Vaid iga kümnes Baltimaade ettevõte on e-posti arvepettuse vastu kaitstud

Kontrollisime kõiki 351 586 .lv, .lt ja .ee domeeni – iga ühte, mis olemas on. Neist 238 009 võtab e-posti vastu. Ja neist omakorda ainult 25 474 on seadistanud DMARC-i nii, et see päriselt midagi kaitseb. Ülejäänud 212 000 domeeni nimel võib ükskõik kes maailmas saata e-kirja, ja saaja postisüsteem toimetab selle kätte.

DMARC ühe lõiguga

Teie e-posti aadress on ettevõtte kirjaplank. Ilma DMARC-ita võib igaüks sellele kirja kirjutada. DMARC on reegel, mille te annate postisüsteemidele: need on saatjad, kes tohivad minu nimel kirjutada, ülejäänud visake minema ja öelge mulle, kes proovis. Tehniliselt on see üks DNS-kirje, mis toetub kahele teisele (SPF ja DKIM). Kuidas seda seadistada, on kirjas eraldi artiklis; see artikkel räägib sellest, miks peaaegu keegi ei ole seda teinud.

Arvud

• SPF on avaldatud 88,4 %-l e-posti domeenidest. Näeb hästi välja.
• DMARC-kirje on 36,1 %-l domeenidest.
• DMARC, mis päriselt midagi blokeerib (quarantine või reject) – 10,7 %.
• Eestis 14,1 %, Lätis 15,9 %, Leedus 5,9 %.

Vahe 36 % ja 10,7 % vahel on kõige olulisem leid. Kaks kolmandikku Baltimaade DMARC-kirjetest on režiimis “none” – avaldatud, nähtavad, aga ei kaitse millegi eest.

Miks nii: neli veebimajutajat

Eestis on DMARC-kirje 47 %-l domeenidest – kaks korda rohkem kui Lätis. Kas eestlased on kaks korda turvateadlikumad? Ei. Üks Eesti veebimajutaja lisab DMARC-kirje automaatselt 88 %-le oma domeenidest – ja 95 % neist on režiimis “none”. Leedus lülitab suurim veebimajutaja samamoodi automaatselt sisse SPF-i, seepärast on Leedu SPF-i järgi esikohal ja tegeliku kaitse järgi viimane.

Järeldus, mis puudutab iga ettevõtet: see, et veebimajutaja “on midagi seadistanud”, ei tähenda, et olete kaitstud. Tõenäoliselt tähendab see, et tehtud on miinimum, et teie posti ei blokeeritaks, ja mitte midagi rohkemat.

Mida see praktikas tähendab

CERT-EE (RIA) andmetel on õngitsemine (phishing) Eestis üks peamisi ründeliike, ja arvepettuste tõttu kaotavad ettevõtted igal aastal märkimisväärseid summasid. Osa sellest on “meie pangakonto on muutunud” kirjad, mis on saadetud päris ettevõtte nimel. Kui teie domeen on nende 89 % hulgas, saab sama teha ka teie arvetega.

On ka teine pool. Google ja Microsoft suunavad alates 2024. aastast autentimata kirjad rämpsposti. Kui teie arved klientidele “kuidagi kohale ei jõua”, on see esimene asi, mida kontrollida.

Mida teha

1. Kontrollige oma domeeni. Kui DMARC-kirjet ei ole või selles on “p=none”, ei ole te kaitstud.
2. Lugege kokku, kes teie nimel kirju saadab: postisüsteem, raamatupidamistarkvara, e-pood, turundustööriist. Tavaliselt on 3-5 saatjat, kellele keegi pole mõelnud.
3. Korrastage SPF ja DKIM iga saatja jaoks, lülitage DMARC sisse jälgimisrežiimis ja lugege 4-8 nädalat raporteid.
4. Minge üle režiimile “quarantine”, seejärel “reject”. Ja jälgige edasi – uusi saatjaid tuleb juurde sagedamini, kui arvata võiks.

Kui soovite, et seda teeks keegi teine: e-posti turvalisuse korrastamine ühe domeeni jaoks maksab 390 EUR, jälgimine 99 EUR aastas, ja see sobib iga postiplatvormi puhul.

Andmed: FreeIT Baltimaade e-posti infrastruktuuri uuring, september 2026. Täielik raport soovi korral.