Interception, manipulation, domain impersonation and man-in-the-middle — in plain language: what each one costs us, and the controls worth considering. Afluisteren, manipulatie, domeinnabootsing en man-in-the-middle — in gewone taal: wat elk risico ons kost, en welke maatregelen het overwegen waard zijn.
An email is not one hop — it crosses several networks and relays before it lands. If any hop negotiates plaintext instead of TLS, everything in that message is readable by whoever sits on that path: a transit provider, a compromised router, a hostile Wi-Fi, a nation-state tap. Nothing breaks, no alert fires, and the recipient still receives the mail. That is exactly why it goes unnoticed for years.
What is exposed: M&A and contract negotiations, HR and medical data, invoices and bank details, password-reset links, board material. If personal data is exposed, the GDPR asks you to notify the Autoriteit Persoonsgegevens within 72 hours (Art. 33).
Een e-mail maakt niet één sprong — hij passeert meerdere netwerken en relays voordat hij aankomt. Onderhandelt één van die hops platte tekst in plaats van TLS, dan is de volledige inhoud leesbaar voor iedereen op dat pad: een transitprovider, een gehackte router, een vijandig wifinetwerk, een statelijke tap. Er gaat niets stuk, er komt geen alarm, en de ontvanger krijgt de mail gewoon. Precies daarom blijft dit jarenlang onopgemerkt.
Wat er op straat ligt: overname- en contractonderhandelingen, HR- en medische gegevens, facturen en bankrekeningnummers, wachtwoord-resetlinks, bestuursstukken. Liggen er persoonsgegevens op straat, dan vraagt de AVG om melding bij de Autoriteit Persoonsgegevens binnen 72 uur (art. 33).
Eavesdropping requires a position on the mail path itself, a hostile network, a compromised router, a transit tap. AI does not manufacture that access; it only helps once traffic is already being captured.Afluisteren vraagt een positie op het mailpad zelf, een vijandig netwerk, een gehackte router, een tap bij een transitprovider. AI creëert die toegang niet; het helpt pas zodra het verkeer al wordt opgevangen.
Once an account or archive is already reachable, AI-assisted search instantly pulls the exploitable invoices, contracts and passwords out of months of plaintext correspondence.Zodra een account of archief al bereikbaar is, haalt AI-ondersteund zoeken in een oogwenk de bruikbare facturen, contracten en wachtwoorden uit maanden platte-tekst-correspondentie.
AI-based anomaly detection can flag a mail server that suddenly negotiates plaintext where it always used TLS, catching a downgrade after the fact. Prevention still means enforcing TLS, so the connection fails instead of falling back.AI-gebaseerde anomaliedetectie kan een mailserver signaleren die plots platte tekst onderhandelt waar hij altijd TLS gebruikte, en zo een downgrade achteraf ontdekken. Voorkomen blijft een kwestie van afgedwongen TLS, zodat de verbinding mislukt in plaats van terug te vallen.
Reading is passive. Changing is active — and far more expensive. In practice the attacker rarely edits mail in transit: they write from a hacked supplier mailbox or a look-alike domain and change a single IBAN. On an unprotected path an in-transit edit is also possible. Either way, both sides see a normal thread. The mismatch surfaces weeks later, when the real supplier asks where their money is.
Business impact: direct financial loss (the FBI IC3 counted $3.0 billion in BEC losses over 24,768 complaints in 2025), disputes over “what was actually agreed”, and no reliable evidence trail. The step that works in every case is a call-back: confirm any change of bank details by phone, on a number you already have. DKIM then proves which messages are genuine.
Meelezen is passief. Wijzigen is actief — en veel duurder. In de praktijk wijzigt de aanvaller zelden mail onderweg: hij schrijft vanuit een gehackte mailbox van de leverancier of een nagemaakt domein en past één IBAN aan. Op een onbeschermd pad kan een wijziging onderweg ook. Hoe dan ook zien beide kanten een normale gespreksdraad. Het verschil komt pas weken later boven water, als de echte leverancier vraagt waar zijn geld blijft.
