Mailsikkerhed hos advokater: så mange firmaer kan misbruges som afsender

Tallene

Tallene dækker de advokatfirmaer i målingen, der modtager mail. De opdateres, når domænerne genscannes.

Hvad det betyder for et advokatfirma

Advokater sender mails, som modtagerne handler på: købesummer i bolighandler, deponeringer, forlig og klientafregninger. Mange af dem indeholder et kontonummer.

Når firmaets domæne ikke er beskyttet, kan en svindler sende mail, der ser ud til at komme fra firmaets egen adresse. Det kan fx være:

• Nye betalingsoplysninger i en bolighandel, så køberen overfører købesummen til svindlerens konto i stedet for til firmaets klientkonto.
• En falsk afregning eller et forlig sendt til en klient eller en modpart.
• Et link til en falsk dokumentdeling, hvor modtageren logger ind og afgiver sin adgangskode.
• En mail til firmaets egne medarbejdere, der ser ud til at komme fra en partner og beder om en hurtig overførsel.

Det kræver ingen adgang til firmaets systemer. Det er nok, at domænet ikke fortæller modtagerens mailserver, at forfalskede mails skal afvises.

Klientmidler og tillid

Penge på klientkonto tilhører klienten. Når en overførsel ender på en falsk konto, fordi mailen så ud til at komme fra firmaet, er det både klientens penge og firmaets troværdighed, der er på spil.

Advokater har tavshedspligt, og databeskyttelsesforordningens artikel 32 kræver passende sikkerhed, når der behandles personoplysninger. DMARC er ikke nævnt direkte nogen af stederne. Men et domæne, der kan misbruges som afsender, gør netop den svindel mulig, som klienterne forventer, at firmaet beskytter dem mod.

Det skal firmaet gøre

1. SPF: en liste over de servere, der må sende mail fra domænet, fx Microsoft 365 og de systemer, der sender fakturaer og dokumenter.
2. DKIM: en digital signatur på udgående mail, slået til både hos mailudbyderen og i de systemer, der sender på firmaets vegne.
3. DMARC med p=none: start med at overvåge. Rapporterne viser, hvem der sender mail i firmaets navn.
4. Stram op til p=quarantine og derefter p=reject, når alle legitime afsendere er på plads. Først her bliver forfalskede mails afvist.

Mange stopper ved p=none. Så er DMARC sat op, men forfalskede mails bliver stadig leveret. Læs mere om DMARC.

Et råd mere, som ikke er teknisk: aftal med klienterne, at firmaet aldrig ændrer kontonummer pr. mail, og skriv det i ordrebekræftelsen. Så har klienten en grund til at ringe, hvis det alligevel sker.

Sådan har vi målt

Vi har slået de offentlige DNS-poster (MX, SPF, DKIM og DMARC) op for 726 advokatfirmaer med mail. Vi har ikke logget ind nogen steder og ikke sendt mail til firmaerne. Definitionerne af fuldt, delvist og ikke beskyttet er de samme som i målingen af mailsikkerhed i Danmark.

Vi nævner ikke enkelte firmaer. Et firma, der vil kende sit eget resultat, kan køre DMARC-tjekket nedenfor. Journalister finder nøgletal og kontakt i presserummet.