Domene sikkerhet for norske bedrifter

1. Innledning: Hvorfor domene-sikkerhet angår alle norske bedrifter

For mange virksomheter er domenenavnet selve navneskiltet på internett: det står på nettsiden, i e-postadresser, i markedsføring, i fakturaer og i kontrakter. Mister du kontroll over domenet, mister du i praksis kontroll over en stor del av den digitale identiteten din – og angripere kan bruke dette til å stjele penger, data og tillit.

Domene-sikkerhet handler derfor ikke bare om IT-avdelingen. Det er et forretningskritisk område som berører ledelse, økonomi, kommunikasjon, kundeservice og drift. Denne artikkelen gir en grundig, men lettfattelig innføring i de vanligste truslene og de viktigste tiltakene – med særskilt relevans for norske forhold og .no-domener.

2. Hva er et domene (og hvorfor er det en «digital nøkkel»)?

Et domene er navnet som peker til virksomhetens digitale tjenester, typisk:

• Nettside (f.eks. www.dittfirma.no)
• E-post (f.eks. navn@dittfirma.no)
• Innloggingstjenester (Microsoft 365, Google Workspace, SSO)
• API-er og underdomener (f.eks. api.dittfirma.no, portal.dittfirma.no)

Teknisk sett er domenet en del av DNS (Domain Name System), som oversetter domenenavn til IP-adresser og andre «peke-på»-informasjon (MX for e-post, TXT for autentisering, CNAME for videresending osv.).

Hvorfor «digital nøkkel»? Fordi den som kontrollerer domenet, i mange tilfeller kan:

• sende e-post som ser ekte ut
• omdirigere trafikk til falske nettsider
• sabotere tjenester ved å endre eller slette DNS-poster
• gjenopprette passord på tilknyttede tjenester via e-post

Domenet er dermed en nøkkel til både identitet og tilgjengelighet.

3. Vanlige trusler mot domener i praksis

3.1 Domeneovertakelse (account takeover hos registrar)

Domeneovertakelse skjer når angripere får tilgang til kontoen hos domeneregistraren (eller leverandøren som administrerer domenet). Vanlige metoder:

• phishing mot ansatte/IT (falske innloggingssider)
• gjenbrukte passord fra datalekkasjer
• manglende MFA
• svake rutiner for tilgang når ansatte slutter

Konsekvensen kan være at angriper endrer navnservere, flytter domenet (transfer), endrer kontaktinfo eller aktiverer videresending.

3.2 DNS-kapring og manipulering av DNS-poster

DNS-kapring betyr at angriperen endrer DNS-oppsettet slik at trafikk og e-post går feil. Eksempler:

• A/AAAA peker nettsiden til en falsk server (phishing/malware)
• MX peker e-post til angripers e-postserver (avlytting/kapring)
• TXT endres for å ta over tredjepartstjenester (verifiseringer)

Dette kan skje via kompromittert DNS-administrator, kompromittert registrar-konto, eller feil/prosedyrer som gjør endringer for en angriper.

3.3 Phishing og lookalike-domener (typosquatting)

Angripere registrerer domener som ligner på deres, for å lure mottakere:

• dittfirma-no.com
• dittfirrna.no (m byttet med rn)
• dittfirma.support eller andre nye toppdomener

Slike domener brukes ofte i e-postsvindel, falske innloggingsportaler og «betalingsinstruks»-svindel.

3.4 E-postmisbruk: spoofing og CEO-svindel knyttet til domenet

Selv uten å eie domenet kan angripere forsøke å sende e-post som «ser ut» som den kommer fra dere (spoofing), eller bruke lookalike-domener til CEO-svindel (Business Email Compromise).

Typiske scenarier:

• «Jeg er daglig leder – betal denne fakturaen i dag.»
• «Bankkontoen vår er endret – bruk vedlagt kontonummer.»
• «Del lønnslister eller personaldata.»

God e-postautentisering (SPF, DKIM, DMARC) reduserer risikoen betydelig.

