Microsoft legt phishingnetwerk plat dat Microsoft 365 omgevingen kaapt

📢 Cybersecurity alert: phishingnetwerk achter 1 miljard berichten opgerold

Op 14 oktober 2026 heeft de Digital Crimes Unit van Microsoft, samen met beveiligingsbedrijven en Japanse autoriteiten, via een Amerikaans gerechtsbevel domeinen in beslag genomen en meer dan 20.000 accounts uitgeschakeld. Het doelwit: de marktplaats YAM Store en drie phishingkits, CoGUI, Haozi en Iron Man System. Sinds januari zijn die gelinkt aan meer dan een miljard phishingmails en sms'en bij meer dan 75.000 organisaties, waarvan ruim 750 miljoen gericht op Microsoft 365 klanten. (Bron: BleepingComputer)

Hoe gaan de aanvallers te werk

Dit zijn geen losse oplichters maar een volledige dienstverlening: wie wil, huurt een kit en kan meteen aan de slag. De operators nemen bestaande Microsoft 365 omgevingen over of registreren nepomgevingen. Die beheren ze via eigen beheerpanelen die werken met gestolen app secrets. Zo resetten ze ongemerkt wachtwoorden, wijzen ze licenties toe en geven ze zichzelf Global Admin rechten.

De lokmiddelen staan vaak op SharePoint en OneDrive. De link komt dus van een echt Microsoft domein en ziet er betrouwbaar uit. Daarna vraagt men je een code in te geven op een officiële Microsoft pagina. Wie dat doet, geeft de aanvaller een geldig toegangstoken, MFA inbegrepen.

Waarom dit kmo's raakt

Een gekaapte Microsoft 365 omgeving is voor een kmo een gestolen sleutelbos: mailbox, bestanden, Teams en vaak ook toegang tot andere toepassingen. Omdat de aanvaller via een app werkt in plaats van via een gebruiker, valt het lang niet op.

Wat je vandaag best controleert

• App registraties: kijk of er recent app secrets of certificaten toegevoegd zijn die niemand kan verklaren.

• Rechten: zoek apps met brede Graph applicatierechten zoals Directory.ReadWrite.All of User.ReadWrite.All, en onverwachte Global Admins.

• Conditional Access: verplicht phishingbestendige MFA voor beheerders, laat MFA en passkey registratie enkel toe vanaf vertrouwde locaties of beheerde toestellen, en blokkeer de device code flow waar je die niet nodig hebt.

• Mailbeveiliging: zorg dat Safe Links in Defender for Office 365 ook interne ontvangers beschermt, want deze links komen van legitieme SharePoint en OneDrive adressen.

Gouden regel voor je medewerkers: een gedeelde documentlink van een echt Microsoft domein kan nog steeds een valstrik zijn. Geef nooit een code in op microsoft.com/devicelogin als jij die aanmelding niet zelf gestart hebt.

Hoe ez Cyber Guard dit opvangt

Bij klanten met ez Cyber Guard staan deze controles niet op een lijstje, ze draaien continu:

• ez Cyber Guard ITDR: een 24/7 SOC volgt aanmeldingen, nieuwe app toestemmingen, verdachte inboxregels en gestolen tokens op, schakelt het account uit en belt ons wanneer er iets misloopt.

• ez Cyber Guard ISPM: controleert de identiteitsbeveiliging van je omgeving (Conditional Access, beheerdersrollen, app rechten) en meldt afwijkingen voor ze misbruikt worden.

• Doorlopende scans: kwetsbaarheidsscans en Microsoft 365 benchmarkrapporten tonen waar je omgeving afwijkt.

• ez Cyber Training met Phished: realistische simulaties, ook met gedeelde documentlinks en codevragen, zodat je team de truc herkent.

Wil je er met ons over praten?

We lopen je Microsoft 365 omgeving na op deze punten en tonen je wat er openstaat. Plan een gesprek met onze security experts via Contact of mail direct naar sales@ez.be. Meer over onze aanpak lees je op de pagina Cybersecurity voor kmo's.