Syv av ti e-postdomener hos norske virksomheter kan misbrukes

Ville du ha latt deg lure av en e-post fra politiet eller banken din? Svært mange norske virksomheter har ikke sikret seg mot at andre kan sende e-post fra deres adresser.

Mange har lært seg å sjekke om e-postadressen er riktig. Slik kan de avsløre forsøk på svindel – såkalt phishingphishingPhishing, på norsk også kalt nettfisking, er digital snoking eller «fisking» etter sensitiv informasjon, som passord eller kredittkortnummer. Det sendes e-poster som tilsynelatende kommer fra en betrodd kilde, som ber mottaker oppgi sensitiv informasjon, som passord eller kredittkortnummer.. Men en dag får du en e-post hvor det er tydelig at du må handle raskt. Hvis ikke kan det få store konsekvenser. Du sjekker avsenderadressen. Den er faktisk fra domenetdomenetOgså kjent som en nettadresse. til virksomheten som avsender hevder å være fra. Det er en virksomhet du stoler på.

• Du får en e-post, tilsynelatende fra banken din, som ber deg logge deg inn på nettbanken. Angriperen kan lage en nettside som er helt lik nettbanken. Hvis du logger inn der, kan svindleren logge inn som deg etterpå. Selv tofaktorkode kan fanges opp.
• Det ser ut som om et sykehus sender deg en e-post og ber deg logge inn for å sjekke personopplysninger.
• Det ser ut som et politisk parti sender ut informasjon rett før et valg. Men avsenderadressen er misbrukt, og informasjonen er falsk.
• Du får en e-post som ser ut som om den er fra politiet. Det står at du er mistenkt for en alvorlig forbrytelse. Du blir bedt om å logge inn på en nettside for å sjekke status på saken.

Hvor stor er risikoen for at du blir lurt da?

Mange virksomheter har domener som kan misbrukes

IT-sikkerhetsfirmaet Netsecurity har undersøkt hvor flinke norske virksomheter er til å hindre at deres domener kan misbrukes. Resultatet er nedslående.

Syv av ti domener er ikke sikret. Det betyr at svindlere og andre med dårlige hensikter kan sende ut e-poster som tilsynelatende er sendt fra en anerkjent virksomhets adresse.

Resultatene varierer selvsagt fra bransje til bransje. Sykehusene kom best ut av det. Med tanke på hvor sensitive helseopplysninger er, høres det betryggende ut. Men tre av ti sykehus hadde domener som kunne utnyttes.

Det er mer oppsiktsvekkende at ni av ti domener knyttet til politi, forsvar og sikkerhet kan misbrukes. Og syv av ti banker.

– Det var ikke helt uventet at tallene var høye. Det som kanskje overrasket meg mest, var tallene for banker og politi. Når det gjelder politi, var tallene veldig høye med tanke på at det er de som skal beskytte det norske folk mot kriminelle, sier Jarle Børven.

Han jobber som såkalt etisk hacker hos Netsecurity.

En bekymret etisk hacker

Børven blir leid inn av kunder for å simulere at han er en hacker. Han prøver å finne sikkerhetshull i IT-systemer og sørger for at hullene han finner, blir tettet.

– Rundt 90 prosent av alle dataangrep har noe med e-post å gjøre, påpeker dataeksperten.

Børven bestemte seg for å se på alle sektorer som har stor betydning for folk. Han har brukt offentlige registre for å finne domener som er tilknyttet de ulike virksomhetene. Så har han analysert oppsettet deres for e-post.

– Når du skriver «aftenposten.no» i en nettleser, så er det noe som heter DNS (se faktaboks) som sender deg til riktig IP-adresse. Dette setter virksomhetene gjerne opp selv, forklarer han.

I dette oppsettet er det mulig å sette opp e-postsikkerhet. Dette oppsettet ligger åpent ute og kan sjekkes av hvem som helst. Også aktører med dårlige hensikter.

Riktig oppsett vil stanse utnyttelse

Oppsettet av DMARC kan i praksis sikre domener og virksomheter mot misbruk. Det er dette Jarle Børven og Netsecurity har sjekket.

– Alle virksomheter i Norge, fra enkeltpersonforetak til store konserner, bruker e-post hver dag. Derfor er det så viktig å sette opp dette riktig, understreker han.

Og det er ikke så veldig vanskelig heller, ifølge eksperten.

– Misbruk av e-post skader renommeet

Misbruk av e-postadresser kan være svært skadelig for virksomheten som blir utnyttet.

– Først og fremst snakker vi om tap av renommé. De viser at de gir andre mulighet til å opptre på vegne av dem.

Det sier Jan Søgaard, som er administrerende direktør i Netsecurity.

– Det er et ledelsesproblem. Man forstår ikke sitt eget risikobilde. Det er rart at vi ikke har sett flere søksmål mot ledere eller eiere i forbindelse med dataangrep. Det vil trolig skje, sier Søgaard.

Fagdirektør John Bothner i Nasjonal sikkerhetsmyndighet (NSM) skriver til Aftenposten:

«Vi er positive til at it-sikkerhetsleverandører belyser slike funn. Generelt trenger vi mer synlighet både rundt svakheter og trusler vi står overfor, men også økt oppmerksomhet rundt tiltak virksomheter kan gjøre for å sikre seg bedre.

Når det gjelder denne saken, stiller vi oss bak at flere virksomheter tar i bruk DMARC, SPF og DKIM. Dette kan redusere problemet med falske avsender-e-postadresser. Ingen virksomheter ønsker at uvedkommende skal utgi seg for å være dem, noe disse mekanismene bidrar til.»