Az emailbiztonság válsága, amiről senki nem beszél

őszintén szólva: a legtöbb cégnél borzasztóan rosszul állnak az emailbiztonsággal. A csapatunk mostanában több mint 5800 domaint vizsgált át különböző iparágakban és országokban, és az eredményeknek mindenkit aggasztania kellene, aki érzékeny információkat küld vagy fogad emailben.

A baj nem az, hogy bonyolult lenne az emailbiztonság. Az a baj, hogy egyszerűen nem veszik a fáradságot, hogy implementálják az alapvető protokollokat, amelyek megvédenék a felhasználóikat a hamisítástól, phishingtől és a közbeékelődéses támadásoktól.

A négy pillér, amit senki sem ismer

De mielőtt belemennénk a számokba, tisztázzuk, mit is mértünk valójában:

Az SPF a legelemibb védelmi vonal. Ez mondja meg a fogadó mailszervereknek, hogy mely IP-címek küldhetnek emailt a domainünk nevében. SPF nélkül bárki küldhet hamisított leveleket a nevünkben.

A DKIM egy digitális aláírást tesz a leveleinkre, ezzel igazolja, hogy nem módosították őket útközben. Vagyis olyan, mint egy zárjegy a borítékon.

A DMARC összekapcsolja az SPF-et és a DKIM-et, és megmondja a fogadó szervereknek, hogy mit tegyenek azokkal a levelekkel, amelyek nem mennek át az autentikáción. Ő a traffipax az emailbiztonságban.

Az MTA-STS kikényszeríti a titkosított TLS-kapcsolatokat a mailszerverek között, így nem lehet belehallgatni a kommunikációba, és nem lehet visszafejleszteni a kapcsolatot egy gyengébb protokollra.

Mind a négy protokoll együtt működik, és együtt alkotják a biztonságos emailecoszisztémát. Ha bármelyik hiányzik, ott támadási felület nyílik.

Az iparágak, ahol a legnagyobb a kudarc

Nézzük, mit találtunk, amikor iparágak szerint vizsgáltuk a domaineket:

A health szektor következetesen a legrosszabbak között van. Ez különösen aggasztó, ha figyelembe vesszük a HIPAA-előírásokat és az érzékeny egészségügyi adatokat. Rengeteg egészségügyi domainnek egyáltalán nincs DMARC-szabályzata — vagyis elméletileg bárki megszemélyesítheti őket.

A pénzügyi szektor valamivel jobban teljesített, de még mindig döbbenetes hiányosságokkal. Sok kisebb bank és fintech cég, amely érzékeny ügyféladatokat kezel, nem implementálta az MTA-STS-t, így az emailkommunikációjuk sebezhető az elfogással szemben.

Az oktatás meglepett minket a gyenge számokkal, főleg a kisebb intézményeknél. Egyetemek, amelyek hatalmas felhasználói bázissal és értékes kutatási adatokkal rendelkeznek, gyakran még az alapvető emailhitelesítést sem használják.

A kormányzati szervek több országban is inconsistent módon implementáltak — van, ahol kiforrott biztonsági rendszer működik, de olyan is akad, ahol szinte semmi sincs.

A kereskedelem és e-kereskedelem cégek, amelyek milliószámra bonyolítanak tranzakciókat, gyakran nem konfigurálják megfelelően az emailrendszerüket, így a hamis rendelésvisszaigazolások és szállítási értesítők könnyen megszemélyesíthetők.

Országok, ahol a legrosszabb az emailbiztonság

A földrajzi bontás érdekes mintákat mutatott. Azok az országok, ahol kevésbé fejlett a kiberbiztonsági infrastruktúra, következetesen alacsonyabb adoptációs rátákat mutatnak az emailbiztonsági protokolloknál.

A fejlődő piacok a legaggasztóbb statisztikákat produkálták. Sok szervezet ezekben a régiókban még nem tette prioritássá az emailbiztonságot, más, látványosabb infrastrukturális problémákra koncentrálnak.

A kis szigetállamok és fejlődő gazdaságok meglepően alacsony implementációs rátákat mutatnak mind a négy protokoll esetében.