Bedrijfsimpact: direct financieel verlies (de FBI IC3 telde in 2025 $3,0 miljard aan BEC-schade over 24.768 meldingen), discussies over “wat er nu écht is afgesproken”, en geen betrouwbaar bewijsspoor. Wat in elk geval werkt, is terugbellen: bevestig elke wijziging van bankgegevens telefonisch, op een nummer dat u al hebt. DKIM bewijst daarna welke berichten echt zijn.
Altering a message still requires the same path position as eavesdropping, but generative AI removes the skill barrier of matching tone, formatting and context so precisely that neither sender nor recipient notices the swapped IBAN.Een bericht wijzigen vraagt nog steeds dezelfde positie op het pad als afluisteren, maar generatieve AI haalt de vaardigheidsdrempel weg om toon, opmaak en context zo precies na te bootsen dat niemand het verwisselde IBAN opmerkt.
Most invoice fraud today needs no interception at all: AI clones the finance team's writing style from earlier mail and sends a payment-instruction change from a lookalike or compromised address that reads as completely normal.De meeste factuurfraude vandaag vraagt geen onderschepping: AI kloont de schrijfstijl van finance op basis van eerdere mail en stuurt een gewijzigde betaalinstructie vanaf een lookalike- of gehackt adres dat volkomen normaal overkomt.
DKIM breaks the moment a single character changes, however convincing the AI-written edit is. AI can also flag payment mail whose tone or IBAN deviates from the historical pattern, but the signature is the actual proof.DKIM breekt zodra ook maar één teken wijzigt, hoe overtuigend de AI-geschreven aanpassing ook is. AI kan ook betaalmail signaleren waarvan de toon of het IBAN afwijkt van het historische patroon, maar de handtekening is het echte bewijs.
Nothing in the email protocol stops a stranger from typing our domain into the “From:” field. Without SPF, DKIM and an enforcing DMARC policy, anyone on the internet can send mail that is — for every practical purpose the recipient can check — from our CFO. Their mail client shows our name, our domain, our branding. Google and Yahoo (since February 2024) and Microsoft Outlook.com (since 5 May 2025) also expect senders of more than 5,000 messages a day to pass SPF, DKIM and aligned DMARC (at least p=none), or their mail may be junked or rejected.
Business impact: CEO fraud and payment-instruction fraud aimed at our own staff; phishing of our customers under our brand; our domain's sending reputation destroyed, which means our legitimate mail starts landing in spam. The attacker never has to touch our infrastructure. DMARC covers our exact domain only: look-alike domains and a faked display name still get through, so watching for new look-alike registrations is worth adding.
Niets in het e-mailprotocol verhindert een vreemde om ons domein in het “Van:”-veld te typen. Zonder SPF, DKIM en een handhavend DMARC-beleid kan iedereen op internet mail versturen die — voor alles wat de ontvanger kan controleren — van onze CFO ís. In hun mailprogramma staat onze naam, ons domein, onze huisstijl. Google en Yahoo (sinds februari 2024) en Microsoft Outlook.com (sinds 5 mei 2025) verwachten bovendien dat wie meer dan 5.000 berichten per dag verstuurt, SPF, DKIM en uitgelijnde DMARC doorstaat (minimaal p=none); anders kan de mail in de spam belanden of worden geweigerd.
Bedrijfsimpact: CEO-fraude en betaalinstructiefraude richting onze eigen medewerkers; phishing van onze klanten onder onze merknaam; vernietiging van de verzendreputatie van ons domein, waardoor onze legitieme post in de spamfolder belandt. De aanvaller hoeft onze infrastructuur nooit aan te raken. DMARC beschermt alleen ons exacte domein: nagemaakte domeinen en een vervalste weergavenaam komen er nog door, dus het is de moeite waard om nieuwe registraties van lookalike-domeinen te volgen.
AI writes flawless, context-perfect CEO-fraud mail in seconds, pulling real detail from professional profiles and press coverage, at a scale no human fraudster can match.AI schrijft in seconden foutloze, contextueel kloppende CEO-fraudemail, met echte details uit openbare profielen en persberichten, op een schaal die geen menselijke fraudeur haalt.
AI mass-personalises phishing sent under our spoofed domain to thousands of customers at once, each referencing real order or account details scraped from earlier breaches.AI personaliseert massaal phishingmail die onder ons nagebootste domein naar duizenden klanten tegelijk gaat, elk met echte bestel- of accountgegevens uit eerdere datalekken.
