Noen sender e-post i firmaets navn. Slik stopper du det

En kunde ringer og spør hvorfor dere har endret kontonummer. Dere har ikke sendt noen slik e-post. Likevel står firmanavnet deres som avsender.

Før du gjør noe som helst, må du finne ut hvilken av to helt forskjellige situasjoner du står i. De krever motsatt hastverk og helt ulike tiltak.

To situasjoner som ser like ut utenfra

Forfalsket avsender. Noen sender e-post fra sine egne servere og skriver deres adresse i Fra-feltet. De har ingen tilgang til noe hos dere. Dette er det vanligste, og det er irriterende, men ikke akutt for deres egne systemer.

Kapret konto. Noen har kommet seg inn i en faktisk e-postkonto hos dere og sender derfra. Dette er alvorlig og haster. Angriperen leser samtidig all e-post i den postkassen.

Slik finner du ut hvilken det er

• Se i Sendte elementer på kontoen det gjelder. Ligger meldingen der, er kontoen kapret.
• Sjekk påloggingshistorikken. I Microsoft 365 ser du innlogginger per bruker. Pålogginger fra land dere ikke opererer i er et tydelig tegn.
• Se etter nye regler i postkassen. Et klassisk grep er å lage en regel som flytter svar rett i slettede elementer, så brukeren ikke oppdager noe.
• Be om den originale e-posten fra kunden, som vedlegg. Topptekstene viser hvilken server som faktisk sendte den.

Er kontoen kapret: gjør dette først

1. Bytt passord på kontoen, og logg ut alle aktive økter. Bare passordbytte er ikke nok, en aktiv økt overlever det.
2. Slå på tofaktorautentisering. Uten dette gjentar det seg.
3. Se gjennom regler, videresendinger og tilknyttede apper i postkassen, og fjern det du ikke kjenner igjen.
4. Varsle de som har fått e-post fra kontoen i perioden.
5. Er det bedt om betaling til et nytt kontonummer, kontakt banken umiddelbart.

Er avsenderen forfalsket: DMARC er løsningen

Her finnes det en reell teknisk løsning. Med en DMARC-policy satt til reject, sammen med DKIM og SPF, ber du mottakernes e-postsystemer om å avvise meldinger som utgir seg for å komme fra deg uten å kunne dokumentere det.

Det virker, og det virker hos alle de store mottakerne. Men du kan ikke hoppe rett dit: slår du på reject før du har kartlagt alt som sender e-post i ditt navn, forsvinner dine egne fakturaer og nyhetsbrev først. Fremgangsmåten står i DMARC, DKIM og SPF forklart på norsk.

Der DMARC ikke hjelper: domener som ligner

Dette er verdt å forstå, fordi det er en vanlig skuffelse etter at DMARC er på plass.

DMARC beskytter ditt domene. Registrerer noen et domene som bare ligner, for eksempel med rn i stedet for m, eller .co i stedet for .no, er det deres domene. De kan sette opp helt korrekt DKIM og SPF på det, og e-posten består alle kontroller. Den er teknisk sett ekte, bare fra noen andre.

Mot dette hjelper andre ting: at ansatte vet at kontonummerendringer alltid bekreftes per telefon, at dere har en fast rutine for betalingsendringer, og at dere eventuelt registrerer de nærmeste skrivefeilvariantene av eget domene selv.

Hva du bør si til kundene

Vær tidlig ute og konkret. En kort melding om at det sirkulerer e-post i deres navn, at dere aldri endrer kontonummer per e-post, og at tvilstilfeller skal bekreftes på telefon, er verdt mer enn en lang teknisk forklaring.

Mistenker du at en konto er kapret akkurat nå, bør du ikke vente på en e-post tilbake. Ring oss, eller les mer om hva vi gjør innen IT-sikkerhet.