RIA soovitab kasutada DMARCi

RIA intsidentide käsitlemise osakonda juhtiva Tõnu Tammeri kinnitusel on RIA meiliteesklusele pööranud rohkem tähelepanu viimased kuus kuud ning olukord on tänaseks märgatavalt parem, kui ta oli pool aastat tagasi.

Suurimat muret valmistab Tammerile see, et suur osa Eestis tegutsevatest pankadest ei ole DMARCi kasutusele võtnud.

Tammer ei too välja vestluste sisu, mis on tal pankadega olnud, kuid kinnitas, et osade pankade esindajate vastustest jäi talle mulje, et nad ei saa DMARCi protokolli olulisusest aru. DMARCi protokolli kasutamise vajalikkus on kirjas ka RIA küberturvalisuse juhendis.

Väga lihtsustatult öelduna kontrollib DMARCi puhul meiliserver, kas kirja saatnud ja e-kirja päises olevad aadressid ka reaalselt ühtivad. Kui server seda ei kontrolli, siis saab saata välja kirja, mis tundub olevat tulnud panga aadressilt.

Tammeri kinnitusel ei ole DMARCi kasutuselevõtt midagi keerulist ega vaevarikast.

Kaheksa panka kümnest ei kasuta DMARCi

Eesti Pangaliitu kuuluvast kümnest pangast on protokolli võtnud kasutusele vaid Danske Bank ja Svenska Handelsbanken. Protokolli ei ole kasutusele võtnud Citadele, LHV, Inbank, SEB, Bigbank, Coop pank, Luminor, OP Corporate Bank, Swedbank ja Tallinna Äripank.

“Jah see on hea tehnoloogia aga senikaua kuni seda kasutab hetkel maailma ja Eesti meiliteenistustes healjuhul kümme protsenti, ei ole sellel paanikal alust,” ütles ühe panga IT-töötaja eraviisilisel vestlusel ajakirjanikuga. “Minu isiklikul seisukoha järgi peavadki lollid ja rumalad inimesed õppima läbi valu või rahakoti.”

Artikli avaldamise hetkeks edastatud ametlikes vastustes näevad panga esindajad DMARCis osati küll lahendust, kuid samas toovad välja ka mitmeid miinuseid, mis on selle kasutuselevõttu takistanud.

Ainsana andis SEB kommunikatsioonijuht Evelin Allas välja lubaduse, et nende pank plaanib DMARCi kasutusele võtta, kuid samas lisas, et SEB kogemus näitab, et ründajad saadavad e-kirju sellisena, et DMARC mehhanismi rakendamine neid kinni ei hoiaks.

LHV: DMARCi kasutuselevõtt on komplitseeritud

Coop Panga IT osakonna juht Madis Tapupere kohaselt on Coop alustanud meilisüsteemi väljavahetamisega projektiga.

“Praeguste plaanide kohaselt loodame sellega valmis saada käesoleva aasta lõpuks,” ütles ta. Tapupere ei täpsustanud, kas Coop võtab DMARCi kasutusele.

Swedbanki küberriskide juhi Toomas Vaksi kinnitusel on konkreetse lahenduse ja ka teiste samalaadsete, e-kirjade võltsimist mõnevõrra takistavate vahendite kasutamist kaalutud ja kaalutakse kindlasti ka edaspidi.

LHV kommunikatsioonijuhi Priit Rumi sõnul on DMARCi suuremate süsteemide puhul DMARCi kasutusele võtmine üsna komplitseeritud ja võimaliku olulise kõrvalmõjuga.

“Oleme kaalumas sobivaid lahendusi, kuid täna ei ole veel võimalik DMARCi kasutusele võtmise detaile ja ajakava prognoosida,” ütles Rum.

Inbank: on mitmeid argumente, miks me ei ole DMARCi kasutusele võtnud

Inbanki IT operatsioonide juhi Mati Aednurme sõnul on mitmeid argumente, miks ei ole Inbank DMARCi kasutusele võtnud. Peamiseks põhjuseks peab ta seda, et suurtes süsteemides DMARCi kasutamine toob kaasa ka suurema halduskoormuse.

“Raskused kirjade kohaletoimetamise ning kommunikatsiooniga võivad tekkida kohe, kui kasutusele tulevad kirjalistid, kolmanda osapoole poolt saadetud infomeilid, e-arved ja muu kommunikatsioon. Lisaks, DMARCi rakendamine on ühepoolne tegevus. Kui kirja saaja sama mehhanismi ei rakenda, muutub selle kasutegur nulliks,” ütles Aednurm.

Sarnaselt Inbanki esindajale ütles ka Luminori kliendikommunikatsioonijuht Martin Kõrv, et DMARCi puudutav küsimus ei ole lihtne.

“Võttes arvesse DMARC-i keerukusega seotud probleeme ja selle loomuomaseid piiranguid, suurendab DMARC-i juurutamine tõenäosust, et eluliselt tähtsad teenused kogemata katkestatakse,” ütles Kõrv.

Kõrv rääkis, et DMARCi kõige suurem puudus on see, et ta lahendab ära vaid osa probleemist. Meiliteeskluse kõrval tõi ta välja kaaperdamise ja õiguspäraste domeenide kasutamise rünnakud, mis võimaldavad saata e-kirju, mis tunduvad ehtsana.

“Sel põhjusel on meil juurutatud kompensatsioonimeetmed ja kõigis Balti riikides toimub pidev jälgimine tihedas koostöös riiklike küberkaitsejõududega,” lisas ta.