Η κρίση ασφάλειας email που κανείς δεν θέλει να συζητήσει

Ας το πούμε ευθέως: οι περισσότερες επιχειρήσεις αποτυγχάνουν παταγωδώς στην προστασία του email τους. Η ομάδα μας στο UnblockMaster ανέλυσε πρόσφατα πάνω από 5.800 domains σε διάφορους κλάδους και χώρες. Τα αποτελέσματα πρέπει να ανησυχήσουν όποιον στέλνει ή λαμβάνει ευαίσθητες πληροφορίες μέσω email.

Το πρόβλημα δεν είναι ότι η ασφάλεια email είναι περίπλοκη. Είναι ότι οι περισσότεροι απλά δεν παίρνουν τον κόπο να εφαρμόσουν τα βασικά πρωτόκολλα που θα προστάτευαν τους χρήστες τους.

Τα τέσσερα θεμέλια της ασφάλειας email

Πριν δούμε τα δεδομένα, ας εξηγήσουμε τι μετρήσαμε:

Το SPF (Sender Policy Framework) είναι η πιο βασική στρώση. Δηλώνει στους mail servers ποιες IP διευθύνσεις επιτρέπεται να στέλνουν email για λογαριασμό του domain σου. Χωρίς SPF, οποιοσδήποτε μπορεί να πλαστογραφήσει emails από το domain σου.

Το DKIM (DomainKeys Identified Mail) προσθέτει μια ψηφιακή υπογραφή στα emails σου. Επιβεβαιώνει ότι δεν πειράχτηκαν στη διαδρομή. Σκέψου το σαν μια αδιάβλητη σφραγίδα σε φάκελο.

Το DMARC (Domain-based Message Authentication, Reporting & Conformance) συνδέει το SPF και το DKIM μαζί. Λέει στους receiving servers τι να κάνουν με emails που αποτυγχάνουν τον έλεγχο ταυτότητας. Είναι ο τροχονόμος της ασφάλειας email.

Το MTA-STS (Mail Transfer Agent Strict Transport Security) επιβάλλει κρυπτογραφημένες TLS συνδέσεις μεταξύ mail servers. Αποτρέπει την υποκλοπή και τις επιθέσεις υποβάθμισης.

Τα τέσσερα αυτά πρωτόκολλα δουλεύουν μαζί για να φτιάξουν ένα ασφαλές οικοσύστημα email. Λείπει έστω και ένα, και έχεις κενό ασφαλείας.

Οι κλάδοι που αποτυγχάνουν πιο θεαματικά

Αυτά βρήκαμε όταν εξετάσαμε domains ανά κλάδο:

Ο τομέας υγείας ήταν σταθερά ανάμεσα στους χειρότερους. Αυτό είναι ιδιαίτερα ανησυχητικό με δεδομένες τις απαιτήσεις του HIPAA και την ευαισθησία των ιατρικών δεδομένων. Βρήκαμε ότι ένα σημαντικό ποσοστό healthcare domains δεν είχε καμία DMARC πολιτική — που σημαίνει ότι θεωρητικά οποιοσδήποτε μπορούσε να τους υποδυθεί.

Οι χρηματοπιστωτικές υπηρεσίες τα πήγαιναν λίγο καλύτερα, αλλά είχαν ακόμα σοκαριστικά κενά. Πολλές μικρότερες τράπεζες και fintech εταιρείες, παρότι χειρίζονται ευαίσθητα δεδομένα πελατών, δεν είχαν υλοποιήσει MTA-STS.

Ο τομέας της εκπαίδευσης μας εξέπληξε με τα χαμηλά νούμερα, ειδικά στα μικρότερα ιδρύματα. Πανεπιστήμια με τεράστιες βάσεις χρηστών και πολύτιμα ερευνητικά δεδομένα συχνά δεν είχαν καν βασικό email authentication.

Οι κυβερνητικές υπηρεσίες σε αρκετές χώρες έδειξαν ασυνεπή εφαρμογή. Κάποιες είχαν εξελιγμένη ασφάλεια, άλλες σχεδόν τίποτα.

Οι εταιρείες λιανικής και e-commerce, παρότι διαχειρίζονται εκατομμύρια συναλλαγές, συχνά αποτύγχαναν να ρυθμίσουν σωστά τα email συστήματά τους για να αποτρέψουν spoofing σε επιβεβαιώσεις παραγγελιών και ειδοποιήσεις αποστολής.

Χώρες με τη χειρότερη ασφάλεια email

Η γεωγραφική ανάλυση έδειξε ενδιαφέροντα μοτίβα. Χώρες με λιγότερο ανεπτυγμένη κυβερνοασφάλεια είχαν σταθερά χαμηλότερα ποσοστά υιοθέτησης.

Οι αναδυόμενες αγορές είχαν τα πιο ανησυχητικά στατιστικά. Πολλές επιχειρήσεις σε αυτές τις περιοχές δεν έχουν ακόμα δώσει προτεραιότητα στην ασφάλεια email, εστιάζοντας αλλού.

Μικρά νησιωτικά κράτη και αναπτυσσόμενες οικονομίες έδειξαν εκπληκτικά χαμηλά ποσοστά εφαρμογής και στα τέσσερα πρωτόκολλα.

