Microsoft waarschuwt voor belastingseizoen phishing

Inleiding

Het belastingseizoen blijkt opnieuw piektijd voor cybercriminelen. Microsoft meldt een duidelijke toename van phishing- en malwarecampagnes die de urgentie van belastingaangiften, terugbetalingsmeldingen, loonformulieren en communicatie van accountants uitbuiten om gebruikers te misleiden hun referenties prijs te geven of malware te starten.

Voor IT- en beveiligingsteams is dit belangrijk omdat deze campagnes niet slechts generieke spam zijn. Veel ervan zijn sterk gericht, gepersonaliseerd en ontworpen om traditionele detecties te omzeilen via QR-codes, meerstaps-linkketens, in de cloud gehoste bestanden en misbruik van legitieme remote monitoring and management (RMM)-tools.

Wat is nieuw

Microsoft lichtte verschillende aanvalspatronen met belastingthema uit die begin 2026 zijn waargenomen:

• CPA-phishing met Energy365
  E-mails met onderwerpen als "See Tax file" gebruikten Excel-bijlagen die linkten naar OneNote-bestanden op OneDrive, en gebruikers uiteindelijk doorstuurden naar pagina’s voor het verzamelen van referenties die werden aangedreven door de Energy365 phishing-as-a-service-kit.

• W-2 QR-codephishing met SneakyLog
  Berichten met de titel "2025 Employee Tax Docs" bevatten Word-documenten met gepersonaliseerde QR-codes. Het scannen van de code leidde gebruikers naar valse Microsoft 365-aanmeldpagina’s die draaiden via de SneakyLog/Kratos phishingkit, ontworpen om referenties en 2FA-informatie te stelen.

• 1099-lokmiddelen die ScreenConnect leveren
  Domeinen met belastingformulier-thema deden zich voor als financiële en belastingmerken en leidden gebruikers ertoe 1099-FR2025.exe te downloaden, dat ScreenConnect installeerde. Hoewel legitiem, kan ScreenConnect door aanvallers worden misbruikt als tool voor externe toegang.

• IRS- en crypto-gerelateerde phishing
  Een andere campagne gebruikte valse IRS-berichten en social engineering rond cryptocurrency, waaronder copy-and-paste-URL’s in plaats van klikbare links om geautomatiseerde detectie te verminderen.

Waarom dit belangrijk is voor beheerders

Deze campagnes laten zien hoe aanvallers het volgende combineren:

• overtuigende seizoensgebonden zakelijke context
• phishing-as-a-service-platforms die snel kunnen opschalen
• gepersonaliseerde bijlagen en landingspagina’s
• MFA-omzeilingstechnieken
• legitieme ondertekende RMM-tools voor persistentie en hands-on-keyboard-toegang

Organisaties in financiële dienstverlening, gezondheidszorg, onderwijs, productie, retail en IT werden allemaal als doelwit waargenomen, waarbij accountants en functies dicht bij finance bijzonder risico lopen.

Aanbevolen volgende stappen

IT-beheerders moeten onmiddellijk de volgende acties ondernemen:

• Versterk het bewustzijn van gebruikers rond e-mails met belastingthema, vooral onverwachte W-2-, 1099-, CPA- en IRS-berichten.
• Blokkeer of inspecteer phishing op basis van QR-codes en meerfasige bijlageketens met Excel, OneNote en links naar cloudopslag nauwkeurig.
• Controleer e-mailbeveiligingsbeleid voor bescherming tegen impersonatie, het scannen van bijlagen en URL-detonatie.
• Jaag op misbruik van RMM-tools zoals ScreenConnect en SimpleHelp, vooral wanneer deze buiten goedgekeurde kanalen worden geïnstalleerd.
• Versterk identiteitsbeveiliging met waar mogelijk phishing-resistente MFA en monitor op verdachte Microsoft 365-aanmeldactiviteit.
• Gebruik Microsoft Defender-detectie en hunting-richtlijnen uit het advies om gerelateerde indicatoren van compromise te identificeren.

Conclusie

Het belastingseizoen geeft aanvallers een voorspelbaar venster om urgentie en vertrouwen uit te buiten. De nieuwste bevindingen van Microsoft herinneren eraan dat organisaties belastinggerelateerde berichten moeten behandelen als een phishingcategorie met hoog risico en zowel identiteitsactiviteit als tools voor externe toegang in de hele omgeving moeten valideren.