Hur vi skyddar Oatly mot epostbedrägerier.

E-postbedrägerier är alla typer av bedrägerier där någon förfalskar en e-postadress för att utge sig för att vara någon annan i syfte att komma över pengar, känslig information och/eller sprida skadlig kod. Tidigare har e-postbedrägerier i regel handlat om att registrera ett förväxlingsbart domännamn för att lura ett företags kunder och/eller anställda.

På senare tid har så kallad ”spoofing” blivit ett stort problem. Att ”spoofa” är att skicka e-postmeddelanden till mottagare som exakt ser ut att komma från den person man vill utge sig för att vara, inklusive den personens exakta mailadress som avsändare. E-postbedrägerier riktar sig inte enbart mot den egna organisationen, utan även mot företagets kunder och/eller leverantörer.

Anledningen till spoofing existerar är att e-postsystemet i grund och botten saknar mekanismer att hindra någon från att skicka ett mail med någon annans e-postadress som avsändare.

En vanlig missuppfattning är att problemet med spoofing ligger på mottagaren av det förfalskade e-postmeddelandet (offret) att lösa/förhindra. Men för att faktiskt kunna stoppa ett illegitimt e-postmeddelande krävs det att ägaren av domännamnet som används som avsändare har möjliggjort detta. Därför ligger ansvaret för att förhindra spoofing alltid primärt på ägaren av domännamnet, inte den potentiella mottagaren av det spoofade mailet. Det är alltså primärt ett skickande och inte mottagande problem.

Ägare av domännamn kan stoppa illegitima e-postmeddelanden, och därigenom den mest lömska av e-postbedrägerier, genom att implementera DMARC, SPF och DKIM. Detta hjälper mottagande SPAM-filter/server avgöra om e-postmeddelandet är legitimt eller inte, samt dikterar för mottagarens system vad som ska hända med eventuella illegitima e-postmeddelanden (vanligtvis att inte nå mottagaren alls).

Oatly har länge legat i framkant vad gäller att skapa en säker IT-närvaro. Därför är det inte så konstigt att de tidigt insåg vikten av att säkra upp sin e-posthantering och därmed minimera risken för att någon ska kunna använda deras identitet för att begå bedrägeri.

För att säkerställa att Oatly har en så säker e-posthantering som möjligt initierades Ports Groups tjänst Email Compromise Protection. Processen började med en förstudie under vilken vi övervakade och analyserade Oatlys e-postflöde från alla domännamn under en period. Syftet var att få koll på nuläget och identifiera legitima och icke-legitima avsändare. När förstudien var klar hölls en genomgång av resultatet tillsammans med Oatly, där vi även gick igenom förslag på implementation av en policy för autentisering av skickande mailservrar. Till skillnad från det vanliga bruket av ordet policy, som oftast brukar innebära ett styrdokument på ett intranät, innebär policy i detta sammanhang en teknisk säkerhetsmekanism på DNS-nivå som avgör vad som händer när ett ”icke-legitimt” mail når sin mottagare.

Efter presentation av förstudien och dess resultat kom vi tillsammans överens om en implementation av ett antal autentiserings- och övervakningsmekanismer. Detta skedde i två steg:

• Steg 1
  På huvuddomänen, som är den enda skickande domänen, började vi med att identifiera vilka servrar som ska få skicka mail från domänen. Sedan sattes en karantänpolicy för alla icke-legitima servrar. De eventuella mail som inte följde policyn hamnade i mottagarens skräppost.
• Steg 2
  När det säkerställs att samtliga servrar som ska vara godkända faktiskt var godkända implementerades en ”reject policy” vilket innebär att mail som nu inte följer policy ej når mottagaren alls.

Resultatet av detta är en säker e-posthantering med en hundraprocentig ”reject” hos mottagaren på eventuella försök att skicka icke-legitima mail via som ska se ut att komma från oatly.com.

Skydd mot att förväxlingsbara domännamn används i bedrägligt syfte
Att implementera tjänsten Email Compromise Protection motverkar försök till att skicka mail med den exakta primära domänen som avsändare. Men det hindrar inte mot att någon registrerar ett snarlikt/förväxlingsbart domännamn och med ont uppsåt använder det mot exempelvis anställda och/eller personer på andra företag.

Därför kompletteras Email Compromise Protection med tidigare nämnda domännamnsbevakning för att kunna identifiera hot i form av tredjepartsregistreringar och kunna vidta juridiska åtgärder som varningsbrev och eventuell domännamnstvist.

Oatly har i och med detta tagit ansvar för att skydda både sig själva, men även sina kunder och samarbetspartners, mot bedrägligt beteende.