Concluzii principale.
Numim un domeniu vulnerabil la falsificare atunci cand nu are inregistrare DMARC sau are una cu politica p=none. In ambele cazuri, un mesaj falsificat care pretinde ca vine de pe domeniu nu este respins si nici pus in carantina la cererea proprietarului.
- 72,7% din domeniile de firma din Europa de Vest, 75,8% din Europa Centrala si de Est, 71,2% din Statele Unite si 79,2% din tarile din Asia si Golf incluse in esantion pot fi falsificate.
- Meseriile (82,1%) si cabinetele medicale (81,0%) sunt cele mai expuse. Firmele IT sunt cele mai putin expuse, si totusi 55,9% pot fi falsificate.
- Marimea firmei conteaza, dar mai putin decat ne asteptam: in Norvegia, 65,3% din firmele cu 10 pana la 49 de angajati pot fi falsificate, fata de 43,2% din cele cu 250 sau mai multi.
- Firmele care trec emailul printr-un gateway dedicat de securitate au de 6,8 ori mai multe sanse sa aplice DMARC. Microsoft 365 si Google Workspace cresc sansele de 2,3 ori.
- Multe firme incep DMARC si se opresc la jumatate. In Olanda, 54,6% din domeniile care publica DMARC raman la p=none.
- Rezultatele se potrivesc cu statisticile oficiale: tarile in care mai multe firme mici au o politica de securitate scrisa au mai putine domenii vulnerabile (Spearman ρ = −0,51, p = 0,005, 28 de tari SEE).
Metoda.
Studiul este pasiv. Pentru fiecare firma am citit inregistrarile DNS publice (MX, SPF, DMARC, o lista de selectori DKIM uzuali, MTA-STS, DNSSEC, CAA) si am facut o singura cerere obisnuita catre pagina principala, ca un browser. Nu am scanat porturi, nu am trimis emailuri, nu am testat autentificari si nu am cautat vulnerabilitati.
Firmele provin din OpenStreetMap: afaceri cartografiate ca birouri, cabinete medicale, meserii, magazine si altele, cu site declarat, din 39 de tari (22.359 de domenii, colectate prin Overpass API si extrasele Geofabrik). Pentru marimea firmei am adaugat 1.486 de firme norvegiene din registrul public Brønnøysund, care publica numarul de angajati.
Am eliminat domeniile folosite de multe afaceri (marketplace-uri, retele sociale, portaluri de franciza). Interogarile DNS esuate au fost reluate; 2,88% au ramas fara raspuns si sunt excluse din fiecare indicator, nu numarate ca inregistrari lipsa.
Analiza a fost facuta in Python (NumPy, pandas, SciPy, scikit-learn): intervale de incredere bootstrap de 95% pe tara, teste chi-patrat intre regiuni, regresie logistica pentru sansele de aplicare DMARC si corelatie Spearman cu sondajul Eurostat din 2024 despre securitatea IT in firme.
Publicam doar cifre agregate. Nicio firma nu este numita, iar datele pe domeniu nu sunt publicate.
Rezultate pe regiuni.
Diferentele dintre regiuni sunt semnificative statistic (χ² = 48,3, 3 grade de libertate, p < 0,001), dar mici fata de nivelul general: in fiecare regiune, aproximativ trei sferturi din firme sunt expuse.
| Regiune | Domenii | Vulnerabile | Fara DMARC | DMARC la p=none | Microsoft 365 |
|---|---|---|---|---|---|
| Europa de Vest | 13.281 | 72,7% | 40,4% | 32,2% | 32,5% |
| Europa Centrala si de Est | 6.358 | 75,8% | 44,2% | 31,7% | 17,8% |
| Asia si Golf | 2.129 | 79,2% | 49,4% | 29,7% | 16,4% |
| Statele Unite | 591 | 71,2% | 38,0% | 32,9% | 33,1% |
Dintre tarile cu esantion mare, Italia este cea mai expusa (87,7%), urmata de Franta (78,9%) si Spania (78,2%). Germania (69,3%), Romania (69,9%) si Olanda (66,0%) sunt sub medie. Olanda are cele mai putine domenii fara DMARC (24,8%), dar cea mai mare pondere blocata la p=none, astfel ca jumatate din utilizatorii olandezi de Microsoft 365 masurati pot fi inca falsificati.
Rezultate pe domenii de activitate.
Domeniile care gestioneaza plati si date personale pentru clienti nu sunt mai bine protejate decat altele. Cabinetele medicale, care trimit pacientilor programari si facturi, sunt printre cele mai expuse.
| Domeniu | Domenii | Vulnerabile | Microsoft 365 | WordPress neactualizat |
|---|---|---|---|---|
| Meserii | 3.808 | 82,1% | 20,8% | 27,1% |
| Sanatate | 7.469 | 81,0% | 18,1% | 27,5% |
| Juridic | 565 | 73,4% | 31,8% | 32,2% |
| Servicii profesionale | 2.390 | 72,2% | 30,4% | 27,2% |
| Financiar si contabilitate | 820 | 60,1% | 37,3% | 30,9% |
| IT | 847 | 55,9% | 34,2% | 27,9% |
Rezultate dupa marimea firmei.
