Nieuwe phishingtechnieken omzeilen MFA via nep-uitnodigingen voor AI-events. Push Security, Microsoft en NCSC UK over wat wel helpt tegen dit risico.
Een uitnodiging die een beloning belooft, en toch uw account steelt
Stel, een medewerker krijgt een uitnodiging voor een gratis online evenement, bijvoorbeeld een livestream van een bekend AI-bedrijf. Om mee te doen of een beloning te claimen, zoals gratis toegang tot een AI-dienst, moet de medewerker inloggen met het zakelijke Microsoft- of Google-account. De medewerker logt in zoals altijd, inclusief de MFA-stap, en er lijkt niets mis. Toch kan een aanvaller op dat moment al toegang krijgen tot de sessie.
Wat Push Security heeft vastgesteld
Beveiligingsbedrijf Push Security onderzocht een phishingcampagne met nep-uitnodigingen voor events van onder meer OpenAI, SpaceX en Anthropic. Slachtoffers loggen in met hun werkaccount om een beloning te claimen, zoals gratis toegang tot ChatGPT Pro. Voor Microsoft-accounts gebruiken de aanvallers een techniek die device code phishing heet, via een platform genaamd Kali365. Het slachtoffer voert een inlogcode in op de echte, originele Microsoft-inlogpagina, maar die code geeft de aanvaller toegang tot de sessie. Een wachtwoord is daar niet eens voor nodig.
Voor Google-werkaccounts wordt een platform genaamd VoidProxy ingezet, een zogeheten adversary-in-the-middle proxy die het wachtwoord en de sessiecookie onderschept terwijl het slachtoffer zelf normaal inlogt en MFA bevestigt. (BleepingComputer, over het onderzoek van Push Security)
Waarom MFA hier niet helpt
Bij device code phishing is geen wachtwoord nodig en bevestigt het slachtoffer feitelijk zelf de toegang van de aanvaller. Bij een AiTM-proxy zoals VoidProxy wordt juist een sessie gestolen die al met MFA is bevestigd. In beide gevallen is de inlogpagina echt, waardoor de gebruikelijke waarschuwing om de adresbalk te controleren niet werkt. Een ondernemer die denkt "wij hebben MFA, dus wij zijn veilig", loopt hier dus nog steeds risico, ook met sms, een pushmelding of een eenmalige code.
Wat dit voor uw bedrijf betekent
Voor een mkb-bedrijf is het risico dat een medewerker, gelokt door een aantrekkelijke uitnodiging of beloning, zonder argwaan inlogt en daarmee een aanvaller toegang geeft tot de bedrijfsmail, bestanden en andere Microsoft- of Google-diensten. Omdat de inlogpagina's en de inlogcode in beide gevallen echt zijn, is deze aanval moeilijk te herkennen voor een medewerker die niet precies weet waar hij op moet letten. Dit raakt de hele organisatie die op dat account vertrouwt.
Wat wel helpt
Microsoft adviseert om device code flow waar mogelijk te blokkeren via Conditional Access, met de voorwaarde "authentication flows". Een beheerder kan deze inlogmethode uitzetten voor de hele organisatie en alleen toestaan voor specifieke uitzonderingen, zoals vergaderruimte-apparatuur. (Microsoft Learn, Conditional Access authentication flows)
Het Britse NCSC adviseert daarnaast phishing-resistente MFA, zoals passkeys en FIDO2-beveiligingssleutels. Deze zijn aan de echte website gebonden en daarom niet te misbruiken via een nagemaakte of doorgesluisde inlogpagina. (NCSC UK, passkeys zijn veiliger dan traditioneel inloggen)
Kort nog dit: Microsoft faseert sms- en spraak-MFA sowieso verder uit, vanaf 1 februari 2027 voor de meeste gebruikers en vanaf 1 juli 2027 voor globale beheerders en externe gebruikers. Dat past in dezelfde beweging richting phishing-bestendige MFA.
Nannings365 zit hier zelf ook op
Nannings365 zit hier natuurlijk zelf actief op, bijvoorbeeld door device code flow uit te schakelen via Conditional Access, als onderdeel van de beveiligingsmaatregelen die wij hanteren.
Wat u nu kunt doen
Laat nagaan of device code flow in uw omgeving nodig is en blokkeer deze waar mogelijk via Conditional Access. Overweeg daarnaast phishing-resistente MFA voor accounts met veel rechten. Wij voeren een gratis beveiligingscheck uit en laten u concreet zien waar uw Microsoft 365-omgeving kwetsbaar is. Kijk op onze dienstenpagina of neem contact met ons op.
Bronnen: BleepingComputer, over onderzoek van Push Security, Microsoft Learn, Conditional Access authentication flows, NCSC UK, passkeys.