Dolende e-mail door 'vertikkingen' is best te voorkomen

Het vergeten van de 'i' bij het sturen van een mail naar het .mil-domein, zorgt ervoor dat het bericht belandt op een server in Mali. Zoals eerder deze week duidelijk werd, gebeurde dat sinds januari maar liefst 117.000 keer. Daarbij werden wachtwoorden, reisgegevens van hooggeplaatste militairen en vele andere details inzichtelijk voor mensen die geen toegang zouden moeten hebben tot die informatie. De Nederlander Johannes Zuurbier die met zijn bedrijf Mali Dili een contract heeft voor het beheer voor het countrycode-domein van Mali, trok hierover al verschillende keren aan de bel bij diverse Amerikaanse overheden, waaronder bij het ministerie zelf en het Witte Huis. Saillant detail daarbij is dat zijn contract volgende week maandag afloopt en het beheer dan terugvalt aan de overheid van Mali, dat nauwe banden onderhoud met de Russische overheid.

Een woordvoerder van het Amerikaanse ministerie zegt dat mail verstuurd vanaf het .mil-topdomein wel wordt gecontroleerd op de typefout. Maar de meeste berichten gestuurd naar .mil-accounts, komen van derden, zoals diplomatieke diensten, reisbureau's en gezondheidscentra en meer.

Bescherming is niet onmogelijk

Het is wat lastiger om te voorkomen dat derden mail sturen naar een ander account dan dat zij bedoelen. "Uiteindelijk ligt de verantwoordelijkheid bij de verzender", zegt Marnie van Duijnhoven, woordvoerder van SIDN, de beheerder van het Nederlands topdomein .nl. Die partijen kunnen maatregelen nemen zoals een extra check op het versturen van mail naar 'gevoelige' domeinen. Er zou dan een pop-up kunnen verschijnen met een tekst in de trant van "U staat nu op het punt een mail te sturen naar een mailadres geregistreerd in Mali (.ml-domein). Weet u zeker dat u dat wilt?"

Als het echt om vertrouwelijke stukken, gaat is het volgens Van Duijnhoven de vraag of het verstandig is daarvoor e-mail te gebruiken. "In praktijk zie je steeds meer organisaties die een e-mail versturen met daarin het verzoek ergens in te loggen. 'Mijn overheid' is bijvoorbeeld een organisatie die je informeert via e-mail. Om het echte bericht te kunnen zien, dien je in te loggen."

Op die manier kunnen de gevoelige documenten niet gaan zwerven. Om phishing te voorkomen is het verstandig zo'n e-mail alleen te voorzien van een melding dat er een nieuw document klaar staat en geen link in de uitnodiging te versturen. Het Amerikaanse ministerie zou kunnen afdwingen aan alle contacten die naar het .mil-domein mailen van zo'n beveiligd systeem gebruik te maken.

Veiliger is vaak niet makkelijker

Die oplossing werkt want zo kunnen alleen de uitnodigingen in Mali belanden, maar de inloggegevens zijn daar niet bekend. Deze methode is wel wat omslachtig. "Uiteindelijk gaat het gebruikers vaak om gemak. Het versturen van e-mail is eenvoudiger dan het werken met een beveiligd systeem", geeft Van Duijnhoven toe.

Het gebruik van het .mil-topdomein helemaal opheffen en de mail voortaan via een topdomein laten lopen waar minder kans is op 'vertikkingen', is ook een optie, maar ook niet eenvoudig. Alle mailadressen moeten dan van een nieuwe topdomeincode worden voorzien en alle contacten moeten dat overnemen.