Meer dan een kwart van de grotere organisaties in Nederland, België en Luxemburg heeft de beveiliging van uitgaande e-mail nog altijd onvoldoende op orde. Daardoor kunnen kwaadwillenden relatief eenvoudig berichten versturen die ogenschijnlijk afkomstig zijn van het bedrijfsdomein. Dat blijkt uit onderzoek naar de openbare e-mailbeveiliging van 333 organisaties in de Benelux.
Van de 309 onderzochte organisaties die daadwerkelijk e-mail ontvangen, heeft 26,9 procent geen afgedwongen DMARC-beleid. Hierdoor kan een fraudeur in theorie een bericht versturen vanaf een adres dat lijkt op bijvoorbeeld finance@bedrijfsnaam.nl, waarna dat bericht bij klanten of leveranciers kan worden afgeleverd alsof het authentiek is.
E-mailspoofing
Juist dat soort domeinmisbruik vormt vaak de basis voor phishing, factuurfraude en andere vormen van zakelijke e-mailfraude. Een ontvanger ziet immers het bekende bedrijfsdomein en heeft daardoor minder aanleiding om aan de afzender te twijfelen.
Opvallend is dat kleinere organisaties binnen de onderzochte groep kwetsbaarder blijken dan grotere bedrijven. De onderzoekers constateren bovendien dat slechts 3,9 procent van de onderzochte organisaties versleutelde aflevering van inkomende e-mail afdwingt.
DMARC als eerste verdedigingslinie
DMARC werkt samen met de technieken SPF en DKIM. SPF bepaalt welke mailservers namens een domein berichten mogen versturen, terwijl DKIM e-mails van een digitale handtekening voorziet. DMARC koppelt beide technieken aan beleid en kan mailservers instrueren verdachte of vervalste berichten te weigeren.
Volgens de onderzoekers zijn deze maatregelen relatief eenvoudig te implementeren. In veel gevallen gaat het om wijzigingen in DNS-records die gefaseerd kunnen worden ingevoerd. Daarbij kan eerst worden gemonitord welke systemen namens een organisatie e-mail versturen, voordat strengere blokkades worden ingesteld.
Voor bedrijven is dat relevant omdat e-mail nog altijd een van de belangrijkste toegangspunten voor cybercriminelen vormt. Zeker bij factuurfraude kan een overtuigend nagemaakt afzenderadres grote financiële gevolgen hebben.
NIS2 vergroot druk op organisaties
De onderzoekers leggen ook een verband met NIS2. Die Europese cybersecurityrichtlijn stelt strengere eisen aan organisaties rond onder meer beveiligde communicatie, risicobeheer en basale cyberhygiëne.
Hoewel niet iedere onderzochte organisatie automatisch onder NIS2 valt, neemt de zakelijke druk om aantoonbaar maatregelen te treffen wel toe. Niet alleen toezichthouders, maar ook klanten, leveranciers en auditors vragen steeds vaker hoe organisaties hun digitale communicatie beschermen.
Daardoor wordt correcte configuratie van e-mailbeveiliging steeds minder een puur technische aangelegenheid. Het raakt ook compliance, leveranciersmanagement en reputatierisico.
Voor het onderzoek zijn 333 organisaties geselecteerd met een hoofdkantoor in Nederland, België of Luxemburg, minimaal vijftig medewerkers en een officiële website in Wikidata. Van deze groep hadden 309 organisaties een actief MX-record en werden zij meegenomen in de e-mailstatistieken. De onderzoekers controleerden onder meer SPF, DKIM, DMARC, MTA-STS, TLS-RPT en DNSSEC. Daarnaast werden publieke websiteheaders onderzocht, waaronder HTTPS, HSTS en Content Security Policy.
Metingen
De metingen waren volledig passief. Alleen openbaar beschikbare DNS-records en websiteheaders werden geraadpleegd. Individuele bedrijfsresultaten worden niet gepubliceerd. De uitkomsten laten vooral zien dat basale e-mailbeveiliging bij een aanzienlijk deel van grotere Benelux-organisaties nog steeds niet volledig is afgedwongen. Juist omdat de technische maatregelen relatief goedkoop en snel te implementeren zijn, blijft dat een opvallende kwetsbaarheid.