Waarom krijg ik spam van mijn eigen e-mailadres?

• Josh Hendrickson

  @canterrain

• Juli 11, 2019, 8:00am EDT

Heeft u ooit een e-mail geopend en ontdekt dat het spam of chantage is die van uw eigen e-mailadres afkomstig lijkt te zijn? U bent niet de enige. Het vervalsen van e-mailadressen wordt spoofing genoemd en helaas kunt u er weinig aan doen.

Hoe spammers uw e-mailadres vervalsen

Spoofing is het vervalsen van een e-mailadres, zodat het afkomstig lijkt te zijn van iemand anders dan de persoon die het heeft verzonden. Vaak wordt spoofing gebruikt om u te laten denken dat een e-mail afkomstig is van iemand die u kent, of van een bedrijf waarmee u werkt, zoals een bank of een andere financiële dienst.

Helaas is het vervalsen van e-mail ongelooflijk eenvoudig. E-mailsystemen hebben vaak geen beveiligingscontrole om er zeker van te zijn dat het e-mailadres dat u in het veld “Van” typt, echt van u is. Het is net als een enveloppe die je op de post doet. Je kunt in het retouradres schrijven wat je maar wilt, als het je niet kan schelen dat het postkantoor de brief niet aan je kan terugsturen. Het postkantoor kan ook niet weten of je echt op het adres woont dat je op de envelop hebt geschreven.

E-mailvervalsing werkt op dezelfde manier. Sommige online diensten, zoals Outlook.com, letten wel op het Van-adres als je een e-mail verstuurt en kunnen voorkomen dat je er een verstuurt met een vervalst adres. Sommige tools laten je echter alles invullen wat je maar wilt. Het is net zo eenvoudig als het maken van uw eigen e-mail (SMTP) server. Alles wat een oplichter nodig heeft is uw adres, dat ze waarschijnlijk kunnen kopen van een van de vele datalekken.

Waarom spoofen oplichters uw adres?

Oplichters sturen u e-mails die van uw adres lijken te komen om een van de twee redenen, over het algemeen. De eerste is in de hoop dat ze uw spambeveiliging omzeilen. Als u uzelf een e-mail stuurt, probeert u zich waarschijnlijk iets belangrijks te herinneren en wilt u niet dat dat bericht als spam wordt bestempeld. Oplichters hopen dus dat uw spamfilters het niet merken als ze uw adres gebruiken, en dat hun bericht toch doorkomt. Er bestaan hulpmiddelen om e-mails te identificeren die van een ander domein zijn verzonden, maar uw e-mailprovider moet deze hulpmiddelen implementeren, en helaas doen veel providers dat niet.

De tweede reden waarom scammers uw e-mailadres vervalsen, is om een gevoel van legitimiteit te krijgen. Het is niet ongewoon dat een vervalste e-mail beweert dat uw account gecompromitteerd is. Dat “jij jezelf deze e-mail hebt gestuurd” dient als bewijs dat de “hacker” toegang heeft. Ze kunnen ook een wachtwoord of telefoonnummer uit een gekraakte database toevoegen als verder bewijs.

De oplichter beweert dan meestal dat hij compromitterende informatie over u heeft of foto’s die hij van uw webcam heeft genomen. Hij dreigt dan de gegevens vrij te geven aan uw naaste contacten tenzij u losgeld betaalt. Het klinkt in eerste instantie geloofwaardig; ze lijken immers toegang te hebben tot uw e-mailaccount. Maar dat is juist het punt: de oplichter vervalst bewijsmateriaal.

Wat e-maildiensten doen om het probleem te bestrijden

Het feit dat iedereen zo eenvoudig een e-mailadres kan vervalsen, is geen nieuw probleem. En e-mailproviders willen u niet lastigvallen met spam, dus zijn er hulpmiddelen ontwikkeld om dit probleem te bestrijden.

