“Iemand verstuurt spam uit mijn naam! Mijn mail is gehackt!” Zo begint het bericht meestal, met als bijlage een stapel bounce-meldingen: mails die “niet bezorgd konden worden” aan wildvreemde adressen, vaak in het Russisch, Engels of Chinees — berichten die je honderd procent zeker nooit hebt verstuurd.
Eerst het geruststellende deel: dit verschijnsel heet backscatter, en in de overgrote meerderheid van de gevallen is er níks gehackt. Daarna het eerlijke deel: helemaal tegenhouden kun je het niet, maar je kunt het wel flink indammen.
Wat er aan de hand is: de afzender is gewoon een tekstveldje
E-mail is in de jaren tachtig ontworpen door mensen die elkaar vertrouwden. Het gevolg: het afzenderadres van een e-mail is technisch niet meer dan een tekstveld dat de verzender zelf invult. Net als bij een papieren brief: iedereen kan jóuw naam en adres als afzender op de envelop schrijven, en het postkantoor controleert dat niet.
Dat invullen van andermans adres heet spoofing. Spammers doen dit massaal en geautomatiseerd: ze versturen miljoenen mails en plakken daar willekeurige, echt bestaande adressen als afzender op — waaronder dat van jou. Waarom? Een echt bestaand afzenderadres komt geloofwaardiger over en glipt makkelijker langs simpele filters.
En dan: de bounces komen bij jóu terug
Een flink deel van die spam is gericht aan adressen die niet meer bestaan, of wordt geweigerd door spamfilters. De ontvangende server stuurt dan een nette bounce-melding terug — naar het afzenderadres. En dat ben jij.
Dat is backscatter, letterlijk “terugverstrooiing”: jij vangt de echo’s op van andermans spamgolf. Typisch beeld:
- Tientallen bounces in korte tijd, dan weer wekenlang niets (spamgolven komen en gaan).
- Geadresseerden die je niet kent, vaak buitenlandse domeinen.
- Onderwerpen die niets met jouw bedrijf te maken hebben.
- En cruciaal: in je map Verzonden items staat níets.
Zo check je dat je écht niet gehackt bent
Spoofing gebeurt volledig buiten jouw mailbox om — de spammer heeft je wachtwoord niet nodig en is nooit op jouw server geweest. Toch wil je het even zeker weten. Drie controles:
- Verzonden items. Kijk in de webmail (niet alleen in je mailprogramma) in de map Verzonden. Staan de spamberichten daar niet? Goed teken. Een spammer die écht via jouw account verstuurt, laat daar meestal wel sporen na — al is het geen garantie.
- De bounce zelf. Open zo’n bounce en zoek het oorspronkelijke bericht met zijn headers (de technische regels bovenaan). Kijk naar de “Received”-regels: daar staat via welke server de spam werkelijk is verstuurd. Is dat een server in een ver land die niets met jouw hosting te maken heeft? Dan is het spoofing. Op invoker.tools kun je zulke headers gratis laten ontleden (de headers-check laat de route van hop naar hop zien).
- Bij twijfel: wachtwoord wisselen. Kost twee minuten en sluit het ergste scenario uit. Kies meteen een lang, uniek wachtwoord.
Krijg je klachten van échte relaties dat er rare mail “van jou” bij hen aankomt, of stapelen bounces zich dagelijks op? Dan verdient het een serieuzere blik van je hoster — die ziet in de maillogs of er daadwerkelijk via jouw account is verstuurd.
Wat DMARC hieraan doet (en waarom p=reject het verschil maakt)
Je kunt spammers niet verbieden jouw adres op hun enveloppen te schrijven. Wat je wél kunt: alle ontvangende mailservers ter wereld vertellen hoe ze nep-mail namens jouw domein kunnen herkennen — en wat ze ermee moeten doen. Daar zijn drie DNS-records voor: SPF, DKIM en DMARC. De uitgebreide uitleg en instelinstructies staan in SPF, DKIM en DMARC instellen; hier de kern voor dit probleem:
- SPF zegt: alleen déze servers mogen mail namens mijn domein versturen.
- DKIM zet een digitale handtekening op je echte mail.
- DMARC is het beleid: wat moet een ontvanger doen met mail die die checks niet doorstaat?
Dat DMARC-beleid heeft drie standen: p=none (alleen rapporteren, niets blokkeren), p=quarantine (verdachte mail naar de spammap) en p=reject (keihard weigeren). Veel domeinen blijven eeuwig op p=none staan — en dan verandert er in de praktijk niets. Pas met quarantine of reject gaan ontvangers gespoofte mail namens jouw domein daadwerkelijk tegenhouden.
Het effect op backscatter is indirect maar reëel: hoe meer ontvangers de nepmail al bij de voordeur weigeren (in plaats van eerst aannemen en later bouncen), hoe minder echo’s er bij jou terugkomen. Bovendien wordt jouw adres minder aantrekkelijk om te spoofen. Verwacht geen stilte van de ene op de andere dag — maar wel structureel minder rommel, en betere bescherming van je klanten tegen phishing uit jouw naam.
Wat je verder kunt doen (en laten)
- Niet op de bounces reageren of “unsubscribe”-links erin aanklikken.
- Niet in paniek je mailadres opheffen — de golf zakt vanzelf, en met DMARC op orde wordt het minder.
- Wel even leren hoe je normale bounces van je eigen mail leest — dat is een ander verhaal dan backscatter: Bounce-meldingen lezen: wat 550, 552 en ‘sender verify failed’ betekenen.
- Wel tijdelijk een filterregeltje aanmaken als het echt storend veel is (bounces zonder bijbehorend verzonden bericht naar een aparte map).
Samengevat
- Bounces van mails die je nooit verstuurde = backscatter: spammers gebruiken jouw adres als nep-afzender.
- Spoofing gebeurt buiten je mailbox om — het betekent vrijwel nooit dat je gehackt bent.
- Check ter geruststelling je Verzonden items en de Received-headers in de bounce; wissel bij twijfel je wachtwoord.
- SPF + DKIM + DMARC met
p=quarantineofp=rejectlaat ontvangers nepmail namens jouw domein weigeren. - De golf komt en gaat; niet reageren, niet klikken, wel je records op orde brengen.
Wanneer schakel je hulp in?
DMARC verkeerd instellen kan je échte mail blokkeren — dus als termen als p=reject je duizelen, laat het instellen dan over aan je hoster of webbeheerder. Dat is voor een specialist een klein klusje: records zetten, een paar weken rapporten meekijken en dan het beleid aanscherpen. Schakel ook hulp in als er aanwijzingen zijn dat er wél via jouw account is verstuurd — dan wil je dat iemand met toegang tot de maillogs meteen meekijkt.