Indeholder illustrationer skabt med AI
En falsk e-mail fra jeres eget domæne kan skade tilliden på få minutter. Derfor er beskyttelse mod falske emails ikke kun en teknisk detalje, men en del af virksomhedens daglige sikkerhed.
Når kunder, leverandører eller medarbejdere modtager en troværdig falsk besked, kan den føre til svindel, lækkede login-oplysninger eller forkerte bankoverførsler. Et domæne uden beskyttelse mod falske emails er let at misbruge, også selv om ingen har brudt ind i jeres mailkonto.
Heldigvis kan I mindske risikoen markant med en overskuelig kombination af domæneindstillinger, adgangskontrol og faste arbejdsgange.
Falske afsendere misbruger jeres navn
En angriber behøver ikke adgang til jeres systemer for at sende en e-mail, der ser ud til at komme fra virksomheden. Det er nok at skrive jeres domæne i feltet “Fra”. Modtageren ser måske [email protected] og antager, at beskeden er ægte.
Det kaldes spoofing. Metoden bruges ofte til falske fakturaer, ændrede kontooplysninger og beskeder, der beder medarbejdere logge ind på en kopi af Microsoft 365.
Domænet er en del af virksomhedens troværdighed
For kunder er afsenderadressen et tegn på, at en besked er legitim. Derfor kan misbrug af domænet ramme mere end den enkelte modtager. Det kan også skabe ekstra arbejde for økonomiafdelingen og skade relationen til kunder, som bliver snydt i jeres navn.
Angribere vælger ofte mindre og mellemstore virksomheder, fordi e-mailopsætningen ikke altid bliver gennemgået efter den første etablering. Et domæne kan have været i drift i årevis, mens nye systemer, nyhedsbreve og eksterne leverandører er kommet til undervejs.
En e-mail kan godt ligne en besked fra jeres domæne, selv om den aldrig har passeret jeres mailsystem.
Derfor skal modtagernes mailsystem kunne kontrollere, hvilke tjenester der faktisk må sende på vegne af jer.
Kortlæg alle tjenester, der sender e-mail
Før I ændrer DNS-poster, skal I kende alle steder, hvor virksomheden sender e-mail fra sit domæne. Det gælder ikke kun medarbejdernes postkasser.
En glemt afsender kan betyde, at ordrebekræftelser, lønsedler eller mails fra kontaktformularen pludselig lander i spam. Derfor bør I samle oplysningerne, før I strammer reglerne.
Lav en enkel oversigt over afsendere
Gennemgå typisk disse områder:
- Microsoft 365 eller Google Workspace, hvor medarbejdernes almindelige e-mails sendes fra.
- Hjemmeside, webshop og kontaktformularer, som sender kvitteringer og henvendelser.
- Regnskabs-, løn- og CRM-systemer, der udsender fakturaer, påmindelser eller kampagner.
- Nyhedsbrevstjenester og bookingsystemer, hvis de bruger virksomhedens domæne som afsender.
- Printere, overvågning, adgangskontrol eller servere, der sender driftsalarmer.
Notér både systemets navn, kontaktperson og den afsenderadresse, det bruger. I får brug for oversigten, når SPF, DKIM og DMARC sættes op.
Det er også et godt tidspunkt at fjerne gamle værktøjer. Hvis en tidligere leverandør stadig må sende på jeres vegne, er det en unødig åbning.
Sådan virker beskyttelse mod falske emails
Tre standarder arbejder sammen: SPF, DKIM og DMARC. De ligger i DNS, som er domænets offentlige opslagsværk. Når de er sat korrekt op, kan modtagersystemet vurdere, om en e-mail må bruge jeres domæne.
Cloudflares forklaring af SPF, DKIM og DMARC giver et godt teknisk overblik over samspillet. Den korte version er, at SPF angiver godkendte afsendere, DKIM underskriver e-mails, og DMARC fortæller modtageren, hvad der skal ske ved fejl.
SPF begrænser, hvem der må sende
SPF står for Sender Policy Framework. Det er en TXT-post i DNS, som oplister de mailservere og tjenester, der må sende fra domænet.
Bruger I Microsoft 365, skal Microsofts mailservere fremgå af SPF-posten. Hvis jeres webshop eller nyhedsbrevstjeneste også sender fra domænet, skal de med på samme post. Der må kun være én SPF-post pr. domæne eller subdomæne, så flere eksisterende poster skal samles korrekt.
En SPF-post alene stopper ikke alle falske e-mails. Den er dog et nødvendigt grundlag for næste lag.
DKIM viser, at indholdet ikke er ændret
DKIM står for DomainKeys Identified Mail. Her tilføjer mailsystemet en digital signatur til hver besked. Modtagerens system tjekker derefter signaturen mod en offentlig nøgle i DNS.
Microsoft 365 bruger normalt to CNAME-poster til DKIM for hvert brugerdefineret domæne. Begge skal oprettes, før DKIM kan aktiveres.
DKIM beskytter også mod, at nogen ændrer dele af e-mailen undervejs. Hvis en falsk afsender ikke kan oprette en gyldig signatur, får DMARC et tydeligt signal om, at beskeden ikke skal have tillid.
DMARC bestemmer, hvordan fejl håndteres
DMARC samler SPF og DKIM. Samtidig kontrollerer DMARC, om det godkendte domæne matcher den synlige afsenderadresse. Det kaldes alignment og er afgørende, når nogen forsøger at udgive sig for at være jer.
Den australske cybermyndighed beskriver i sin vejledning om falske e-mails, hvordan SPF, DKIM og DMARC kan beskytte organisationers domæner mod efterligning.
