Het begint met een telefoontje van een vaste klant. Hij vraagt of de factuur die hij gisteren per e-mail ontving klopt want het rekeningnummer is anders dan normaal. Jij hebt geen factuur gestuurd.
Of het begint met een boze reactie op social media. Een volger meldt dat hij een phishingmail heeft ontvangen die afkomstig lijkt van jouw bedrijf. Zijn antivirusprogramma heeft hem op het laatste moment gewaarschuwd.
Of het begint helemaal niet omdat jij het nooit te weten komt. Terwijl criminelen wekenlang e-mails versturen uit naam van jouw bedrijf, naar klanten, leveranciers en willekeurige ontvangers. Jij weet van niets.
Dit is de realiteit van een onbeveiligd e-maildomein. En het kan jouw bedrijf vandaag al overkomen.
Hoe is het mogelijk dat iemand e-mails verstuurt uit jouw naam?
De meeste ondernemers reageren ongelovig als ze dit horen. “Maar ik heb een wachtwoord op mijn e-mailaccount. Hoe kan iemand dan e-mails versturen uit mijn naam?”
Het antwoord is ontnuchterend: een crimineel heeft jouw wachtwoord helemaal niet nodig.
E-mail werkt via een protocol, SMTP, dat van origine niet controleert of de afzender ook echt de eigenaar is van het opgegeven adres. Het afzenderveld in een e-mail is vrij in te vullen. Vergelijk het met een ansichtkaart: jij kunt een willekeurig retouradres op de achterkant schrijven, en de postbode controleert dat niet.
Met vrij beschikbare software kan iedereen een e-mail versturen die er in de inbox van de ontvanger precies zo uitziet alsof hij van info@jouwnaam.nl komt zonder ooit toegang te hebben gehad tot jouw account, jouw server of jouw wachtwoord.
Dat is geen theoretisch risico. Het is een technische realiteit die elke dag wordt misbruikt, ook bij kleine bedrijven, ook bij bedrijven zonder grote naamsbekendheid.
Waarom is jouw bedrijf een interessant doelwit?
Grote merken worden vaker misbruikt voor phishing, ING, PostNL, de Belastingdienst omdat ontvangers die namen herkennen en vertrouwen. Maar criminelen richten zich steeds vaker ook op kleinere bedrijven. Drie redenen.
Jouw relaties vertrouwen jou. Een klant die al jaren zaken doet met jouw boekhoudkantoor, jouw installatiebedrijf of jouw webshop, heeft geen reden om te twijfelen aan een e-mail met jouw naam erop. Dat vertrouwen is precies wat criminelen exploiteren.
Kleine bedrijven zijn minder beveiligd. Grote organisaties hebben DMARC al jaren op p=reject staan. Kleine bedrijven vaak niet of helemaal niet. Een crimineel die op zoek is naar een misbruikbaar domein, scant automatisch op ontbrekende of zwakke configuraties. Een onbeveiligd domein is een open uitnodiging.
De schade is direct. Eén succesvolle nep-factuur richting een klant, met een gewijzigd rekeningnummer, kan duizenden euro’s opleveren voor de crimineel. En duizenden euro’s schade, verlies van vertrouwen en reputatieschade voor jou.
Wat doen criminelen met jouw e-mailnaam?
De toepassingen variëren, maar het doel is altijd hetzelfde: misbruik maken van het vertrouwen dat ontvangers in jouw naam hebben.
Nep-facturen met gewijzigd rekeningnummer. Dit is de meest winstgevende toepassing. De crimineel stuurt een factuur die er precies uitziet als een echte van jou, zelfde opmaak, zelfde bedragen maar met een ander IBAN. Klanten die niet dubbel controleren, betalen zonder argwaan.
Phishing naar jouw klantenkring. Via jouw naam worden klanten verleid op een link te klikken, in te loggen op een nep-website of persoonlijke gegevens te delen. De ontvanger denkt een bericht van jou te ontvangen en vertrouwt de afzender blind.
Spamverzending op grote schaal. Sommige aanvallers gebruiken jouw domein simpelweg als dekmantel voor het versturen van grote hoeveelheden spam. Het voordeel voor hen: jouw domein heeft een reputatie. Spam die wordt verstuurd via een bestaand, actief domein komt makkelijker door spamfilters dan spam van een onbekend domein.
Malware verspreiden. Via een e-mail die afkomstig lijkt van jou, wordt een bijlage verstuurd met kwaadaardige software. Ontvangers die de bijlage openen omdat ze een bericht van jou vertrouwen, infecteren hun eigen computer.
Reputatieschade als doel. In zeldzamere gevallen is het doel puur schade aanrichten, aan jou of aan jouw klanten zonder direct financieel gewin. Dit komt voor bij rivaliteit of gerichte sabotage.
Wat zijn de gevolgen voor jouw bedrijf?
De schade van e-mailmisbruik reikt verder dan de directe financiële schade bij slachtoffers.
Verlies van klantvertrouwen. Een klant die opgelicht is via een e-mail met jouw naam, zal die ervaring niet snel vergeten. Ook al ben jij het slachtoffer en niet de dader, jouw naam staat eraan verbonden. Sommige klanten trekken die conclusie niet en haken af.
