Phishing van apparaatcode: hoe aanvallers Microsoft 365 kapen

Phishing is aan het veranderen. Jarenlang kopieerde de typische aanval een inlogpagina en wachtte tot een slachtoffer een wachtwoord typte. Tegenwoordig heeft een groeiende groep aanvallers het wachtwoord helemaal niet nodig. In de afgelopen week hebben verschillende beveiligingsleveranciers en nieuwsmedia bericht over phishing met apparaatcodes, een techniek die misbruik maakt van een echte aanmeldingsfunctie van Microsoft om accounts over te nemen, zelfs als multi-factor authenticatie (MFA) actief is. In dit artikel wordt uitgelegd wat phishing met apparaatcodes is, waarom het effectief is, wat uit de laatste rapporten blijkt en hoe organisaties het risico kunnen verminderen.

Wat is phishing met apparaatcodes?

De OAuth 2.0-apparaatautorisatiestroom is ontworpen voor apparaten die geen toetsenbord hebben of slechts een klein scherm hebben, zoals slimme televisies, apparatuur in vergaderruimtes en opdrachtregelhulpmiddelen. Het apparaat toont een korte code. De gebruiker opent vervolgens een Microsoft-pagina op een telefoon of computer, voert die code in en meldt zich aan. Nadat de gebruiker het verzoek heeft goedgekeurd, geeft Microsoft een toegangstoken uit aan dat apparaat.

Bij een phishing-aanval met apparaatcode start de crimineel dit proces op zijn eigen systeem en haalt hij het slachtoffer vervolgens over om het te voltooien. Het slachtoffer ontvangt een code op een neppagina en wordt gevraagd deze in te voeren op de echte inlogpagina van het Microsoft-apparaat. Het slachtoffer meldt zich aan en passeert zoals gewoonlijk de MFA. Microsoft geeft het token vervolgens aan de aanvaller, niet aan het slachtoffer. Er wordt geen wachtwoord gestolen en de aanmelding ziet eruit als een normale apparaatcodeverificatie in de logboeken van Microsoft Entra ID – de identiteitsservice achter Microsoft 365.

Waarom deze techniek effectief is

Verschillende eigenschappen maken het moeilijk om de aanval te stoppen met de controlemaatregelen die de meeste organisaties tegenwoordig gebruiken:

• De inlogpagina is echt. Het slachtoffer voert de code in op een website van Microsoft, waardoor URL-controles en het hangslotsymbool in de webbrowser geen waarschuwing geven.
• MFA blokkeert de aanval niet. Het slachtoffer voert de MFA-stap persoonlijk uit en de goedkeuring wordt gegeven aan de sessie van de aanvaller.
• Een token geeft brede toegang. Eén token kan e-mail, bestanden, chat en elke applicatie openen die via Entra ID is verbonden. Ook kan de aanvaller vanuit het vertrouwde account nieuwe phishingberichten sturen naar collega’s, klanten en partners.
• Wachtwoorden spelen geen rol. Alleen het opnieuw instellen van het wachtwoord verwijdert niet de toegang die het token biedt, dus de sessies moeten ook worden ingetrokken.

Wat de laatste rapporten laten zien

SkyW4lker groeit snel

Op 4 november 2026 vatte Cyber ​​Security News het onderzoek van ANY.RUN samen over een phishing-kit genaamd SkyW4lker. Volgens dit rapport verscheen de phishingkit voor het eerst op 23 juni 2026. ANY.RUN volgde tussen juni en 21 oktober 2026 618 sandbox-analyses die aan de phishingkit waren gekoppeld. Het aantal maandelijkse inzendingen steeg van 20 in juni naar 200 in september, en bijna de helft van de inzendingen kwam uit de Verenigde Staten. Technologie-, productie- en overheidsorganisaties waren de meest voorkomende indieners.

