”Vi är för små för att vara en måltavla” – vad som faktiskt händer när kriminella skickar e-post i ditt namn

Den dyraste meningen inom småföretagens säkerhet är ”ingen skulle bry sig om att attackera oss”. EU:s cybersäkerhetsbyrå ENISA har studerat just detta i rapporten Cybersecurity for SMEs, och slutsatsen är rak: kriminella angriper företag av alla storlekar, och de föredrar ofta mindre företag – just för att mindre företag antar att de inte är måltavlor och skyddar sig därefter. Det finns också ett andra skäl: små företag är leverantörer till större, vilket gör ett litet företags e-postkonto till en språngbräda in i kundernas organisationer.

ENISA:s SME-rapport från 2021 bygger på en enkät med 249 företag genomförd i juli–september 2020. Mer än 80 % bedömde att en allvarlig incident skulle skada verksamheten inom en vecka; 57 % trodde att den kunde slå ut företaget. Det är respondenternas bedömningar, inte uppmätta utfall eller en aktuell sannolikhet för ditt företag.

Ett verkligt fall – och vad det kostade

En incident som dokumenteras i ENISA-rapporten förtjänar att läsas av varje företagare. En marknadsföringsbyrå med färre än 25 anställda flyttade sin e-post till molnet. En medarbetare gick på ett nätfiskemejl och angav sina inloggningsuppgifter på en falsk sida. De kriminella tog över e-postkontot – och använde det sedan för att mejla byråns kunder: några fick falska fakturor med nya bankuppgifter, andra fick nätfiskelänkar.

Bedrägeriet upptäcktes av en av byråns kunder. Kunden avslutade sedan alla framtida affärer – värda 200 000 till 300 000 euro per år – med hänvisning till oro för byråns säkerhet.

Lägg märke till vad som faktiskt orsakade skadan. Inte dataförlust. Inte driftstopp. Byråns domän och identitet gjordes till ett vapen mot dem som litade på den, och den bestående kostnaden var förtroendet.

Varför e-posten är ytterdörren

SME-rapporten från 2021 hänvisar till äldre hotforskning om social manipulation. Det ska inte läsas som en aktuell andel av alla cyberattacker. E-post är en av vägarna för att vilseleda mottagare: angripare kan imitera ett bekant avsändarnamn, använda en förväxlingsbar domän, förfalska en domän eller kapa ett riktigt konto. Det är olika problem, och DNS-autentisering hanterar bara vissa av dem.

Här finns två olika slags angrepp, och de kräver olika försvar:

Kontokapning (account takeover) – kriminella stjäl inloggningsuppgifterna till ett riktigt e-postkonto. Ditt försvar är flerfaktorsautentisering och medvetenhet hos personalen.

Domänförfalskning (spoofing) – kriminella skickar från sina egna servrar men förfalskar din domän som avsändare. Inget lösenord stjäls; inget av ditt blir ”hackat”. Ditt försvar är att få mottagande e-postservrar att avvisa förfalskningen – och det är precis vad DMARC, byggt på SPF och DKIM, gör när det är konfigurerat med en tvingande policy.

De flesta småföretag har delvis hanterat det första och helt ignorerat det andra – oftast för att ingenting synligt går sönder. Förfalskning är som standard osynlig för dig: den bedrägliga e-posten går till dina kunder och leverantörer, inte till dig.

Checklistan, i ordning efter effekt

ENISA:s rekommendationer för små och medelstora företag betonar att effektiv säkerhet inte behöver vara dyr – de flesta åtgärder handlar om disciplin, inte budget. För e-posten specifikt:

1. Slå på flerfaktorsautentisering för e-postkonton. Det minskar risken för kontokapning, särskilt med nätfiskeresistenta metoder. DMARC hade inte stoppat mejl som skickades genom det kapade kontot i byråfallet.
2. Publicera en DMARC-post med rapportering. Mottagna rapporter visar källor som rapporterande mottagare har sett, även sådana du kanske inte känner igen. Stäm av dem mot din avsändarinventering; täckningen är ofullständig och rapporter kan komma sent.
3. Gå stegvis mot en tvingande DMARC-policy efter att du har kontrollerat legitima avsändare över en hel sändningscykel.p=reject begär att mottagarna avvisar mejl som inte klarar DMARC och minskar direkt förfalskning där policyn tillämpas. Mottagarundantag, förväxlingsbara domäner och kapade konton är fortfarande möjliga.
4. Inför en regel för betalningskontroll: inga ändrade bankuppgifter och inga brådskande överföringar genomförs någonsin enbart på grundval av ett mejl – bekräfta per telefon eller personligen. ENISA rekommenderar just den här kombinationen av tekniska och rutinmässiga kontroller.
5. Utbilda kort och regelbundet. Personal som har sett ett simulerat nätfiskemejl känner igen ett riktigt snabbare.

Bara 28 % av de små och medelstora företagen i ENISA:s enkät hade gett någon alls ansvar för säkerheten. Du behöver ingen CISO. Du behöver någon som äger den här checklistan – internt eller via din IT-leverantör.

Klockan tickar i leverantörskedjan

Ytterligare ett skäl att agera nu snarare än någon gång längre fram: enligt EU:s NIS2-regelverk är större företag skyldiga enligt lag att hantera säkerheten i sina leverantörskedjor. I praktiken innebär det säkerhetsenkäter och avtalsklausuler som förs vidare nedåt till deras leverantörer – även de små. ”Tillämpar ni DMARC med tvingande policy?” börjar dyka upp i de enkäterna. Att kunna svara ja, med belägg, håller på att bli ett villkor för att göra affärer med större kunder – inte bara något som är bra att ha.