Norske energigiganter med bunnkarakter — uke 40-rapport
Equinor, Hydro og Yara scorer alle F på e-postsikkerhet, mens NAV og Stortinget leverer perfekte 100 poeng.
Ukens oversikt
158 norske domener er analysert denne uken, og snittscore ligger på 64,6 av 100 poeng. 85 domener har satt DMARC-policy til p=reject, som betyr full beskyttelse mot e-postforfalskning. 13 domener mangler DMARC-konfigurasjon helt.
| Karakter | Antall domener |
|---|---|
| A+ | 26 |
| A | 37 |
| B | 15 |
| C | 33 |
| D | 26 |
| F | 21 |
Hele 21 domener scorer F — det er nesten én av syv blant de analyserte. Se trendoversikten for å følge utviklingen over tid.
Ukens mest påfallende funn: Norsk energisektor stryker
Det mest iøynefallende i ukens data er at tre av Norges tyngste industrinavn alle scorer bunnkarakteren F:
- equinor.no — 0 poeng
- hydro.no — 0 poeng
- yara.no — 0 poeng
Disse selskapene er globale aktører med tusenvis av ansatte og leverandørrelasjoner. E-postdomenet deres er et attraktivt mål for svindlere som ønsker å utgi seg for å være dem. Mangelen på DMARC er ikke bare en teknisk svakhet — det er en forretningsrisiko.
Også aker-solutions.no og sparebanken-ost.no scorer F. For en bank er dette særlig bekymringsfullt, ettersom bankdomener er blant de mest misbrukte i phishing-kampanjer rettet mot privatpersoner.
Toppen: Offentlig sektor leverer
I den andre enden av skalaen finner vi en rekke offentlige etater med perfekte 100 poeng:
- nav.no — A+ (100p)
- ssb.no — A+ (100p)
- stortinget.no — A+ (97p)
- udi.no — A+ (97p)
- telenor.no — A+ (97p)
NAV håndterer millioner av nordmenn og svært sensitiv kommunikasjon — her er det godt å se at e-postsikkerheten er i orden. Stortinget og UDI er institusjoner der identitetsforfalskning via e-post ville hatt alvorlige konsekvenser, og begge scorer nær perfekt.
nbim.no (Norges Bank Investment Management, som forvalter oljefondet) scorer også 100 poeng — en institusjon der svindelforsøk via e-post kan ha svært store konsekvenser.
En avis uten DMARC
faedrelandsvennen.no scorer F denne uken. Medieorganisasjoner kommuniserer jevnlig med kilder, lesere og annonsører via e-post. Uten DMARC kan hvem som helst sende e-post som ser ut til å komme fra redaksjonen — med potensielt alvorlige konsekvenser for kildevern og omdømme.
Hva betyr karakterene i praksis?
En F-karakter betyr vanligvis ett eller flere av følgende:
- DMARC mangler helt, eller er satt til
p=none(kun overvåkning, ingen blokkering) - SPF er ikke konfigurert eller har feil
- DKIM-signering er ikke på plass
Å gå fra F til en akseptabel karakter er ofte ikke et stort prosjekt. For mange domener handler det om å legge til noen DNS-oppføringer og sette DMARC-policy til p=quarantine eller p=reject.
Hva kan du gjøre?
Driver du et domene og er usikker på hvor du står? Søk opp domenet ditt på data1.no for en gratis analyse. Du kan også bruke sammenligningsverktøyet for å se hvordan domenet ditt ligger an mot bransjekollegaer.
Er du IT-ansvarlig i et selskap med F-karakter? Prioriter dette:
- Sett opp SPF — definer hvilke servere som har lov til å sende e-post på vegne av domenet ditt
- Aktiver DKIM — sørg for at utgående e-post er kryptografisk signert
- Publiser en DMARC-post — start gjerne med
p=nonefor å samle data, og skru opp tilp=rejectnår du er trygg på konfigurasjonen
Det er ingen grunn til at Norges største industrikonsern skal ha dårligere e-postsikkerhet enn en gjennomsnittlig statlig etat. Ukens tall viser at potensialet for forbedring er stort.