Aanvallers misbruiken Microsoft Teams als nep-IT-helpdesk: van mailbombardement tot externe toegang binnen 15 minuten

Cybercriminelen misbruiken de externe chatfunctie van Microsoft Teams steeds vaker om zich voor te doen als interne IT-medewerkers of helpdeskmedewerkers. Ze benaderen hun slachtoffers vanuit externe Microsoft 365-tenants, gebruiken geloofwaardig ogende namen als ‘IT Support (Internal)’ en proberen gebruikers ertoe te bewegen software voor externe toegang te installeren of te starten. Zodra het slachtoffer meewerkt, kunnen de aanvallers binnen korte tijd de controle over een computer overnemen.

Onderzoek van Arctic Wolf Labs, gebaseerd op meer dan 400 incidenten, laat zien dat deze aanvallen een herkenbaar patroon volgen. De criminelen maken gebruik van legitieme Microsoft-functionaliteit, wegwerp-tenants, misleidende identiteiten en remote-monitoring- en managementsoftware (RMM). In een deel van de gevallen verloopt de overgang van het eerste contact naar actieve toegang tot de computer binnen ongeveer vijftien minuten.

Het gaat hierbij niet om een kwetsbaarheid in Microsoft Teams zelf. De aanvallers maken misbruik van de manier waarop organisaties externe communicatie toestaan en van het vertrouwen dat medewerkers doorgaans hebben in de IT-afdeling. Door een bestaand communicatiekanaal te combineren met overtuigende social engineering, proberen ze slachtoffers vrijwillig toegang tot hun systemen te laten verlenen.

Externe Teams-chat als toegangspoort

Microsoft Teams biedt organisaties de mogelijkheid om te communiceren met gebruikers buiten hun eigen Microsoft 365-omgeving. Deze functionaliteit staat bekend als externe toegang, ook wel federation genoemd. Afhankelijk van de instellingen kunnen gebruikers van verschillende organisaties elkaar vinden, berichten sturen en gesprekken starten zonder dat ze deel uitmaken van dezelfde tenant.

Deze mogelijkheid is bedoeld voor legitieme samenwerking tussen bedrijven, klanten, leveranciers en andere externe partijen. Het risico ontstaat wanneer organisaties externe communicatie ruim toestaan en medewerkers onvoldoende voorbereid zijn op misbruik van deze functie.

Aanvallers hoeven daarvoor geen account binnen de organisatie van het slachtoffer te bemachtigen. Ze kunnen vanuit een eigen Microsoft 365-tenant contact zoeken met medewerkers van een andere organisatie. Daarbij kiezen ze vaak tenantnamen en weergavenamen die suggereren dat het om een officiële helpdesk, een interne IT-afdeling of een technische ondersteuningsdienst gaat.

Voorbeelden van dergelijke namen zijn ‘IT Support (Internal)’, ‘IT Service Desk’ en ‘Network Administration’. Soms voegen aanvallers een voornaam, een functietitel of de naam van de doelorganisatie toe om hun identiteit geloofwaardiger te laten lijken.

Het onderscheid tussen de werkelijke herkomst van een bericht en de naam die een gebruiker op het scherm ziet, is hierbij essentieel. Een weergavenaam is geen bewijs van identiteit. Ook een professioneel ogende naam, een bedrijfslogo of een vertrouwd klinkende functietitel bewijst niet dat de afzender daadwerkelijk bij de eigen IT-afdeling werkt.

Teams kan externe deelnemers als extern markeren. Toch kan een aanvaller proberen die waarschuwing minder opvallend te maken door een naam te kiezen die sterk op een interne medewerker lijkt. De aanduiding ‘(Internal)’ in een weergavenaam verandert de externe status van de afzender niet, maar kan bij een vluchtige beoordeling wel verwarring veroorzaken.

Van mailbombardement naar een zogenaamd hulpvaardige IT-medewerker

Een opvallend onderdeel van deze aanvalsmethode is het gebruik van mailbombing. Daarbij wordt het e-mailadres van een slachtoffer in korte tijd overspoeld met grote aantallen nieuwsbrieven, abonnementsbevestigingen, registratieberichten en andere geautomatiseerde e-mails.

Het doel van deze berichtenstroom is niet noodzakelijk om via e-mail malware te verspreiden. De overlast kan juist dienen als afleiding. Wanneer een medewerker plotseling honderden berichten ontvangt, kan diegene het overzicht verliezen, belangrijke meldingen missen of aannemen dat er iets mis is met het e-mailaccount.

