Dat kan alleen met nauwe samenwerking met de telco's. Hoe wil je anders alle SMS berichten die je zelf niet verstuurd toch analyseren op herkomst.

Inderdaad "kan", en dat is ook ongeveer wat https://www.gov.uk/government/news/record-number-of-fake-hmrc-websites-deactivated erover schrijft.

Dat "kan" is namelijk onder de voorwaarde dat DMARC op de zendende mailserver wordt gecombineerd met SPF of DKIM en dat het verzendende domein al deze protocollen op veilige wijze heeft geconfigureerd.

En onder de voorwaarde dat hun systemen niet gehacked zijn of op andere wijze door cybercriminelen kunnen worden misbruikt (zie https://www.security.nl/posting/567671/Phishingmail+die+om+DigiD+vroeg+maakt+200+slachtoffers#posting567969 voor een opmerkelijke configuratie bij "overheid.nl").

En zeker ook onder de voorwaarde dat alle betrokken ontvangende mailservers checken op deze protocollen en ernaar handelen, zonder daar een eigen invulling aan te geven (door alle vervelende bijwerkingen van deze protocollen -waaronder configuratiefoutjes op zendende mailservers-, zijn er veel ontvangende mailservers waarvan de beheerders toch maar iets anders geconfigureerd hebben - en daar heb je als zendend domein nou eenmaal weinig tot geen invloed op).

En dat is allemaal niet waar.

M.b.t. spam: juist door dit soort leugens wordt er in toenemende mate spam verzonden vanaf wegwerpdomeinen waarop spammers de protocollen SPF, DKIM, DomainKeys en DMARC correct hebben geïmplementeerd, ofwel zij sturen spam vanuit gehackte of speciaal ervoor aangemaakte accounts bij o.a. Gmail en live.com. Het is een fabeltje dat deze protocollen spam voorkomen. Ze maken het spammers wel wat lastiger, maar ze maken het alle legitieme mailverzendende domeinen minstens net zo lastig - omdat als je deze protocollen niet -of niet correct- implementeert, in toenemende mate ontvangende mailservers jouw mails als spam kunnen of zullen aanmerken.

M.b.t. phishing: met genoemde protocollen kan een ontvangende mailserver met behoorlijke zekerheid aantonen dat een e-mail is verzonden vanaf een specifiek domein. Als het afzenderdomein vervalst is, kan de ontvangende mailserver de e-mail als spam behandelen.

Klinkt prachtig, maar helpt dit ook echt op de lange termijn? Nee.

De reden daarvoor is dat veel e-mail clients (met name op portable devices) het afzenderdomein in het From: veld niet laten zien, en dat indien de e-mail client dat afzenderdomein wel laat zien, ontvangers eenvoudig om de tuin geleid kunnen worden met "lijkt-op" domeinnamen (zie https://www.security.nl/posting/567236/Overheid+waarschuwt+voor+phishingmails+die+om+DigiD+vragen#posting567294 voor voorbeelden van nep domeinnamen). In Groot Brittanië is dat overigens een stuk lastiger dan in Nederland, want e-mails van de Britse overheid hebben *.gov.uk als afzenderdomein (en het is extreem veel lastiger om als cybercrimineel een *.gov.uk domein geregistreerd te krijgen dan een *.nl domein).

Daarnaast, gebruikers zien in hun e-mail client nergens aan (tenzij ze headers bekijken, wat onmogelijk is in de meeste mobiele clients en bovendien vaardigheden vereist) of een e-mail is verzonden met deze protocollen (met bijbehorende "striktheids opties"), en of de ontvangende mailserver daar conform RFC's op heeft gecheckt.

Kortom, het enige dat protocollen als SPF, DKIM, DomainKeys en DMARC hooguit bewerkstelligen op ontvangende mailservers (mits zij daar conform specificaties op checken) is e-mails met:

1) authentiek afzenderdomein (ook nep klinkt-als domeinnamen dus!) doorlaten, meestal zonder dat de ontvanger weet of en welke checks hebben plaatsgevonden en wat wel/niet klopte (DMARC is OK als het afzenderdomein klopt in combinatie met ofwel SPF ofwel DKIM);

2) vervalst afzenderdomein blokkeren (het veiligste, maar dit gebeurt echt niet altijd) of als spam taggen - dat laatste natuurlijk met het risico dat gebruikers er alsnog mee aan de slag gaan, want ook legitieme mail komt wel eens in spamboxes terecht.

Suffe spammers en phishers die de protocollen SPF, DKIM, DomainKeys en DMARC niet (goed) begrijpen en/of goed impementeren hou je hier misschien mee tegen, maar slimme cybercriminelen niet. Spam hou je er op termijn niet mee tegen, en phishing alleen bij ontvangers die weten hoe zij het afzenderdomein zichtbaar kunnen maken en precies weten hoe het legitieme afzenderdomein van een specifieke organisatie moet luiden. Met de janboel aan *.nl domeinnamen vermoed ik: kansloos.

Als ik Bitwiper goed beluister wordt dit dus dweilen met de kraan open. Zeker als je sub-domein naam ineens jouw sub-domein naam niet meer is. Zeker met de gangbare configuraties bij zekere Nederlandse providers, de goede niet te na gesproken, waar echter ook nog zaken te verbeteren zijn. Daar valt niet tegenin te sinkholen.

Als een eindgebruiker ook niet weet wat in de junkmap hoort en moet worden weggegooid en wat niet, zijn we nog ver van huis. Als je weet dat zulke mails eigenlijk nooit in je mailbox horen te komen, ben je al een eind om er niet in te hoeven trappen.

Er zal veel meer inspanning nodig zijn zowel van server als aan client-zijde. Een adres met tracking en nummers en je hebt als spammer legio mogelijkheden. Als je deze mail niet goed kan lezen is ook duidelijk, direct weg ermee.

Vroeger had iemand een spam-o-lator gemaakt die een spammer zo overlaadde, dat die huilend op de knieen smeekte er mee op te houden. Zoiets zou een overheid toch ook kunnen doen of niet?

luntrus

@luntrus, dweilen met de kraan open: klopt.

Bijv. gisteren ontving ik spam schijnbaar van info@gmail.com op mijn xs4all account - iets dat met een veilige configuratie van DMARC in combinatie met ofwel SPF, ofwel DKIM, onmogelijk zou zijn.