E-mail spoofing
Wat is e-mail spoofing?
E-mail spoofing is het vervalsen van het afzenderadres van een bericht, zodat het lijkt alsof het van iemand anders komt. Bij spoofing van jouw domein lijkt een bericht van [email protected] te komen, terwijl iemand anders het heeft verstuurd.
Dat kan omdat het oorspronkelijke e-mailprotocol, SMTP, niet controleert of de afzender het adres mag gebruiken. Een verzender kan in het bericht vrijwel elk adres invullen. Daarom is spoofing een veelgebruikte techniek bij phishing en valse facturen.
Welke vormen van vervalsing zijn er?
- Het zichtbare afzenderadres is nep. De lezer ziet het adres in zijn mailprogramma, maar het klopt niet met de werkelijke verzender.
- Het technische afzenderadres klopt niet met het zichtbare adres. Ontvangers zien dat alleen als ze de headers van het bericht bekijken.
- Een gekaapt account: de aanvaller stuurt via een account dat echt van iemand is. Dan kloppen de technische controles wel.
De eerste twee vallen precies onder wat SPF, DKIM en DMARC proberen te voorkomen. Tegen gekaapte accounts helpt vooral goed beheer van je eigen mailaccounts.
Hoe voorkomen SPF, DKIM en DMARC spoofing?
SPF laat een ontvanger controleren of de verzendende server voor jouw domein mag versturen. DKIM toont aan dat een bericht door jou is ondertekend en onderweg niet is gewijzigd. DMARC koppelt beide aan het zichtbare afzenderadres en vertelt de ontvanger wat te doen bij een mislukking.
Zonder DMARC controleert een ontvanger SPF en DKIM wel, maar bepaalt hij zelf hoe streng hij is. Met een DMARC-beleid van quarantine of reject bepaal jij dat. Hoe je het beleid kiest, lees je in het artikel over DMARC.
Wat merk je als jouw domein gespoofd wordt?
Vaak merk je het niet direct. Signalen zijn bounce-berichten over mail die je nooit hebt verstuurd, meldingen van klanten die mail van jou ontvingen die ze niet herkennen, of een DMARC-rapport met onbekende bronnen. Hoe je zo’n rapport leest, staat in het artikel over DMARC-rapporten.
Herken je zo’n melding, controleer dan eerst je eigen SPF- en DKIM-instellingen en of je DMARC-beleid staat zoals bedoeld. In de headers van een bericht zie je waar het vandaan kwam. Hoe je die leest, staat in het artikel over e-mailheaders.
Veelgestelde vragen
Kan iemand mijn domein zomaar nabootsen?
Technisch kan iedereen een nepadres invullen, dus in die zin wel. Of het ook de ontvanger misleidt, hangt af van je SPF-, DKIM- en DMARC-instellingen. Staat je DMARC-beleid op reject, dan worden vervalste berichten vaak geweigerd.
Is spoofing hetzelfde als hacken?
Niet per se. Bij spoofing wordt een afzenderadres vervalst, zonder dat iemand toegang tot jouw systemen hoeft te hebben. Bij een gekaapt account gaat het wel om toegang. De gevolgen lijken op elkaar, dus je beveiliging moet in beide gevallen op orde zijn.
Helpt een spamfilter tegen spoofing?
Deels. Een spamfilter kijkt ook naar authenticatie en reputatie, maar het blijft een inschatting. Met SPF, DKIM en DMARC stel jij zelf het beleid in en zorg je dat de controles kloppen. Een filter is daarbij een extra laag, geen vervanging.