Aanvallers doen zich via Teams voor als IT-helpdesk en krijgen zo blijvende, wachtwoord-onafhankelijke toegang. Microsoft onderzocht twee incidenten.
Een collega van de IT-helpdesk die om toegang vraagt, is niet altijd wie hij zegt te zijn
Stel dat een medewerker via Microsoft Teams een bericht of oproep krijgt van iemand die zich voordoet als IT-support. Er is een probleem dat opgelost moet worden, en daarvoor is tijdelijk toegang op afstand nodig. De medewerker wil helpen, denkt dat het om een collega gaat, en geeft die toegang. Op dat moment is er niets geks te zien. Microsoft onderzocht twee incidenten waarin precies dit de eerste stap was naar langdurige, onopgemerkte toegang tot bedrijfsgegevens.
Wat Microsoft heeft vastgesteld
Microsoft Threat Intelligence beschrijft in de Microsoft Security Blog van 30 oktober 2026 twee onderzochte incidenten waarbij aanvallers via Teams-berichten en -oproepen zich voordeden als IT-helpdesk of supportmedewerker. Door overtuigende social engineering, niet door een lek in Teams zelf, brachten ze medewerkers ertoe om toegang op afstand te geven, meestal via Quick Assist. Zodra de aanvaller binnen was, verkende hij het netwerk en maakte hij gebruik van kwetsbare technische instellingen in de omgeving die bedrijven gebruiken om identiteiten en toegang te beheren (Active Directory Certificate Services). Daarmee bemachtigde hij digitale certificaten voor bevoorrechte accounts, waarmee hij blijvende toegang kreeg die niet afhankelijk is van een wachtwoord. In het ene geval werd data gestolen. In het andere geval werd de aanval op tijd gestopt doordat het beveiligingsteam alarm kreeg en het werkstation isoleerde. (Microsoft Security Blog, 30 oktober 2026)
The Hacker News en SC World berichtten begin november 2026 over dezelfde campagne, en noemden daarbij een gerelateerd patroon: postvakken worden eerst overspoeld met spam, waarna de nep-helpdesk vervolgens zelf contact zoekt via Teams om dat probleem "op te lossen".
Waarom een certificaat anders werkt dan een wachtwoord
Bij een gestolen wachtwoord is de oplossing meestal duidelijk: wachtwoord wijzigen, sessies afmelden, klaar. Een digitaal certificaat werkt anders. Het is een bewijsstuk dat een account toegang mag hebben, uitgegeven door de eigen certificaatdienst van het bedrijf, en het blijft geldig totdat het specifiek wordt ingetrokken. Een aanvaller die zo'n certificaat voor een bevoorrecht account in handen krijgt, kan daarmee blijven inloggen, ook na een wachtwoordwijziging en ook als er niemand meer met hem meekijkt. Dat maakt dit type aanval moeilijker te ontdekken dan een gewoon gestolen wachtwoord, en moeilijker op te ruimen als het eenmaal is misbruikt.
Waarom dit elk bedrijf kan raken
Dit is geen aanval op een kwetsbaarheid in Teams. Het is een combinatie van overtuigend overkomen als collega en onveilig ingerichte achterliggende systemen. Elke organisatie die Microsoft 365 of Teams gebruikt in combinatie met Active Directory loopt hierdoor risico, ongeacht de grootte van het bedrijf. Eenmaal binnen is deze toegang bovendien niet te stoppen met alleen een wachtwoordwijziging, omdat de aanvaller met een certificaat werkt in plaats van met inloggegevens.
Drie dingen die u nu kunt regelen
- Spreek met uw team af dat niemand ongevraagd toegang op afstand geeft via Teams. Een melding of oproep van "IT-support" die zelf toegang vraagt, is altijd een moment om even te pauzeren, ook als de naam of foto vertrouwd overkomt.
- Verifieer elk supportverzoek via een ander, bekend kanaal. Bel een bekend, intern nummer terug of loop even naar de IT-afdeling, in plaats van direct te reageren binnen hetzelfde Teams-gesprek waarin het verzoek kwam.
- Geef nooit toegang op afstand zonder die verificatie, ook niet bij tijdsdruk of een overtuigend verhaal. Een echte helpdesk heeft geen probleem met een paar minuten extra wachten.
Wat dit u oplevert
Een medewerker die weet dat een IT-helpdeskverzoek via Teams altijd eerst wordt nagetrokken, is al een flinke drempel voor dit type aanval. Dat is precies het moment waarop deze aanvallers op leunen: vertrouwen zonder verificatie. Laat daarnaast nagaan of de certificaatdienst in uw omgeving veilig is ingericht, want dat is de stap die van een geslaagde babbeltruc een blijvend probleem maakt.
Wilt u weten hoe uw Microsoft 365-omgeving en de onderliggende identiteitsinrichting ervoor staan? Wij voeren een gratis beveiligingscheck uit en laten u zien waar actie nodig is. Neem contact met ons op.
Bron: Microsoft Security Blog, 30 oktober 2026, bevestigd door onder meer The Hacker News en SC World.