AiTM-phishingcampagne treft Microsoft 365-gebruikers

Inleiding

Microsoft heeft een geavanceerde phishingcampagne ontdekt die gericht was op meer dan 35.000 gebruikers in ruim 13.000 organisaties in 26 landen. Voor Microsoft 365- en securitybeheerders is dit relevant omdat de aanval een adversary-in-the-middle (AiTM)-techniek gebruikte om authenticatietokens te onderscheppen. Daarmee kan niet-phishingbestendige MFA worden omzeild en krijgen aanvallers direct toegang tot accounts.

Wat is nieuw

Tussen 14 en 16 april 2026 observeerde Microsoft een meerfasige phishingoperatie met lokmiddelen rond gedragscode en interne compliance. De berichten waren ontworpen om eruit te zien als legitieme interne communicatie en werden verzonden als geauthenticeerde e-mails vanaf door aanvallers gecontroleerde domeinen via een legitieme e-mailbezorgdienst.

Belangrijke kenmerken van de campagne waren:

• Professioneel ogende e-mails met compliance-thema en urgente onderwerpregels over wangedrag van medewerkers of non-compliancezaken
• PDF-bijlagen die ontvangers instrueerden om dossiermateriaal te bekijken
• Meerdere gefaseerde pagina’s met onder meer CAPTCHA-controles en tussenliggende verificatiestappen
• Een laatste Microsoft-aanmeldingsprompt ingebed in een AiTM-flow om sessietokens te onderscheppen
• Brede impact in verschillende sectoren, vooral Healthcare, Financial Services, Professional Services en Technology

Microsoft gaf aan dat de meeste slachtoffers zich in de Verenigde Staten bevonden, maar dat de campagne wereldwijd organisaties trof.

Waarom deze aanval significant is

In tegenstelling tot eenvoudige credential phishing, proxyen AiTM-aanvallen de authenticatiesessie in realtime. Dat betekent dat aanvallers zelfs wanneer gebruikers MFA voltooien, nog steeds tokens kunnen onderscheppen en hergebruiken om toegang te krijgen tot accounts.

Deze campagne laat ook zien hoe phishingtactieken evolueren:

• Aanvallers gebruikten enterprise-achtige HTML-sjablonen om de geloofwaardigheid te vergroten
• Ze maakten gebruik van tijdsdruk en HR-achtige beschuldigingen om snelle actie af te dwingen
• CAPTCHA- en gefaseerde pagina’s hielpen geautomatiseerde securityanalyse te filteren
• De uiteindelijke aanmeldingsflow oogde legitiem genoeg om argwaan bij gebruikers te verminderen

Impact op IT-beheerders

Securityteams moeten dit zien als een herinnering dat gebruikersbewustzijn alleen niet voldoende is. Organisaties hebben gelaagde verdediging nodig voor e-mail, identiteit, endpoints en webbeveiliging.

Beheerders zouden het volgende moeten controleren:

• Configuraties van Exchange Online Protection en Microsoft Defender for Office 365
• Anti-phishingbeleid en bescherming tegen impersonatie
• Ondersteuning voor SmartScreen in beheerde browsers
• Network protection in Windows om kwaadaardige webbestemmingen te blokkeren
• Detectie- en responsdekking voor verdachte aanmeldactiviteit en tokenmisbruik

Aanbevolen vervolgstappen

IT-teams zouden de volgende acties moeten ondernemen:

1. Informeer gebruikers over phishinglokmiddelen rond HR, compliance en regelgeving
2. Voer phishingsimulaties uit met attack simulation training in Microsoft Defender for Office 365
3. Versterk instellingen voor e-mailbeveiliging en bekijk beleidsaanbevelingen in de Microsoft security portal
4. Geef prioriteit aan phishingbestendige authenticatie waar mogelijk
5. Zoek naar indicatoren van compromise en onderzoek ongewoon sessiegedrag gekoppeld aan aanmeldgebeurtenissen

Deze campagne bevestigt een belangrijke securityles: moderne phishing draait niet langer alleen om wachtwoorden. Verdediging tegen token theft vereist sterkere identiteitsbescherming, betere e-mailbeveiliging en voortdurende gebruikersvoorlichting.