Wat is spoofing? Vormen, herkenning en bescherming

Spoofing is het vervalsen van een afzender. Een crimineel laat een e-mail, sms, telefoontje of website lijken alsof die van een vertrouwde afzender komt. Denk aan uw bank, een leverancier of uw eigen directeur.

Spoofing is zelf geen fraudevorm, maar een techniek. Het is de vermomming die phishing, CEO-fraude en bankhelpdeskfraude geloofwaardig maakt. Wie spoofing begrijpt, herkent die andere vormen daardoor sneller.

Hieronder leest u welke vormen er zijn, hoe u ze herkent en hoe u uw eigen domeinnaam beschermt tegen misbruik. Dat laatste is goed te regelen, met drie instellingen die samenwerken. Het hoort bij ons overzicht van cybercrime voor bedrijven.

De vormen van spoofing

Het NCSC spreekt van spoofing wanneer iets of iemand een valse identiteit aanneemt en zich voordoet als iets of iemand anders. Voor organisaties zijn vier vormen het belangrijkst.

Daarnaast bestaan er technische vormen op netwerkniveau, zoals IP- en DNS-spoofing. Die komen verderop kort aan bod.

E-mailspoofing: een afzender die niet klopt

E-mail is ooit ontworpen zonder controle op de afzender. Iedereen kan in een mail een willekeurig afzenderadres zetten. Dat werkt net als de afzender op de achterkant van een envelop. Zonder extra instellingen controleert de ontvanger dat niet.

Niet elke nepafzender is hetzelfde. Het verschil bepaalt welke maatregel helpt:

Een gekaapte mailbox is strikt genomen geen spoofing, want de mail komt echt van het adres. Criminelen gebruiken zo’n mailbox bijvoorbeeld voor factuurfraude. Hoe dat werkt, leest u in CEO-fraude en factuurfraude.

Telefoon- en sms-spoofing

Bij telefoonspoofing ziet u een ander nummer dan het nummer waarmee echt wordt gebeld. Lange tijd misbruikten criminelen zo het nummer van banken. Volgens Veilig Bankieren hebben banken samen met telecomproviders maatregelen genomen. Bij bankhelpdeskfraude ziet u daardoor nu vrijwel altijd een onbekend 06-nummer of een anoniem nummer.

Het verhaal blijft wel hetzelfde. Een zogenaamde bankmedewerker meldt dat uw rekening wordt misbruikt. Daarna vraagt hij u om geld veilig te stellen, een code te geven of software te installeren. Weet dat uw bank aan de telefoon nooit vraagt om geld over te boeken. Ook vraagt de bank nooit om pincodes, beveiligingscodes of toegang tot uw computer.

Bij sms-spoofing staat er een vertrouwde naam als afzender, zoals die van een bank of vervoerder. Ook die naam is te vervalsen. In beide gevallen geldt dezelfde regel: hang op of reageer niet. Neem daarna zelf contact op, via een nummer dat u opzoekt op bijvoorbeeld uw bankpas. Met een nagemaakte stem wordt dit soort fraude nog overtuigender, zie deepfake-fraude.

Website- en domeinspoofing

Bij websitespoofing bouwen criminelen een site na die eruitziet als de echte. Denk aan de inlogpagina van Microsoft 365, een bank of een webshop. De link ernaartoe komt bijvoorbeeld uit een mail of sms. Hoe u zo’n mail meldt, staat in phishing-mail melden.

Het adres van zo’n site lijkt op het echte. Het NCSC noemt voorbeelden als een hoofdletter I in plaats van een kleine l, of een nul in plaats van een o. Ook een bekende naam vooraan in een langer adres is een truc. Alleen het deel vlak voor .nl of .com is het echte domein.

Voor uw organisatie betekent dit twee dingen. Typ belangrijke adressen zelf in of gebruik bladwijzers. En houd in de gaten of iemand een domein registreert dat op het uwe lijkt. Vindt u er een, zoek dan via een whois-dienst, een openbaar register van domeinnamen, de registrar op. Dat is het bedrijf waar het domein is geregistreerd. Meld het daar en bij de Fraudehelpdesk.

IP- en DNS-spoofing in het kort

Sommige vormen spelen zich af op netwerkniveau. U merkt er als gebruiker weinig van, maar ze horen in het rijtje.

• IP-spoofing. Een aanvaller vervalst het afzenderadres van netwerkverkeer. Dat wordt onder meer gebruikt bij DDoS-aanvallen, waarbij antwoordverkeer massaal naar het slachtoffer wordt gestuurd.
• DNS-spoofing. Het DNS vertaalt een websitenaam naar een adres op internet. Bij DNS-spoofing wordt die vertaling vervalst, zodat u op een nepsite uitkomt terwijl u het juiste adres intypte.

