Zorgorganisaties worden getroffen door een actieve phishingcampagne waarbij cybercriminelen proberen Microsoft-accounts over te nemen. De aanval valt op doordat slachtoffers tijdens het proces op legitieme Microsoft-pagina’s terechtkomen. Daardoor kan de aanval betrouwbaar overkomen en kunnen bestaande beveiligingsmaatregelen worden omzeild. Z-CERT meldde op 23 september dat meerdere organisaties in de zorg al met de campagne te maken hebben gekregen. De aanval lijkt zich bovendien verder binnen de gezondheidssector te verspreiden.
De aanval begint met een phishingmail met een link naar een formulier in Microsoft Forms. Daar krijgt de ontvanger instructies om een zogenaamd beveiligd document te openen. Na verschillende stappen wordt het slachtoffer gevraagd een verificatiecode in te voeren op een officiële Microsoft-pagina.
Juist die combinatie maakt deze phishingmethode gevaarlijk. De gebruiker bevindt zich uiteindelijk daadwerkelijk in de Microsoft-omgeving. Wie de gevraagde code invoert, kan daarmee onbedoeld de aanvaller toegang geven tot het Microsoft-account. Volgens Z-CERT kunnen daarbij ook beveiligingsmaatregelen zoals multifactorauthenticatie (MFA) en andere beveiligingsregels worden omzeild.
Gekraakte accounts verspreiden phishing verder
Na een succesvolle accountovername kan de aanval zichzelf verder verspreiden. Vanuit het getroffen account wordt de phishingmail naar contacten van het slachtoffer gestuurd. Een nieuwe ontvanger ziet daardoor een bericht dat afkomstig lijkt van iemand die hij of zij kent.
Dat onderstreept waarom organisaties niet uitsluitend op herkenning van verdachte afzenders kunnen vertrouwen. Ook een bestaand en bekend account kan na een compromittering worden gebruikt voor phishing. Z-CERT beschreef eerder al dat cybercriminelen bij phishing gebruikmaken van gekaapte accounts en vertrouwde online platforms om berichten geloofwaardiger te laten lijken.
Z-CERT adviseert gebruikers daarom geen onverwacht toegestuurde cijfer- of lettercodes op een Microsoft-pagina in te voeren. Bij twijfel moet contact worden opgenomen met de eigen beheerder of servicedesk. Voor beheerders is het advies om de zogeheten device code flow waar mogelijk uit te schakelen of te beperken. Dit is een Microsoft-aanmeldmethode waarbij een gebruiker met een code een apparaat of toepassing kan autoriseren.
Waarom is dit relevant voor BIO2?
Deze phishingcampagne laat zien dat sterke authenticatie alleen niet voldoende is. Organisaties moeten rekening houden met aanvallen waarbij criminelen niet proberen MFA technisch te kraken, maar de gebruiker misleiden om zelf een geldige autorisatiehandeling uit te voeren.
Voor BIO2 is dat relevant vanuit zowel risicomanagement als informatiebeveiliging. Organisaties moeten risico’s rond identiteiten, authenticatiemethoden en cloudomgevingen in kaart brengen en passende technische én organisatorische maatregelen nemen. Daar horen veilige configuraties bij, maar ook monitoring, gebruikersbewustzijn en een duidelijk proces voor het melden en afhandelen van incidenten.
Relevante BIO-controls (maximaal 3):
- Toegangsbeveiliging en authenticatie – beperk authenticatiemethoden tot wat noodzakelijk is en bescherm accounts tegen misbruik.
- Bewustwording en opleiding – medewerkers moeten weten dat ook berichten van bekende afzenders en pagina’s van legitieme clouddiensten onderdeel van phishing kunnen zijn.
- Beheer van informatiebeveiligingsincidenten – snelle detectie, melding, onderzoek en beperking van gecompromitteerde accounts kunnen verdere verspreiding voorkomen.
De casus raakt daarnaast aan ISO 27001, waarin onder meer identiteitsbeheer, authenticatie-informatie, bewustwording en incidentmanagement terugkomen. Ook vanuit NIS2 en de Nederlandse Cyberbeveiligingswet is de bredere boodschap relevant: digitale weerbaarheid vraagt om een combinatie van risicobeheersing, technische maatregelen, governance en effectieve incidentrespons. De Cyberbeveiligingswet is in Nederland sinds 15 augustus 2026 van kracht.
Conclusie
De campagne maakt duidelijk dat MFA geen eindpunt van accountbeveiliging is. Aanvallers zoeken steeds vaker naar manieren om het normale authenticatieproces en het vertrouwen van gebruikers tegen de organisatie zelf te gebruiken.
Organisaties doen er daarom goed aan hun toegestane authenticatiemethoden opnieuw te beoordelen, onnodige aanmeldmogelijkheden te beperken en medewerkers specifiek te waarschuwen voor onverwachte verificatiecodes. Tegelijk is snelle incidentmelding belangrijk: een gekaapt account kan immers direct worden ingezet om nieuwe slachtoffers binnen het netwerk van vertrouwde contacten te bereiken.