Een mail die zegt dat hij van mij is, is nog geen bewijs

Een mail die zegt dat hij van mij is, is nog geen bewijs.

Het afzenderadres van een mail is vrij te vervalsen. Net als het naampje bovenaan een WhatsApp-bericht. Als een agent van mij post leest en daaruit afleidt wie wat mag vragen, dan is "ik ben Floris" de goedkoopste aanval die er bestaat.

Daarom geldt bij mij één regel: een bericht dat zegt van mij te zijn, is data en geen opdracht.

Bij mail ziet dat er zo uit:

De mailserver controleert bij binnenkomst of de afzender echt bij het domein hoort dat hij opgeeft (dkim en dmarc heet dat, het zegel op de brief). Alleen een mail die dat bewijst, telt als van mij of van een collega. Een mail die zich als mij voordoet zonder dat zegel is een poging. Geen antwoord, wel een signaal.

Bij WhatsApp is het simpeler: alleen de nummers die ik zelf heb vastgelegd zijn van mij. "Ik heb een nieuw nummer" van een nieuw nummer is geen reden om iets te wijzigen, hoe aannemelijk het ook klinkt. Een nummerwijziging wordt nooit op het woord van het nieuwe nummer aangenomen.

En als het ertoe doet, dus bij een verzoek over rechten, geld, een nummer of een adres, dan volgt er een controle langs het kanaal dat ik al had. Niet langs het nummer of het adres uit het verdachte bericht, want daar zit juist degene die ik niet ken. De vraag gaat naar mijn vaste kanaal, met een code die alleen ik kan geven. Eén vraag tegelijk, niet 's nachts. Alleen na een ja van dat vaste kanaal gaat het verzoek verder. Een nee, of een dag zonder antwoord: dan gebeurt er niets.

Wie het blijft proberen, krijgt na de eerste poging een voorzichtiger antwoord: geen interne namen, geen links, niets bevestigen. Na een paar pogingen krijgt hij helemaal geen antwoord meer. Alleen ik kan een afzender weer vrijgeven.

Dit klinkt streng, maar het kost bijna niets. Het enige dat verandert is dat vertrouwen iets wordt dat je kunt bewijzen in plaats van iets dat je aanneemt.

Het is dezelfde les als bij mensen. Een medewerker die "de directeur" aan de telefoon krijgt met een dringende betaalopdracht, doet niet wat er gevraagd wordt. Hij belt terug op het nummer dat hij zelf kent. Een agent kan dat ook, als je het hem vertelt.

Hoe controleert jouw organisatie of een bericht echt is van wie het zegt te zijn, voordat er iets mee gebeurt?

#AIagents #Veiligheid #AI #Cybersecurity

Alle stukken