In een recente grootschalige phishing-campagne hebben aanvallers gebruik gemaakt van adversary-in-the-middle (AiTM) phishingsites. Via deze sites slaagden ze erin om wachtwoorden te stelen, aanmeldingssessies te kapen en het verificatieproces te omzeilen, zelfs wanneer gebruikers multifactor authenticatie (MFA) hadden ingeschakeld. De cybercriminelen gebruikten de gestolen inloggegevens en sessiecookies om toegang te krijgen tot mailboxen en nadien ook andere doelwitten te viseren via bijvoorbeeld business email compromise (BEC). Op die manier waren sinds september 2021 al meer dan 10.000 organisaties het slachtoffer hiervan.
Wat is AiTM Phishing?
AiTM phishing zet een proxyserver op tussen de gebruiker en de website die de gebruiker wil bezoeken. Via deze proxyserver kunnen aanvallers wachtwoorden en sessiecookies stelen en slagen ze erin om zich bij een sessie te registeren als de gebruiker, ongeacht de aanmeldingsmethode. Met andere woorden: zelfs MFA voldoet niet om deze aanvallen te stoppen.
Bescherming tegen AiTM phishing
Hoewel MFA een extra beveiligingslaag biedt tegen phishingaanvallen en nog steeds cruciaal is om uw organisatie te beschermen, vinden aanvallers steeds nieuwe manieren om deze te omzeilen. Om uw organisatie te beschermen tegen de nieuwste soorten aanvallen, raden we aan om boven de MFA-laag ook aanvullende maatregelen te nemen.
- Conditional access (voorwaardelijke toegang): Conditional access evalueert elk aanmeldingsverzoek op basis van identiteitssignalen zoals IP-locatiegegevens en apparaatstatus.
- Geavanceerde anti-phishing oplossingen: Gebruik webbrowsers die automatisch schadelijke websites kunnen identificeren en blokkeren.
- Continu toezicht: Controleer verdachte aanmeldpogingen en ongebruikelijke mailboxactiviteiten.
Gebruik Microsoft 365 Defender
Microsoft 365 Defender biedt uitgebreide bescherming tegen geavanceerde bedreigingen zoals AiTM phishingcampagnes. Het verzamelt informatie van verschillende bronnen en gebruikt meerdere oplossingen om de verdediging tegen deze aanvallen te versterken.
-
Leg correlaties tussen verschillende incidenten
Dankzij de unieke incidentcorrelatietechnologie binnen Microsoft Defender kan u alle relevante waarschuwingen rond AiTM phishingaanvallen centraliseren in één uitgebreid overzicht. Zo kan u efficiënter reageren op mogelijke incidenten.
-
Bescherm uw Office 365-omgeving via Microsoft Defender for Office 365
Microsoft Defender for Office 365 detecteert bedreigingen aan de hand van beveiligingswaarschuwingen via e-mail. Het maakt gebruik van zero-hour auto purge (ZAP) waardoor het schadelijke phishing-, spam- of malwareberichten ook met terugwerkende kracht kan detecteren en verwijderen.
-
Detecteer verdachte activiteiten en ontvang waarschuwingen
Microsoft Defender for Cloud Apps detecteert AiTM phishing- en BEC-campagnes via waarschuwingen zoals verdachte regels van uw mailbox of reisactiviteiten die fysiek onmogelijk zijn. Via Azure AD Identity Protection kan u automatisch identiteitsrisico’s identificeren en verhelpen, zoals afwijkende tokens of aanmeldpogingen vanaf anonieme IP-adressen.
-
Evalueer de toegang realtime
Continuous Access Evaluation (CAE) zal continu de toegangen tot sessies monitoren en kan in realtime de toegang intrekken indien het een verdachte gebruikersomstandigheid detecteert, denk aan een gebruiker die naar een niet-vertrouwde locatie verhuist.
Meer informatie
AiTM phishing-campagnes blijven evolueren en vormen een groeiende bedreiging voor organisaties. Door een allesomvattende verdedigingsstrategie te implementeren, inclusief MFA, conditional access en geavanceerde anti-phishing oplossingen, kunt u uw organisatie beter beschermen tegen geavanceerde aanvallen.
Hebt u ondersteuning nodig bij het implementeren van deze security tools of wenst u een klankbord rond de security van uw organisatie? Contacteer gerust onze experten, wij helpen u graag verder.
Neem contact op
Plan een kennismakingsgesprek met onze experts.