Een klant stuurt je een bericht door waarvan hij denkt dat jij het hebt verstuurd. Het vraagt hem een factuur te betalen op een nieuw rekeningnummer. Jij hebt het nooit geschreven. In het afzenderveld staat jouw domein, maar de mail kwam van een onbekende server aan de andere kant van de wereld.
Dat is e-mailspoofing. Iemand vervalst het Van-adres, zodat ontvangers denken dat de mail van jouw merk komt. Het schaadt het vertrouwen snel en kan mensen verleiden om geld over te maken of op schadelijke links te klikken. Spoofing hangt direct samen met de phishingpatronen uit hoe herken je een phishingmail. Zo werkt het, en dit stopt het.
Wat is e-mailspoofing?
E-mailspoofing is het versturen van een bericht met een nep-afzenderadres, meestal een adres dat past bij een domein dat jij bezit. Het e-mailprotocol is bedacht in een tijd van kleine, vertrouwde netwerken. Het Van-veld alleen bewijst dus niet wie het bericht heeft verstuurd.
Aanvallers misbruiken dat gat om zich voor te doen als banken, leveranciers en groeiende merken. Klanten die nepmail ontvangen, negeren later soms ook je echte berichten, zelfs als die gewoon kloppen.
Hoe spoofing je merk schaadt
Gespoofde mail kan leiden tot terugboekingen, een stortvloed aan supportvragen en openbare klachten waar jij niets aan kunt doen. Ontvangers geven de schuld aan de naam die ze in hun inbox zien, niet aan de verborgen server achter de vervalsing.
Ook je reputatie als afzender lijdt eronder. Als genoeg slechte mail jouw domein gebruikt, kunnen filters al je mail strenger behandelen. Het vertrouwen dat je opbouwt met hoe professionele e-mail vertrouwen wekt brokkelt af als iedereen jouw adres onder een bericht kan plakken.
Zo bescherm je je domein tegen spoofing
1. Publiceer verificatierecords
SPF-, DKIM- en DMARC-records vertellen ontvangende servers welke mail namens jouw domein is toegestaan. Ze stoppen niet elke aanval op hun eentje, maar geven inboxproviders duidelijke regels voor het omgaan met nepmail. Je stelt ze in via wat SPF-, DKIM- en DMARC-records zijn.
2. Verstuur alleen via je e-mailhosting
Als alle uitgaande mail via de servers van je provider loopt, blijft je SPF-record kloppen. Losse tools die "namens" je domein versturen zonder je provider te gebruiken, kunnen de verificatie breken en gaten voor spoofing openen.
3. Controleer en scherp je beleid na verloop van tijd aan
Begin met het monitoren van de rapporten van je DMARC-record, zodat je ziet wie mail verstuurt die jouw domein claimt. Scherp het beleid aan zodra je zeker weet dat legitieme afzenders de controles doorstaan. Je DNS-basis uit DNS-records voor e-mail met een eigen domein maakt dit mogelijk.
Spoofing verdwijnt niet van de ene op de andere dag, maar verificatie geeft ontvangende servers een manier om bedriegers af te wijzen. Combineer de records met training van je team, zodat je team en je klanten weten hoe jij echt communiceert.
Veelgestelde vragen
Is e-mailspoofing hetzelfde als het hacken van mijn mailbox?
Bij spoofing wordt het afzenderadres vervalst zonder dat iemand toegang nodig heeft tot je inbox. Een gehackte mailbox is een ander probleem, waarbij iemand als jou inlogt. Voor beide heb je sterke wachtwoorden en verificatierecords nodig. Dat beheer je gemakkelijk als domein en mail samen in WEMASY staan via de Websitebouwer.
Kunnen klanten zien wanneer een e-mail gespoofd is?
De meeste ontvangers zien technische headers niet zonder in de berichtdetails te duiken. Verificatie helpt hun inboxprovider om nepmail te blokkeren of te markeren voordat die aankomt. Duidelijke betaal- en contactafspraken op je website vormen een tweede verdedigingslinie.
Stopt een e-mailadres met eigen domein spoofing automatisch?
Met een eigen domein heb je controle over je DNS, maar bescherming tegen spoofing vraagt om verificatierecords die je zelf instelt. Lees wat een e-mailadres met eigen domein is voor de stappen en voeg daarna SPF, DKIM en DMARC toe.
Kunnen marketingberichten spoofingproblemen veroorzaken?
Elke tool die namens je domein verstuurt, moet in je SPF-record staan en DKIM-ondertekening doorstaan. Ontbreekt een campagnetool in je records, dan kan legitieme mail de controles net als nepmail niet doorstaan.
Wat moet ik doen als een klant een nepmail van mijn domein meldt?
Bedank de klant, bevestig dat jij de mail niet hebt verstuurd en vraag of die de headers wil doorsturen als je provider misbruikmeldingen ondersteunt. Bekijk je DMARC-rapporten om te zien of niet-geautoriseerde servers je domein gebruiken.
Hoe hangt spoofing samen met problemen met de spammap?
Als een domein een mix van geverifieerde en niet-geverifieerde mail verstuurt, hebben filters moeite om je te vertrouwen. Het hoofdstuk waarom zakelijke e-mails in spam belanden laat zien hoe reputatie en verificatie samenhangen.