Voice Phishing vindt een nieuw zwak punt: je persoonlijke telefoon

Een nieuwe golf van aanvallen laat zien waarom de grens tussen persoonlijke en professionele apparaten meer dan ooit van belang is. Volgens berichtgeving over Microsofts threat intelligence-bevindingen bellen en sms'en groepen die worden getrackt als Storm-3032 en Storm-3121 medewerkers op hun persoonlijke telefoons, waarbij ze zich voordoen als interne IT-helpdeskmedewerkers. Zodra een medewerker ervan overtuigd is dat het gesprek legitiem is, begeleiden de aanvallers hen door stappen die toegang verlenen tot zakelijke Microsoft 365-accounts, waarbij ze vaak misbruik maken van bring-your-own-device (BYOD)-opstellingen waarbij persoonlijke telefoons ook worden gebruikt om in te loggen op werk-e-mail, Teams en SharePoint.

Wat deze campagne opvallend maakt, is niet alleen de voice phishing-tactiek zelf. Het is wat er gebeurt nadat de initiële toegang is verkregen. Deze groepen functioneren naar verluidt als initial access brokers: ze komen een netwerk binnen, gebruiken Microsofts Graph API om te inventariseren welke data en systemen beschikbaar zijn, en bepalen vervolgens welke slachtoffers waardevol genoeg zijn om te verkopen of door te geven. Van daaruit wordt de toegang doorgegeven aan extortiegroepen, waaronder ShinyHunters, een naam die steeds bekender is geworden in zaken rond datadiefstal en afpersing.

Waarom BYOD deze aanval zo effectief maakt

Persoonlijke apparaten vallen buiten de beveiligingsperimeter die de meeste bedrijven rond zakelijke hardware bouwen. Een werklaptop heeft mogelijk endpointdetectie, beperkte app-machtigingen en door IT beheerde configuraties. Een persoonlijke telefoon die wordt gebruikt om e-mail te checken of deel te nemen aan een Teams-gesprek heeft dat doorgaans allemaal niet. Het is ook het apparaat waarop medewerkers het snelst een oproep aannemen zonder erbij na te denken, omdat het dezelfde telefoon is die hun familie en vrienden gebruiken.

Dat vertrouwensgat is precies wat voice phishing (soms vishing genoemd) uitbuit. Aanvallers hoeven geen encryptie te breken of een softwarefout te vinden. Ze hebben een medewerker nodig die gelooft dat de persoon aan de telefoon echt van IT is en probeert te helpen, niet te schaden. Berichten wijzen erop dat de aanvallers ook legitieme samenwerkingsfuncties misbruiken, zoals externe toegang in Microsoft Teams, om op te gaan in normale zakelijke communicatie in plaats van duidelijke rode vlaggen te veroorzaken.

Dit patroon weerspiegelt een bredere trend across meerdere sectoren. Bij de Jack Henry ransomware-aanval gebruikten aanvallers eveneens een telefoongesprek in plaats van een technisch exploit om voet aan de grond te krijgen, wat onderstreept dat voice-based social engineering een voorkeursingang is geworden juist omdat het traditionele technische verdedigingen omzeilt.

De Graph API-invalshoek: toegang omzetten in intelligence

Eenmaal binnen een account gebruiken de aanvallers naar verluidt Microsofts Graph API, een legitiem hulpmiddel dat ontwikkelaars gebruiken om met Microsoft 365-data te werken, om de omgeving van een organisatie in kaart te brengen. Hierdoor kunnen ze snel identificeren welke mailboxen, bestanden of gebruikersaccounts het meest waardevol zijn, en doen ze feitelijk verkenning met de eigen infrastructuur van het doelwit. In plaats van in elk geval zelf data te exfiltreren, lijken de initial access brokers hoogwaardige voet aan de grond door te geven aan extortiegroepen zoals ShinyHunters, die gespecialiseerd zijn in het verzilveren van gestolen toegang via datadiefstal en afpersingseisen.

Deze taakverdeling, de ene groep breekt in en de andere groep verzilvert, weerspiegelt wat in andere recente inbreukzaken is gezien. Bij de Napoleon Perdis-datalek werden gestolen klantgegevens gelekt en opgeëist door een dreigingsactor die onafhankelijk opereerde van wie de data mogelijk oorspronkelijk had benaderd, wat illustreert dat gecompromitteerde toegang en openbare datalekken vaak door volledig afzonderlijke partijen worden afgehandeld.

Wat dit voor jou betekent

Als je werkgever BYOD-toegang tot Microsoft 365, Teams of zakelijke e-mail toestaat, ben je een potentieel toegangspunt voor dit soort aanvallen, ongeacht je functietitel of afdeling. Het kernrisico is niet een fout in Microsofts software. Het is de aanname dat een beller die zich voordoet als "IT-support" is wie hij zegt dat hij is. Medewerkers moeten sceptisch zijn over elk ongevraagd telefoontje of bericht waarin wordt gevraagd om inloggegevens opnieuw in te stellen, een loginprompt goed te keuren of iets te installeren, zelfs als de beller deskundig klinkt over interne systemen of echte medewerkersnamen gebruikt.

Organisaties moeten ook heroverwegen hoe BYOD-apparaten worden geverifieerd en gemonitord, aangezien een persoonlijke telefoon met toegang tot zakelijke clouddiensten een directe weg naar gevoelige data kan worden zonder ooit een bedrijfslaptop aan te raken.

Concrete adviezen

  • Verifieer elk IT-helpdeskcontact via een bekend intern kanaal voordat je actie onderneemt, nooit via het nummer of de methode die de beller verstrekt.
  • Schakel multi-factor authenticatie in die meer vereist dan een simpele goedkeuringstik, aangezien MFA-moeheid en social engineering vaak hand in hand gaan.
  • Vraag je werkgever naar BYOD-beveiligingsbeleid, inclusief of persoonlijke apparaten die Microsoft 365 benaderen onderworpen zijn aan conditional access-regels of apparaatcompliantiecontroles.
  • Meld verdachte telefoontjes of berichten die beweren van IT te zijn onmiddellijk, zelfs als je er niet op hebt gehandeld, zodat beveiligingsteams de bredere campagne kunnen volgen.

Voice phishing-campagnes zoals deze slagen omdat ze zich richten op menselijk vertrouwen in plaats van softwarekwetsbaarheden. Voorzichtig blijven bij onverwachte telefoontjes en verzoeken bevestigen via officiële kanalen blijft een van de eenvoudigste en meest effectieve verdedigingen die beschikbaar zijn.