Phishing via e-mail is al jaren een hardnekkig probleem, en oplichters worden steeds beter in het maken van geloofwaardige phishingmails. Om dat tegen te gaan, wordt de maildienst Gmail van Google in de loop van deze week uitgebreid met een functionaliteit die het voor ontvangers van e-mails eenvoudiger moet maken om te kunnen beoordelen of een mail écht van een geverifieerde afzender afkomstig is. Is dat het geval? Dan zie je het logo van het betreffende bedrijf direct in je inbox staan, naast de naam van de afzender.
Bedrijven en instellingen krijgen de mogelijkheid om hun identiteit door Google te laten verifiëren. Dat gaat via een speciaal voor dit doeleinde ontwikkelde techniek die de naam BIMI heeft gekregen, oftewel Brand Indicators for Message Identification.
Kort samengevat is dat een techniek die het ontvangers van e-mails in de gelegenheid moet stellen om met een zeer grote mate van waarschijnlijkheid te kunnen beoordelen of de afzender ook écht het betreffende bedrijf of de betreffende instelling is, en wel door het aanbrengen van een visueel waarneembare verificatiecomponent.
Als dat inderdaad zo is – en Google de identiteit van het bedrijf of de instelling dus heeft bevestigd – zie je het logo van de betreffende bank of instelling voortaan dus meteen in je inbox, naast de naam van de afzender. Anders gezegd: deze afbeeldingen verschijnen op de locatie waar nu ook al profielfoto's van bevriende contacten worden getoond.
Google demonstreert de nieuwe functionaliteit aan de hand van een mail van een Amerikaanse bank, de Bank of America. In onderstaande afbeelding zie je twee close-ups van de inbox: links is de oude situatie, rechts de nieuwe situatie.
Techniek is vergelijkbaar met vinkjes voor geverifieerde profielen op sociale media
'Valt dat door spoofing niet eenvoudig te omzeilen?', vragen enkelen zich wellicht af. Zo simpel is het niet: bij deze techniek is een certificaatautoriteit betrokken, net zoals dat momenteel gebeurt bij domeinnamen (om in de adresbalk bijvoorbeeld te kunnen zien of je je écht op de beveiligde website van jouw bank bevindt, waar we enige tijd geleden een handig hulpartikel over hebben geschreven).
Bedrijven en instellingen die van deze functionaliteit gebruik wensen te maken, dienen dan ook een logo aan te leveren bij deze certificaatautoriteit. Deze autoriteit beoordeelt vervolgens of logo en bedrijf bij elkaar horen, en de BIMI-techniek doet de rest.
Het verschil tussen legitieme e-mails en valse e-mails waarvan de afzender door middel van spoofing tóch identiek lijkt aan het echte mailadres van bedrijven of instanties, wordt met deze techniek ondervangen: oplichters die van spoofing gebruik maken, kunnen het zo alsnog niet voor elkaar krijgen om deze nepmails automatisch een bedrijfslogo te laten tonen. In die zin is de techniek ergens dus vergelijkbaar met de vinkjes van geverifieerde accounts op sociale media als Twitter, Facebook en Instagram.
Wat moet jij als gebruiker van Gmail verder nog doen of weten?
Niets, of nouja, niets in technische zin. Het is belangrijk om te weten dat deze functionaliteit optioneel is en dat bedrijven en/of instellingen niet verplicht worden om er ook daadwerkelijk gebruik van te maken. In de mobiele versie van Gmail worden de afbeeldingen direct in de inbox getoond (zoals te zien in de afbeelding hierboven), voor de webversie van Gmail geldt dat ontvangers de mail éérst moeten openen om te zien of de mail van een geverifieerde afzender is, meldt RTL Nieuws.
Het is in die zin voornamelijk een handig hulpmiddel, maar het wordt pas écht efficiënt zodra de dekkingsgraad (of anders gezegd: het aantal bedrijven dat gebruik maakt van deze functionaliteit) zeer hoog is. Als bedrijven ervoor kiezen om dit niet te doen, of dat ze er pas op een later moment gebruik van maken, betekent dat niet dat binnenkomende mails zonder afbeelding van deze bedrijven voortaan onbetrouwbaar zijn.
Laat je oordeel dus niet alleen afhangen van de vraag of er wel of geen afbeelding wordt getoond.
Bron: Google / RTL Nieuws
