Zkuste si to představit: podvodník napíše vaší účetní kolegyni z adresy, která na první pohled vypadá přesně jako ta vaše. Podpis sedí, logo v patičce sedí, tón e-mailu sedí. Jediné, co nesedí, je číslo účtu ve faktuře v příloze. Nezní to jako sci-fi útok s hackováním serverů – a taky žádné hackování potřeba není. Stačí, že vaše doména nemá nastavené tři technické záznamy, o kterých většina majitelů firem v životě neslyšela. Bez nich totiž může e-mail „od vás“ poslat naprosto kdokoli, odkudkoli.

Co je spoofing a proč je tak snadný

E-mail funguje trochu jako obyčejná obálka s napsaným odesílatelem – poštovní schránka nekontroluje, jestli jméno na obálce odpovídá tomu, kdo dopis skutečně vhodil do koše. Stejně tak e-mailový protokol sám o sobě neověřuje, že zpráva podepsaná jako „faktury@vasefirma.cz“ opravdu z vašeho serveru vyšla. Útočník si prostě do svého odesílacího programu napíše vaši adresu jako odesílatele a zpráva odejde. Tomu se říká spoofing – podvržení identity odesílatele.

Pokud vaše doména nemá nastavené tři konkrétní technické záznamy (SPF, DKIM, DMARC), poštovní servery na straně příjemce nemají žádný způsob, jak takovou podvrženou zprávu odhalit. Pro ně je nerozeznatelná od e-mailu, který jste skutečně poslali vy.

Tři strážci vaší firemní schránky

Zní to technicky, ale principem jde o tři jednoduché věci, které si můžete představit jako ostrahu u vchodu:

SPF je seznam poštovních serverů, kterým jste jako firma dali svolení posílat e-maily pod vaší doménou – podobně jako recepce má seznam kurýrů, kteří smí do budovy vstoupit. Server příjemce se podívá, jestli e-mail přišel z adresy na tomto seznamu. Pokud ne, je to podezřelé.

DKIM funguje jako neviditelná pečeť na dopisu. Každý odchozí e-mail se digitálně „zapečetí“ tak, aby příjemce poznal, že zpráva cestou nebyla změněna a skutečně vznikla na vašem serveru. Pokud pečeť sedí, obsah je pravý.

DMARC je pravidlo, které říká poštovním serverům, co mají dělat, když SPF nebo DKIM selžou – tedy když někdo posílá poštu vaším jménem bez povolení. Zprávu mohou rovnou zahodit, poslat do spamu, nebo ji jen tiše propustit a vás o pokusu informovat reportem. Bez nastaveného DMARC nemá žádné z předchozích dvou opatření prakticky žádnou vymahatelnost – server sice vidí, že něco nesedí, ale bez instrukce co dělat to často stejně propustí do doručené pošty.

Proč na tom firmám záleží víc, než si myslí

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) ve své metodice pro státní instituce výslovně požaduje, aby domény používané k odesílání pošty měly nastavené SPF i DKIM a aby DMARC politika byla nastavená na „quarantine“ nebo rovnou „reject“ – tedy aby se podvržené zprávy automaticky odmítaly. Není to detail pro nadšence do bezpečnosti, ale standard, který si vynutila praxe: útoky s podvrženým odesílatelem jsou dlouhodobě jednou z nejběžnějších cest, jak podvodníci obcházejí důvěru mezi firmou a jejími zákazníky.

Podobný princip stojí i za phishingem, který dlouhodobě řeší například Česká spořitelna – útočníci se snaží vzbudit dojem, že zpráva pochází od skutečné, důvěryhodné organizace, a k tomu jim padělaná hlavička e-mailu pomáhá. U velké banky si toho všimnou tisíce lidí a část útoku odhalí. U malé nebo střední firmy si podvodnou fakturu s pozměněným číslem účtu často všimne až účetní, která peníze omylem pošle – nebo se na to nepřijde vůbec.

Na co si dát pozor

• Nikdy jste se SPF, DKIM ani DMARC nezabývali při zakládání firemního e-mailu nebo webu – u menších firem je to bohužel pravidlo, ne výjimka.
• Vaše legitimní e-maily občas končí zákazníkům ve spamu, i když je posíláte běžně a bez problémů – to bývá první příznak chybějící autentizace, ne náhoda.
• Nikdy jste nedostali žádný report o tom, kdo se pod vaší doménou pokusil posílat poštu – bez DMARC reportů o tom prostě nemáte ponětí, ani kdyby se to dělo pravidelně.
• Partneři nebo zákazníci vám v minulosti hlásili „divný e-mail od vás“, který jste sami neposlali – to není ojedinělá náhoda, ale signál, že vaše doména je zneužívaná.
• Doménu spravuje web nebo hosting z doby, kdy tato témata ještě nebyla běžná – starší nastavení bez SPF/DKIM/DMARC je velmi časté.

Co s tím

Dobrá zpráva: na rozdíl od spousty jiných bezpečnostních problémů se tenhle dá vyřešit rychle, levně a bez zásahu do webu.

• Zkontrolujte, jestli SPF, DKIM a DMARC vůbec existují. Jde o pár řádků v DNS nastavení domény – buď je má váš poskytovatel hostingu nebo e-mailu, nebo je nemá nikdo.
• Pokud chybí, nechte je nastavit u správce domény nebo e-mailových schránek. Většina poskytovatelů (Active24, Websupport, Seznam, Google Workspace a další) má na to jednoduchý návod přímo v administraci – nastavení trvá řádově desítky minut.
• Nastavujte DMARC postupně. Nejdřív v režimu, který jen sleduje a posílá vám reporty, teprve pak přitvrďte na „quarantine“ nebo „reject“, ať omylem nezablokujete i vlastní legitimní poštu.
• Ověřte si to i u druhotných domén, které vlastníte, ale aktivně z nich nic neposíláte – i ty by měly mít alespoň SPF a DMARC, jinak jsou ideálním nástrojem pro podvodníky.
• Nechte si to jednou za čas zkontrolovat zvenku, nezávisle na tom, kdo vám doménu nebo web spravuje – nastavení se dá omylem rozbít při migraci webu, změně hostingu nebo výměně dodavatele.

Tohle je přesně jedna z věcí, kterou revize WebRevize prověřuje jako první – jde o čistě pasivní kontrolu veřejně dostupných DNS záznamů, bez jakéhokoli zásahu do vašeho webu nebo e-mailu.

Zdroje: NÚKIB – Metodika zabezpečení e-mailových domén (SPF, DKIM, DMARC), Česká spořitelna – Phishing a podvodné e-maily, Seznam.cz Email.cz – Autentizace pomocí SPF, DKIM a DMARC.