Reputatieschade die je niet ziet. Ontvangers die nep-e-mails krijgen met jouw naam, praten erover. Op social media, in hun netwerk, aan de telefoon. Jij hoort dat niet maar het effect is er wel.
Jouw eigen e-mails belanden in spam. Als jouw domein wordt misbruikt voor spamverzending, raken e-mailproviders het domein aan als onbetrouwbaar. Het gevolg: legitieme e-mails van jou, offertes, bestellingsbevestigingen, nieuwsbrieven, belanden steeds vaker in de spammap van ontvangers.
Meldplicht bij de Autoriteit Persoonsgegevens. Als bij het misbruik persoonsgegevens van klanten zijn betrokken, wat bij phishing-aanvallen via jouw naam bijna altijd het geval is, kan er sprake zijn van een datalek waarvoor jij als bedrijf een meldplicht hebt. Ook al ben jij technisch gezien het slachtoffer.
Juridische aansprakelijkheid. In toenemende mate worden bedrijven aangesproken op het onvoldoende beveiligen van hun e-maildomein als klanten daardoor schade lijden. De redenering: als de juiste technische maatregelen aanwezig waren geweest, had het misbruik niet kunnen plaatsvinden.
Hoe weet je of jouw domein nu al wordt misbruikt?
Dat is de meest ontnuchterende vraag want het eerlijke antwoord is: waarschijnlijk weet je het niet.
Tenzij een klant of relatie je waarschuwt, heb je zonder monitoring geen enkel zicht op wat er met jouw domeinnaam wordt gedaan. Criminelen sturen geen notificaties.
Er zijn twee manieren om inzicht te krijgen.
Gratis zelfcheck. Via tools zoals MXToolbox of DMARC Analyzer kun je controleren of jouw domein is beveiligd met SPF, DKIM en DMARC. Ontbreekt DMARC of staat het op p=none? Dan is jouw domein kwetsbaar en heb je geen zicht op misbruik.
DMARC-rapportages activeren. Zodra DMARC actief is, ook in monitormodus, sturen ontvangende mailservers automatisch rapporten. Daarin staat precies hoeveel e-mails er zijn verstuurd uit naam van jouw domein en via welke servers. Wij analyseren die rapportages voor je en vertalen ze naar een begrijpelijk overzicht.
Bij Orange Warriors bieden wij een gratis e-mailanalyse aan. Binnen 24 uur weet je of jouw domein kwetsbaar is en of er al misbruik plaatsvindt. Vraag de analyse hier aan →
Hoe stop je het?
De oplossing is technisch maar de uitvoering is eenvoudig, als je weet wat je doet. De drie protocollen die samen jouw e-maildomein beveiligen zijn SPF, DKIM en DMARC.
SPF legt vast welke mailservers e-mails mogen versturen namens jouw domein. Alle andere servers worden als verdacht gemarkeerd.
DKIM plaatst een digitale handtekening op elke e-mail die via jouw server wordt verstuurd. Die handtekening kan niet worden nagemaakt, ontvangende servers kunnen daarmee verifiëren dat een e-mail echt van jou komt.
DMARC verbindt SPF en DKIM en bepaalt wat er moet gebeuren met e-mails die de controle niet doorstaan. Met p=reject worden nep-e-mails direct geweigerd door ontvangende servers, ze bereiken de ontvanger nooit.
Het resultaat: criminelen kunnen technisch gezien nog steeds proberen e-mails te versturen uit naam van jouw bedrijf. Maar die e-mails worden automatisch geblokkeerd voordat ze aankomen. De aanval heeft geen effect meer.
Wil je de technische werking van elk protocol begrijpen? Lees onze uitleg over SPF, DKIM en DMARC →
Wat doe je als het misbruik al gaande is?
Als je ontdekt dat jouw domein al wordt misbruikt, zijn dit de stappen die je direct zet.
Informeer betrokken klanten actief. Wacht niet tot ze zelf contact opnemen. Stuur een duidelijk bericht, via een geverifieerd kanaal, dat jouw naam wordt misbruikt, dat de e-mails niet van jou afkomstig zijn en dat ze niets moeten klikken of betalen.
Implementeer DMARC op p=reject zo snel mogelijk. Dit stopt de aanval niet met terugwerkende kracht, maar voorkomt dat er nieuwe nep-e-mails aankomen bij ontvangers. Doe dit echter alleen nadat SPF en DKIM correct zijn geconfigureerd, anders blokkeer je ook jouw eigen e-mails.
Doe aangifte bij de politie. E-mailmisbruik en phishing zijn strafbaar. Aangifte geeft de politie de mogelijkheid om onderzoek te doen en draagt bij aan het bredere beeld van cybercriminaliteit in Nederland.
Meld het bij de Autoriteit Persoonsgegevens indien van toepassing. Als klantgegevens zijn gestolen of misbruikt via de nep-e-mails, geldt de meldplicht datalekken. Twijfel je of dit van toepassing is? Neem dan direct juridisch advies in.
Schakel een specialist in. De combinatie van technische implementatie, communicatie naar klanten en eventuele meldplicht is complex. Wij helpen je door dit proces. Neem direct contact op →
