Aanvallers sturen een phishingmail met een link die de eindgebruiker naar een ‘Microsoft Forms’-formulier stuurt. Vanaf deze pagina wordt de gebruiker gevraagd om nog enkele keren te klikken om een beveiligd document te openen. De laatste stap in deze keten is het invullen van een ‘verificatiecode’ op de officiële Microsoft-pagina.
Wat gebeurt er?
Mocht de eindgebruiker deze code invullen, dan geeft deze effectief de aanvaller toegang tot het Microsoft-account. Omdat de gebruiker alle acties uitvoert binnen de legitieme Microsoft-omgeving, worden eventuele mitigaties zoals multifactorauthenticatie (MFA) en beveiligingsregels omzeild.
Als een organisatie slachtoffer is geworden van deze campagne, wordt de phishingmail verder doorgestuurd naar alle contacten in het adresboek van het slachtoffer. Op deze manier lijkt de phishingmail van een vertrouwd adres te komen. Eindgebruikers zijn daardoor mogelijk sneller geneigd om op links te klikken of de acties uit te voeren waar om gevraagd wordt.
Advies aan gebruikers
- Vul nooit een cijfer- of lettercode in op een Microsoft-pagina wanneer je hier onverwacht per e-mail of via een ander bericht om wordt gevraagd.
- Let hierbij ook op de afzender. Een phishingmail kan afkomstig lijken van een bekende of betrouwbare afzender.
- Twijfel je over een bericht? Voer de code niet in en neem contact op met je beheerder of servicedesk.
Advies aan beheerders
Waar mogelijk adviseren we om device code flow uit te schakelen of te beperken binnen de Microsoft-omgeving.
Ben je slachtoffer geworden van deze campagne of twijfel je daarover, neem dan contact op met Z-CERT. Wij kunnen je helpen om het risico te beperken en advies geven over verder onderzoek.
Het laagdrempelig en actief melden kan sterk bijdragen aan het stoppen van verdere verspreiding. Daarnaast helpt het ons een beter beeld te krijgen van het incident.
Vergeet niet: door phishing ben je slachtoffer van misleiding, niet onbekwaam.