Wat is imitatie, en waarom glipt het er zo vaak door?
Bij imitatie doet een aanvaller zich voor als iemand die de ontvanger vertrouwt: de directeur, een collega of een vaste leverancier. Dat kan op drie manieren. De weergavenaam klopt, maar het adres is een willekeurig extern adres. Het domein lijkt op het echte domein, bijvoorbeeld met een extra letter of een cijfer 0 in plaats van een o. Of het afzenderadres is helemaal vervalst, zodat het lijkt alsof de mail echt van uw eigen domein komt.
Dit soort mail is lastig te herkennen voor een filter dat naar kwaadaardige links en bijlagen kijkt, want vaak is er alleen tekst: een betaalverzoek, een vraag om cadeaukaarten of een gewijzigd rekeningnummer. Daarom kijkt het anti-phishingbeleid niet alleen naar de inhoud, maar ook naar de afzender en naar wie uw medewerkers normaal mailen.
Wat iedere omgeving standaard heeft
Iedere organisatie met Exchange Online heeft Exchange Online Protection en een standaard anti-phishingbeleid. Daarin zit spoofbeveiliging: mail die zegt van een domein te komen, maar de controle met SPF, DKIM en DMARC niet doorstaat, wordt als spoofing herkend. Hoe goed dat werkt, hangt sterk af van uw eigen mailinstellingen. Zorg dus eerst dat SPF, DKIM en DMARC voor uw domeinen goed staan, met DMARC op quarantaine of afwijzen.
Daarnaast kan het standaardbeleid een veiligheidstip tonen bij een eerste contact: een melding boven de mail als de ontvanger nog nooit eerder mail van dit adres heeft gehad. Die tip staat niet altijd aan. Zet hem aan, want juist een ‘directeur’ met een onbekend adres valt daarmee op. Combineer hem met een waarschuwingsbanner voor externe mail, zodat medewerkers direct zien dat een mail van buiten komt.
Imitatiebescherming voor personen
Met Defender for Office 365 voegt u in het anti-phishingbeleid gebruikers toe die u extra wilt beschermen. Kies de mensen die het vaakst worden nagebootst: de directie, de financieel verantwoordelijke, HR en eventueel een externe accountant of adviseur. Komt er mail binnen met een naam of adres dat sterk op een van hen lijkt, maar van een ander adres, dan herkent Microsoft 365 dat als gebruikersimitatie. Per beleid kunt u een beperkt aantal personen beschermen, tot 350, dus maak een bewuste keuze.
Houd de lijst actueel. Een nieuwe directeur of controller hoort er meteen bij, en wie vertrekt kan eraf. Neem dit op in uw in- en uitdienstchecklist.
Imitatiebescherming voor domeinen
Domeinimitatie gaat over domeinnamen die op het echte domein lijken, zoals floorlct.nl in plaats van floorict.nl. Zet de optie aan om de domeinen die u zelf in Microsoft 365 beheert te beschermen, en voeg daarnaast de domeinen toe van partijen waarmee u veel geld of gegevens uitwisselt: de bank, de accountant, grote leveranciers en klanten. Juist die domeinen worden nagemaakt bij factuurfraude.
Krijgt u een melding over een legitieme afzender die toevallig op een beschermd domein lijkt, voeg die dan toe als vertrouwde afzender of vertrouwd domein in het beleid. Doe dat gericht voor dat ene adres of domein, en niet door de bescherming uit te zetten.
Mailboxintelligentie en de juiste acties
Mailboxintelligentie leert met wie elke medewerker normaal mailt. Mail van een vaste contactpersoon wordt dan niet onterecht als imitatie gezien, en mail die zich voordoet als zo’n contactpersoon valt juist op. Zet mailboxintelligentie aan, en ook de bescherming op basis daarvan. Kies daarna per soort detectie wat er gebeurt. Voor imitatie van personen en domeinen is quarantaine meestal de beste keuze; dan komt de mail niet bij de medewerker binnen en kan een beheerder hem bekijken. Lees hoe u dat werkbaar houdt in ons artikel over berichtenquarantaine.
Zet ook de veiligheidstips voor imitatie en voor ongebruikelijke tekens aan. Komt een mail toch binnen, dan ziet de ontvanger een waarschuwing dat de afzender mogelijk niet is wie hij lijkt. Wilt u niet alles zelf afstellen, dan kunt u de vooraf ingestelde beveiligingsbeleidsregels Standaard of Strikt gebruiken. Daarin voegt u alleen de te beschermen personen en domeinen toe, en Microsoft beheert de overige instellingen.
Techniek is niet genoeg: een vaste belafspraak
Geen filter houdt alle imitatie tegen, zeker niet als een echt mailaccount van een leverancier is overgenomen. Spreek daarom af dat elk verzoek om een spoedbetaling, een nieuw rekeningnummer of gevoelige gegevens wordt gecontroleerd door terug te bellen naar een bekend nummer, nooit naar het nummer in de mail. Oefen dit in de security awareness training, en laat medewerkers verdachte mail melden met de knop Melden in Outlook.
Hoe Floor ICT dit regelt
Floor ICT controleert eerst SPF, DKIM en DMARC en zet de veiligheidstip bij een eerste contact aan. In omgevingen met Microsoft 365 Business Premium of Defender for Office 365 richten we het anti-phishingbeleid in: we stellen met u de lijst met te beschermen personen en domeinen op, zetten mailboxintelligentie aan en kiezen per detectie de juiste actie. Daarna kijken we de eerste weken mee wat er in quarantaine belandt, zodat legitieme mail niet blijft hangen, en houden we de lijsten bij als mensen of leveranciers wisselen. Zo valt een nagemaakte directeur op voordat er geld wordt overgemaakt.