31.000 phishingmails misbruiken echte Microsoft-links

Een phishingmail herken je aan een vreemde afzender of een nagemaakte link. Dat advies werkt niet meer bij een nieuwe golf aanvallen. Beveiligingsbedrijf Kaspersky blokkeerde tussen 1 augustus en 18 september ruim 31.000 e-mails die gebruikmaken van echte Microsoft-links en zelfs van officiële Microsoft-notificaties. De mail lijkt dus niet alleen echt, technisch gezien is een deel ervan ook echt.

Hoe de aanval werkt

De oplichters maken eerst een eigen Microsoft-account aan en loggen in op het Microsoft Entra-beheercentrum. Daar registreren ze een nieuwe applicatie. Bij die registratie mag je een zogeheten redirect-URI opgeven: het adres waar Microsoft de gebruiker naartoe stuurt nadat hij heeft ingelogd. In dat veld zetten de criminelen het adres van hun eigen phishingsite.

Vervolgens versturen ze mails die lijken op een officieel Microsoft-bericht. De ontvanger moet zijn inloggegevens “bijwerken” of een elektronisch document ondertekenen. De link in de mail begint netjes met een Microsoft-domein. Wie klikt, gaat via de inlogserver van Microsoft door naar een nepsite die wachtwoorden steelt of malware aanbiedt.

Nepbericht in een echte Microsoft-mail

Kaspersky zag nog een tweede truc. Via een (proef)licentie op Entra zetten aanvallers een eigen tekst in de naam van hun organisatie. Daarna maken ze nepgebruikers aan en vullen ze het echte e-mailadres van het slachtoffer in als herstel-adres. Het slachtoffer krijgt dan een ongevraagde verificatiecode van Microsoft zelf. In het onderwerp en de ondertekening van die mail staat de boodschap van de oplichters, bijvoorbeeld een betaalverzoek of een telefoonnummer van een valse helpdesk.

Omdat deze mails echt van Microsoft komen, slagen ze voor controles als SPF, DKIM en DMARC. Klassieke kenmerken van phishing via Microsoft 365, zoals een verdacht afzenderdomein, ontbreken volledig.

Waarom dit vooral bedrijven raakt

Medewerkers krijgen dagelijks legitieme mails van Microsoft over wachtwoorden, gedeelde documenten en beveiligingscodes. Een extra bericht valt daardoor nauwelijks op. Een gestolen Microsoft 365-account geeft een aanvaller toegang tot mail, OneDrive, Teams en vaak ook tot facturen en klantgegevens. Van daaruit volgt meestal de volgende stap: CEO-fraude of nepfacturen aan klanten en leveranciers.

Het Nederlandse IT-vakblad Dutch IT Channel meldt dat deze tactiek experts zorgen baart, juist omdat de vertrouwde infrastructuur van Microsoft wordt gebruikt.

Wat kun je doen?

• Kijk verder dan het domein. Een link naar login.microsoftonline.com kan je alsnog doorsturen. Let op waar je na het inloggen uitkomt. Vraagt een site daarna opnieuw om je wachtwoord of om een download, stop dan.
• Negeer ongevraagde codes. Krijg je een verificatiecode die je niet zelf hebt aangevraagd? Gebruik die nergens en bel geen nummer dat in de mail staat.
• Beperk app-registraties. Beheerders kunnen in Entra instellen dat gewone gebruikers geen apps mogen registreren en geen toestemming mogen geven aan onbekende apps.
• Gebruik phishingbestendige MFA. Passkeys of hardwaresleutels zijn veel lastiger te misbruiken dan sms-codes.
• Filter vóór de inbox. Een extern spamfilter controleert ook de links en de doorverwijzingen in een bericht, niet alleen de afzender. Ook voor Exchange en Microsoft 365 voegt dat een extra laag toe.

Conclusie

Criminelen verstoppen zich steeds vaker achter diensten die we blind vertrouwen. Daarmee verschuift de verdediging van “ziet de afzender er echt uit?” naar “waar brengt deze link me echt naartoe?”. Wil je weten hoe het spamfilter van Maq2 dit soort mails tegenhoudt? Je kunt het gratis uitproberen.