Situationen
Kunder ringede og spurgte, om virksomheden havde sendt en mail med et link til en “faktura”. Det havde de ikke. Nogen sendte phishing med virksomhedens domæne som synlig afsender, og modtagerne kunne ikke se forskel. Samtidig havde virksomheden i månedsvis haft problemer med, at deres egne tilbud endte i spam hos kunderne, uden at nogen havde koblet de to ting sammen.
It-leverandøren mente, at der var “styr på mail”. Det var der også, inde i systemet. Problemet lå uden for det, i de DNS-records, der fortæller resten af verden, hvem der må sende som virksomheden.
Hvad vi fandt
Vi startede med det, enhver kan se udefra: domænets SPF-, DKIM- og DMARC-records. DMARC stod på p=none, altså overvågning uden virkning, og uden rapportadresse, så ingen havde nogensinde set, hvem der sendte i deres navn. SPF-recorden henviste til en tidligere nyhedsbrevsplatform, som ikke længere fandtes; henvisningen svarede ikke, og det gjorde hele SPF-kontrollen usikker. Det var det, der sendte deres egne mails i spam.
Tilsammen betød det, at hvem som helst kunne sende som virksomheden, og at modtagernes mailservere ikke havde nogen instruks om at afvise det.
Hvad vi gjorde
Vi kortlagde alle systemer, der faktisk sendte mail for virksomheden: Microsoft 365, økonomisystemet og et supportværktøj. SPF blev skrevet om med kun de tre og med hard fail på resten; den døde henvisning blev fjernet. DKIM blev slået til på alle tre kilder med 2048-bit nøgler. DMARC blev sat op med rapportering til os, strict alignment og p=quarantine på 100 % af mailstrømmen, fordi rapporterne efter to uger viste, at alle tre afsendere bestod.
Alle ændringer blev lagt ind sammen med it-leverandøren, testet med leveringstests til Gmail, Outlook og en dansk udbyder, og dokumenteret i en kort hændelsesrapport, som virksomheden kunne vise sine kunder.
Resultatet
Phishing i virksomhedens navn stoppede, fordi modtagerne nu afviser eller sætter det i karantæne. Deres egne mails kommer frem; klagerne over spam forsvandt inden for den første uge efter rettelsen. Rapporterne viser ingen ukendte afsendere. Næste skridt, som vi følger via E-mail Skjold, er p=reject, når rapporterne har været rene i endnu en måned.