Start med rapportering, ikke afvisning
Mange starter med en DMARC-politik, der kun indsamler rapporter. Politikken kaldes ofte p=none. Den fortæller jer, hvilke systemer der sender e-mail på vegne af domænet, og om de består kontrollerne.
Rapporterne kan være svære at læse, fordi de kommer som XML-filer fra mange modtagersystemer. Derfor vælger flere virksomheder et værktøj til DMARC-rapportering eller får en IT-partner til at gennemgå dataene.
I denne fase opdager I ofte afsendere, som ingen længere ejer ansvaret for. Det er langt bedre at finde dem i en rapport end gennem utilfredse kunder.
Skift derefter til karantæne eller afvisning
Når alle legitime afsendere består SPF og DKIM, kan I skærpe DMARC. En karantænepolitik sender mistænkelige e-mails til spam. En afvisningspolitik beder modtagersystemet om at afvise dem helt.
| DMARC-politik | Hvad sker der ved fejl? | Hvornår passer den? |
|---|---|---|
p=none | E-mailen leveres, men I modtager rapporter | Under kortlægning og test |
p=quarantine | E-mailen behandles som mistænkelig | Når de fleste afsendere er på plads |
p=reject | E-mailen afvises | Når opsætningen er dokumenteret og stabil |
Målet er normalt p=reject, men det giver kun mening, når virksomheden har styr på alle godkendte afsendere. Ciscos gennemgang af DMARC beskriver også, hvorfor SPF og DKIM bør være klar før den endelige politik aktiveres.
Beskyt mailkonti, ikke kun domænet
DMARC stopper forfalskning af afsenderdomænet. Det forhindrer ikke, at en medarbejders rigtige konto bliver overtaget efter en falsk login-side eller en genbrugt adgangskode.
Derfor skal domænebeskyttelse følges af god kontosikkerhed. Multifaktor-login, MFA, bør være aktivt på alle mailkonti, især administratorer, økonomi og ledelse.
Gør det svært at misbruge en stjålet adgangskode
Med MFA kan en angriber ikke logge ind alene med en lækket adgangskode. Brug helst en godkendelsesapp eller en fysisk sikkerhedsnøgle frem for SMS, når systemet giver mulighed for det.
Microsoft Entra Conditional Access kan stille ekstra krav ved usædvanlige loginforsøg, eksempelvis fra ukendte lande eller enheder. Det er særligt relevant, hvis medarbejdere bruger private computere eller arbejder hjemmefra. Conditional Access i Microsoft Entra kan hjælpe med at indføre reglerne uden at gøre hverdagen besværlig.
Undgå delte postkasser med fælles adgangskoder. Giv i stedet hver medarbejder sin egen konto og de rettigheder, arbejdet kræver.
Lav en fast kontrol ved betalinger
Mange falske e-mails prøver at få økonomiafdelingen til at ændre en leverandørs bankkonto. SPF, DKIM og DMARC reducerer risikoen, men en godkendt konto kan stadig blive misbrugt.
Indfør derfor en enkel regel: Ændringer af betalingsoplysninger skal bekræftes via telefonnummeret i virksomhedens eget leverandørregister. Brug aldrig nummeret fra den e-mail, der beder om ændringen.
Medarbejdere skal også vide, hvor de videresender mistænkelige beskeder. En fælles indbakke eller en tydelig kontaktperson gør reaktionen hurtigere.
Drift, netværk og backup hører med
Mailen står ikke alene. Et kompromitteret login kan give adgang til filer, kundedata og interne systemer, hvis brugeren har for brede rettigheder eller arbejder fra en dårligt beskyttet enhed.
Adskil gæstenetværk fra medarbejdernes netværk. Opdatér routere og trådløse adgangspunkter. Begræns samtidig administratorrettigheder, så almindelige brugere ikke kan installere programmer eller ændre sikkerhedsindstillinger.
Test, om I kan gendanne data
OneDrive og SharePoint er gode samarbejdsværktøjer, men synkronisering er ikke det samme som en selvstændig backup. Hvis ransomware krypterer eller sletter filer, kan ændringen også synkroniseres.
En separat backup skal kunne gendannes, og den skal testes med jævne mellemrum. MFA og backup som grundlag for bedre IT-sikkerhed er en praktisk påmindelse om, at sikkerhed først virker, når den også kan bruges under pres.
Gør e-mailsikkerhed til en fast rutine
Beskyttelse mod falske emails er ikke en engangsopgave. Nye systemer, marketingværktøjer og leverandører ændrer løbende, hvem der sender fra domænet.
Gennemgå derfor DMARC-rapporter mindst én gang om måneden. Tjek også efter ændringer i SPF-posten, udløbne domæner og gamle konti med administratorrettigheder.
Når en medarbejder fratræder, skal adgang fjernes samme dag. Når et nyt system skal udsende e-mails, skal det godkendes og dokumenteres, før det tages i brug.
Virksomheder med begrænsede interne ressourcer får ofte mest ud af en fast plan for drift, mail, adgang og backup. IT-support til virksomheder kan samle de praktiske kontroller, så sikkerheden ikke afhænger af, hvem der tilfældigvis har tid.
En troværdig afsenderadresse kræver vedligeholdelse
SPF, DKIM og DMARC gør det langt sværere at sende falske e-mails i jeres navn. Kombineret med MFA, faste betalingskontroller og testet backup beskytter de både kunder, medarbejdere og virksomhedens omdømme.
Den stærkeste beskyttelse mod falske emails kommer af at holde styr på både domænet og de mennesker, systemer og enheder, der bruger det. Når indstillinger og rutiner følges op løbende, bliver en falsk afsender langt lettere at stoppe.