AI can process DMARC aggregate reports and spot new abuse of our domain within hours instead of weeks. Only enforcement at p=reject actually stops spoofed mail on our exact domain from being delivered.AI kan DMARC-verzamelrapporten verwerken en nieuw misbruik van ons domein binnen uren signaleren in plaats van weken. Alleen handhaving op p=reject houdt nagebootste mail op ons exacte domein daadwerkelijk tegen.
This is risks 01 and 02 combined and weaponised. The attacker inserts themselves between the two mail servers and impersonates each side to the other. Because STARTTLS is opportunistic by default, they simply strip the encryption offer during the handshake — both servers then fall back to plaintext and neither complains. From that position the attacker reads everything, changes anything, and can hold the conversation open for months.
Why this is the board-level one: it defeats the assumption that “we have encryption”. Opportunistic TLS is encryption that silently turns itself off when asked nicely. MTA-STS and DANE remove the “opportunistic” part — they make encryption mandatory, so a stripped connection fails instead of quietly downgrading.
Dit is risico 01 en 02 gecombineerd en tot wapen gemaakt. De aanvaller plaatst zich tussen beide mailservers en doet zich naar elke kant voor als de ander. Omdat STARTTLS standaard opportunistisch is, verwijdert hij simpelweg het versleutelingsaanbod tijdens de handshake — beide servers vallen terug op platte tekst en geen van beide klaagt. Vanuit die positie leest de aanvaller alles, wijzigt hij wat hij wil, en kan hij de conversatie maandenlang openhouden.
Waarom dit een directiethema is: het ondergraaft de aanname dat “wij versleuteling hebben”. Opportunistische TLS is versleuteling die zichzelf stilletjes uitschakelt zodra er vriendelijk om wordt gevraagd. MTA-STS en DANE halen het “opportunistische” eruit — zij maken versleuteling verplicht, zodat een gestripte verbinding faalt in plaats van stil te degraderen.
Sitting between two mail servers is a positioning problem, not a skill problem. AI does not create that vantage point, and stripping an opportunistic STARTTLS offer is the same trivial trick it always was.Tussen twee mailservers gaan zitten is een positioneringsprobleem, geen vaardigheidsprobleem. AI creëert dat uitkijkpunt niet, en het strippen van een opportunistisch STARTTLS-aanbod is dezelfde simpele truc die het altijd al was.
Once in that position, AI-driven conversational agents can sustain a convincing, months-long impersonation of both parties in a negotiation thread, so neither notices the puppeteer.Vanuit die positie kunnen AI-gestuurde gespreksagents een overtuigende, maandenlange imitatie van beide partijen in een onderhandeling volhouden, zonder dat iemand de poppenspeler opmerkt.
TLS-RPT produces a report for every failed handshake; AI-based analysis turns that raw feed into a handful of flagged incidents instead of a spreadsheet nobody reads. The control that stops the attack is DANE and enforced MTA-STS.TLS-RPT levert een rapport op bij elke mislukte handshake; AI-analyse maakt van die ruwe stroom een handvol gesignaleerde incidenten in plaats van een spreadsheet die niemand leest. De maatregel die de aanval stopt is DANE en afgedwongen MTA-STS.
