Nep-IT-helpdesk belt je medewerkers: de phishinggolf die zelfs MFA omzeilt

Stel je voor: een medewerker krijgt een telefoontje of een Teams-bericht van iemand die zich voorstelt als de IT-helpdesk. Er is een dringend probleem, en de beller klinkt vriendelijk en geloofwaardig. Precies dat scenario ligt aan de basis van twee actieve aanvalscampagnes die deze zomer en herfst duizenden Microsoft 365-accounts hebben gecompromitteerd. Ze omzeilen zelfs meervoudige authenticatie (MFA). Beveiligingsonderzoekers van CloudSEK en Arctic Wolf brachten de omvang begin september in kaart, en op het moment van schrijven lopen de campagnes nog.

Hoe het werkt: de aanval steunt op vertrouwen

De aanvallers werken onder twee namen. BigBear 2.0 is een kant-en-klaar phishingpakket dat criminelen huren. PREY-0058 is de naam die onderzoekers aan een van de groepen gaven. Ze gebruiken geen ingewikkelde technische exploit. Ze bellen, sturen een Teams-bericht of een e-mail en doen zich voor als IT-medewerker die een probleem komt oplossen. Daarna gebeurt een van twee dingen. Ofwel overtuigen ze de medewerker om op afstand toegang te geven tot zijn toestel, ofwel sturen ze hem naar een overtuigend nagemaakte aanmeldpagina van Microsoft 365.

Daar wordt het echt gevaarlijk. Die neppagina is meer dan een kopie. Ze werkt als een attacker-in-the-middle: alles wat de medewerker intikt, van gebruikersnaam en wachtwoord tot de MFA-code, gaat in realtime door naar de echte Microsoft-server. Daarna kaapt de aanvaller de geldige, aangemelde sessie zelf. Voor het slachtoffer voelt het als een gewone, geslaagde aanmelding.

Waarom gewone MFA hier niet tegen beschermt

Dit moet elke organisatie goed begrijpen. Een MFA-code die je via een app, sms of pushmelding bevestigt, bewijst alleen dat jij op dat moment iets goedkeurde. Ze bewijst niet dat je dat op de echte Microsoft-site deed. Onderschept een neppagina de code en speelt ze die meteen door, dan is de MFA-drempel genomen zonder dat er iets vreemds gebeurd is.

De cijfers tonen hoe goed dit werkt: meer dan 5.000 gestolen inloggegevens, waaronder 474 sessies waarbij MFA volledig omzeild werd en meer dan 4.000 gekaapte sessiecookies, verspreid over meer dan 40 landen. Van de 461 aangevallen organisaties werden er 258 effectief gecompromitteerd.

Wat wel beschermt: phishing-resistente MFA

Er bestaat een soort authenticatie die tegen precies dit scenario bestand is: phishing-resistente MFA. Denk aan passkeys en fysieke beveiligingssleutels zoals YubiKeys, gebouwd op de standaarden FIDO2 en WebAuthn. Het verschil zit in de kern: deze methodes koppelen de aanmelding cryptografisch aan het echte, geverifieerde webadres. Een neppagina kan die koppeling niet namaken, hoe overtuigend ze er ook uitziet. Ook als een medewerker volledig te goeder trouw op een phishinglink klikt, werkt de aanmelding op de verkeerde site gewoon niet.

Dit sluit rechtstreeks aan bij de overstap naar passkeys die Microsoft dit najaar doorvoert. Deze campagnes laten zien waarom die overstap zo dringend is.

Wat je nu concreet kan doen

• Voer phishing-resistente MFA in waar het kan. Begin bij de gebruikers met de meeste toegang, zoals directie, financiën en IT-beheer.
• Zet Conditional Access-beleid in dat aanmeldingen vanaf onverwachte locaties of nieuwe toestellen extra controleert of blokkeert.
• Beperk wat gebruikers via SharePoint en OneDrive kunnen doorzoeken. De onderzoekers zien dat aanvallers na een geslaagde inbraak vooral massaal data weghalen uit Outlook, Teams, SharePoint en OneDrive. Ransomware plaatsen ze zelden.
• Leer je mensen één harde regel: de IT-helpdesk belt nooit ongevraagd om een wachtwoord of MFA-code te vragen, en vraagt nooit om toegang op afstand als je zelf geen hulp hebt gevraagd. Met die ene duidelijke afspraak stop je het merendeel van deze pogingen al bij de bron.

Conclusie

Deze campagnes zijn geen uitzondering. Ze tonen waar het naartoe gaat. Social engineering via telefoon en Teams, gecombineerd met technisch geavanceerde phishinginfrastructuur, is vandaag de belangrijkste aanvalsroute. Ze werkt net omdat ze mikt op de mens en niet op de techniek. Wil je weten hoe kwetsbaar jullie organisatie vandaag is voor dit scenario, en welke stappen het meeste effect hebben? Een gerichte doorlichting brengt dat in kaart.