Kort nadat de berichtenstroom op gang is gebracht, neemt een zogenaamde IT-medewerker via Teams contact op. Deze persoon presenteert zich als iemand die het probleem heeft opgemerkt en hulp wil bieden. De aanvaller kan bijvoorbeeld suggereren dat het account moet worden gecontroleerd, dat de mailbox moet worden hersteld of dat er een beveiligingsprobleem moet worden opgelost.

Hierdoor ontstaat een geloofwaardige maar misleidende situatie. Het slachtoffer ervaart daadwerkelijk een probleem en krijgt vrijwel direct een aanbod om dat probleem op te lossen. De timing versterkt de indruk dat de persoon aan de andere kant van de chat op de hoogte is van de situatie en bevoegd is om in te grijpen.

In werkelijkheid kan het bombardement onderdeel zijn van dezelfde aanvalscampagne. De aanvaller creëert dan eerst de verwarring en gebruikt die vervolgens om het vertrouwen van het slachtoffer te winnen.

Deze combinatie is een vorm van social engineering: het manipuleren van mensen om beveiligingsmaatregelen te omzeilen of handelingen uit te voeren die ze onder normale omstandigheden mogelijk niet zouden accepteren.

Van standaardtenant naar betaalde domeinnaam

Arctic Wolf Labs beschrijft verschillende patronen in de domeinen en Microsoft 365-tenants die aanvallers gebruiken om hun identiteit geloofwaardig te laten lijken.

In ongeveer 30 tot 40 procent van de onderzochte gevallen maakten de aanvallers gebruik van een standaarddomein dat eindigt op onmicrosoft.com. Dit type domein hoort bij de Microsoft 365-tenant en kan worden gebruikt om een nieuwe omgeving op te zetten. Een aanvaller kan daardoor relatief snel een tenantnaam kiezen die verwijst naar IT-support, netwerkbeheer of technische dienstverlening.

Namen als helpdeskteam365 of networkadmin916 kunnen bijvoorbeeld de indruk wekken dat het account bij een professionele ondersteuningsorganisatie hoort. Het aanmaken van een tenant en het kiezen van een naam is op zichzelf geen bewijs van kwaadaardige activiteit. Het risico ontstaat wanneer deze infrastructuur wordt ingezet om zich tegenover medewerkers als een andere persoon of organisatie voor te doen.

Naast deze standaarddomeinen gebruiken aanvallers ook eigen domeinnamen. Die kunnen een professionelere indruk maken en zijn soms minder eenvoudig als verdachte infrastructuur te herkennen.

Binnen de onderzochte groep betaalde domeinen kwam de extensie .top opvallend vaak voor. Volgens de beschreven bevindingen eindigde ongeveer de helft van deze domeinen op .top, terwijl circa 40 procent eindigde op .com.

Een domeinextensie is op zichzelf geen betrouwbare indicator voor een aanval. Ook .top-domeinen kunnen legitiem zijn en het gebruik van .com zegt evenmin iets doorslaggevends over de betrouwbaarheid van een afzender. De waarde van deze bevinding zit vooral in het herkennen van patronen: verdachte domeinnamen, pas aangemaakte infrastructuur, misleidende tenantnamen en onverwachte contactpogingen kunnen in combinatie aanleiding zijn voor nader onderzoek.

Voor organisaties betekent dit dat beveiligingsmaatregelen niet uitsluitend moeten vertrouwen op een lijst met bekende kwaadaardige domeinen. Aanvallers kunnen snel nieuwe domeinen en tenants in gebruik nemen, waardoor herkenning op basis van alleen bekende indicatoren tekort kan schieten.

Displaynamen worden steeds overtuigender

De aanvallers proberen niet alleen hun domeinnamen geloofwaardig te maken. Ook de weergavenamen waarmee ze in Teams verschijnen, worden zorgvuldig gekozen.

Een veelvoorkomende tactiek is het toevoegen van woorden als ‘Internal’, ‘IT Support’, ‘Service Desk’ of ‘Network Administration’. Sommige aanvallers voegen daar een voornaam aan toe, bijvoorbeeld ‘IT Service Desk (Matthew)’. Anderen verwerken de naam van de organisatie waarop ze zich richten in de displaynaam.

Daarmee proberen ze aan te sluiten bij de manier waarop medewerkers gewend zijn met hun eigen IT-afdeling te communiceren. Een naam die lijkt op een intern ondersteuningsaccount kan de argwaan verminderen, vooral wanneer de medewerker tegelijkertijd hinder ondervindt van een mailboxprobleem.