3.5 Utgåtte domener og «domain expiration»-risiko

En overraskende vanlig årsak til domenehendelser er at domenet ikke blir fornyet:

• faktura går til feil e-postadresse
• kontaktperson har sluttet
• leverandør/abonnement endres uten at noen følger opp
• kredittkort utløper

Når domenet utløper, kan det bli parkert, solgt videre eller overtatt av angripere. Det kan gi umiddelbar nedetid for nettside og e-post – og i verste fall kapring av kommunikasjon.

4. Konsekvenser for bedriften (økonomi, omdømme, drift og juridisk risiko)

Domeneangrep rammer ofte bredt:

• Økonomi: direkte svindel (fakturabedrageri), kostnader til gjenoppretting, nedetid
• Omdømme: kunder mister tillit hvis de blir lurt via «deres» domene
• Drift: nettside og e-post kan stoppe, eller bli manipulert
• Sikkerhet: angrep kan brukes som inngang til videre kompromittering (konto-gjenoppretting, SSO)
• Juridisk/etterlevelse: mulig brudd på GDPR (personopplysninger i e-post), varslingsplikt ved databrudd, avtalebrudd

5. Grunnmur: Sikker domeneforvaltning og tilgangskontroll

5.1 Velg seriøs registrar/leverandør: hva du bør se etter

En god registrar/DNS-leverandør er et sikkerhetstiltak i seg selv. Se etter:

• støtte for MFA (helst app/basert, og gjerne FIDO2/WebAuthn)
• tydelig rolle- og tilgangsstyring (RBAC)
• endringslogg og revisjonsspor
• mulighet for registry lock/sperrelås
• god kundestøtte med dokumenterte rutiner for identitetskontroll
• sikkerhetsvarsler ved endringer (e-post/SMS/webhooks)
• støtte for DNSSEC og moderne DNS-administrasjon

For .no kan dere ha registrar som håndterer kontakten mot Norid, men dere bør fortsatt stille krav til prosess og sikkerhet.

5.2 MFA, passordhygiene og minste privilegium

Minimumstiltak:

• Aktiver MFA for alle som kan endre domene/DNS
• Bruk en passordmanager og unike, sterke passord
• Fjern delte kontoer (som admin@...) der det er mulig
• Innfør minste privilegium: bare de som må endre DNS skal kunne det
• Separér roller: én for faktura/fornyelse, én for tekniske endringer (der det gir mening)

5.3 Rollefordeling og eierskap: hvem «eier» domenet internt?

Domener havner ofte i et «ingen eier det»-vakuum. Avklar og dokumentér:

• Hvem er domeneforvalter (ansvarlig for oversikt og rutiner)?
• Hvem godkjenner endringer (IT-leder, sikkerhetsansvarlig)?
• Hvem håndterer kommunikasjon ved hendelser (kommunikasjon/ledelse)?
• Hvem har tilgang til registrar-kontoen og hvor er den dokumentert?

Sørg også for at domenet er registrert på virksomheten (juridisk enhet) – ikke på en privatperson eller et byrå.

5.4 Rutiner for fornyelse, faktura og kontaktinformasjon

Praktiske tiltak som ofte hindrer store problemer:

• Sett domenefornyelse på automatisk fornyelse der det er mulig
• Bruk en gruppe-e-post som flere følger (f.eks. it-drift@...) for registrarkontakt
• Gjennomfør kvartalsvis/halvårlig sjekk av:
  • kontaktinfo hos registrar
  • fakturaadresse og e-post for varsler
  • hvilke domener dere eier (inkl. «gamle»)
• Lag en intern oversikt med:
  • registrar, kundenummer, domener, utløpsdatoer
  • navnservere/DNS-leverandør
  • hvem som kan godkjenne endringer

6. Teknisk sikring av DNS

6.1 DNSSEC: hva det er, hvorfor det hjelper, og hva det ikke løser

DNSSEC (DNS Security Extensions) signerer DNS-data kryptografisk slik at klienter kan verifisere at DNS-svarene er ekte og ikke manipulert underveis.