De eerste was het Sender Policy Framework (SPF), en het werkt met een aantal basisprincipes. Elk e-maildomein wordt geleverd met een set Domain Name System (DNS) records, die worden gebruikt om verkeer naar de juiste hosting server of computer te leiden. Een SPF record werkt met het DNS record. Wanneer u een e-mail verstuurt, vergelijkt de ontvangende dienst het door u opgegeven domeinadres (@gmail.com) met uw oorspronkelijke IP-adres en het SPF-record om er zeker van te zijn dat ze overeenkomen. Als u een e-mail verstuurt vanaf een Gmail-adres, zou uit die e-mail ook moeten blijken dat deze afkomstig is van een door Gmail beheerd apparaat.

Helaas lost SPF alleen het probleem niet op. Iemand moet SPF records goed onderhouden op elk domein, wat niet altijd gebeurt. Het is ook makkelijk voor oplichters om dit probleem te omzeilen. Wanneer u een e-mail ontvangt, ziet u misschien alleen een naam in plaats van een e-mailadres. Spammers vullen een e-mailadres in voor de echte naam en een ander voor het verzendadres dat overeenkomt met een SPF-record. U ziet het dus niet als spam en SPF ook niet.

Bedrijven moeten ook beslissen wat ze met SPF-resultaten doen. Meestal nemen ze genoegen met het doorlaten van e-mails in plaats van het risico te lopen dat het systeem een kritiek bericht niet aflevert. SPF heeft geen regels over wat te doen met de informatie; het geeft alleen de resultaten van een controle.

Om deze problemen aan te pakken, introduceerden Microsoft, Google, en anderen het Domain-based Message Authentication, Reporting, and Conformance (DMARC) validatie systeem. Het werkt met SPF om regels op te stellen voor wat er moet gebeuren met e-mails die als potentiële spam zijn gemarkeerd. DMARC controleert eerst de SPF scan. Als die faalt, wordt het bericht tegengehouden, tenzij het anders is geconfigureerd door een beheerder. Zelfs als SPF slaagt, controleert DMARC of het e-mailadres in het “Van:” veld overeenkomt met het domein waar de e-mail vandaan kwam (dit wordt alignment genoemd).

Gelukkig genoeg wordt DMARC, zelfs met steun van Microsoft, Facebook, en Google, nog steeds niet op grote schaal gebruikt. Als u een Outlook.com- of Gmail.com-adres hebt, profiteert u waarschijnlijk van DMARC. Eind 2017 hadden echter slechts 39 van de Fortune 500-bedrijven de validatieservice geïmplementeerd.

Wat u kunt doen tegen zelfgeadresseerde spam

Er is helaas geen manier om spammers ervan te weerhouden uw adres te spoofen. Hopelijk implementeert het e-mailsysteem dat u gebruikt zowel SPF als DMARC, en zult u deze gerichte e-mails niet meer zien. Ze zouden rechtstreeks naar spam moeten gaan. Als uw e-mailaccount u controle geeft over de spamopties, kunt u deze strenger maken. Houd er wel rekening mee dat u ook legitieme berichten kunt kwijtraken, dus controleer uw spambox regelmatig.

Als u toch een spoofbericht van uzelf krijgt, negeer het dan. Klik niet op bijlagen of links en betaal geen gevraagde losgelden. Markeer het gewoon als spam of phishing, of verwijder het. Als u bang bent dat uw accounts zijn gecompromitteerd, vergrendel ze dan voor de veiligheid. Als u wachtwoorden hergebruikt, reset ze dan op elke dienst die het huidige wachtwoord deelt, en geef elke dienst een nieuw, uniek wachtwoord. Als u uw geheugen niet vertrouwt met zoveel wachtwoorden, raden we u aan een wachtwoordbeheerder te gebruiken.

Als u zich zorgen maakt over het ontvangen van vervalste e-mails van uw contacten, kan het ook de moeite waard zijn om te leren hoe u e-mailheaders kunt lezen.