In 2016, toen wij onze focus volledig op identity security legden, werden we regelmatig met een schuin oog aangekeken. Is een firewall en een goede virusscanner niet genoeg? De realiteit van 2026 geeft het antwoord: identiteit is de nieuwe perimeter. Maar terwijl organisaties massaal overstappen op Microsoft Entra, zitten aanvallers niet stil. De recente golf van aanvallen, waaronder die op Odido, laat zien dat klassieke multifactorauthenticatie niet het onneembare fort is dat we dachten.
De digitale kettingbrief
Wat we in ons SOC de laatste tijd veelvuldig zien, is een geraffineerde vorm van phishing die het onderlinge vertrouwen binnen organisaties gebruikt. We noemen het de digitale kettingbrief.
Het begint niet met een verdacht bestand of een vreemd afzenderadres. Het begint met een legitieme link naar Microsoft Forms, verstuurd door een bekende collega of organisatie. Omdat het domein forms.office.com op vrijwel elke toegestane lijst staat, zeilt het bericht moeiteloos langs Exchange Online Protection en Defender for Office 365.
Wat er onder de motorkap gebeurt
De techniek erachter heet adversary-in-the-middle. De aanvaller stuurt je niet naar een nagemaakte inlogpagina, maar zet een doorgeefluik tussen jou en de echte inlogpagina van Microsoft Entra.
- De klik. De gebruiker opent het echte Forms-formulier. Daarin staat een link naar de eigenlijke phishingsite: de proxy.
- De authenticatie. De gebruiker voert gebruikersnaam en wachtwoord in op de proxy. Die geeft ze real time door aan Microsoft.
- De MFA-stap. Microsoft stuurt een MFA-verzoek, bijvoorbeeld een pushmelding in de Authenticator-app. De gebruiker keurt goed, in de veronderstelling dat hij inlogt op Forms.
- De diefstal. Na de geslaagde MFA-controle stuurt Microsoft een sessietoken terug. De proxy onderschept dat token voordat het de browser van de gebruiker bereikt.
De aanvaller plaatst het token in zijn eigen browser en is vanaf dat moment volledig aangemeld als de gebruiker, inclusief de doorlopen MFA-stap. Hij kan uren of dagen ongestoord in de omgeving werken, data wegsluizen en nieuwe kettingbrieven versturen naar het adresboek van het slachtoffer. Wij hebben in 2023 een demo gebouwd die dit scenario stap voor stap laat zien; wie het met eigen ogen wil zien, kan contact met ons opnemen.
Waarom MFA alleen niet meer genoeg is
Veel organisaties gaan ervan uit dat ze met het aanzetten van MFA klaar zijn. De praktijk is anders. Standaard MFA via sms, spraak of pushmelding is kwetsbaar voor adversary-in-the-middle en voor MFA-vermoeidheid, en ook nieuwere varianten zijn niet vanzelf bestand tegen een proxy. In tien jaar hebben we de aanvalstactieken zien opschuiven van simpele brute force naar complexe sessiekaping. De inrichting bepaalt het verschil, niet het vinkje.
Wat er wel tegen helpt
Binnen het Microsoft Entra-ecosysteem adviseren wij een gelaagde aanpak.
Phishing-resistant MFA. Stap over op methoden die een proxy niet kan onderscheppen: FIDO2-beveiligingssleutels, passkeys en Windows Hello for Business. Ze koppelen de aanmelding cryptografisch aan het apparaat en aan het adres van de echte dienst.
Token protection. Microsoft biedt de mogelijkheid om sessietokens te binden aan een specifiek apparaat. Steelt een aanvaller het token, dan is het op een ander apparaat onbruikbaar.
Conditional Access met apparaatcompliance. Dwing af dat inloggen alleen kan vanaf een beheerd en compliant apparaat in Intune. Een gestolen token voldoet daar meestal niet aan.
Continuous Access Evaluation. Zorg dat sessies direct worden ingetrokken bij verdacht gedrag of een gewijzigde netwerklocatie, in plaats van te wachten tot het token verloopt.
Conclusie
Sinds 2016 hebben we heel wat stormen in cybersecurity voorbij zien komen. De overstap naar Microsoft Entra is een grote stap vooruit, maar de inrichting bepaalt de effectiviteit. De aanval op Odido is een waarschuwing voor iedereen: vertrouwen is goed, een continu geverifieerde identiteit is beter. Wil je weten of jouw MFA-inrichting bestand is tegen een adversary-in-the-middle-aanval, dan is dat precies wat een Digital Defense Review laat zien.