Mailsikkerhed i forsvarsindustrien: så mange virksomheder kan misbruges som afsender

Tallene

Tallene dækker de virksomheder i målingen, hvis domæne modtager mail. De opdateres, når domænerne genscannes.

Tallene må bruges og citeres med kildeangivelsen “Kilde: Auroa (auroa.dk)”. Licens: CC BY 4.0. Materiale til presse.

Hvad det betyder for en virksomhed i forsvarsindustrien

Virksomheder i forsvars-, rum- og sikkerhedsbranchen udveksler mail med kunder, underleverandører og myndigheder om ordrer, tegninger, leverancer og betalinger. Branchen er et kendt mål for målrettet phishing og spionage, fordi viden og adgang er mere værd her end i de fleste andre brancher.

Når virksomhedens domæne ikke er beskyttet, kan en angriber sende mail, der ser ud til at komme fra virksomhedens egen adresse. Det kan fx være:

• En falsk ordre eller ændret leveringsadresse sendt til en underleverandør, så varer eller komponenter havner det forkerte sted.
• Nye betalingsoplysninger på en faktura, så en kunde betaler til en falsk konto.
• Et link til en falsk dokumentdeling, hvor en samarbejdspartner logger ind og afgiver sin adgangskode.
• En mail til egne medarbejdere, der ser ud til at komme fra ledelsen, og som beder om filer, adgang eller en hurtig overførsel.

Det kræver ingen adgang til virksomhedens systemer. Det er nok, at domænet ikke fortæller modtagerens mailserver, at forfalskede mails skal afvises.

Leverandørkæden

En stor del af branchen er underleverandører til større systemleverandører og til forsvaret. En falsk mail fra en underleverandørs domæne kan bruges som indgang til kunden. Derfor rækker et ubeskyttet domæne længere end til virksomheden selv.

Det skal virksomheden gøre

1. SPF: en liste over de servere, der må sende mail fra domænet, fx Microsoft 365 og de systemer, der sender ordrebekræftelser og fakturaer.
2. DKIM: en digital signatur på udgående mail, slået til både hos mailudbyderen og i de systemer, der sender på virksomhedens vegne.
3. DMARC med p=none: start med at overvåge. Rapporterne viser, hvem der sender mail i virksomhedens navn.
4. Stram op til p=quarantine og derefter p=reject, når alle legitime afsendere er på plads. Først her bliver forfalskede mails afvist.

Mange stopper ved p=none. Så er DMARC sat op, men forfalskede mails bliver stadig leveret. Læs mere om DMARC.

Et råd mere, som ikke er teknisk: aftal med kunder og underleverandører, at ændringer af kontonummer, leveringsadresse eller tegningsgrundlag aldrig sker alene pr. mail.

Sådan har vi målt

Grundlaget er medlemmerne af brancheforeningen DI Forsvar og Sikkerhed og klyngen CenSec. Målingen dækker kernen af branchen: forsvars- og sikkerhedsproducenter, rumfart, industrielle underleverandører og IT- og cybervirksomheder. Rådgivere, advokater, revisorer, investorer, uddannelsesinstitutioner og organisationer, der også er medlemmer, indgår ikke.

For hver virksomhed er domænet fundet på hjemmesiden, i CVR eller på kontaktsiden, og hvert domæne modtager mail. Virksomheder uden eget maildomæne indgår ikke. Enkelte virksomheder, der også indgår i en anden af vores målinger, tælles dér.

Vi har slået de offentlige DNS-poster (MX, SPF, DKIM og DMARC) op for 292 virksomheder. Vi har ikke logget ind nogen steder og ikke sendt mail til virksomhederne. Definitionerne af fuldt, delvist og ikke beskyttet er de samme som i målingen af mailsikkerhed i Danmark.

Vi nævner ikke enkelte virksomheder. En virksomhed, der vil kende sit eget resultat, kan køre DMARC-tjekket nedenfor. Journalister finder nøgletal og kontakt i presserummet.