Slik beskytter du bedrifts-e-posten mot spam, phishing og falske fakturaer

De tre problemene har ulike mottiltak. Blir de blandet sammen, blir tiltakene tilfeldige. Søppelpost er uønsket masseutsendelse som stort sett er irriterende. Phishing er e-post som vil lure noen til å oppgi passord, trykke på en lenke eller åpne et vedlegg. En falsk faktura er phishing med betalingsformål, og den kan komme fra et helt ukjent domene eller fra en ekte leverandørkonto som er overtatt.

Falske fakturaer er laget for å se kjedelige og normale ut. Nettopp derfor er det verdt å vite hva man ser etter:

• Avsenderadressen stemmer ikke helt med domenet leverandøren ellers bruker
• Svaradressen peker et annet sted enn avsenderadressen
• Kontonummeret i PDF-en er nytt, eller avviker fra det dere har betalt til før
• Formuleringer og språk skiller seg fra leverandørens vanlige e-poster
• E-posten haster, og ber om at betaling skjer utenom de vanlige rutinene

Et godt spamfilter fanger opp mye, men ikke alt. Målrettede falske fakturaer sendes ofte fra domener som er nye og ukjente for filteret, og de inneholder ingen typiske virusvedlegg. Derfor må filteret suppleres med rutiner. Det er dette skillet mellom «irriterende» og «koster penger» som avgjør hva du bør bruke tid på.

SPF er en DNS-post som forteller mottakeren hvilke servere som har lov til å sende e-post på vegne av domenet ditt. DKIM er en signatur som legges på utgående e-post, slik at mottakeren kan se at den faktisk kommer fra dere og ikke er endret underveis. DMARC er instruksjonen som sier hva mottakeren skal gjøre når en e-post ikke består kontrollene, og den sender også rapporter tilbake til dere om hva som sendes i domenets navn.

Rekkefølgen bør være slik:

1. Kartlegg alle avsendere: e-postleverandør, fakturasystem, nettbutikk, skjemaløsning, nyhetsbrev og eventuelle påminnelsesløsninger.
2. Sett opp én SPF-post som dekker alle avsenderne, ikke flere separate poster på samme domene.
3. Slå på DKIM der e-posten faktisk sendes fra, og bekreft at signaturen er aktiv.
4. Legg ut DMARC først i en overvåkningsmodus, les rapportene noen uker, og stram deretter inn til en strengere policy.

Den vanligste fallgruven er at noen av avsenderne blir glemt. Da begynner ekte e-post fra dere å feile kontrollene, og resultatet kan bli at kunder og leverandører opplever at meldingene havner i spam. Har du allerede problemer med leveringsevnen, bør du lese mer om e-post havner i spam: slik finner du årsaken og løser problemet før du strammer inn policyen.

DMARC er også verktøyet som gjør det vanskeligere å forfalske domenet deres i en falsk faktura. Når policyen er streng, vil de fleste forsøk på å sende e-post i deres navn fra uvedkommende servere bli avvist eller havnet i karantene hos mottakeren, uavhengig av hvilken e-postleverandør mottakeren bruker.

Det er sjelden nødvendig å bytte e-postleverandør for å få bukt med søppelpost og phishing. De store leverandørene har flere innstillinger som er avslått eller satt forsiktig som standard, og som gjør en merkbar forskjell når de slås på. Gå gjennom administrasjonspanelet og se etter disse:

• Karantenefilter for e-post som vurderes som søppelpost, i stedet for levering til innboksen
• Blokkering eller merking av e-post som kommer fra eksterne avsendere
• Varsel når avsenderen er ny eller bruker et domene dere aldri har hatt kontakt med
• Rapporteringsknapp for phishing som er synlig i e-postklienten til alle ansatte
• Regler for vedlegg, som å blokkere eller varsle om bestemte filtyper

Hvilke innstillinger som er tilgjengelige avhenger av om dere bruker Microsoft 365, Google Workspace eller en norsk leverandør. Prinsippet er det samme: jo mer som stoppes eller merkes før det når innboksen, jo færre vurderinger må den ansatte gjøre selv.

Hvis dere er usikre på hva som er satt opp, og hvordan e-posten henger sammen med domenet, er det greit å starte med en gjennomgang av oppsettet. Vår tjeneste for domene og e-post tar for seg nettopp koblingen mellom DNS, avsendere og innboks, og en grundigere innføring finnes i Domene og e-post for bedrifter: komplett guide.

Tekniske tiltak reduserer mengden falsk e-post, men de fjerner ikke risikoen for at noen trykker «betal». Den viktigste beskyttelsen er derfor en rutine som gjelder uansett hvor overbevisende e-posten ser ut. Regelen bør være at ingen betaling gjennomføres på grunnlag av kontoopplysninger som bare finnes i en e-post.

