Afgedwongen DMARC-beleid ontbreekt bij kwart van de organisaties

Het bedrijf controleerde 333 organisaties met hoofdkantoor in een van de drie landen, minimaal 50 medewerkers en een officiële website in Wikidata. Van hen hebben 309 een MX-record en zijn meegeteld in de uitkomsten. De controle was passief: CyberNovaLabs.io las openbare DNS-records via DNS-over-HTTPS en deed één verzoek aan de openbare website. Volgens het bedrijf zijn er geen systemen gescand en worden alleen geaggregeerde resultaten gepubliceerd.

Grootste verschillen bij middelgrote organisaties

De uitkomsten lopen sterk uiteen naar omvang. Bij organisaties met 50 tot 999 medewerkers (137 in de steekproef) kan 38,7 procent worden nagebootst. Bij 1.000 tot 9.999 medewerkers (122 organisaties) is dat 18,9 procent, en bij organisaties met 10.000 of meer medewerkers (50) 14,0 procent. De mediane score was 69 voor de kleinste groep, 77 voor de middelgrote en 75 voor de grootste. CyberNovaLabs.io wijst erop dat de middelgrote organisaties onder de Europese NIS2-regels als belangrijke entiteiten binnen de scope vallen.

Per land liggen de cijfers dichter bij elkaar. In Nederland (176 organisaties) is 25,0 procent na te bootsen, in België (103) 29,1 procent en in Luxemburg (30) 30,0 procent. Over de hele steekproef heeft 73,1 procent een afgedwongen DMARC-beleid, waarvan 44,0 procent de strengste instelling (reject) gebruikt. In Nederland is dat aandeel 46,0 procent, in België 43,7 procent en in Luxemburg 33,3 procent.

Versleutelde inkomende e-mail zelden afgedwongen

Slechts 3,9 procent van de organisaties dwingt met MTA-STS versleutelde aflevering van inkomende e-mail af. Dat aandeel is 3,4 procent in Nederland, 4,9 procent in België en 3,3 procent in Luxemburg. Rapportage over versleutelde aflevering (TLS-RPT) is bij 9,4 procent ingesteld. Een met DNSSEC ondertekende zone hebben 36,6 procent van de organisaties, met grote verschillen tussen Nederland (44,9 procent), Luxemburg (30,0 procent) en België (24,3 procent).

Bij 84,1 procent is een DKIM-sleutel gevonden. Het bedrijf controleerde daarvoor 20 gangbare selectors, dus organisaties met een eigen selector kunnen zijn gemist. Bij 4,5 procent ontbreekt SPF of is het te ruim ingesteld.

Scores en websiteheaders

Ook de beveiliging van de websites is bekeken. Van de organisaties stuurt 67,3 procent een HSTS-header en 42,4 procent een Content-Security-Policy. De mediane totaalscore komt uit op 73 van de 100 punten. Een A kreeg 9 procent van de organisaties, een B 50 procent, een C 27 procent, een D 10 procent, een E 3 procent en een F 1 procent.

Volgens CyberNovaLabs.io is nabootsing de eerste stap van factuurfraude en phishing. Zonder afgedwongen DMARC kan een fraudeur een bericht sturen dat lijkt te komen van een financiële afdeling en in de inbox van klanten belandt. Het bedrijf noemt beveiligde communicatie en basis-cyberhygiëne onderdeel van de tien minimummaatregelen onder NIS2. Het instellen van SPF, DKIM en DMARC zijn volgens het bedrijf DNS-wijzigingen die enkele uren werk vergen en stapsgewijs kunnen worden doorgevoerd, zodat legitieme e-mail niet wordt geblokkeerd. CyberNovaLabs.io biedt zelf een gratis e-mailbeveiligingscheck aan en verleent advies op dit terrein.