Med argumentet om, at det kun vil forhindre 10 procent af svindelforsøgene, afviser Skat, at det kan nytte noget at anvende et værktøj, som kan forhindre de dygtigste svindlere i at kopiere Skats afsenderadresse i de mails, myndigheden flere gange om året sender ud til samtlige danskere om restskat, selvangivelse og forskudsopgørelse.
Det resulterer i professionelt udførte svindelmails, hvor selv it-eksperter har svært ved at skelne kopien fra den ægte email. Og danskerne er så obs på risikoen for, at når Skat står som afsender, kan det i virkeligheden være en svindelmail, at hundredtusinder af danskere deler artikler om svindelmails, som er skrevet år tilbage.
LÆS ARTIKEL
Skat har fået kritik for ikke at gøre mere ved sikkerheden i de mails, de sender ud. For eksempel anvender Skat stadig aktive links i sine mails, som svindlere så kan kopiere og forsyne med nyt, farligt indhold, som fører folk helt andre steder hen end ind på Skats hjemmeside.
It-eksperter undrer sig
Chefen for DKCERT, der overvåger netsikkerheden for flere offentlige institutioner, Shehzad Ahmad, kalder det »meget betænkeligt«, at Skat fortsætter den praksis på trods af tydelige anbefalinger om ikke at gøre det fra eksperter. Han henviser blandt andet til bankerne, som af sikkerhedsgrunde aldrig anvender links i deres mails til kunderne.
Flere it-eksperter undrer sig også over, at Skat ikke for længe siden har indført tekniske barrierer som for eksempel det gratis værktøj DMARC, som en af de helt store maildistributører i Danmark, TDC, har implementeret for at forhindre en stor del af de mest professionelt udførte svindelnumre.
DMARC kan nemlig forhindre en svindler i at kopiere en emailadresse som skat@skat.dk
DMARC forhindrer de bedst udførte falske mails
Skat argumenterer i en mail til Politiken med, at myndigheden ikke vil anvende værktøjet, fordi det ikke forhindrer nogen i at forsøge at snyde modtageren ved at sende en mail med for eksempel afsenderen skat@gmail.com eller skat@hotmail.dk
»Der findes desværre ikke en it-teknisk løsning, der kan forhindre it-kriminelle i at udsende falske (phishing) e-mails, herunder DMARC. Da mere end 90 procent af de phishing e-mails, hvor Skats navn, logo m.v. benyttes af de it-kriminelle, ikke er forsynet med en skat.dk afsenderadresse, men med f.eks. en gmail eller en hotmail, giver DMARC desværre ikke den ønskede beskyttelse«, skriver Skat i en email til Politiken, som ikke har haft mulighed for at tale med en it-ansvarlig medarbejder i Skat.
At DMARC-systemet kun spærrer for en del af svindelforsøgene, giver it-sikkerhedsekspert Henrik Schack Skat delvist ret i. Selv om det er korrekt, at DMARC ikke forhindrer alle svindelforsøg, så forhindrer det de værste.
»DMARC forhindrer de teknisk veludførte phishing emails, altså dem, hvor selv øvede it-folk har svært ved at afgøre, om emailen er falsk eller ej«, siger han.
Når Skat stadig lægger aktive links i sine mails til borgerne, tvinges myndigheden også til at have en omfattende vejledning i, hvordan borgerne selv kan beskytte sig.
»I dag er Skats vejledning i, hvordan man spotter en falsk email en forholdsvis kompliceret sag at kæmpe sig igennem for Hr. og Fru Danmark. Den forvirrer næsten mere, end den hjælper, og jeg tror, de fleste giver op undervejs«, siger Henrik Schack.
LINKSe Skats vejledning om falske emails
»Med DMARC kunne den omskrives til, at man skal huske at se, om der står @skat.dk i 'From'-feltet. Det kan ikke forfalskes, når man har DMARC implementeret«, siger han.
Men Skats brug af aktive links i mails og myndighedens afvisning af tekniske barrierer for svindelmails afføder en helt anden metode, fremgår det i en mail fra Skat til Politiken:
»Den bedste metode er advarsler i medier, herunder Skats hjemmeside, TV, radio, aviser mm. om de falske e-mails«, skriver Skat.
- Vi udsender servicemeddelelser på skat.dk med advarsel om disse phishing e-mails.
- Vi informerer vores servicemedarbejdere, når vi kan se, der er større phishing-kampagner i gang, så de kan rådgive borgere og virksomheder, som henvender sig.
- Vi politianmelder de større phishing-kampagner.
- Vi har kontrakt med et eksternt sikkerhedsfirma (CSIS, red.), som får lukket de servere ned, hvorfra de pågældende e-mails udsendes.
Skat skriver også, at institutionen dog har »implementeret SPF, som er den ene del af DMARC«.