A nyugati országok és a erős kiberbiztonsági hagyományokkal rendelkező kelet-ázsiai államok általában jobban teljesítenek, de még itt is jelentős hiányosságokat találtunk a kisebb szervezeteknél.

Miért kell ez neked?

A gyakorlatban ez azt jelenti: amikor egy cég nem implementálja ezeket a protokollokat, te vagy veszélyben minden alkalommal, amikor kapsz tőlük egy levelet.

Megfelelő emailhitelesítés nélkül:

• A phisherek megszemélyesíthetik a bankodat hitelesnek tűnő levelekkel
• A támadók hamis szállítási értesítésekkel malware-t juttathatnak be
• Az érzékeny üzleti kommunikációt el lehet fogni
• A partnered domainjét felhasználhatják ellened egy célzott támadásban

Ezt alaposan leteszteltük. Az UnblockMaster VPN segítségével elemezve a hálózati forgalmi mintákat, rendszeresen látjuk, mennyire könnyű kihasználni az emailforgalmat, ha ezek a protokollok nincsenek a helyükön.

Mire néz ki a jó emailbiztonság?

Az elemzésünk alapján a megfelelő emailbiztonsági konfiguráció ezeket tartalmazza:

• SPF rekordok megfelelően beállítva, csak az engedélyezett mailszerverekkel
• DKIM aláírások implementálva minden kimenő levelen
• DMARC szabályzatok „reject" módban, vagy minimum „quarantine" (nem „none")
• MTA-STS bekapcsolva a TLS-kapcsolatok kikényszerítéséhez
• TLS reporting bekapcsolva a problémák monitorozásához

Egy rendes DMARC rekord így néz ki:

v=DMARC1; p=reject; rua=mailto:reports@example.com; pct=100

Ez megmondja a fogadó szervereknek, hogy utasítsák el azokat a leveleket, amelyek nem mennek át az autentikáción, és küldjenek jelentést a szóban forgó hamisítási kísérletekről.

Mit tehetsz most azonnal?

Ha egyéni felhasználó vagy:

1. Használj jó VPN-t — például UnblockMaster — nyilvános hálózatokon az email eléréséhez. Ez plusz védelmet ad, még ha az email-szolgáltatód nem is implementálta rendesen a biztonságot
2. Kapcsold be a kétfaktoros azonosítást az emailfiókjaidon
3. Legyél gyanakvó minden olyan leveleddel szemben, amely érzékeny információkat kér, még ismert feladóktól is
4. Ellenőrizd a titkosítási jelzéseket az emailkliensedben

Ha szervezetnél dolgozol:

1. Auditáld a jelenlegi emailbiztonsági helyzetedet — használj olyan eszközöket, mint az MXToolbox vagy az általunk ajánlott scanner
2. Implementáld mind a négy protokollt a helyes sorrendben
3. Kezdd monitorozási módban (p=none), mielőtt átállítanád a kényszerítésre
4. Figyeld a DMARC-jelentéseket a szóban forgó hamisítási kísérletekért
5. Követeld meg a TLS-t minden érzékeny emailkommunikációnál

A lényeg

Az email továbbra is az elsődleges támadási vektor a legtöbb kibertámadásnál. A protokollok, amelyek biztosítanák, évek óta léteznek és ingyenesen elérhetők. Mégis, az elemzésünk azt mutatja, hogy a szervezetek többsége nem veszi a fáradságot, hogy rendesen implementálja őket.

Ez már nem technikai probléma — szervezeti prioritás kérdése. És amíg a vállalkozások, kormányok és intézmények nem kezelik az emailbiztonságot alapvető infrastruktúraként, hanem opcionális költségként, addig folytatódnak a incidensek, phishingtámadások és emailalapú csalások járványszerű méretekben.

Az UnblockManagernél nap mint nap látjuk ezeknek a biztonsági kudarcoknak a következményeit. Segítünk a felhasználóknak védekezni titkosított kapcsolatokkal és biztonságos böngészéssel, de a valódi megoldás az lenne, ha a szervezetek implementálnák az alapokat.

A eszközök megvannak. A tudás rendelkezésre áll. Az egyetlen hiányzó elem a szándék, hogy használják őket.

Tags: email security, spf, dmarc, dkim, mta-sts, cybersecurity, data protection, online privacy, vpn security