Sådan virker det
En mail har to afsendere. Den ene står i konvolutten og bruges af mailserverne til at sende mailen videre. Den anden står i brevhovedet og er den, modtageren ser i Outlook eller Gmail. Ingen af dem bliver kontrolleret, når mailen sendes. Enhver, der har adgang til en mailserver, kan skrive faktura@jeresdomæne.dk i feltet “Fra”.
Det er lige så nemt som at skrive en falsk afsender på en konvolut. Modtageren kan ikke se forskel, og det kan modtagerens mailserver heller ikke, medmindre jeres domæne fortæller den, hvad der er ægte. Det er det, SPF, DKIM og DMARC gør. SPF lister de servere, der må sende for jer. DKIM sætter en digital signatur på jeres mails. DMARC binder de to sammen med den adresse, modtageren faktisk ser, og siger, hvad der skal ske med de mails, der ikke består.
Uden DMARC, eller med DMARC på p=none, gætter modtagerens spamfilter. Nogle falske mails ender i spam. Mange lander i indbakken.
Det kaldes også email spoofing, mailspoofing eller domænespoofing. Det er samme fænomen.
Tre former, der ligner hinanden
Jeres præcise domæne. Mailen kommer fra økonomi@jeresdomæne.dk, men er sendt af en anden. Det er den form, DMARC på p=reject stopper helt, fordi modtagerens server afviser mailen, før den lander.
Et lignende domæne. Mailen kommer fra jeresdomaene.dk, jeres-domæne.com eller et domæne, hvor et o er skiftet ud med et 0. Det er ikke spoofing af jeres domæne, men af jeres navn. Jeres DMARC kan ikke hjælpe, fordi domænet tilhører svindleren. Her hjælper det at registrere de mest oplagte varianter selv og holde øje med nye registreringer.
Kun visningsnavnet. Mailen viser “Mette Hansen, Økonomi”, men adressen bag er en tilfældig Gmail-konto. På en mobil ser man ofte kun navnet. Det fanges af procedurer og af en markering på mails udefra, ikke af DMARC.
Den sidste form er tæt på CEO-fraud, og alle tre bruges til phishing mod jeres kunder.
Hvordan opdager I det?
De falske mails sendes til andre, så I opdager det sjældent selv. Typisk sker det på en af tre måder:
- En kunde ringer og spørger, om I virkelig har skiftet kontonummer.
- I får fejlmeldinger om “mail kunne ikke leveres” for mails, I aldrig har sendt.
- DMARC-rapporterne viser det. Når DMARC er sat op med rapportering, sender Google, Microsoft og andre store modtagere hver dag en oversigt over alle mails, der påstod at komme fra jeres domæne, og hvilke servere de kom fra. Ukendte servere, der sender i jeres navn, står der sort på hvidt.
Rapporterne er den eneste af de tre, der virker, før skaden er sket. Vil I se, hvordan jeres domæne står i dag, kan I køre vores gratis DMARC-tjek.