KMO-IMPACT: ACTIE NODIG
Krijgt een medewerker op zijn privénummer een dringend “IT-helpdesk”-bericht over een passkey, MFA of SSO die meteen moet worden bijgewerkt? Microsoft Security Research ziet sinds mei 2026 actieve campagnes waarbij die smoes leidt tot diefstal van Microsoft 365-sessies, niet tot een echte passkey. Daarna lezen aanvallers SharePoint, OneDrive en soms mail uit, vaak uren tot dagen lang, in een tempo dat op normaal gebruik lijkt.
Wat er gebeurt
De aanval start met research over medewerkers (publieke profielen) en een telefoontje of sms op het privénummer. De belofte: zonder snelle update van passkey, multifactorauthenticatie of single sign-on valt de toegang weg. De link lijkt op een Microsoft-aanmeldpagina. In de praktijk stuurt de smoes naar adversary-in-the-middle-phishing (wachtwoord én sessietoken) of naar device-code phishing: de medewerker typt een code op de echte Microsoft-pagina en geeft zo een token aan een client van de aanvaller. Passkey inschrijven is vaak niet het doel.
Microsoft koppelt de eerste toegang onder meer aan Storm-3121 (richting ShinyHunters/Falcon-afpersing) en Storm-3032 (Helix, afsplitsing van BlackFile). Typische domeinen (defanged): passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, keysyncos[.]com, vaak met uw bedrijfsnaam als subdomein, bv. bedrijf.secure-passkey[.]com.
Van één login naar bestanden en mail
Na de eerste sessie registreert de aanvaller vaak een eigen MFA-methode (nieuw telefoonnummer, authenticator of software-OTP), zodat latere challenges zonder de medewerker lukken. Via Microsoft Graph volgt inventarisatie van gebruikers, groepen, rollen, apps en rechten. Daarna: veel FileAccessed/FileDownloaded op SharePoint Online en OneDrive for Business; soms Exchange Online via REST. Microsoft zag collectie over uren tot dagen, doorgaans minder dan 1.000 bestanden of mails per uur, bewust traag om niet op te vallen. Automatisering (o.a. python-httpx) kwam voor, maar is alleen verdacht in combinatie met volume, identiteit en eerdere reconnaissance.
Wat betekent dit voor uw onderneming?
Voor wie: elke zaak met Microsoft 365 / Entra ID, ook kleine teams zonder eigen IT-afdeling, via een MSP of cloudpartner.
Vanaf wanneer: activiteit waargenomen sinds mei 2026; Microsoft publiceerde de analyse op 9 september 2026. Geen vaste publieke “due date”; wel direct risico zolang device-code openstaat en helpdesk-checks zwak zijn.
Financiële impact: geen vast bedrag in de bron. Risico zit in gestolen contracten, klantgegevens, facturen, BEC na mailboxtoegang, herstel en stilstand.
Wat moet u doen:
- Blokkeer device-code (en authentication transfer) via Conditional Access, behalve waar een expliciete bedrijfsnoodzaak bestaat.
- Dwing phishing-resistente MFA af (FIDO2/passkeys, Windows Hello for Business) via Conditional Access. Juist omdat de smoes over “passkeys” gaat, helpt zwakke MFA niet.
- Eis managed/compliant devices voor Exchange, SharePoint en gevoelige Graph-apps; beperk unmanaged tot web zonder download/sync waar mogelijk.
- Beperk user consent voor apps; admin-goedkeuring verplicht; controleer service principals met Mail.Read, Files.Read.All, Directory.Read.All.
- Brief medewerkers: IT belt of sms’t niet zomaar naar het privénummer om “snel een passkey te zetten”; meld verdachte verzoeken via een vast intern kanaal.
- Controleer recent toegevoegde MFA-methodes; bij verdachte login: sessies/tokens intrekken, wachtwoord resetten, aanvaller-MFA en mailboxregels verwijderen, authenticatiemethodes opnieuw veilig registreren.
Deadline: geen overheidsdeadline in de bron. Device-codebeleid en MFA-check horen vandaag of maandag 15 september 2026 op de planning als dat nog openstaat.
Nog niet duidelijk: hoe vaak Belgische of Vlaamse tenants concreet geraakt zijn; Microsoft geeft geen landensplitsing in dit stuk.
Werkt u met een IT-partner: vraag schriftelijk of device-code geblokkeerd is, of Conditional Access phishing-resistente MFA afdwingt, en of er alerting staat op nieuwe MFA-registraties na risico-logins.
