Email security. Four ways it breaks. E-mailbeveiliging. Vier manieren waarop het misgaat.

An email is not one hop — it crosses several networks and relays before it lands. If any hop negotiates plaintext instead of TLS, everything in that message is readable by whoever sits on that path: a transit provider, a compromised router, a hostile Wi-Fi, a nation-state tap. Nothing breaks, no alert fires, and the recipient still receives the mail. That is exactly why it goes unnoticed for years.

What is exposed: M&A and contract negotiations, HR and medical data, invoices and bank details, password-reset links, board material. Under GDPR this is a personal-data breach with a 72-hour notification clock.

Een e-mail maakt niet één sprong — hij passeert meerdere netwerken en relays voordat hij aankomt. Onderhandelt één van die hops platte tekst in plaats van TLS, dan is de volledige inhoud leesbaar voor iedereen op dat pad: een transitprovider, een gehackte router, een vijandig wifinetwerk, een statelijke tap. Er gaat niets stuk, er komt geen alarm, en de ontvanger krijgt de mail gewoon. Precies daarom blijft dit jarenlang onopgemerkt.

Wat er op straat ligt: overname- en contractonderhandelingen, HR- en medische gegevens, facturen en bankrekeningnummers, wachtwoord-resetlinks, bestuursstukken. Onder de AVG is dit een datalek met een meldtermijn van 72 uur.

Reading is passive. Changing is active — and far more expensive. An attacker positioned on an unprotected path can alter the message body, swap an attached invoice, or rewrite a single IBAN, then forward the mail onward. Both sender and recipient see a normal conversation thread. The mismatch only surfaces weeks later, when the real supplier asks where their money is.

Business impact: direct financial loss (invoice-redirection fraud averages six figures per incident), contract disputes over “what was actually agreed”, and no reliable evidence trail — because without a cryptographic signature you cannot prove the message you hold is the message that was sent.

Meelezen is passief. Wijzigen is actief — en veel duurder. Een aanvaller op een onbeschermd pad kan de tekst aanpassen, een bijgevoegde factuur vervangen of één IBAN herschrijven, en de mail daarna gewoon doorsturen. Zowel afzender als ontvanger ziet een normale gespreksdraad. Het verschil komt pas weken later boven water, als de echte leverancier vraagt waar zijn geld blijft.

Bedrijfsimpact: direct financieel verlies (factuurfraude loopt gemiddeld in de zes cijfers per incident), contractdiscussies over “wat er nu écht is afgesproken”, en geen betrouwbaar bewijsspoor — zonder cryptografische handtekening kun je niet aantonen dat het bericht dat je hebt, het bericht is dat is verstuurd.

Nothing in the email protocol stops a stranger from typing our domain into the “From:” field. Without SPF, DKIM and an enforcing DMARC policy, anyone on the internet can send mail that is — for every practical purpose the recipient can check — from our CFO. Their mail client shows our name, our domain, our branding.

Business impact: CEO fraud and payment-instruction fraud aimed at our own staff; phishing of our customers under our brand; our domain's sending reputation destroyed, which means our legitimate mail starts landing in spam. And this risk exists whether or not we are otherwise “secure” — the attacker never has to touch our infrastructure.

Niets in het e-mailprotocol verhindert een vreemde om ons domein in het “Van:”-veld te typen. Zonder SPF, DKIM en een handhavend DMARC-beleid kan iedereen op internet mail versturen die — voor alles wat de ontvanger kan controleren — van onze CFO ís. In hun mailprogramma staat onze naam, ons domein, onze huisstijl.

Bedrijfsimpact: CEO-fraude en betaalinstructiefraude richting onze eigen medewerkers; phishing van onze klanten onder onze merknaam; vernietiging van de verzendreputatie van ons domein, waardoor onze legitieme post in de spamfolder belandt. Dit risico bestaat los van hoe “veilig” wij verder zijn — de aanvaller hoeft onze infrastructuur nooit aan te raken.

This is risks 01 and 02 combined and weaponised. The attacker inserts themselves between the two mail servers and impersonates each side to the other. Because STARTTLS is opportunistic by default, they simply strip the encryption offer during the handshake — both servers then fall back to plaintext and neither complains. From that position the attacker reads everything, changes anything, and can hold the conversation open for months.

Why this is the board-level one: it defeats the assumption that “we have encryption”. Opportunistic TLS is encryption that silently turns itself off when asked nicely. MTA-STS and DANE remove the “opportunistic” part — they make encryption mandatory, so a stripped connection fails instead of quietly downgrading.

Dit is risico 01 en 02 gecombineerd en tot wapen gemaakt. De aanvaller plaatst zich tussen beide mailservers en doet zich naar elke kant voor als de ander. Omdat STARTTLS standaard opportunistisch is, verwijdert hij simpelweg het versleutelingsaanbod tijdens de handshake — beide servers vallen terug op platte tekst en geen van beide klaagt. Vanuit die positie leest de aanvaller alles, wijzigt hij wat hij wil, en kan hij de conversatie maandenlang openhouden.

Waarom dit een directiethema is: het ondergraaft de aanname dat “wij versleuteling hebben”. Opportunistische TLS is versleuteling die zichzelf stilletjes uitschakelt zodra er vriendelijk om wordt gevraagd. MTA-STS en DANE halen het “opportunistische” eruit — zij maken versleuteling verplicht, zodat een gestripte verbinding faalt in plaats van stil te degraderen.