Spoofing
Når en afsender udgiver sig for at være en anden, fx ved at bruge jeres domæne som afsender i en falsk mail.
Kort svar
Spoofing betyder, at en afsender udgiver sig for at være en anden – typisk ved at skrive jeres domæne i Fra-adressen på en falsk mail. Det kan lade sig gøre, fordi mailsystemet oprindeligt ikke kontrollerer afsenderen. SPF, DKIM og DMARC gør det langt sværere at misbruge jeres præcise domæne, men beskytter ikke mod domæner, der blot ligner jeres.
Spoofing af jeres domæne
- Fra-adressen er præcis firma.dk
- Mailen kommer ikke fra jeres systemer
- Fejler DMARC, når I har SPF og DKIM
- Stoppes typisk af p=reject hos modtageren
Lignende domæne
- Fra-adressen er fx firrna.dk eller firma-dk.com
- Svindleren ejer domænet og kan sætte SPF/DKIM op
- Kan bestå alle godkendelsestjek
- Kræver opmærksomhed, rutiner og filtrering
Hvorfor afsenderen kan forfalskes
En mail har to afsenderadresser: konvolutadressen, som mailservere bruger undervejs, og den Fra-adresse, som modtageren ser i sit mailprogram. Mailprotokollen i sig selv kontrollerer ingen af dem. En svindler kan derfor sende fra sin egen server og skrive bogholderi@firma.dk i Fra-feltet.
Visningsnavnet kan også forfalskes for sig: En mail kan stå som „Anne Jensen“ i indbakken, selv om adressen bag er en helt anden. På mobilen ses adressen ofte slet ikke.
Hvad SPF, DKIM og DMARC beskytter imod
SPF og DKIM kan hver for sig bestås af en svindler, der bruger sit eget domæne i konvolutten eller signaturen. Det er først DMARC, der kræver, at et godkendt domæne passer med den synlige Fra-adresse. Med DMARC på p=reject kan modtagere, der følger politikken, afvise falske mails med jeres præcise domæne.
Det beskytter jeres kunder og samarbejdspartnere mod mails, der ser ud til at komme fra jer. Det beskytter ikke jer selv mod falske mails fra andres domæner – det afhænger af afsenderens opsætning og jeres eget spamfilter.
Vær opmærksom: Et lignende domæne (fx firrna.dk med to r’er og n i stedet for m) er ikke spoofing af jeres domæne, men et selvstændigt domæne. Det kan have gyldig SPF, DKIM og DMARC og alligevel være svindel. Microsoft kalder det impersonation (efterligning).
Spoofing i praksis: falske betalingsanmodninger
Den mest kostbare form for spoofing rammer betalinger. Svindleren udgiver sig for at være direktøren, en leverandør eller jeres bogholderi og beder om en hurtig overførsel eller et nyt kontonummer. Ofte er mailen kort, presserende og uden links eller vedhæftede filer – så den slipper forbi filtre, der leder efter skadeligt indhold.
Eksempel: En kunde modtager en mail „fra“ jeres bogholder med et nyt kontonummer til næste faktura. Mailen er sendt af en svindler. Hvis kunden ringer til jeres kendte hovednummer for at bekræfte ændringen, bliver svindlen opdaget, før pengene er væk.
Signaler i Outlook og Microsoft 365
- Spørgsmålstegn ved afsenderens billede – vises, når mailen hverken består SPF/DKIM eller DMARC/Microsofts samlede vurdering.
- „via“ efter afsenderen (fx anne@firma.dk via andetdomæne.dk) – Fra-domænet passer ikke med domænet i DKIM-signaturen eller konvolutten.
- Sikkerhedstip om første kontakt – „Du modtager ikke ofte mail fra …“, når afsenderen er ny for modtageren.
- Beskyttelse mod efterligning af bestemte personer og domæner findes i Microsoft Defender for Office 365, ikke i den grundlæggende beskyttelse.
Hvad I kan gøre
- Sæt SPF, DKIM og DMARC op for alle jeres domæner – også dem, der ikke sender mail.
- Indfør en fast rutine: Ændringer af kontonumre og usædvanlige betalinger bekræftes altid telefonisk på et kendt nummer, aldrig via oplysninger fra selve mailen.
- Lær medarbejderne at kigge på den faktiske adresse, ikke kun visningsnavnet, og at sige nej til pres og korte frister.
- Overvej at registrere de mest oplagte stavevarianter af jeres domæne, så de ikke kan bruges af andre.
Spørgsmål I kan stille
- Står vores DMARC på p=reject – og gælder det alle vores domæner?
- Hvordan bekræfter vi ændringer af bankoplysninger hos kunder og leverandører?
- Ved medarbejderne, hvad spørgsmålstegnet og „via“ i Outlook betyder?
- Har vi beskyttelse mod efterligning af ledelsens navne og vores domæne?
Hvornår giver det mening at få hjælp?
Kontakt os, hvis kunder eller leverandører har modtaget falske mails i jeres navn, hvis I er i tvivl om, hvorvidt det er spoofing eller en overtaget konto, eller hvis jeres domæner mangler DMARC.
Spørgsmål og svar
Kan DMARC stoppe al spoofing?
DMARC med politikken reject stopper som udgangspunkt falske mails med jeres præcise domæne hos modtagere, der følger politikken. Lignende domæner og forfalskede visningsnavne kræver opmærksomhed og andre tiltag.
Hvordan tjekker vi, om vores domæne er beskyttet?
Brug vores maildomænetjek, der viser SPF, DKIM og DMARC for jeres domæne.
Er vores mailkonto hacket, hvis kunder får falske mails fra os?
Ikke nødvendigvis. Ved spoofing bruger svindleren kun jeres adresse som afsender. Men hvis de falske mails ligger i jeres Sendt-mappe eller indeholder rigtige samtaler, kan kontoen være overtaget – så skift adgangskode og få det undersøgt med det samme.
Forbehold: Ingen teknisk opsætning kan forhindre al svindel med falske afsendere. Faste rutiner for betalinger og ændringer af bankoplysninger er en nødvendig del af beskyttelsen.
Kilder (tjekket 31. oktober 2026)