Olympische Spelen: ‘Twee derde van officiële partners stelt consumenten bloot aan e-mailfraude’

Een toonaangevend cybersecurity- en compliancebedrijf heeft vandaag onderzoeksresultaten gepubliceerd waaruit blijkt dat twee derde (66%) van de officiële partners van de Olympische Spelen 2024 in Parijs niet over de nodige beveiligingsmaatregelen beschikt tegen domeinvervalsing. Bij het online boeken van hotels worden consumenten niet proactief beschermd tegen frauduleuze e-mails. Bovendien voorkomt 70% van de lokale overheidsorganisaties niet dat consumenten op hun platformen slachtoffer worden van e-mailfraude.

Cybercriminelen maken vaak gebruik van sport- en culturele evenementen om slachtoffers in de val te lokken met social engineering-tactieken. Ze doen zich voor als officiële partners, sponsors, ticketplatforms of online boekingssites. In de aanloop naar de Parijse Spelen in de zomer van 2024 is er een dringende behoefte aan een versterkt ecosysteem om e-mailfraude te bestrijden, de primaire aanvalsvector.

Het bedrijf heeft voor het vaststellen van het huidige beveiligingsniveau het gebruik van DMARC (Domain-based Message Authentication, Reporting and Conformance), een e-mailauthenticatieprotocol, geanalyseerd. Het bedrijf onderzocht dit bij alle officiële partners en lokale autoriteiten die evenementen organiseren. De resultaten zijn zorgwekkend.

DMARC: het eerste verdedigingsniveau tegen e-mailfraude Sinds enkele jaren ziet Proofpoint een verschuiving in de tactieken van dreigingsactoren. Zij doen zich steeds vaker voor als legitieme organisaties en proberen minder vaak netwerken en technische infrastructuren van slachtoffers te hacken en infiltreren.

DMARC is een e-mailauthenticatieprotocol dat is ontworpen om domeinnamen te beschermen tegen cybercriminelen. Het verifieert de identiteit van de afzender voordat het bericht zijn bestemming bereikt. DMARC biedt drie beschermingsniveaus: monitoring, quarantaine en reject, waarbij reject de hoogste graad van bescherming biedt door te voorkomen dat ongekwalificeerde e-mails de ontvanger bereiken.

Dankzij DMARC kunnen bedrijven hun aanpak bepalen voor e-mailberichten die hun domeinnaam gebruiken. Ook kunnen zij het beleid definiëren dat moet worden toegepast als de verificatie mislukt: het e-mailbericht accepteren (p=none), het categoriseren als spam (p=quarantine) of het verwijderen (p=reject). Van de 77 officiële partners hanteren 66 het DMARC-basisniveau (86%). Slechts 26 organisaties (34%) gebruiken het hoogste beschermingsniveau, reject. Dit betekent dat twee derde (66%) van de officiële partners het publiek blootstelt aan risico’s van e-mailfraude. Van de 20 steden die evenementen organiseren, beschermt 30% van de organisaties de domeinnamen van websites met het hoogste DMARC-niveau, reject, terwijl 25% het DMARC-protocol helemaal niet gebruikt.

Huijgen, Regional Sales Director Benelux bij de onderzoeker, zegt:

Het is zorgwekkend dat de meerderheid van de deelnemende partijen aan de Olympische Spelen nog achterloopt op het gebied van e-mailbescherming, terwijl de openingsceremonie over drie maanden plaatsvindt. Het implementeren van DMARC is eenvoudig en zeer effectief tegen het spoofen van domeinnamen, de grootste oorzaak van e-mailfraude. Het feit dat verschillende organisaties hier nog niet over beschikken, voorspelt weinig goeds voor de omvang van toekomstige cyberdreigingen. Bovendien is het belangrijk voor toeschouwers om te weten dat tickets voor de Olympische Spelen uitsluitend verkrijgbaar zijn via de officiële website. Deze is volledig DMARC-compliant en verhindert dat frauduleuze e-mails het publiek bereiken.

In aanloop naar de Olympische Spelen moeten organisaties concrete maatregelen nemen om het publiek te beschermen. Ze dienen uiterst waakzaam te blijven. Let op de volgende zaken:

• Wees alert op ongevraagde e-mails, sms’jes en telefoontjes die om betalingen of dringende actie vragen.
• Deel nooit financiële informatie of wachtwoorden via e-mail of sms. Bel altijd rechtstreeks naar de bank bij verdachte verzoeken.
• Maak een uniek wachtwoord aan voor ieder online account. Gebruik drie willekeurige woorden voor een sterk wachtwoord en schakel waar mogelijk multi-factor authenticatie (MFA) in.