Heb je ooit het gevoel gehad dat je net op het moment dat je je cyberbeveiliging onder de knie hebt – BAM! – komt er iets nieuws langs om roet in het eten te gooien?
Dat is precies wat er nu gebeurt.
Er doet een nieuwe zwendel de ronde. En het is het vangen van bedrijven zoals het uwe.
Het ergste?
Cybercriminelen hebben uw wachtwoord niet eens nodig.
Eng…
Dit wordt phishing met apparaatcodes genoemd. Het is een slimme truc die steeds populairder wordt. Microsoft heeft onlangs een golf van deze aanvallen gesignaleerd, en we zullen er waarschijnlijk nog veel meer zien. Deze is anders dan de gebruikelijke phishing-zwendel waar je waarschijnlijk van hebt gehoord. Normaal gesproken gaat het bij phishing erom mensen te misleiden om hun gebruikersnamen en wachtwoorden weg te geven op nepwebsites. Maar met phishing op basis van apparaatcodes spelen oplichters een slimmer spel.
In plaats van uw wachtwoord te stelen, zorgen ze ervoor dat u hen vrijwillig toegang geeft tot uw account. En ze doen het met behulp van echte Microsoft-inlogpagina’s, dus het ziet er volkomen legitiem uit. Het begint meestal met een overtuigende e-mail. Misschien lijkt het erop dat het afkomstig is van uw HR-persoon of een collega, die u uitnodigt voor een Microsoft Teams-vergadering. U klikt op de link en u gaat naar een echt Microsoft-inlogscherm.
Niets lijkt misplaatst.
U wordt gevraagd een code in te voeren. Slechts een korte, een ‘apparaatcode’ genoemd. Deze code wordt in de e-mail verstrekt en u krijgt te horen dat deze nodig is om deel te nemen aan de vergadering of het aanmelden te voltooien. Hier is het addertje onder het gras: door die code in te voeren, log je niet in op … Je logt ze in. U geeft de aanvaller onbewust toegang tot uw Microsoft-account op zijn apparaat. En omdat de login via de juiste kanalen gaat, kan het zelfs multi-factor authenticatie (MFA) omzeilen.
Ja, zelfs als je extra beveiliging hebt, kunnen ze nog steeds binnenkomen.
Als ze er eenmaal in zijn, kunnen ze veel schade aanrichten. Uw e-mails lezen, toegang krijgen tot uw bestanden en zelfs uw account gebruiken om anderen in uw bedrijf te misleiden. Het is alsof je de sleutels van je kantoor overhandigt en je hebt het niet eens door.
Het is gevaarlijk omdat het er niet verdacht uitziet. Je bevindt je op een echte Microsoft-site, niet op een of andere verdachte nep. U hebt niet op een rare link geklikt of uw wachtwoord ingevoerd in een phishing-formulier. Alles ziet er boven boord uit… Behalve dat het dat niet is.
En omdat aanvallers legitieme Microsoft-inlogstromen gebruiken, onderscheppen traditionele beveiligingstools dit niet altijd.
En als ze er eenmaal in zijn, kunnen ze erin blijven. Ze hoeven niet in te loggen als ze je sessietoken hebben vastgelegd (dat is een soort digitale “pas” waarmee je achter de schermen ingelogd blijft). Dus zelfs als u uw wachtwoord wijzigt, worden ze er niet per se meteen uitgegooid.
Een grote vraag dan: hoe kunt u uw bedrijf beschermen?
Begin met ervoor te zorgen dat uw team extra voorzichtig is met inlogverzoeken. Vooral als je codes moet invoeren. Als je een apparaatcode van iemand krijgt, stop dan en denk: heb ik dit aangevraagd? Weet ik zeker dat dit echt is? Als je het niet zeker weet, ga er dan niet mee door. Gebruik een aparte methode, zoals een direct telefoongesprek of het berichtensysteem van uw bedrijf, om het te controleren bij de persoon die de e-mail heeft verzonden. Onthoud dat bij echte Microsoft-logins niet iemand anders u een code hoeft te geven die u moet invoeren. Als dat ooit gebeurt, is het een rode vlag.
Ook op technisch vlak kan je IT-team (of IT-provider) de boel aanscherpen. Als uw bedrijf geen aanmelding met apparaatcode nodig heeft als onderdeel van de dagelijkse activiteiten, is het het veiligst om dit helemaal uit te schakelen. Ze kunnen ook extra beveiligingsregels invoeren die alleen inloggen vanaf vertrouwde locaties of apparaten toestaan.
En tot slot, blijf je mensen trainen. Goede cybersecurity gaat over bewustwording. Als je team weet waar ze op moeten letten, is de kans veel kleiner dat ze in dit soort trucs trappen.
Kunnen wij u helpen uw beveiliging aan te scherpen? Neem contact met ons op.