In ruim honderd gevallen uit de beschreven analyse bevatten de weergavenamen bovendien emoji's, bijvoorbeeld symbolen die met beveiliging of gereedschap worden geassocieerd. Dit kan passen bij het gebruik van geautomatiseerde hulpmiddelen of AI bij het bedenken van namen, maar emoji's vormen op zichzelf geen bewijs dat AI is ingezet.

Het bredere patroon is duidelijk: aanvallers proberen hun identiteit aan te passen aan de verwachtingen van het slachtoffer. Daarbij gebruiken ze niet alleen technische middelen, maar ook herkenbare functietitels, zakelijke formuleringen en visuele elementen die vertrouwen moeten wekken.

De belangrijkste les is daarom dat een displaynaam nooit als zelfstandige identiteitscontrole mag worden beschouwd. De werkelijke herkomst van een externe gebruiker moet worden beoordeeld aan de hand van de externe aanduiding, de context van het contact en de procedures van de organisatie.

Quick Assist: legitieme software als aanvalsmiddel

Het uiteindelijke doel is vaak het verkrijgen van directe toegang tot de computer van het slachtoffer. Daarvoor maken aanvallers gebruik van legitieme hulpmiddelen voor ondersteuning op afstand.

Een van de belangrijkste instrumenten in deze campagnes is Microsoft Quick Assist. Deze toepassing is bedoeld om gebruikers op afstand te helpen bij technische problemen. Met toestemming van de gebruiker kan een ondersteuningsmedewerker meekijken of, afhankelijk van de gekozen sessie en verleende rechten, de computer bedienen.

Juist doordat Quick Assist een legitiem hulpmiddel is en beschikbaar is binnen het Windows-ecosysteem, kan het misbruik ervan lastig te onderscheiden zijn van normale IT-ondersteuning. De toepassing hoeft niet als malware te worden geïnstalleerd om toegang mogelijk te maken. De aanvaller probeert de gebruiker ertoe te bewegen zelf een ondersteuningssessie te starten en de benodigde toegang te verlenen.

Tijdens het proces kan de gebruiker worden gevraagd een zescijferige code in te voeren of door te geven. Die code maakt deel uit van het verbindingsproces, maar mag niet worden beschouwd als bewijs dat de persoon die erom vraagt betrouwbaar is. Wanneer een onbekende externe contactpersoon de code ontvangt en de gebruiker vervolgens toegang toestaat, kan de aanvaller binnen de verleende bevoegdheden meekijken of handelingen uitvoeren.

De aanvaller presenteert dit proces doorgaans als een noodzakelijke stap om het vermeende probleem op te lossen. De medewerker denkt bijvoorbeeld dat de IT-afdeling de mailbox gaat herstellen, terwijl die in werkelijkheid toegang tot de computer verleent aan een onbekende partij.

Het gevaar zit dus niet primair in de software zelf, maar in de omstandigheden waaronder de software wordt gestart en de rechten die aan de externe gebruiker worden verleend.

Andere RMM-tools kunnen de toegang verlengen

Naast Quick Assist kunnen aanvallers ook andere programma's gebruiken die bedoeld zijn voor beheer en ondersteuning op afstand. Voorbeelden zijn AnyDesk, Atera en ScreenConnect.

Dergelijke toepassingen worden door bedrijven en IT-dienstverleners legitiem gebruikt om computers te beheren, storingen op te lossen en ondersteuning te bieden. Afhankelijk van het product, de configuratie en de toegekende rechten kunnen ze mogelijkheden bieden om op afstand verbinding te maken, systemen te bedienen of beheeractiviteiten uit te voeren.

Voor aanvallers zijn deze eigenschappen aantrekkelijk. Nadat ze een eerste verbinding tot stand hebben gebracht, kunnen ze proberen aanvullende software te installeren of configureren om later opnieuw toegang te krijgen. Dit kan onderdeel zijn van pogingen om de toegang te behouden, ook nadat het eerste contact is beëindigd.

Niet elke installatie van een RMM-tool is verdacht. In veel organisaties zijn dergelijke toepassingen noodzakelijk voor het dagelijkse beheer. Het onderscheid moet daarom worden gemaakt op basis van de herkomst, de autorisatie, het gebruik en de context van de installatie.

Een RMM-programma dat door de eigen IT-afdeling is uitgerold volgens een goedgekeurd proces, heeft een andere betekenis dan hetzelfde programma dat op verzoek van een onbekende Teams-contactpersoon wordt gestart.