OpenStreetMap nu inregistreaza numarul de angajati, asa ca am masurat marimea pe esantionul din registrul norvegian. Protectia creste odata cu marimea (Spearman ρ = 0,17, p < 0,001, n = 1.431), dar chiar si pe una dintre cele mai mature piete din Europa, doua treimi din firmele cu 10 pana la 49 de angajati pot fi imitate.
| Angajati | Domenii | Vulnerabile | Fara DMARC | Gateway de securitate email |
|---|---|---|---|---|
| 10 pana la 49 | 774 | 65,3% | 27,2% | 2,6% |
| 50 pana la 249 | 599 | 49,4% | 17,0% | 6,5% |
| 250 sau mai multi | 113 | 43,2% | 8,1% | 11,7% |
Ce prezice protectia.
O regresie logistica pe regiune, domeniu de activitate si platforma de email arata ca modul in care este administrat emailul conteaza mai mult decat locul firmei. Domeniile din spatele unui gateway de securitate aplica DMARC cu sanse de 6,8 ori mai mari decat cele cu email pe hosting partajat. Microsoft 365 si Google Workspace cresc sansele de 2,3 ori. Diferenta dintre Europa Centrala si de Est si Europa de Vest este foarte mica (0,92).
Domeniul de activitate conteaza si dupa ce tinem cont de platforma: cabinetele medicale (0,58) si meseriile (0,51) aplica DMARC mult mai rar decat grupul de referinta, iar firmele IT mai des (1,57).
Interpretarea practica: in majoritatea firmelor, nimeni nu a raspuns de configurarea emailului. Emailul a fost mutat pe un pachet de hosting sau intr-o suita cloud, iar inregistrarile DNS au ramas la valorile implicite.
Site-uri.
Aceeasi cerere catre pagina principala arata cum sunt intretinute site-urile. Cifrele acopera doar ce dezvaluie public fiecare site, deci sunt limite inferioare.
- Intre 25% si 33% din site-urile WordPress care isi afiseaza versiunea sunt cu trei sau mai multe versiuni minore in urma celei mai noi observate (7.1).
- Intre 43% si 58% din site-urile care isi dezvaluie versiunea PHP folosesc o versiune care nu mai primeste actualizari de securitate.
- 66% din site-urile din Vest si 77% din cele din Est nu trimit antetul HSTS, iar 6% pana la 10% au un certificat expirat sau nepotrivit.
Comparatie cu statisticile oficiale.
Sondajul Eurostat din 2024 despre securitatea IT in firme intreaba ce se intampla in interiorul retelei, lucru pe care o scanare pasiva nu il vede. Diferenta dintre firmele mici si cele mari este mare in toate zonele, iar tarile cu scoruri mai mici in sondaj au rezultate mai slabe si in scanarea noastra.
| Masura | 10 pana la 49 de angajati | 250 sau mai multi |
|---|---|---|
| Autentificare cu mai multi factori | 36,1% | 77,7% |
| Monitorizarea activitatii suspecte | 40,6% | 82,5% |
| Politica de securitate scrisa | 30,3% | 81,5% |
| Teste de securitate | 29,8% | 78,1% |
| Instruire obligatorie in securitate | 20,4% | 65,9% |
| Backup intr-o locatie separata | 77,1% | 95,0% |
Limite.
- Esantionul nu este aleator. Favorizeaza afacerile cartografiate in OpenStreetMap cu site, adica firme locale care lucreaza direct cu clientii.
- Esantioanele pentru Statele Unite si tarile din Asia sunt mici si trebuie citite ca orientative.
- Marimea este masurata intr-o singura tara. Norvegia este mai matura decat majoritatea Europei, deci diferenta in alte tari este probabil mai mare, nu mai mica.
- Selectorii DKIM nu pot fi listati din exterior. Un domeniu fara selector uzual poate totusi sa isi semneze emailurile.
- Un domeniu vulnerabil este o bresa, nu o dovada de frauda. Unele servere de email aplica propriile filtre indiferent de politica expeditorului.
Ce pot face firmele.
Niciun pas de mai jos nu cere software nou. Majoritatea firmelor pot termina primii trei pasi intr-o luna.
- Publicati o inregistrare DMARC cu rapoarte activate si cititi rapoartele doua pana la patru saptamani, ca sa gasiti fiecare serviciu care trimite emailuri in numele vostru.
- Corectati SPF si DKIM pentru aceste servicii, apoi treceti politica la p=quarantine si mai tarziu la p=reject.
- Activati autentificarea cu mai multi factori pe fiecare casuta de email, incepand cu financiarul si conducerea.
- Stabiliti cu furnizorii ca orice schimbare de cont bancar se confirma telefonic, la un numar pe care il aveti deja.
- Tineti platforma site-ului si versiunea PHP pe versiuni suportate si adaugati HSTS dupa ce HTTPS functioneaza pe toate paginile.
Surse.
Verifica-ti domeniul.
Iti verificam configurarea emailului si a site-ului si iti explicam ce trebuie schimbat.
Contacteaza-ne