Spoofbaar RIVM had mailbeveiliging weer uitgezet

Onbevoegden konden mails versturen uit naam van het RIVM, en ook de Rijksoverheid. Daarbij konden deze valse berichten zo gespoofed worden dat ze niet gevangen zouden worden door spamfilters. Deze kwetsbaarheid is ontdekt en vervolgens gemeld door RTL Nieuws, waarna het RIVM en de Rijksoverheid het binnen enkele uren oplosten. Het bleek te gaan om het ontbreken van DMARC (Domain-based Message Authentication, Reporting and Conformance), een protocol voor authenticatie van mails waarmee phishing valt te bestrijden. Daarvoor moeten mailservers dit wel ingesteld hebben voor hun domeinnamen.

Prioriteiten

Het instellen van DMARC is met prioriteit opgepakt, vertelt een woordvoerster van het RIVM aan AG Connect. Dit securityprotocol voor mail - en daarmee in wezen ook de kwetsbaarheid - bleek al bekend te zijn bij het Rijksinstituut voor volksgezondheid en milieu. "Het was een tijdje terug al ingesteld. Maar toen bleken enkele applicaties niet meer te werken", legt de woordvoerster uit.

Vervolgens is deze voorziening voor mailsecurity weer uitgeschakeld. Dit om dan ná aanpassing van de getroffen applicaties op een gegeven moment weer ingeschakeld te kunnen worden. "We hebben sindsdien wel gemonitord, op misbruik", benadrukt de woordvoerster nog. Toen het bij de RIVM gemeld werd dat mailspoofing mogelijk was, is de overheidsinstantie overgegaan tot heractivering van DMARC. Het besef was namelijk dat naast verantwoorde journalisten nu ook anderen zouden kunnen zoeken naar deze kwetsbaarheid, aldus de woordvoerster.

Andere tijden

Wanneer de initiële DMARC-activering precies was en wat nu de status is van toen gehinderde applicaties is nog onbekend. AG Connect heeft vervolgvragen hierover uitstaan bij het RIVM. Mogelijk was er al sprake van aanpassing waardoor de DMARC-incompatibele applicaties nu wel naar behoren werken. Of mogelijk wordt die werking nu als acceptabel 'offer' gezien. "De tijden zijn wel heel anders nu" dan toen bij de oorspronkelijke invoering van DMARC, voegt de woordvoerster nog toe.