Spoofing

Spoofing er forfalskning af en afsenderidentitet. Angriberen ændrer præcis det, modtageren bruger til at genkende afsenderen — en mailadresse, et telefonnummer, et domænenavn eller en netværksadresse — så beskeden ser ud til at komme et sted fra, den ikke kommer fra.

Spoofing er sjældent målet i sig selv. Det er transportmidlet til phishing, bedrageri og malware, og det virker, fordi vurderingen af en besked næsten altid hviler på afsenderfeltet. Modtageren læser, hvem beskeden er fra, før hun læser, hvad der står.

Hvorfor det overhovedet kan lade sig gøre

Protokollerne bag e-mail og telefoni blev designet i en tid, hvor deltagerne kendte hinanden. SMTP, protokollen der flytter mail mellem servere, kontrollerer ikke afsenderen. Det synlige afsenderfelt er almindelig tekst, som den sendende part selv udfylder — nøjagtig som en afsenderadresse skrevet i hånden bag på en kuvert. Intet i den oprindelige protokol beviser, at afsenderen er den, feltet påstår.

Det samme gælder i telenettet, hvor det nummer, der vises i displayet, sættes af den, der ringer op. Nummervisning blev bygget som en oplysning, ikke som et bevis, og bruges i dag som et bevis.

Det er den grundlæggende mekanik: identitet, der aldrig blev verificeret, men som alle behandler, som om den var det. Forsvaret består derfor ikke i at lære at "se det på mailen", men i at tilføje den verifikation, protokollerne mangler.

De former, danske modtagere møder

E-mailspoofing

Afsenderadressen forfalskes, så mailen ligner en kollega, en leverandør eller en myndighed. Den dyreste variant for danske virksomheder er direktørsvindel, hvor en mail, der ser ud til at komme fra direktøren, beder bogholderiet om at haste en betaling igennem. Beskeden indeholder næsten altid en forklaring på, hvorfor den normale procedure ikke kan følges: en fortrolig opkøbssag, en rejse, et møde der ikke kan afbrydes.

En beslægtet variant rammer leverandørkæden. Angriberen får adgang til en reel mailtråd om en reel faktura og indsætter et nyt kontonummer. Her er der ikke noget sprogligt at afsløre — korrespondancen er ægte indtil det sidste svar.

Nummerspoofing

Det viste telefonnummer forfalskes, så opkaldet fremstår som bankens hovednummer, politiets omstilling eller et dansk mobilnummer. Angriberen beder sjældent direkte om en kode. Hun beder dig flytte pengene til en "sikker konto", godkende med MitID for at "stoppe en svindeltransaktion" eller installere et fjernstyringsprogram, så hun kan "hjælpe".

Danske teleselskaber filtrerer opkald, der kommer fra udlandet med dansk afsendernummer, men filtreringen fanger ikke det hele, og den fanger ikke opkald, der udgår fra danske numre.

Domænespoofing

Domænet ligner, men er ikke det rigtige. Det kan være en stavefejl, der er nem at overse, en ekstra bindestreg, et andet topdomæne eller et internationaliseret domænenavn, hvor et latinsk bogstav er udskiftet med et visuelt identisk tegn fra et andet alfabet. Modtageren ser en adresse, der ser korrekt ud, fordi den er bygget til at se korrekt ud i netop den skrifttype, browseren bruger.

Spoofing på netværket

ARP-spoofing lader en angriber på det lokale netværk udgive sig for at være standardgatewayen og dermed læse eller ændre trafikken undervejs. DNS-spoofing manipulerer navneopslag, så et korrekt indtastet domæne fører til en forkert server. IP-spoofing bruges blandt andet i refleksionsangreb, hvor afsenderadressen sættes til offerets, så svarene fra tusindvis af servere lander hos offeret. Disse former kræver adgang eller position, som de øvrige ikke gør, og de er derfor sjældnere — men også sværere at opdage.

Spoofing i Danmark

De afsendere, danskere oftest ser forfalsket, er MitID, Skat, PostNord, de store banker og efterhånden også kommunerne. Fællestrækket er, at afsenderen er en, man ikke kan sige nej til, og at beskeden handler om noget med en frist: en pakke, en restskat, en spærret konto.