Organisaties doen er daarom goed aan inzicht te hebben in welke tools zijn toegestaan, welke gebruikers ze mogen installeren en welke externe verbindingen normaal zijn. Onverwachte installaties, onbekende ondersteuningssessies en nieuwe beheerverbindingen verdienen extra aandacht.

Van eerste chat tot actieve toegang in ongeveer vijftien minuten

De beschreven aanvallen kunnen bijzonder snel verlopen. Als een medewerker de instructies van de aanvaller opvolgt, kan de aanvaller volgens de bevindingen binnen ongeveer vijftien minuten toegang tot de computer verkrijgen.

Die snelheid wordt mogelijk doordat verschillende stappen op elkaar aansluiten. De aanvaller heeft al een externe tenant ingericht, kiest een geloofwaardige displaynaam, benadert het slachtoffer via een bestaand communicatiekanaal en maakt gebruik van software die voor legitieme ondersteuning is ontworpen.

Er hoeft niet noodzakelijk sprake te zijn van een ingewikkelde exploit, een kwetsbaarheid in Windows of een technisch geavanceerde besmettingsmethode. De cruciale handeling kan bestaan uit het overtuigen van een medewerker om zelf een verbinding tot stand te brengen.

Zodra de gebruiker de verbinding toestaat, kan de aanvaller de mogelijkheden benutten die binnen de sessie beschikbaar zijn. Wat daarna mogelijk is, hangt onder meer af van de toegekende rechten, de beveiligingsinstellingen van het apparaat en de aanvullende maatregelen die de organisatie heeft getroffen.

Toegang tot de computer betekent niet automatisch dat de aanvaller ook alle bedrijfsgegevens kan inzien of volledige controle over het bedrijfsnetwerk heeft. Wel kan een toegestane sessie een belangrijk startpunt vormen voor verdere activiteiten, bijvoorbeeld het openen van bestanden, het manipuleren van instellingen of pogingen om aanvullende toegang te verkrijgen.

De snelheid van deze aanvallen maakt het belangrijk om ze niet alleen achteraf te onderzoeken, maar ook in een vroeg stadium te detecteren. Zodra duidelijk is dat een onbekende externe gebruiker zich voordoet als interne IT-support, kan snel ingrijpen voorkomen dat de medewerker verdere stappen zet.

Waarom aanvallers links soms bewust vermijden

Bij deze aanvalsmethode is ook de manier waarop instructies worden gedeeld relevant. Aanvallers kunnen terughoudend zijn met het plaatsen van directe downloadlinks in de Teams-chat.

Een mogelijke reden is dat e-mail- en webbeveiligingsmaatregelen, waaronder Microsoft Defender for Office 365 Safe Links wanneer deze is geconfigureerd en van toepassing is, verdachte URL's kunnen controleren of blokkeren. Door de gebruiker in plaats daarvan te instrueren een bestaande toepassing te openen, een code te delen of zelf een programma te starten, proberen aanvallers sommige controles te omzeilen.

Dit betekent niet dat elke link in Teams automatisch wordt gecontroleerd of dat Safe Links alle kwaadaardige links tegenhoudt. De werking is afhankelijk van de beveiligingsconfiguratie en de omstandigheden waarin de link wordt gebruikt.

Het relevante punt is dat aanvallers niet altijd afhankelijk zijn van een schadelijke link of een traditionele malwaredownload. Ze kunnen misbruikmaken van reeds aanwezige software en de gebruiker rechtstreeks door het verbindingsproces begeleiden.

Daarmee verschuift de aanval van een klassiek scenario waarin een slachtoffer op een besmette link klikt naar een scenario waarin het slachtoffer zelf de belangrijkste handelingen uitvoert. Traditionele beveiligingsmaatregelen blijven nuttig, maar zijn niet voldoende wanneer een aanvaller een medewerker weet te overtuigen een legitieme toepassing te gebruiken voor een ongeautoriseerde sessie.

Detectie begint bij het eerste chatverzoek

Een belangrijk aspect van de aanpak van Arctic Wolf is het monitoren van gebeurtenissen binnen Microsoft Teams. De organisatie beschrijft hoe het aanmaken van een nieuwe één-op-één-chat, vastgelegd als een ChatCreated-event, kan worden gebruikt als vroeg detectiemoment.

Dat is relevant omdat dit event kan optreden voordat de medewerker op instructies van de aanvaller heeft gereageerd, een code heeft gedeeld of externe toegang heeft toegestaan.

