Norske storselskaper med null i e-postsikkerhet — uke 41-rapport
Equinor, Hydro og Yara scorer alle 0 av 100 på e-postsikkerhet — og det er langt fra det eneste bekymringsfulle funnet i ukens analyse av 158 norske domener.
Ukens tall i korte trekk
Denne uken er 158 norske domener analysert via data1.no. Snittscore er 64,3 av 100, og 85 domener har DMARC satt til p=reject — det vil si full beskyttelse mot e-postforfalskning. 13 domener mangler DMARC helt.
| Karakter | Antall domener |
|---|---|
| A+ | 25 |
| A | 37 |
| B | 16 |
| C | 33 |
| D | 25 |
| F | 22 |
Fordelingen er todelt: En sterk gruppe på toppen, og en urovekkende stor gruppe på bunnen. Hele 22 domener får karakteren F — og blant dem finner vi noen av Norges mest profilerte selskaper.
Norges største selskaper med bunnkarakter
Det mest påfallende i ukens data er at flere av Norges tyngste næringslivsaktører ligger helt på bunnen av listen — med 0 poeng.
equinor.no · hydro.no · yara.no · aker-solutions.no · sparebanken-ost.no
En score på 0 betyr at domenet enten mangler DMARC-oppføring helt, eller har en konfigurasjon som ikke gir noen reell beskyttelse. I praksis kan hvem som helst sende e-post som tilsynelatende kommer fra disse domenene — uten at mottakernes e-postservere advares eller blokkerer meldingen.
For selskaper som equinor.no og yara.no, som opererer internasjonalt og er mål for målrettet svindel og phishing, er dette en betydelig risiko — ikke bare for selskapet selv, men for alle som mottar e-post som utgir seg for å komme fra dem.
Også faedrelandsvennen.no, clas-ohlson.no og schenker.no ligger på bunn med F-karakter.
NRK og DNB faller markant
Ukens mest dramatiske endringer er to forverringer som fortjener oppmerksomhet:
- nrk.no faller fra 53 til 28 poeng — en nedgang på 25 poeng, ned til karakter F
- dnb.no faller fra 95 til 75 poeng — en nedgang på 20 poeng, ned til karakter B
At NRK nå havner på F er bekymringsfullt. NRK er en avsender folk stoler på, og et domene som kan forfalskes uten tekniske hindringer er et attraktivt mål for phishing-forsøk. Det er uklart hva som har forårsaket fallet — det kan skyldes en endring i DNS-konfigurasjon, utgåtte oppføringer eller andre tekniske justeringer.
DNB er fremdeles innenfor godkjent territorium med B, men et fall på 20 poeng på én uke er uvanlig stort og bør følges opp. For en bank er e-postsikkerhet særlig kritisk. Se hele analysen for dnb.no.
De beste: Offentlig sektor i front
På den positive siden er det gledelig å se at norsk offentlig sektor viser vei. nav.no, ssb.no og stortinget.no scorer alle A+ med henholdsvis 100, 100 og 97 poeng. Det samme gjelder udi.no og telenor.no.
Disse domenene har fullstendig DMARC-konfigurasjon med p=reject, og har trolig også MTA-STS og BIMI på plass. Se trendoversikten for å følge utviklingen over tid.
Hva bør du gjøre?
Enten du driver et lite nettsted eller et stort selskap, er trinnene de samme:
- Sjekk domenet ditt på data1.no — det tar under ett minutt.
- Publiser en DMARC-oppføring — start med
p=nonefor å samle inn data, gå gradvis tilp=quarantineog til sluttp=reject. - Sørg for gyldig SPF og DKIM — DMARC er avhengig av at begge er korrekt konfigurert.
- Overvåk jevnlig — ukentlige svingninger som NRKs fall på 25 poeng viser at konfigurasjon kan endre seg uten at man merker det.
Neste uke følges utviklingen opp — spesielt om NRK og DNB tar tak i fallene sine, og om noen av bunnselskaper begynner å klatre.