To faste holdepunkter er værd at kende. MitID-support ringer aldrig og beder dig godkende noget i appen, og din bank beder dig aldrig flytte penge til en anden konto for at beskytte dem. Godkender du noget i MitID, godkender du en transaktion eller et login, der sker lige nu — ikke en annullering.

Center for Cybersikkerhed (CFCS) vurderer løbende truslen fra cyberkriminalitet mod danske myndigheder og virksomheder som meget høj, og myndigheden anbefaler i sine vejledninger om mailsikkerhed, at danske organisationer indfører afsenderverifikation på deres domæner. Fører spoofing til, at personoplysninger kommer i de forkerte hænder, er der desuden tale om et brud på persondatasikkerheden, som skal vurderes og efter omstændighederne anmeldes til Datatilsynet inden for 72 timer.

Forsvaret: tre poster i DNS

E-mailspoofing er den eneste form, hvor forsvaret er standardiseret og kan sættes op på en eftermiddag. Det består af tre DNS-poster, der arbejder sammen.

SPF (Sender Policy Framework) angiver, hvilke servere der må sende mail på vegne af domænet. Modtagerens server slår posten op og afviser eller mistænkeliggør mail fra andre afsendere.

DKIM (DomainKeys Identified Mail) lægger en kryptografisk signatur på hver udgående mail. Modtageren henter den offentlige nøgle i afsenderens DNS og kan dermed se, at indholdet ikke er ændret undervejs, og at det er sendt af nogen med adgang til den private nøgle.

DMARC binder de to sammen — og det er her, hullet lukkes. SPF validerer nemlig det domæne, der står i kuvertens returadresse, ikke det domæne, brugeren ser i afsenderfeltet. En mail kan derfor bestå SPF og stadig vise en forfalsket afsender. DMARC kræver, at det synlige domæne stemmer overens med det, SPF eller DKIM har godkendt, og fortæller samtidig modtagerens server, hvad den skal gøre, når det ikke er tilfældet.

Sådan sættes det op

1. 1Kortlæg alle systemer, der sender mail i jeres navn: mailplatformen, nyhedsbrevsværktøjet, økonomisystemet, supportsystemet og webshoppen. Det er dem, der bliver blokeret, hvis I springer trinnet over.
2. 2Opret SPF-posten med de kortlagte afsendere. Hold jer under grænsen på ti opslag, ellers fejler valideringen.
3. 3Slå DKIM-signering til i hver enkelt afsendende tjeneste, og læg de tilhørende nøgler i DNS.
4. 4Start DMARC i overvågningstilstand med rapportering til en postkasse, I faktisk læser. I ser nu, hvem der sender i jeres navn, uden at blokere noget.
5. 5Skru op til karantæne, når rapporterne er rene, og derefter til afvisning. Springer I direkte til afvisning, forsvinder legitime mails uden varsel.
6. 6Opret også de tre poster på de domæner, I ejer, men aldrig sender fra. Et parkeret domæne uden DMARC er et gratis afsenderdomæne for enhver.

Teknikken stopper mail, der forfalsker jeres eget domæne. Den stopper ikke mail fra et domæne, der bare ligner jeres — derfor hører beløbsgrænser, tofaktorgodkendelse af kontonummerændringer og en kultur, hvor det er i orden at ringe og spørge, med i forsvaret.

Hvad du gør som privatperson

Læg på, og ring selv op på det nummer, der står bag på dit betalingskort eller på myndighedens egen hjemmeside. Brug aldrig et nummer eller et link fra beskeden selv. Skriv adressen på din bank i browseren i stedet for at klikke, og læs teksten i MitID-appen, før du godkender — der står, hvad du godkender.

Er du allerede gået i fælden, så ring til banken med det samme og spær kortet. Derefter anmeldes forholdet til politiet på politi.dk. Bedrageri begået ved brug af en forfalsket identitet er strafbart efter straffelovens bestemmelser om bedrageri og databedrageri, og en anmeldelse er ofte en forudsætning for, at banken kan behandle sagen.