De aanvalsketen begint met een e-mail over een contract, een factuur of een betalingsbericht. Er is een met een wachtwoord beveiligd PDF-, Word- of Excel-bestand bijgevoegd en het wachtwoord staat in de e-mailtekst. Versleuteling verhindert dat veel beveiligingsscanners dit bestand lezen. Dit document bevat een link, meestal naar een CAPTCHA-pagina die geautomatiseerde scanners blokkeert. Het slachtoffer ziet dan een merkpagina met een apparaatcode en de instructie om deze in te voeren op de inlogpagina van het Microsoft-apparaat. Delen van de keten worden gehost op vertrouwde services, zoals Google Sites, Miro, Zoom en Smartsheet, zodat de links reputatiecontroles kunnen doorstaan. ANY.RUN koppelt deze phishing-kit ook met veel vertrouwen aan een credential-phishing-kit genaamd Gabagool, wat suggereert dat één ontwikkelaar beide producten heeft gebouwd.

Valse uitnodigingen voor AI-evenementen

Op 6 november 2026 rapporteerde TechRadar over onderzoek van Push Security naar phishingpagina’s die reclame maken voor evenementen van bekende AI- en technologiebedrijven. Het kunstaas omvatte een livestream, een privébriefing en een conferentiepresentatie. Bezoekers kregen beloningen beloofd, zoals een gratis abonnement op een AI-service, en kregen te horen dat ze zich eerst moesten aanmelden met een Microsoft- of Google-account. Volgens het rapport gebruikte de Microsoft-route het Kali365-platform voor phishing van apparaatcodes, en een tweede platform genaamd VoidProxy legde verdere inloggegevens en sessiecookies vast. Voor Google-accounts fungeerde VoidProxy als een omgekeerde proxy die de echte inlogpagina doorstuurde en het wachtwoord, het MFA-antwoord en de sessiecookie kopieerde. De onderzoekers merkten op dat de interesse van werknemers in nieuwe AI-tools dergelijke kunstaas effectief maakt.

Bredere trend in het Trellix-rapport

Het Trellix CyberThreat Report van november 2026 bestrijkt de periode van april tot september 2026. Daarin staat dat misbruik van apparaatcode en OAuth voorkwam in 2,7 procent van de campagnes, vergeleken met 1,3 procent daarvoor. Het rapport noemt Kali365, EvilTokens en Forg365 als phishing-as-a-service-kits die de autorisatiestroom van Microsoft-apparaten gebruiken om Entra ID-tokens te stelen. Het beschrijft ook voice phishing-campagnes, waarbij aanvallers zich voordoen als IT-personeel om single sign-on- en Microsoft 365-omgevingen in gevaar te brengen. Samen laten deze bevindingen zien dat identiteitsaanvallen zich verplaatsen van gestolen wachtwoorden naar gestolen sessies en tokens.

Hoe organisaties het risico kunnen verkleinen

De rapporten suggereren een aantal maatregelen:

1. Beperk de apparaatcodestroom. De meeste bedrijven hebben deze stroom slechts nodig voor een paar apparaten, zoals vergaderruimtesystemen of opdrachtregelprogramma’s. Een beleid voor voorwaardelijke toegang in Microsoft Entra kan de stroom voor alle andere gebruikers en scenario’s blokkeren. ANY.RUN beschrijft deze enkele controle als degene die het voordeel van de aanval wegneemt.
2. Controleer aanmeldingslogboeken. Zoek naar verificaties van apparaatcodes en vergelijk de tijdstempels met verdachte e-mails of meldingen over het delen van documenten die dezelfde gebruiker heeft ontvangen. Als u zich enkele minuten na een factuur-e-mail aanmeldt met een apparaatcode, is dit een sterk waarschuwingssignaal.
3. Stel een reactieplan op voor tokendiefstal. Als u vermoedt dat er sprake is van een inbreuk, trekt u de sessies in, stelt u de inloggegevens opnieuw in, controleert u de mailboxregels en de toestemmingen voor de toepassing, en controleert u uitgaande e-mail op berichten die naar collega’s en partners zijn verzonden.
4. Inspecteer bijlagen in een sandbox. Met wachtwoord beveiligde bestanden en CAPTCHA-beveiligde koppelingen zijn ontworpen om automatisch scannen te voorkomen. Een geïsoleerde testomgeving kan het bestand openen, het wachtwoord invoeren en het echte netwerkverkeer observeren.
5. Train medewerkers op één duidelijke regel. Een gebruiker mag alleen een apparaatcode invoeren als hij of zij persoonlijk heeft ingelogd op een apparaat. Een code die binnenkomt via een e-mail, een document of een webpagina is een reden om te stoppen en de IT-afdeling te bellen.