DNSSEC hjelper mot:

• forgiftning/manipulering av DNS-svar (cache poisoning)
• enkelte typer «man-in-the-middle» på DNS-nivå

DNSSEC løser ikke:

• kompromittert registrar-konto (angriper kan endre sonen «legitimt»)
• phishing/lookalike-domener
• feilkonfigurasjoner og menneskelige feil
• e-postsvindel uten DMARC

Likevel er DNSSEC et viktig lag – spesielt for virksomheter som er utsatt for målrettede angrep.

6.2 Sikre endringsprosesser: logging, godkjenning, «four-eyes»-prinsipp

DNS-endringer bør behandles som produksjonsendringer:

• krev godkjenning av en ekstra person ved kritiske endringer (MX, NS, SPF/DKIM/DMARC)
• bruk ticket/endringssystem (selv et enkelt skjema) med:
  • hva endres, hvorfor, hvem bestilte, hvem godkjente
  • plan for tilbakeføring (rollback)
• sørg for at leverandøren gir endringslogg og at dere faktisk følger den ved avvik

6.3 Begrens sonetilgang og bruk av separate administrator-kontoer

• Bruk separate kontoer for administrasjon (ikke samme som daglig e-postkonto)
• Begrens hvem som kan endre navnservere (NS) og hvem som kan endre «vanlige» poster
• Vurder å splitte:
  • én leverandør for registrar
  • én for DNS-hosting
    Dette kan redusere «single point of failure», men øker også kompleksitet. Velg det som passer modenhet og driftsevne.

6.4 Overvåking av DNS-endringer og varsling

Oppdagelse tidlig er ofte avgjørende. Minimum:

• varsler ved endring av:
  • NS, MX, A/AAAA, TXT (SPF/DKIM/DMARC), CNAME for innloggingstjenester
• ekstern overvåking som sjekker at viktige DNS-poster er uendret
• overvåking av sertifikatutstedelser (Certificate Transparency) for å fange opp uønskede TLS-sertifikater på domenet

7. Sikring av e-post på domenet (kritisk for å stoppe svindel)

Målet er å gjøre det vanskelig å misbruke domenet i e-post, og å gi mottakere et tydelig signal om hva som er ekte.

7.1 SPF forklart enkelt (og vanlige fallgruver)

SPF (Sender Policy Framework) sier hvilke e-postservere som har lov til å sende e-post på vegne av domenet.

• Publiseres som en TXT-record (f.eks. v=spf1 ... -all)
• Mottaker sjekker om avsender-IP er autorisert

Vanlige fallgruver:

• For mange oppslag (SPF har en grense på 10 DNS-oppslag)
• Flere SPF-poster (det skal normalt bare være én)
• ~all (softfail) blir stående for lenge; vurder overgang til -all når dere har kontroll
• Glemmer tredjepartsavsendere (CRM, nyhetsbrev, fakturasystem)

7.2 DKIM: signering av e-post og nøkkelhåndtering

DKIM (DomainKeys Identified Mail) signerer utgående e-post kryptografisk slik at mottaker kan verifisere at innholdet ikke er endret og at avsenderen er autorisert.

Suksessfaktorer:

• bruk tilstrekkelig sterke nøkler (ofte 2048-bit der det støttes)
• ha rutiner for rotasjon av DKIM-nøkler
• sørg for at alle utgående plattformer signerer (M365/Google + tredjepartsverktøy)

7.3 DMARC: policy, rapportering og innføring stegvis

DMARC binder SPF og DKIM sammen og forteller mottakere hva de skal gjøre hvis en e-post feiler autentisering.