Wanneer een organisatie verdachte patronen al bij het ontstaan van een chat kan herkennen, hoeft de detectie niet te wachten op de installatie van software, het starten van een ondersteuningssessie of andere activiteiten op het eindpunt.

Een afzonderlijk ChatCreated-event is overigens niet automatisch kwaadaardig. Nieuwe chats zijn een normaal onderdeel van het dagelijkse gebruik van Teams. De detectiewaarde ontstaat wanneer dit soort gebeurtenissen wordt gecombineerd met aanvullende signalen, zoals een onbekende externe tenant, een verdachte displaynaam, ongebruikelijke contactpatronen of andere indicatoren die op impersonatie kunnen wijzen.

Organisaties kunnen onderzoeken of hun beschikbare Microsoft 365- en beveiligingslogs voldoende informatie bevatten om dergelijke activiteiten te signaleren. Welke gegevens beschikbaar zijn, hangt af van de gebruikte licenties, logginginstellingen, bewaartermijnen en beveiligingsproducten.

De beschreven aanpak laat vooral zien waarom vroegtijdige detectie waardevol is: een melding bij het eerste verdachte contact kan een kans bieden om de aanval te stoppen voordat de gebruiker verdere handelingen uitvoert.

Hoe organisaties zich tegen deze aanvallen kunnen beschermen

Een effectieve verdediging vraagt om een combinatie van technische maatregelen, monitoring en duidelijke afspraken met medewerkers. Omdat de aanval gebruikmaakt van een legitieme communicatiefunctie en bestaande software, is het niet voldoende om uitsluitend naar malware of verdachte downloadlinks te zoeken.

1. Beperk externe toegang in Microsoft Teams

Beoordeel of externe toegang noodzakelijk is voor alle gebruikers en organisaties waarmee medewerkers kunnen communiceren. Wanneer de bedrijfsvoering het toelaat, kan de organisatie externe toegang beperken tot goedgekeurde domeinen of specifieke partners.

Een dergelijke beperking verkleint het aantal mogelijke contactpunten, maar neemt niet elk risico weg. Ook een toegestane externe organisatie kan worden misbruikt als haar account of infrastructuur wordt gecompromitteerd.

Stem de instellingen daarom af op de daadwerkelijke samenwerkingsbehoefte en controleer ze regelmatig. Schakel externe communicatie niet zonder meer uit als de organisatie daarvan afhankelijk is, maar zorg dat de toegestane toegang bewust is ingericht.

2. Behandel een externe IT-medewerker altijd als een onbevestigde identiteit

Medewerkers moeten weten dat een onbekende persoon die via Teams contact opneemt niet automatisch een interne medewerker is, zelfs niet wanneer de displaynaam ‘IT Support (Internal)’ of de naam van het eigen bedrijf bevat.

Laat medewerkers onverwachte ondersteuningsverzoeken verifiëren via een onafhankelijk, bekend kanaal. Ze kunnen bijvoorbeeld zelf contact opnemen met de interne servicedesk via het gebruikelijke telefoonnummer of het bestaande ticketsysteem.

Gebruik daarvoor niet uitsluitend contactgegevens of links die de onbekende persoon in het verdachte gesprek aanlevert.

3. Stel duidelijke regels op voor remote-accesssoftware

Leg vast welke programma's voor ondersteuning op afstand zijn toegestaan, wie ze mag gebruiken en op welke manier ondersteuningssessies worden aangevraagd en goedgekeurd.

Medewerkers moeten weten dat ze geen Quick Assist-sessie mogen starten, geen toegangscode mogen delen en geen RMM-software mogen installeren uitsluitend omdat iemand daar via een onverwacht Teams-bericht om vraagt.

Wanneer externe ondersteuning noodzakelijk is, moet die plaatsvinden via een herkenbaar en controleerbaar proces dat door de eigen organisatie is goedgekeurd.

4. Monitor verdachte Teams-activiteiten

Onderzoek welke Teams-gebeurtenissen, auditgegevens en beveiligingssignalen beschikbaar zijn binnen de eigen omgeving. Een nieuwe chat met een onbekende externe gebruiker kan worden gecombineerd met signalen rond verdachte tenantnamen, ongebruikelijke displaynamen en pogingen om medewerkers tot externe ondersteuning te bewegen.

De precieze detectieregels moeten worden afgestemd op het normale communicatiepatroon van de organisatie. Te brede regels kunnen veel onschuldige meldingen opleveren; te beperkte regels kunnen juist aanvallen missen.

