Partier og Folketinget står åbne for hackeres fup-mails

Både Folketinget selv og flere af de politiske partier er åbne for angreb med fup-mails, som hackere og fremmede magter kan bruge mod folkestyret.
[box]

Sikring af mailsystemer

Disse partier anvender slet ikke DMARC:
Liberal Alliance
Enhedslisten
Radikale
SF
Venstre

Disse partier bruger DMARC, men har endnu ikke slået beskyttelsen til:
Alternativet
Dansk Folkeparti
Konservative

Eneste parti med DMARC:
Socialdemokratiet
[/box]
Forsvarets Efterretningstjenestes Center for Cybersikkerhed anbefalede allerede i 2017 organisationer at benytte en åben og gratis teknologi, DMARC, til at beskytte mod fup-mails. Uden DMARC er det muligt for en angriber at få en mail til at se ud, som om den kommer fra eksempelvis SF og en afsenderadresse som formand@sf.dk.

Dermed kan angriberen lukrere på den troværdighed, der knytter sig til det officielle domæne sf.dk.

Kun ét parti er beskyttet med DMARC

Ifølge Ingeniørens opgørelse benytter fem ud af ni partier i Folketinget slet ikke teknologien, mens tre partier har implementeret, men ikke aktiveret DMARC, så den stopper de ondsindede mails. DMARC er heller ikke aktiveret for Folketingets hoveddomæne, ft.dk.

I denne uge fortalte Microsoft ellers om målrettede angreb mod flere europæiske organisationer, der beskæftiger sig med demokrati og valg. Angrebene er ifølge Microsoft blandt andet foregået ved at forfalske afsenderadresser på e-mails.

Sikkerhedskonsulenten Henrik Schack bidrog til den FE-rapport, der anbefalede den gratis standard. Han mener, at det forestående folke­tingsvalg er en ekstra grund til, at det politiske system får styr på sine mailservere.

»I betragtning af, hvor stor en rolle skadelige mails spiller i forhold til alle mulige former for cyber­angreb, så synes jeg godt nok, vi har sløjet den længe nu,« siger Henrik Schack med henvisning til, at DMARC har eksisteret siden 2012.

Han står bag domænet status.dmarc.dk, som holder øje med DMARC-tilstanden hos en stribe danske organisationer, og som Inge­niøren har brugt til sin opgørelse.

Artiklen fortsætter under grafikken

Løser ikke alle problemer

Chefen for Center for Cybersikkerhed, Thomas Lund Sørensen, fremhæver, at DMARC kan beskytte mod de allermest vellignende svindel­mails, selvom teknologien ikke løser alle sikkerhedsproblemer.

»Det er klart, at du fjerner et værktøj fra en hvilken som helst hacker – hvad enten han er statslig eller total amatør – hvis han ikke kan bruge det korrekte domæne til at udgive sig for at være en anden,« siger han.

SF, som er et af de partier, der ikke er beskyttet mod fup-mails, oplyser i en e-mail til Ingeniøren, at man vil gå sit beredskab efter i sømmene.

»Vi synes det er godt og vigtigt at I tager emnet om cybersikkerhed op her op til valget! Det er helt klart også med til at presse os til at tjekke vores beredskab efter i sømmene,« oplyser kommunikationsmedarbejder med hovedansvar for SF's hjemmeside William Vest-Lillesøe i en mail.

Som de eneste partier har SF og Liberal Alliance – i tillæg til ikke at have implementeret DMARC – en defekt SPF-record, da Ingeniøren kigger efter i første omgang. En SPF-record er kort fortalt en liste over servere, der må sende mails på vegne af partiernes domæner.

Udover SF har Ingeniøren også bedt Liberal Alliance om en kommentar. Vi har ikke modtaget et svar fra partiet, SPF-recorden for liberalalliance.dk er dog blevet fikset siden vores henvendelse.