DMARC gir:

• en policy: none, quarantine, reject
• rapportering (aggregate-rapporter og evt. forensic/feilrapporter)
• beskyttelse mot spoofing av deres domene (når riktig innført)

Anbefalt stegvis innføring:

1. Start med p=none for å samle rapporter uten å påvirke levering.
2. Rydd opp: sørg for at legitime avsendere består SPF/DKIM og at alignment er riktig.
3. Øk gradvis: p=quarantine → p=reject (eventuelt med prosentvis utrulling pct=).
4. Hold det ved like: nye systemer må inn i SPF/DKIM og overvåkes i DMARC-rapporter.

7.4 Slik tolker du DMARC-rapporter og forbedrer løpende

DMARC-rapporter kan være tekniske, men se etter:

• hvilke kilder (IP-er/tjenester) som sender på vegne av domenet
• hva som feiler: SPF, DKIM eller alignment
• uventede avsendere (indikasjon på misbruk eller feilkonfig)

Praktisk tilnærming:

• bruk en DMARC-analysetjeneste eller et verktøy som gjør rapportene lesbare
• etabler en rutine (månedlig/kvartalsvis) for gjennomgang
• koble funn til endringsprosess: «Ny e-posttjeneste må godkjennes og dokumenteres»

8. Beskytt merkevaren: defensive registreringer og anti-phishing-tiltak

8.1 Registrer relevante varianter (typoer, .com, .net, bransjenavn) – når lønner det seg?

Defensive registreringer kan redusere risiko for at svindlere tar de mest opplagte variantene. Det lønner seg særlig når:

• dere har kjent merkevare eller mange kunder
• dere ofte er utsatt for svindelforsøk
• domenet er kort og lett å etterligne
• dere driver netthandel eller håndterer betalinger

Start pragmatisk:

• de vanligste skrivefeilene (typoer)
• .com (ofte relevant selv for norske virksomheter)
• åpenbart misbrukbare varianter (bindestrek, ekstra bokstav)

Ikke prøv å «eie alt» – det blir raskt dyrt og uoversiktlig. Kombinér med overvåking.

8.2 Overvåk nye registreringer og misbruk (brand monitoring)

Tiltak:

• overvåk domener som ligner (nye registreringer)
• overvåk phishing-innhold og falske landingssider
• overvåk annonser/SoMe-kampanjer som misbruker navnet

Etabler en enkel prosess for takedown: hvem samler bevis, hvem kontakter leverandør/hosting, og hvem informerer kunder.

8.3 Samarbeid med IT/markedsføring og kundeservice for å oppdage svindel tidlig

Kundeservice får ofte de første signalene («jeg fikk en rar e-post»). Sørg for:

• en intern kanal for rapportering av mistenkelige e-poster/domener
• mal for hva som må inkluderes (header, tid, vedlegg, lenker)
• jevnlig informasjonsdeling mellom IT, marked og kundeservice
• enkel kundekommunikasjon: «Slik kjenner du igjen ekte e-post fra oss»

9. Sjekkliste: «Dette bør norske bedrifter gjøre i dag»

Bruk denne som et minimumsløp:

1. Kartlegg alle domener virksomheten eier (inkl. gamle og kampanjedomener).
2. Sikre at domenene er registrert på riktig juridisk enhet, med oppdatert kontaktinfo.
3. Slå på MFA hos registrar og DNS-leverandør for alle med tilgang.
4. Fjern unødvendige administratorer og innfør minste privilegium.
5. Aktiver autofornyelse, og sett opp varsler til en delt e-postadresse.
6. Vurder sperrelås/registry lock for hoveddomenet (spesielt for kritiske virksomheter).
7. Innfør endringsrutine for DNS (logging + godkjenning for kritiske poster).
8. Aktiver DNSSEC der det er hensiktsmessig og støttet av leverandøren.
9. Sett opp overvåking/varsling for DNS-endringer og sertifikatutstedelser.
10. Implementer e-postsikring:

• SPF (korrekt og vedlikeholdt)
• DKIM (signering fra alle avsendere)
• DMARC (start none, mål mot reject)

