Een factuur die nét geloofwaardig genoeg is. Een verzoek van de directeur om met spoed geld over te maken. Of een klant die vraagt waarom hij een bericht van uw domein ontving, terwijl niemand binnen uw organisatie dat bericht heeft verstuurd. E-mailspoofing voorkomen in vijf stappen begint met het besef dat uw afzenderadres niet automatisch bewijst dat een e-mail echt van u komt.

Voor criminelen is spoofing aantrekkelijk: ze misbruiken het vertrouwen dat klanten, leveranciers en medewerkers in uw bedrijfsnaam hebben opgebouwd. De directe schade kan oplopen door frauduleuze betalingen, maar ook reputatieschade, verlies van klantvertrouwen en een overbelaste helpdesk zijn reële gevolgen. Met de juiste technische instellingen en duidelijke werkafspraken maakt u misbruik van uw domein aanzienlijk lastiger.

Wat is e-mailspoofing precies?

Bij e-mailspoofing vervalst een aanvaller het afzenderadres van een bericht. De e-mail lijkt dan bijvoorbeeld afkomstig van [email protected], maar is verstuurd vanaf een volledig andere server. Dat verschilt van een gehackt e-mailaccount: bij spoofing hoeft de aanvaller geen toegang tot uw mailbox te hebben. Hij doet zich alleen voor als uw organisatie.

Spoofing wordt vaak ingezet als onderdeel van phishing, CEO-fraude of factuurfraude. Het doel is vrijwel altijd actie uitlokken: een betaling doen, inloggegevens delen, een bijlage openen of een nieuw rekeningnummer accepteren. Techniek alleen is daarom niet genoeg. U moet zowel de herkomst van e-mail controleerbaar maken als mensen helpen om afwijkingen tijdig te herkennen.

E-mailspoofing voorkomen in vijf stappen

1. Breng alle systemen in kaart die namens uw domein mailen

Begin niet meteen met een technische instelling. Maak eerst een volledige inventaris van alle partijen die e-mail versturen met uw domeinnaam. Denk aan Microsoft 365 of Google Workspace, maar ook aan uw boekhoudpakket, CRM-systeem, nieuwsbriefsoftware, webshop, planningssoftware en multifunctionele printers.

Dit is een stap die regelmatig wordt overgeslagen. Het gevolg: na een beveiligingswijziging komen legitieme facturen, formulieren of nieuwsbrieven niet meer aan. Laat per systeem vastleggen wie eigenaar is, welke afzender het gebruikt en via welke server de mail wordt verzonden. Controleer ook oude toepassingen. Juist een vergeten marketingtool of oude websiteplug-in kan een zwakke plek vormen.

Een IT-partner kan deze inventaris versnellen, maar de bedrijfskennis moet uit uw organisatie komen. Finance weet vaak welke factuurprocessen lopen, marketing kent de verzendplatforms en operations weet welke apparaten automatisch meldingen versturen.

2. Stel SPF correct in

SPF staat voor Sender Policy Framework. Het is een DNS-record waarin u aangeeft welke mailservers namens uw domein mogen verzenden. De ontvangende mailserver vergelijkt de server van de afzender met die toestemming. Komt die niet overeen, dan is dat een duidelijk waarschuwingssignaal.

Een SPF-record is geen afvinkpunt. Het moet volledig én beheersbaar zijn. Neem alle erkende verzenddiensten op, voorkom meerdere losse SPF-records en houd rekening met de technische limiet op DNS-opzoekingen. Een record dat te ingewikkeld is of niet alle systemen bevat, zorgt voor foutmeldingen en onbetrouwbare controles.

SPF kent ook een beperking: het controleert vooral de technische verzendserver, niet altijd het zichtbare afzenderadres dat de ontvanger in zijn mailbox ziet. Daarom vormt SPF slechts de eerste laag. Gebruik het altijd samen met DKIM en DMARC.

3. Onderteken uitgaande e-mail met DKIM

DKIM, of DomainKeys Identified Mail, plaatst een digitale handtekening op uitgaande e-mail. De ontvangende partij kan daarmee controleren of het bericht onderweg niet is aangepast en of het werkelijk door een geautoriseerde verzenddienst is ondertekend.

In de praktijk genereert uw e-mailplatform een sleutel en plaatst u het publieke deel daarvan in DNS. Iedere toepassing die uit uw naam e-mail verzendt, moet DKIM correct gebruiken. Controleer dit ook na een overstap van mailprovider, migratie naar een nieuw domein of wijziging van een nieuwsbriefplatform.