| Control | Stops | In one line |
|---|---|---|
| SPF | Spoofing (03) | A DNS list of the servers allowed to send mail as our domain. |
| DKIM | Manipulation (02) | A cryptographic signature over the message — any edit in transit breaks it. |
| DMARC | Spoofing (03) | Tells receivers what to do when SPF/DKIM fail. Only p=reject actually blocks; it also gives us reports on who is abusing our domain. |
| MTA-STS | Interception (01), MITM (04) | Declares “encryption is mandatory for my domain” — a stripped connection fails instead of downgrading. |
| DANE | MITM (04) | Pins the expected certificate in DNSSEC-signed DNS, so a forged certificate is rejected. |
| TLS-RPT | Blind spots | Daily reports on failed TLS connections — how we find out that an attack or misconfiguration is happening. |
| S/MIME · PGP | 01 + 02, end-to-end | Encrypts and signs the message itself, not just the transport. For the small set of genuinely high-value flows. |
| Maatregel | Stopt | In één zin |
|---|---|---|
| SPF | Spoofing (03) | Een DNS-lijst van servers die namens ons domein mogen versturen. |
| DKIM | Manipulatie (02) | Een cryptografische handtekening over het bericht — elke wijziging onderweg breekt hem. |
| DMARC | Spoofing (03) | Vertelt ontvangers wat te doen als SPF/DKIM falen. Alleen p=reject blokkeert echt; daarnaast krijgen we rapportages over wie ons domein misbruikt. |
| MTA-STS | Afluisteren (01), MITM (04) | Verklaart “versleuteling is verplicht voor mijn domein” — een gestripte verbinding faalt in plaats van te degraderen. |
| DANE | MITM (04) | Legt het verwachte certificaat vast in DNSSEC-ondertekende DNS, zodat een vervalst certificaat wordt geweigerd. |
| TLS-RPT | Blinde vlekken | Dagelijkse rapportage over mislukte TLS-verbindingen — zo merken we dat er een aanval of misconfiguratie speelt. |
| S/MIME · PGP | 01 + 02, end-to-end | Versleutelt en ondertekent het bericht zelf, niet alleen het transport. Voor de kleine set echt kritieke stromen. |
p=reject and MTA-STS to enforce; the monitoring-only modes cost the same effort and block nothing. Dutch public bodies have SPF, DKIM, DMARC, STARTTLS and DANE on the Forum Standaardisatie “comply or explain” list, with a strict DMARC policy as the agreed target. The free test at internet.nl checks them all.
De kern voor de directie: dit zijn allemaal DNS-records en mailserverconfiguratie. De kosten zijn engineeringuren, geen licenties. De beslissing die het nemen waard is: zetten we DMARC op p=reject en MTA-STS op enforce? De monitoringstanden kosten evenveel werk en blokkeren niets. Voor Nederlandse overheden staan SPF, DKIM, DMARC, STARTTLS en DANE op de ‘pas toe of leg uit’-lijst van het Forum Standaardisatie, met een strikt DMARC-beleid als afgesproken streefbeeld. De gratis test op internet.nl controleert ze allemaal.
Spoofing needs no access to our systems. Anyone on the internet can try it today, and many do.Spoofing vraagt geen toegang tot onze systemen. Iedereen op internet kan het vandaag proberen, en velen doen dat.
Invoice and CEO fraud, phishing of customers under our brand, exposure of confidential mail, and legitimate mail landing in spam.Factuur- en CEO-fraude, phishing van klanten onder onze naam, blootstelling van vertrouwelijke mail, en legitieme mail die in de spam belandt.
With DMARC on reject and MTA-STS enforced, spoofing of our exact domain and downgrade are blocked. Look-alike domains and hacked mailboxes remain; call-backs and look-alike monitoring cover those.Met DMARC op reject en MTA-STS op enforce zijn spoofing van ons exacte domein en downgrade geblokkeerd. Nagemaakte domeinen en gehackte mailboxen blijven; terugbellen en lookalike-monitoring vangen die op.
IT owns the DNS records. Finance owns payment verification, which catches what the technology misses.IT is eigenaar van de DNS-records. Finance is eigenaar van de betaalverificatie, die opvangt wat de techniek mist.
DMARC policy level (none / quarantine / reject) · % of outbound mail passing DMARC · bulk-sender rules of Google, Yahoo and Microsoft met (yes / no) · MTA-STS mode (testing / enforce) · TLS-RPT failures per week.DMARC-beleidsniveau (none / quarantine / reject) · % uitgaande mail dat DMARC doorstaat · voldoet aan de bulkverzendregels van Google, Yahoo en Microsoft (ja / nee) · MTA-STS-modus (testing / enforce) · TLS-RPT-fouten per week.