1. Vurder defensive registreringer og brand monitoring.
2. Lag en hendelsesplan: hvem gjør hva ved domenehendelser.

10. Hvis uhellet er ute: Beredskap og hendelseshåndtering ved domeneangrep

10.1 Tegn på kompromittering

Vanlige symptomer:

• uventede DNS-endringer (NS, MX, A/AAAA, TXT)
• kunder melder om phishing fra «deres» domene eller lookalike-domener
• e-post slutter å fungere eller leveringsfeil øker
• nettsiden viser feil innhold, videresender eller får sertifikatvarsler
• uventede påloggingsvarsler fra registrar/DNS-leverandør
• DMARC-rapporter viser plutselig økning i uautoriserte avsendere

10.2 Første tiltak (stans skade, sikre tilgang, reverser endringer)

Prioritering de første timene:

1. Sikre tilgang: lås ned registrar- og DNS-kontoer, bytt passord, tvangsterminer sesjoner, verifiser MFA.
2. Stans pågående endringer: slå på sperrer/lock om mulig, fjern uautoriserte brukere/API-nøkler.
3. Reverser DNS-endringer: gjenopprett kjent «god» sone (ha backup/eksport).
4. Sikre e-post: sjekk MX, SPF/DKIM/DMARC, og vurder midlertidige tiltak for å stoppe misbruk.
5. Dokumentér alt: tidslinje, skjermbilder, logger, e-postheaders, endringshistorikk.

Ikke vent med å involvere leverandør: registrar og DNS-leverandør kan ofte se detaljer dere ikke ser.

10.3 Kontaktpunkter: registrar, DNS-leverandør, e-postleverandør og relevante myndigheter/partnere

Ha en forhåndsdefinert kontaktliste:

• Registrar (domenekonto, overføring, sperrer)
• DNS-hosting-leverandør (sone, endringslogg, rollback)
• E-postleverandør (M365/Google, gateway, logging, kontosikkerhet)
• Webhotell/CDN/WAF (hvis webtrafikk kapres)
• Bank/økonomipartner (ved mistanke om fakturasvindel)
• Sikkerhetspartner/IRT (intern eller ekstern)
• Norid (for .no): Norid forvalter .no-registeret. I praksis går mye via registrar, men ved alvorlige tvister eller behov for prosessavklaring er Norid relevant å kjenne til. Sørg for at registrar følger Norids rutiner og at registrantdata er korrekte.

Ved mulig personvernbrudd: involver personvernansvarlig og vurder varslingsplikt.

10.4 Kommunikasjon til kunder og ansatte

Kommunikasjon bør være rask, presis og handlingsrettet:

• Fortell hva som er berørt (nettside, e-post, innlogging)
• Gi tydelige råd: «Ikke betal fakturaer fra X», «Sjekk avsenderadresse», «Ikke klikk på lenker»
• Oppgi sikre kanaler: telefonnummer, verifiserte nettsider, eventuelt midlertidig status-side
• Informér ansatte om hvordan de skal håndtere henvendelser og hva de ikke skal si

Ha gjerne forhåndslagde maler for «sikkerhetsvarsel» og «statusoppdatering».

11. Oppsummering og anbefalt neste steg

Domene-sikkerhet er en kombinasjon av styring og teknikk: tydelig eierskap, sikre leverandørvalg og tilgangskontroll, robuste rutiner for fornyelse og endringer, samt tekniske mekanismer som DNSSEC og e-postautentisering (SPF, DKIM, DMARC). I norske virksomheter bør man i tillegg ta hensyn til .no-forvaltning og sikre at registrar og registrantinformasjon håndteres riktig i tråd med beste praksis.

Anbefalt neste steg: Start med sjekklisten i kapittel 9, og velg deretter to områder å modne i løpet av de neste 30 dagene:

1. tilgangssikring hos registrar/DNS (MFA + roller + endringskontroll), og
2. e-postautentisering med en plan mot DMARC reject.

Det er ofte de mest kostnadseffektive tiltakene for å hindre både kapring og svindel – og for å beskytte den digitale identiteten som domenet ditt representerer.