E-mailspoofing
E-mailspoofing is het vervalsen van het afzenderadres van een e-mail, zodat een bericht lijkt te komen van iemand die het niet heeft verstuurd. Omdat het klassieke SMTP-protocol nooit controleerde wie een domein in de `From`-regel mocht gebruiken, kan een aanvaller *jouw* domein zetten op een e-mail die hij vanaf *zijn eigen* server verstuurt — en zonder de juiste DNS-r
E-mailspoofing is het vervalsen van het afzenderadres van een e-mail, zodat een bericht lijkt te komen van iemand die het niet heeft verstuurd. Omdat het klassieke SMTP-protocol nooit controleerde wie een domein in de From-regel mocht gebruiken, kan een aanvaller jouw domein zetten op een e-mail die hij vanaf zijn eigen server verstuurt — en zonder de juiste DNS-records hebben ontvangende servers geen betrouwbare manier om dat te betrappen. Spoofing is de motor achter de meeste phishing, business email compromise (BEC) en factuurfraude, en de verdediging is steeds hetzelfde trio DNS-records waar deze site om draait: SPF, DKIM en DMARC.
Hoe e-mailspoofing werkt
Elke e-mail draagt eigenlijk twee afzenderidentiteiten. Er is de envelope sender (het MAIL FROM-adres dat tijdens de SMTP-conversatie wordt gebruikt) en de header From (het vriendelijke adres dat je mailprogramma toont). Aanvallers misbruiken het gat daartussen:
- De aanvaller maakt verbinding met een mailserver en start een normale SMTP-sessie.
- In de berichtheaders schrijft hij simpelweg jouw domein in het
From-veld — niets weerhoudt hem ervanbilling@yourcompany.comin te typen. - De ontvangende server bezorgt het bericht. Tenzij jouw domein authenticatierecords publiceert, ziet de ontvanger een vertrouwd ogende afzender en geen waarschuwing.
Bij een spoofing-aanval wordt niets “gehackt” — er wordt geen wachtwoord gestolen en geen server gekraakt. De aanvaller misbruikt het feit dat een domein standaard niet aangeeft welke servers namens hem mogen verzenden. Die verklaring is precies wat SPF, DKIM en DMARC bieden.
De belangrijkste vormen van e-mailspoofing
Spoofing komt in verschillende vormen voor, elk met zijn eigen kenmerk en zijn eigen oplossing:
- Domeinspoofing — de aanvaller vervalst jouw exacte domein in het
From-adres. Dit is wat SPF, DKIM en DMARC direct voorkomen. - Display-name-spoofing — de zichtbare naam leest “Jouw CEO” terwijl het echte adres erachter een gratis webmailaccount is. DMARC kan dit niet alleen tegenhouden, omdat het verzendende domein daadwerkelijk dat van de aanvaller is.
- Look-alike / cousin domains — berichten komen van
yourcompany-support.comofyourcompanny.com, domeinen die de aanvaller daadwerkelijk bezit en kan authenticeren. Deze verslaan vraagt om monitoring en gebruikersbewustzijn, niet alleen SPF. - Echo / reply-chain-spoofing — aanvallers hergebruiken een echte, eerder verstuurde conversatie om een vervalst antwoord legitiem te laten lijken.
Weten met welk type je te maken hebt, vertelt je of authenticatierecords het meteen tegenhouden of dat je ook beschermingstools en monitoring nodig hebt.
Hoe SPF, DKIM en DMARC spoofing stoppen
De drie records werken als een gelaagde controle op elk inkomend bericht:
- SPF publiceert de lijst met IP-adressen die mail voor jouw domein mogen versturen. Een ontvanger controleert of de verzendende server op die lijst staat. Bouw en controleer de jouwe met de SPF Checker.
- DKIM voegt een cryptografische handtekening toe die bewijst dat het bericht niet is gewijzigd en echt van jouw domein kwam.
- DMARC koppelt SPF en DKIM aan het zichtbare
From-adres (alignment) en vertelt ontvangers wat te doen wanneer een bericht faalt —none,quarantineofreject.
Samen gepubliceerd met een -all SPF-policy en een p=reject DMARC-policy maken ze het praktisch onmogelijk voor een aanvaller om domein-gespoofte mail te versturen die in een inbox belandt. Onze volledige uitleg over hoe je e-mailspoofing voorkomt behandelt de exacte records die je moet publiceren.
De adder onder het gras: SPF alleen is niet genoeg — en het breekt stilletjes
SPF publiceren is de eerste stap, maar SPF heeft een harde limiet van 10 DNS-lookups, en elke ESP, CRM en marketingtool die je autoriseert vreet daaraan. Overschrijd de limiet en SPF geeft PermError terug, wat het hele record ongeldig maakt — waarna legitieme mail begint te falen en, erger nog, je anti-spoofing-bescherming stilletjes wegvalt. Dit is het probleem dat AutoSPF oplost: het houdt je SPF-record automatisch geflatten en onder de limiet, zodat de authenticatie die spoofing stopt gezond blijft terwijl je verzendinfrastructuur verandert. Combineer het met DKIM en een p=reject DMARC-policy en domeinspoofing werkt simpelweg niet meer.
Nieuw met de onderliggende records? Begin met hoe je een SPF-record aanmaakt en de referentie voor SPF-recordsyntaxis, en zorg dat de jouwe onder de 10-lookup-limiet blijft.
Veelgestelde vragen
Wat is e-mailspoofing?
E-mailspoofing is het vervalsen van het afzenderadres van een e-mail, zodat het lijkt te komen van een persoon of domein dat het niet daadwerkelijk heeft verstuurd. Het steunt op het feit dat basis-SMTP het From-adres niet controleert, en het is de belangrijkste techniek achter phishing en business email compromise. SPF, DKIM en DMARC zijn de DNS-records waarmee ontvangers het kunnen detecteren en weigeren.
Stopt SPF e-mailspoofing?
SPF stopt aanvallers ervan jouw exacte domein te vervalsen door ontvangers te vertellen welke servers ervoor mogen verzenden — maar alleen wanneer het gecombineerd wordt met DKIM en een DMARC-policy ingesteld op quarantine of reject, en alleen zolang het SPF-record geldig blijft onder de 10-lookup-limiet. SPF op zichzelf, of een kapot SPF-record, laat gaten open die spoofers uitbuiten.
Kan e-mailspoofing volledig worden voorkomen?
Domeinspoofing — het vervalsen van jouw exacte domein — kan effectief worden geëlimineerd met SPF, DKIM en een p=reject DMARC-policy. Display-name- en look-alike-domeinspoofing kunnen niet worden tegengehouden door je DNS-records alleen (de aanvaller gebruikt jouw domein niet), dus die vragen ook om bewustzijn bij ontvangers en monitoring.
Is e-mailspoofing hetzelfde als phishing?
Nee. Spoofing is een techniek — het vervalsen van het afzenderadres — terwijl phishing het doel is: iemand verleiden tot het prijsgeven van informatie of geld. De meeste phishing gebruikt spoofing, maar niet alle. Zie e-mailspoofing versus phishing voor het volledige onderscheid.
Hoe weet ik of mijn domein wordt gespoofed?
Signalen zijn onder meer bounce-berichten voor e-mails die je nooit hebt verstuurd (backscatter), ontvangers die verdachte mail van jouw domein melden en — het meest betrouwbaar — DMARC-aggregatierapporten die mail tonen die faalt op authenticatie vanaf IP’s die je niet herkent. DMARC publiceren (zelfs op p=none) zet die rapportage aan.