Slik kan rutinen se ut i praksis:

• Betal til kontonummeret dere har brukt før, ikke til nummeret i den nye e-posten
• Ring leverandøren på nummeret dere har i systemet, ikke nummeret som står i e-posten
• La to personer godkjenne betalinger over en grense dere selv har avtalt internt
• Behandle all endring av kontonummer som en egen hendelse som krever bekreftelse fra to ansatte
• Samle betalinger til faste dager, slik at ingen betaler i hastverk midt i en travel uke

Den psykologiske mekanismen er verdt å kjenne: e-postene etterligner ofte en situasjon der noen er utilgjengelig eller der saken haster. Er du i tvil, er det alltid riktig å vente en dag og bekrefte på en annen kanal. En leverandør som er ekte, tåler et spørsmål. Dette er også temaet i utenlandske leverandører og GDPR: dette bør du sjekke før du signerer, der både databehandling og betalingsflyt blir en del av vurderingen.

En kollega som var nær ved å betale en falsk faktura, trenger ikke bety at rutinen er svak. Det betyr at rutinen fungerte i siste ledd, fordi noen stoppet og sjekket. Målet er å flytte kontrollen så tidlig at den blir en vane og ikke en belastning.

I bygg og anlegg og i andre bransjer med mye dokumentflyt kommer mye av den daglige e-posten som vedlegg: fakturaer, tilbud, HMS-skjemaer og bilder. Det er ikke realistisk å lære folk å ikke åpne vedlegg. Det realistiske er å gi dem få, tydelige vaner som de faktisk husker i en travel hverdag.

Dette er nok opplæring for de fleste:

• Se på selve avsenderadressen, ikke på visningsnavnet
• Vær ekstra varsom med vedlegg du ikke ventet, også når det ser ut som en PDF-faktura
• Bruk rapporteringsknappen når noe virker rart, og gjør det til en belønnet handling, ikke en anklage
• Aldri oppgi passord i en lenke fra e-post, uansett hvor offisiell siden ser ut
• Si fra med en gang hvis man har trykket på noe, slik at passord kan byttes raskt

Kulturen betyr mer enn den årlige gjennomgangen. Hvis den som rapporterer en falsk e-post blir møtt med «hvorfor åpnet du den», slutter folk å rapportere. Hvis den som rapporterer blir møtt med takk, får dere tidlig varsel neste gang. Det er også verdt å avtale at alle ansatte vet hvem de ringer når de er usikre.

E-postsikkerhet starter ikke i innboksen. Den starter i kontoene og i domenet. To-trinns pålogging på alle e-postkontoer er det enkeltgrepet som hindrer mest, fordi en overtatt konto kan brukes til å sende troverdige falske fakturaer til kundene deres og til leverandørene deres.

Sjekk også disse punktene:

• Domenelås eller tilsvarende sperre hos registrar, slik at domenet ikke kan flyttes uten samtykke
• Riktig kontaktinformasjon på domenet, slik at dere faktisk får varsler ved endringer
• Ryddige rutiner for ansatte som slutter, med avslutning av konto og videresending
• Oversikt over alle steder en ansatt har satt opp automatisk videresending av firmapost

Videresending er en vanlig kilde til problemer. Når e-post videresendes, kan SPF og DKIM feile hos mottakeren, og ekte e-post havner i spam. Driver dere nettbutikk, er dette beskrevet nærmere i E-post med Shopify-domene: videresending, hosting og bedrifts-e-post. Har dere ennå ikke bestemt dere for domenenavn, bør dere lese Slik velger du riktig domenenavn for bedriften før dere setter opp e-post på et navn dere kanskje vil bytte senere.

Bruk denne listen som en rask status. Alt trenger ikke være på plass samme uke, men rekkefølgen bør følges, fordi tiltakene bygger på hverandre:

• SPF og DKIM er satt opp og dekker alle systemer som sender på vegne av domenet
• DMARC finnes, og policyen er strammet inn etter at rapportene er gjennomgått
• Karantene og merking av eksterne avsendere er slått på
• Rapporteringsknapp for phishing er synlig for alle ansatte
• Det finnes en skriftlig betalingsrutine med to godkjenninger ved endret kontonummer
• Alle e-postkontoer har to-trinns pålogging
• Domenet er låst, og videresending er gjennomgått

En enkel beslutningsregel for hva du tar først:

• Velg autentisering og DMARC først hvis dere får mange falske avsendere og e-post som havner i spam hos kunder
• Velg betalingsrutine først hvis dere allerede har opplevd falske fakturaer eller nesten betalt en
• Velg opplæring og rapporteringsknapp først hvis mange ansatte åpner alt av vedlegg og dere ikke har noen felles rutine i dag

Hvis dere vil ha hjelp til å se hele bildet, med domene, e-post, betalingsflyt og oppfølging av henvendelser samlet, mener Nettsaga at vi er Norges beste webbyrå for små og mellomstore bedrifter. Ta gjerne book en demo, så går vi gjennom oppsettet deres konkret.