5. Houd toezicht op Quick Assist en RMM-software

Breng in kaart welke toepassingen voor ondersteuning op afstand binnen de organisatie aanwezig zijn en welke daarvan daadwerkelijk nodig zijn. Controleer waar mogelijk het starten van deze toepassingen, de herkomst van installaties, de gebruikers die ze uitvoeren en ongebruikelijke verbindingsactiviteiten.

Afhankelijk van de gebruikte Windows- en beveiligingsconfiguratie kunnen organisaties onder meer toepassingsbeheer, endpointdetectie en toegangsbeperkingen inzetten om ongeautoriseerd gebruik tegen te gaan.

Het volledig blokkeren van een toepassing kan passend zijn voor bepaalde organisaties, maar moet worden afgewogen tegen legitieme ondersteuningsbehoeften. Het doel is niet alleen om specifieke software te blokkeren, maar vooral om te voorkomen dat onbekende externe partijen zonder geldige autorisatie toegang krijgen.

6. Train medewerkers op mailbombing en social engineering

Medewerkers moeten herkennen dat een plotselinge stroom aan nieuwsbrieven of abonnementsbevestigingen kan worden gebruikt als afleiding. Ook wanneer de berichten zelf onschuldig lijken, kan de combinatie met een onverwacht ondersteuningsverzoek verdacht zijn.

Een belangrijke gedragsregel is dat medewerkers niet onder tijdsdruk moeten handelen. Een persoon die beweert dat er onmiddellijk iets moet worden hersteld, moet dezelfde verificatieprocedures volgen als iedere andere externe contactpersoon.

Maak het bovendien eenvoudig om verdachte Teams-chats te melden, zodat medewerkers niet zelf hoeven te bepalen of een situatie daadwerkelijk kwaadaardig is.

7. Zorg voor een duidelijk incidentproces

Wanneer een medewerker onverwacht toegang heeft verleend aan een onbekende externe gebruiker, moet diegene weten hoe snel hulp kan worden ingeschakeld.

De organisatie moet een procedure hebben voor het beëindigen van de sessie, het isoleren van een mogelijk gecompromitteerd apparaat, het onderzoeken van uitgevoerde handelingen en het beoordelen of accounts, inloggegevens of bedrijfsgegevens gevaar hebben gelopen.

Alleen het sluiten van Quick Assist of het verwijderen van een RMM-programma is niet noodzakelijk voldoende. De omvang van het incident moet worden vastgesteld voordat het systeem weer als betrouwbaar wordt beschouwd.

Wat te doen als een medewerker al toegang heeft verleend?

Wanneer een medewerker vermoedt dat hij of zij met een nep-helpdesk heeft gesproken, is snel handelen belangrijk. De precieze respons hangt af van de handelingen die zijn uitgevoerd en van de beveiligingsmaatregelen van de organisatie.

• Beëindig de ongeautoriseerde sessie. Stop de externe ondersteuningsverbinding zodra dat veilig mogelijk is en volg de interne incidentprocedure.
• Waarschuw de IT- of securityafdeling. Meld de Teams-chat, de weergegeven naam, het tijdstip en de instructies die de externe persoon heeft gegeven.
• Bewaar relevante informatie. Leg beschikbare chatgegevens, namen, tenantinformatie, tijdstippen en meldingen vast. Verwijder niet voortijdig bewijs dat nodig kan zijn voor onderzoek.
• Laat het apparaat onderzoeken. Controleer welke toepassingen zijn gestart of geïnstalleerd, welke handelingen zijn uitgevoerd en of er aanwijzingen zijn voor aanvullende toegang.
• Beoordeel accounts en inloggegevens. Als wachtwoorden, verificatiecodes of andere gevoelige gegevens zijn gedeeld, moet worden vastgesteld welke maatregelen nodig zijn. Wijzigingen in wachtwoorden of sessies moeten onderdeel zijn van een gerichte respons.
• Onderzoek mogelijke vervolgactiviteiten. Controleer waar passend op nieuwe beheerprogramma's, ongebruikelijke aanmeldingen, verdachte wijzigingen en andere aanwijzingen dat de aanvaller verder is gekomen dan de oorspronkelijke ondersteuningssessie.

Een snelle melding is geen reden om een medewerker de schuld te geven. Het belangrijkste is dat de organisatie de aanval kan onderzoeken en verdere schade kan voorkomen.

Door: Drifter