Δυτικές χώρες και χώρες της Ανατολικής Ασίας με ισχυρή κυβερνοασφαλειακή παράδοση τα πήγαιναν γενικά καλύτερα. Αλλά και εκεί βρήκαμε σημαντικά κενά σε μικρότερες οργανώσεις.

Γιατί πρέπει να σε νοιάζει

Η πραγματικότητα είναι απλή: όταν μια εταιρεία δεν εφαρμόζει αυτά τα πρωτόκολλα, εσύ κινδυνεύεις κάθε φορά που λαμβάνεις email από αυτήν.

Χωρίς σωστό email authentication:

• Phishers μπορούν να υποδυθούν την τράπελά σου με πειστικά emails
• Επιτιθέμενοι μπορούν να πλαστογραφήσουν ειδοποιήσεις αποστολής για να παραδώσουν κακόβουλο λογισμικό
• Ευαίσθητες επιχειρηματικές επικοινωνίες μπορούν να υποκλαπούν
• Το domain του προμηθευτή σου μπορεί να χρησιμοποιηθεί εναντίον σου σε στοχευμένες επιθέσεις

Το έχουμε δοκιμάσει εκτενώς. Χρησιμοποιώντας το UnblockMaster VPN για να αναλύσουμε μοτίβα δικτυακής κίνησης, βλέπουμε τακτικά πόσο εύκολα μπορεί να εκμεταλλευτεί κανείς την κίνηση email όταν αυτά τα πρωτόκολλα λείπουν.

Πώς μοιάζει η σωστή ασφάλεια email

Με βάση την ανάλυσή μας, η σωστή ρύθμιση περιλαμβάνει:

• SPF records σωστά ρυθμισμένα ώστε να απαριθμούν μόνο τους εξουσιοδοτημένους mail servers
• DKIM signatures σε όλα τα εξερχόμενα emails
• DMARC policies ρυθμισμένες σε "reject" ή τουλάχιστον "quarantine" (όχι "none")
• MTA-STS ενεργοποιημένο για επιβολή TLS συνδέσεων
• TLS reporting ενεργοποιημένο για παρακολούθηση προβλημάτων

Ένα σωστό DMARC record μοιάζει κάπως έτσι:

v=DMARC1; p=reject; rua=mailto:reports@example.com; pct=100

Αυτό λέει στους receiving servers να απορρίπτουν κάθε email που αποτυγχάνει τον έλεγχο ταυτότητας και να σου στέλνουν αναφορές για απόπειρες spoofing.

Τι μπορείς να κάνεις τώρα

Για άτομα:

1. Χρησιμοποίησε ποιοτικό VPN όπως το UnblockMaster όταν έχεις πρόσβαση σε email από δημόσια δίκτυα — αυτό προσθέτει ένα επιπλέον στρώμα προστασίας ακόμα και όταν οι providers δεν έχουν υλοποιήσει σωστή ασφάλεια
2. Ενεργοποίησε δύο παράγοντες authentication στους email λογαριασμούς σου
3. Να είσαι καχύποπτος με emails που ζητούν ευαίσθητες πληροφορίες, ακόμα και από γνωστές επαφές
4. Έλεγχε για ενδείξεις κρυπτογράφησης στο email client σου

Για οργανισμούς:

1. Ελέγξτε την τρέχουσα κατάσταση ασφαλείας email με εργαλεία όπως MXToolbox ή το scanner που προτείνουμε
2. Υλοποιήστε και τα τέσσερα πρωτόκολλα με τη σωστή σειρά
3. Ξεκινήστε με λειτουργία παρακολούθησης (p=none) πριν πάτε σε επιβολή
4. Παρακολουθήστε τις DMARC αναφορές σας για απόπειρες spoofing
5. Απαιτήστε TLS για όλες τις ευαίσθητες email επικοινωνίες

Το ζήτημα είναι προτεραιοτήτων

Το email παραμένει το κύριο μέσο επίθεσης για τις περισσότερες κυβερνοεπιθέσεις. Τα πρωτόκολλα για την ασφάλειά του υπάρχουν εδώ και χρόνια και είναι δωρεάν διαθέσιμα. Κι όμως, η ανάλυσή μας δείχνει ότι η πλειοψηφία των οργανισμών δεν έχει πάρει τον κόπο να τα εφαρμόσει σωστά.

Δεν είναι πια τεχνικό πρόβλημα. Είναι θέμα προτεραιοτήτων. Και μέχρι οι επιχειρήσεις, οι κυβερνήσεις και τα ιδρύματα να αρχίσουν να αντιμετωπίζουν την ασφάλεια email ως βασική υποδομή και όχι ως προαιρετικό κόστος, θα συνεχίσουμε να βλέπουμε παραβιάσεις, επιθέσεις phishing και απάτες μέσω email σε επιδημικά επίπεδα.

Στο UnblockMaster βλέπουμε καθημερινά τις συνέπειες αυτών των αποτυχιών ασφαλείας. Βοηθάμε τους χρήστες να προστατεύονται με κρυπτογραφημένες συνδέσεις και ασφαλή περιήγηση. Αλλά η πραγματική λύση είναι να πείσουμε τους οργανισμούς να εφαρμόσουν τα βασικά.

Τα εργαλεία υπάρχουν. Η γνώση υπάρχει. Το μόνο που λείπει είναι η βούληση να τα χρησιμοποιήσουν.

Tags: email security, spf, dmarc, dkim, mta-sts, cybersecurity, data protection, online privacy, vpn security