“Spoofing or interception of company email causes payment fraud, phishing of customers under our name and disclosure of confidential correspondence.”“Spoofing of onderschepping van bedrijfsmail veroorzaakt betaalfraude, phishing van klanten onder onze naam en het uitlekken van vertrouwelijke correspondentie.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 (Art. 21) lists basic cyber hygiene and the use of cryptography and encryption among the required risk-management measures. Email authentication and enforced TLS are a practical way to show both. | Ask suppliers for their DMARC policy. It is public in DNS and takes one lookup to verify, unlike most claims in a questionnaire. | A large fraud or a spoofing campaign against customers can count as a significant incident if it meets the thresholds: early warning within 24 hours, notification within 72 hours, final report within one month. Exposed personal data: notify the Autoriteit Persoonsgegevens within 72 hours (GDPR Art. 33). |
| DORA | Secure communication and protection of data in transit are part of the ICT risk framework. Email is a channel with clients and with the supervisor. | It is worth checking that providers whose email carries your instructions enforce DMARC themselves, before you trust instructions from them. | Payment fraud through spoofed mail can count as a major ICT incident if it meets the criteria: initial notification within 4 hours of classifying it (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. |
| SOC 2 | Email authentication and transport encryption fall under logical access and communication controls. Auditors often accept DMARC and TLS enforcement as evidence. | A SOC 2 report rarely tests email authentication explicitly. Check the DNS yourself; it takes a minute. | A fraud through spoofed mail is tested as an incident, and weak payment controls can appear as an exception in the report. |
| ISAE 3402 | Relevant where email carries payment or financial instructions. The auditor looks at how instructions are authorised, not at the protocol. | Look for controls on how instructions are verified, not on how email is sent. The report will not tell you whether their domain can be spoofed. | A fraud through spoofed instructions can become a control deviation. ISAE 3402 creates no duty to notify user auditors: expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 (art. 21), in Nederland de Cyberbeveiligingswet, noemt basale cyberhygiëne en het gebruik van cryptografie en versleuteling als verplichte risicobeheersmaatregelen. E-mailauthenticatie en afgedwongen TLS zijn een praktische manier om beide aan te tonen. | Vraag leveranciers naar hun DMARC-beleid. Het staat openbaar in DNS en is met één opzoekactie te controleren, anders dan de meeste antwoorden in een vragenlijst. | Een grote fraude of een spoofingcampagne richting klanten kan als significant incident gelden als die de drempels haalt: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. Persoonsgegevens op straat: meld binnen 72 uur bij de Autoriteit Persoonsgegevens (AVG art. 33). |
| DORA | Veilige communicatie en bescherming van gegevens onderweg maken deel uit van het ICT-risicokader. E-mail is een kanaal met klanten en met de toezichthouder. | Het is de moeite waard te controleren of leveranciers wier e-mail uw instructies vervoert zelf DMARC afdwingen, voordat u instructies van hen vertrouwt. | Betaalfraude via nagebootste mail kan als ernstig ICT-incident gelden als die aan de criteria voldoet: eerste melding binnen 4 uur na classificatie (uiterlijk 24 uur na ontdekking), tussentijds rapport binnen 72 uur, eindrapport binnen een maand. |
| SOC 2 | E-mailauthenticatie en transportversleuteling vallen onder logische toegang en communicatiebeheersing. Auditors accepteren DMARC en afgedwongen TLS vaak als bewijs. | Een SOC 2-rapport test e-mailauthenticatie zelden expliciet. Controleer de DNS zelf; dat kost een minuut. | Een fraude via nagebootste mail wordt als incident getest, en zwakke betaalcontroles kunnen als afwijking in het rapport verschijnen. |
| ISAE 3402 | Relevant waar e-mail betaal- of financiële instructies vervoert. De auditor kijkt naar hoe instructies worden geautoriseerd, niet naar het protocol. | Zoek naar maatregelen voor het verifiëren van instructies, niet voor het verzenden van e-mail. Het rapport vertelt u niet of hun domein na te bootsen is. | Een fraude via nagebootste instructies kan een afwijking worden. ISAE 3402 schept geen meldplicht richting de auditors van klanten: verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
Checked against: Google sender guidelines (Feb 2024), Yahoo sender requirements (Feb 2024), Microsoft Outlook.com high-volume senders (May 2025), FBI IC3 Internet Crime Report 2025, Forum Standaardisatie (2026), internet.nl, RFC 8461 and RFC 7672 · September 2026.
Gecontroleerd tegen: richtlijnen voor afzenders van Google (feb 2024), afzendereisen van Yahoo (feb 2024), Microsoft Outlook.com, grote verzenders (mei 2025), FBI IC3 Internet Crime Report 2025, Forum Standaardisatie (2026), internet.nl, RFC 8461 en RFC 7672 · september 2026.