Gemeenten beveiligen e-mail slecht

encryptie

Vrijwel geen enkele gemeenten voldoet aan de verplicht beveiligingsstandaarden voor e-mail. Gemeenten zijn hierdoor onnodig kwetsbaar voor cybercriminaliteit.

Dit blijkt uit steekproef van Binnenlands Bestuur onder vijftig gemeenten. Slechts drie gemeenten blijken aan standaarden voor e-mailbeveiliging te voldoen: Den Haag, ‘s-Hertogenbosch en Woerden. Andere grote gemeenten zoals Amsterdam, Rotterdam en Utrecht voldoen niet aan de eisen. Internet Society Nederland noemt de resultaten een probleem, en stelt dat gemeenten al lang hadden kunnen en moeten voldoen aan de standaarden.

E-mail omleiden naar ander mailadres

Uit een test van Binnenlands Bestuur blijkt onder andere dat bij 35 van de vijftig onderzochte gemeenten het gemeentelijk e-mailadres eenvoudig kan worden omgeleid naar een ander adres. Hierdoor kunnen e-mail van en naar gemeenten bij kwaadwillende partijen terecht komen.

Ook wijst de site op het risico van webmail. Door het ontbreken van adequate beveiliging zijn ambtenaren nauwelijks in staat nepversies van hun webmail te herkennen. Indien aanvallers via een phishingaanval een nagemaakte versie van de webmailomgeving presenteren aan ambtenaren is de kans dan ook aanwezig dat hier inloggegevens worden ingevoerd. Met deze inloggegevens krijgen aanvallers vervolgens volledig toegang tot het e-mailaccount.

DKIM, SPF en DMARC

Voor het terugdringen van phishing, spam en virussen zijn de drie internetstandaarden DKIM, SPF en DMARC opgezet. Deze standaarden worden onder andere gebruikt om te controleren of de afzender en verzender van een e-mailbericht authentiek zijn en of de inhoud van het bericht onderweg niet is gemanipuleerd. 47 van de vijftig gemeenten voldoen niet aan deze standaarden. Hierdoor is het voor ontvangers van gemeentelijke mail niet mogelijk te controleren of deze e-mail wel daadwerkelijk vanaf het gemeentelijke e-maildomein is verstuurd. Ook blijken veertien van de vijftig gemeenten geen beveiligde verbinding te gebruiken voor e-mailverkeer. Indien dit verkeer wordt onderschept kunnen e-mailberichten dan ook eenvoudig worden ingezien door aanvallers.

Gemeenten kunnen controleren of zij aan de internetstandaarden voldoen via de website Internet.nl. Hier is een zelftest beschikbaar, die is ontworpen door onder meer het ministerie van Economisch Zaken, het Nationaal Cyber Security Centrum en diverse grote (branche)organisaties die samenwerken in het Platform Internetstandaarden.

Lees ook
Terugblik met Remco Geerts van Tesorion

Terugblik met Remco Geerts van Tesorion

InfosecurityMagazine bestaat tien jaar. Wat is er in die tijd veranderd? Die vraag is voorgelegd aan Remco Geerts. Remco is bij Tesorion verantwoordelijk voor strategie en innovatie. Hij zit ruim 25 jaar in de sector. Hierdoor is hij niet alleen de juiste persoon voor die functie, maar ook voor dit interview.

Orange Cyberdefense: deze 7 veelgemaakte fouten maken OT-omgevingen kwetsbaar

Orange Cyberdefense: deze 7 veelgemaakte fouten maken OT-omgevingen kwetsbaar

Volgens onderzoek van Orange Cyberdefense was de maakindustrie het afgelopen jaar het grootste doelwit van cyberaanvallen: bijna 33 procent trof deze sector. Al jaren is deze industrie het vaakst getroffen. Jeroen Wijnands, Head of OT Security bij Orange Cyberdefense, ziet bij het gros van deze bedrijven dezelfde misstappen. Dit zijn volgens hem d1

Cloudflare-rapport maakt inzichtelijk dat organisaties moeilijkheden ondervinden bij het identificeren en beheren van cyberrisico's van API's

Cloudflare-rapport maakt inzichtelijk dat organisaties moeilijkheden ondervinden bij het identificeren en beheren van cyberrisico's van API's

Cloudflare heeft het API Security & Management Report gepubliceerd. Dit rapport onthult dat API's meer dan ooit worden ingezet, waardoor bedrijven de deur wijd openzetten voor meer online bedreigingen dan we eerder hebben meegemaakt. Het rapport maakt inzichtelijk dat er een kloof bestaat tussen het gebruik van API’s door bedrijven en hun vermogen1