Hiertegen helpen vooral maatregelen bij uw provider en in uw netwerk. Een voorbeeld is DNSSEC, een techniek die DNS-antwoorden digitaal ondertekent. Vraag uw IT-beheerder of provider of dat voor uw domein en netwerk is geregeld.

Zo herkent u spoofing

Omdat de afzender zelf niet te vertrouwen is, kijkt u naar andere signalen:

• Het echte adres. Klik op de naam van de afzender en lees het volledige adres, letter voor letter.
• Het antwoordadres. Gaat uw antwoord naar een ander adres dan de afzender, dan is er iets mis.
• De link. Ga met de muis over een link en lees waar hij echt heen gaat.
• Het verzoek. Haast, geheimhouding, een nieuw rekeningnummer of een vraag om in te loggen zijn signalen, ongeacht de afzender.
• Het nummer in uw scherm. Een bekend nummer bewijst niets. Twijfelt u, hang dan op en bel zelf terug.

De beste gewoonte is eenvoudig: controleer via een ander kanaal dan het kanaal waarlangs het verzoek binnenkwam. Een mail controleert u met een telefoontje, en een telefoontje met een mail of met de website die u zelf intypt.

Uw domein beschermen met SPF, DKIM en DMARC

Tegen het vervalsen van uw eigen domein kunt u zelf veel doen. Het NCSC adviseert om elke domeinnaam van uw organisatie te beschermen met SPF, DKIM en DMARC. Samen vormen ze drie lagen.

• SPF. Een lijst in uw DNS met de servers die namens uw domein mogen mailen.
• DKIM. Een digitale handtekening op uitgaande mail. Zo ziet de ontvanger dat de mail echt van u komt en onderweg niet is veranderd.
• DMARC. Het beleid dat ontvangers vertelt wat ze doen met mail die niet door de controle van SPF of DKIM komt: niets doen, in quarantaine zetten of weigeren. Het NCSC adviseert weigeren, in DMARC-taal reject.

Begin niet direct met weigeren. Zet DMARC eerst op monitoren en lees de rapporten. Daarin ziet u welke systemen namens u mailen, zoals uw nieuwsbriefdienst of boekhoudpakket. Pas als die allemaal kloppen, gaat het beleid via quarantaine naar reject. Bescherm ook domeinen die geen mail versturen, want ook die zijn te misbruiken. Het stappenplan staat bij DMARC instellen.

Of uw instellingen kloppen, test u op internet.nl. E-mailbeveiliging past bovendien bij de basishygiëne die de zorgplicht van de Cyberbeveiligingswet noemt.

Als uw domein of nummer wordt misbruikt

Merkt u dat criminelen uw naam gebruiken, dan zijn er drie sporen. Bij mail ziet u in de DMARC-rapporten vanaf welke servers namens u wordt gemaild. Staat DMARC op reject, dan weigeren ontvangers die DMARC toepassen die mail.

Wordt uw telefoonnummer gespoofd, neem dan contact op met uw telecomprovider. Het NCSC wijst erop dat soms een nieuw nummer nodig is. Bij een nagemaakte website vraagt u de registrar om de site offline te halen.

Meld het misbruik bij de Fraudehelpdesk en waarschuw uw klanten. Vertel daarbij hoe u wel communiceert, bijvoorbeeld dat u nooit belt om codes te vragen en rekeningnummers niet per mail wijzigt. Zo maakt u de volgende poging minder geloofwaardig.

Veelgestelde vragen over spoofing

Wat is het verschil tussen spoofing en phishing?

Spoofing is de techniek: het vervalsen van een afzender. Phishing is de oplichting: proberen gegevens, geld of toegang te krijgen. Bij veel phishing wordt spoofing gebruikt om het bericht geloofwaardig te maken.

Kan iemand mailen vanaf mijn adres zonder dat mijn mailbox is gehackt?

Ja, dat is precies wat e-mailspoofing is. De crimineel zet uw adres als afzender in zijn eigen mail. Met SPF, DKIM en DMARC op reject weigeren ontvangers zulke mail, zodat het de crimineel veel minder oplevert.

Kan ik zien of een telefoonnummer is gespoofd?

Nee, niet betrouwbaar. Het nummer in uw scherm kan zijn vervalst. Hang bij twijfel op en bel zelf terug. Gebruik een nummer dat u zelf opzoekt, bijvoorbeeld op de website of op uw bankpas.

Hoe weet ik of ons domein goed beschermd is?

Test uw domein op internet.nl. Daar ziet u of SPF, DKIM en DMARC aanwezig zijn en of DMARC streng genoeg staat. Staat DMARC op none, dan wordt nagemaakte mail nog gewoon afgeleverd.

Helpt een spamfilter tegen spoofing?

Gedeeltelijk. Een spamfilter vangt veel nepmail af en kijkt daarbij ook naar SPF, DKIM en DMARC van de afzender. Gerichte mails en telefoontjes komen er wel doorheen. Uw eigen controle via een ander kanaal blijft dus nodig.