DKIM is bijzonder waardevol omdat legitieme e-mail soms wordt doorgestuurd. In zo’n situatie kan een SPF-controle mislukken, terwijl een geldige DKIM-handtekening nog steeds bevestigt dat de mail oorspronkelijk van uw organisatie kwam. Het is dus geen theoretische extra, maar een praktische beveiligingslaag voor normale bedrijfscommunicatie.

4. Gebruik DMARC om beleid af te dwingen

DMARC koppelt SPF en DKIM aan het zichtbare afzenderdomein. U bepaalt hiermee hoe ontvangende mailservers moeten omgaan met berichten die de controles niet doorstaan. U kunt ze eerst alleen laten rapporteren, daarna als verdacht laten behandelen en uiteindelijk laten weigeren.

Begin doorgaans met een monitoringsbeleid. Zo ontvangt u rapportages over partijen die namens uw domein verzenden en ziet u welke berichten falen. Analyseer die gegevens zorgvuldig. Een legitieme externe verzender die nog niet goed is ingesteld, wilt u eerst herstellen voordat u strenger handhaaft.

Zodra de inventaris compleet is en SPF en DKIM juist werken, kunt u het DMARC-beleid stapsgewijs aanscherpen. Een quarantainebeleid laat verdachte berichten bijvoorbeeld eerder in de spammap belanden. Een reject-beleid vraagt ontvangende servers om niet-geauthenticeerde berichten volledig te weigeren. Dat laatste biedt de beste bescherming tegen directe spoofing, maar is pas verstandig wanneer u zeker weet dat alle echte verzendstromen correct zijn ingericht.

Vraag ook om rapportages voor subdomeinen en let op domeinen die veel op uw naam lijken. DMARC beschermt uw eigen domein, maar voorkomt niet dat een fraudeur een misleidende variant registreert. Merkbewaking en duidelijke communicatie aan klanten blijven daarom relevant.

5. Maak verificatie een vaste werkafspraak

De beste domeinbeveiliging houdt niet elke fraudemail tegen. Aanvallers kunnen bijvoorbeeld een vergelijkbare domeinnaam gebruiken, een leveranciersaccount compromitteren of een eerder e-mailgesprek misbruiken. Mensen hebben daarom een eenvoudige, herhaalbare controleprocedure nodig.

Leg voor betalingen en wijzigingen van bankrekeningnummers vast dat verificatie via een tweede kanaal verplicht is. Bel daarvoor een bekend telefoonnummer uit uw eigen administratie, niet het nummer dat in de e-mail staat. Laat medewerkers ook alert zijn op ongebruikelijke urgentie, afwijkende schrijfstijl, nieuwe betaalinstructies en verzoeken om vertrouwelijke gegevens.

Maak melden laagdrempelig. Wie twijfelt, moet een verdachte e-mail zonder schaamte kunnen doorsturen naar IT of de verantwoordelijke collega. Reageer snel en geef terugkoppeling. Een korte praktische oefening met voorbeelden uit uw eigen werkomgeving werkt meestal beter dan een jaarlijkse training vol technische termen.

Wat doet u als uw domein toch wordt misbruikt?

Krijgt u meldingen over frauduleuze e-mails uit uw naam, handel dan direct. Controleer eerst of er echt sprake is van spoofing of van een gehackt account. Bekijk de mailheaders, controleer aanmeldingen in uw e-mailomgeving en onderzoek of er ongebruikelijke doorstuurregels, mailboxrechten of verzonden berichten zijn.

Bij een gecompromitteerd account moeten wachtwoorden worden gewijzigd, actieve sessies worden beëindigd en meervoudige verificatie worden gecontroleerd. Bij zuivere spoofing ligt de prioriteit bij SPF, DKIM en DMARC, plus communicatie naar betrokken klanten of leveranciers. Wees feitelijk: leg uit welke berichten niet van u afkomstig waren, welke gegevens ontvangers niet moeten delen en hoe zij echte communicatie kunnen verifiëren.

Bewaar relevante berichten, headers en tijdstippen. Dat helpt bij technisch onderzoek en maakt patronen zichtbaar. Als fraude is gepleegd of persoonsgegevens mogelijk zijn geraakt, betrek dan tijdig uw juridische en privacyverantwoordelijke.

E-mail is voor veel organisaties nog steeds het kanaal voor offertes, betalingen en gevoelige afspraken. Behandel de afzendernaam daarom niet als een vanzelfsprekend bewijs, maar als iets dat technisch én organisatorisch gecontroleerd moet worden. Wie deze vijf stappen goed inricht, beschermt niet alleen een domein, maar vooral het vertrouwen dat klanten en partners in uw organisatie stellen.