. SMTP controleert standaard niet of de afzender ook echt de eigenaar is van het opgegeven e-mailadres.
Vergelijk het met een fysieke brief. Jij kunt op de envelop een willekeurig retouradres schrijven, de postbode controleert niet of dat adres ook echt van jou is. Email spoofing werkt op dezelfde manier: de crimineel vult gewoon jouw adres in als afzender.
Wat ziet de ontvanger?
In de meeste e-mailprogramma’s ziet de ontvanger alleen het weergavenaam-veld en het zichtbare afzenderadres. Beide kunnen eenvoudig worden vervalst. Pas als de ontvanger de technische headers van de e-mail bekijkt, iets wat de meeste mensen nooit doen, is te zien dat de e-mail via een andere server is verstuurd.
Criminelen weten dit. En ze maken er dankbaar gebruik van.
Waarvoor gebruiken criminelen email spoofing?
Email spoofing is zelden een doel op zich, het is een middel. Het wordt ingezet voor verschillende vormen van oplichting en cybercriminaliteit.
Phishing is de meest voorkomende toepassing. De crimineel stuurt een e-mail uit naam van een vertrouwd bedrijf, jouw bank, jouw leverancier, of jouw eigen bedrijf, met een verzoek om op een link te klikken, in te loggen of een betaling te doen. Omdat de e-mail van een bekende afzender lijkt te komen, is de kans groter dat de ontvanger meewerkt.
CEO-fraude is een gerichte variant waarbij criminelen doen alsof ze de directeur of eigenaar van een bedrijf zijn. Ze sturen een e-mail naar een medewerker met een urgent verzoek om een overboeking te doen. De medewerker denkt dat het verzoek van de baas komt en handelt.
Factuurvervalsing is het versturen van nep-facturen met gewijzigde betaalgegevens. De ontvanger denkt een legitieme factuur van een vaste leverancier te betalen, maar het geld gaat rechtstreeks naar de crimineel.
Reputatieschade als bijproduct. Soms is het doel niet direct financieel gewin, maar het beschadigen van de reputatie van een bedrijf, door spam of aanstootgevende inhoud te versturen uit naam van dat bedrijf.
Hoe herken je een gespoofde e-mail?
Als ontvanger zijn er signalen die kunnen wijzen op een gespoofde e-mail. Het probleem is dat een goede spoofing-aanval moeilijk te onderscheiden is van een echte e-mail, dat is precies waarom het zo effectief is.
Controleer het volledige afzenderadres. Veel e-mailprogramma’s tonen standaard alleen de weergavenaam. Klik op de naam om het volledige adres te zien. Een spoofing-aanval toont soms Bedrijfsnaam <nep@anderdomein.com>, de naam klopt, het adres niet.
Let op onverwachte verzoeken. Een legitiem bedrijf vraagt nooit plotseling om een spoedoverboeking, inloggegevens of gevoelige informatie via e-mail, zeker niet met een gevoel van urgentie.
Bekijk de technische headers. In de meeste e-mailprogramma’s kun je via de instellingen de volledige e-mailheaders bekijken. Daarin staat via welke server de e-mail daadwerkelijk is verstuurd. Dit vereist technische kennis, maar tools zoals Google Admin Toolbox kunnen helpen bij de interpretatie.
Verifieer via een ander kanaal. Bij twijfel over een e-mail: bel de afzender op een bekend telefoonnummer om te controleren of het bericht echt van hem of haar afkomstig is.
Hoe bescherm je jouw bedrijf tegen email spoofing?
Als ontvanger kun je waakzaam zijn maar de echte oplossing zit aan de kant van de afzender. Als jouw domein correct is beveiligd, kunnen criminelen geen geloofwaardige spoofing-aanvallen uitvoeren via jouw naam.
De technische beveiliging bestaat uit drie protocollen die samenwerken: SPF, DKIM en DMARC.
SPF (Sender Policy Framework) legt vast welke mailservers e-mails mogen versturen namens jouw domein. Een e-mail van een niet-geautoriseerde server wordt herkend als verdacht.
DKIM (DomainKeys Identified Mail) plaatst een digitale handtekening op elke e-mail die jij verstuurt. Die handtekening kan niet worden nagemaakt, ontvangende servers kunnen daarmee verifiëren dat de e-mail echt van jou komt.
DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindt SPF en DKIM en bepaalt wat er moet gebeuren met e-mails die de controle niet doorstaan: doorlaten, quarantaine of weigeren. DMARC stuurt ook rapportages zodat je kunt zien wanneer iemand probeert jouw domein te misbruiken.
Samen maken deze drie protocollen het voor criminelen vrijwel onmogelijk om geloofwaardige e-mails te versturen uit naam van jouw bedrijf. Ontvangende mailservers herkennen de nep-e-mails en blokkeren ze, voordat ze bij jouw klanten aankomen.
Bij Orange Warriors stellen wij SPF, DKIM en DMARC correct in op jouw domein en monitoren wij actief op misbruikpogingen. Lees meer over onze email beveiliging voor bedrijven →
Wat als jouw domein al wordt misbruikt?
Als jouw domein al wordt gebruikt voor spoofing-aanvallen, is er geen tijd te verliezen. Elke dag dat jouw domein onbeveiligd is, kunnen er nieuwe slachtoffers vallen, met jouw naam als afzender.
Stap 1: Controleer jouw huidige configuratie. Gebruik een gratis tool zoals MXToolbox of mail-tester.com om te checken of SPF, DKIM en DMARC al zijn ingesteld op jouw domein en of de configuratie correct is.
Stap 2: Stel DMARC in op monitoring. Zelfs een DMARC-instelling op p=none, alleen monitoren, nog niet blokkeren, geeft je direct inzicht in hoeveel e-mails er worden verstuurd uit naam van jouw domein en via welke servers.
Stap 3: Schakel over naar een strikt beleid. Zodra de configuratie stabiel is en alle legitieme verzendkanalen zijn opgenomen, stel je DMARC in op p=reject, nep-e-mails worden dan direct geweigerd door ontvangende servers.
Stap 4: Informeer betrokkenen. Als klanten al nep-e-mails hebben ontvangen uit jouw naam, informeer hen dan actief. Laat weten dat het misbruik is gesignaleerd en opgelost. Dat is transparant, en het beschermt jouw reputatie.
Dit traject correct uitvoeren vereist technische kennis. Een fout in de SPF- of DKIM-configuratie kan ertoe leiden dat jouw eigen e-mails niet meer aankomen. Wij raden aan dit door een specialist te laten doen.
