Signals · Identiteitsbeveiliging

Uw helpdesk staat nu in het contract

De aanval die nog altijd het best werkt is geen slimme malware. Het is een beleefd telefoontje met de vraag een wachtwoord te resetten en een nieuwe telefoon te registreren. En nu beginnen uw klanten te vragen hoe u met dat telefoontje omgaat.

Door Gouresh Kamble, Amon Dîn · · 5 min lezen

Een gestalte met kap houdt een bleek masker voor het gezicht en biedt een gloeiende amberkleurige sleutel aan een poortwachter in de verlichte deuropening van een stenen wachttoren op een mistige bergpas

Stel u een telefoontje voor naar uw IT-helpdesk op een drukke middag. De beller zegt dat ze bij de crediteurenadministratie werkt. Ze heeft een nieuwe telefoon, ze verliest zo bereik in de trein en ze kan niet in haar e-mail. Ze kent haar personeelsnummer, de naam van haar leidinggevende en het kantoor waar ze werkt. De medewerker wil helpen, reset haar wachtwoord en registreert haar nieuwe telefoon voor meerstapsverificatie. Tien minuten later leest iemand die zij niet is haar inbox.

In dat verhaal zit geen malware en geen slimme exploit. Het is een telefoontje en een proces dat is ingericht op gemak. Eerder deze maand schreven we over aanvallers die een sessie stelen in plaats van een wachtwoord. Dit is de eenvoudigere variant: ze halen uw eigen mensen over om hun een nieuwe login te geven.

“Aanvallers hoeven uw MFA zelden te verslaan. Ze hoeven alleen iemand over te halen om hem te vervangen.”

— Gouresh Kamble, Amon Dîn

Hoe MFA zonder malware wordt omzeild

Dit patroon is goed gedocumenteerd. In april 2024 beschreef de HC3-waarschuwing voor de Amerikaanse zorgsector hoe aanvallers helpdesks belden als financiële medewerkers, beveiligingsvragen beantwoordden met gestolen persoonsgegevens en vroegen om een wachtwoordreset en een nieuw MFA-apparaat. De American Hospital Association merkte op dat de nieuwe telefoon vaak een lokaal netnummer had, en dat de truc ook phishingbestendige MFA omzeilt, omdat de aanvaller gewoon als de gebruiker wordt ingeschreven. Met de mailbox werden daarna betaalinstructies gewijzigd en betalingen omgeleid.

Het gezamenlijke advies over Scattered Spider, in juli 2025 bijgewerkt door CISA, de FBI en partners waaronder het Britse NCSC, beschrijft dezelfde aanpak: zich voordoen als medewerker zodat de helpdesk een wachtwoord reset en MFA overzet naar een apparaat van de aanvaller. Soms bellen ze eerst meerdere keren, alleen om te leren hoe het resetproces werkt.

In het VK meldde Reuters na de aanvallen op grote retailers in het voorjaar van 2025 dat de inbraken begonnen met telefoontjes naar IT-helpdesks door mensen die zich als medewerkers voordeden. Dat detail kwam uit persberichtgeving, niet uit een officiële bevinding. Het advies van het Britse NCSC was desondanks duidelijk: herzie de resetprocessen van de helpdesk, inclusief hoe medewerkers worden geverifieerd vóór een reset, vooral bij accounts met verhoogde rechten.

Waarom uw klanten ernaar gaan vragen

Tot voor kort was dit een vraag voor uw IT-team. Het wordt een vraag in uw contracten.

In Nederland is de Cyberbeveiligingswet (Cbw) sinds 15 augustus 2026 van kracht. De wet voert NIS2 in voor 18 sectoren, raakt duizenden organisaties en maakt bestuurders verantwoordelijk voor het goedkeuren van beveiligingsmaatregelen. Ook de toeleveringsketen hoort daarbij. Het NCSC zegt het zonder omwegen: Cbw-organisaties kunnen hun directe leveranciers maatregelen opleggen en die vastleggen in contracten en SLA's, inclusief audits en het melden van incidenten. De RDI verwacht dat leveranciers de gevolgen van de wet “indirect” merken, via vragen om extra maatregelen en certificaten bij nieuwe contracten en aanbestedingen.

In het VK heeft de Cyber Security and Resilience Bill op 26 oktober de report stage in het Hogerhuis afgerond; de derde lezing staat gepland op 2 november. Het is nog geen wet. Volgens de samenvatting van de Britse overheid vallen middelgrote en grote managed service providers eronder, juist omdat zij IT-helpdesks kunnen verzorgen met vergaande toegang tot de systemen van klanten. Toezichthouders kunnen kritieke leveranciers aanwijzen en er komt een eerste incidentmelding binnen 24 uur. Slaughter and May verwacht Royal Assent begin 2027 en naleving vanaf ongeveer 2028, en raadt aan nu al voor te bereiden.

Misschien valt u onder geen van beide wetten. Uw klanten misschien wel, en uw IT-leverancier ook. De vragen gaan de keten door: hoe verifieert u een beller voordat u een wachtwoord of MFA-apparaat reset? Wie mag dat goedkeuren voor een bestuurder of een financieel account? Wordt het gelogd? Hoe snel laat u het ons weten als het misgaat?

Een praktische checklist

  • Behandel een nieuw MFA-apparaat als een risicovolle wijziging, niet als een routineticket, en geef het een strenger proces dan een wachtwoordreset.
  • Bel terug op het bekende nummer, nooit op het nummer dat de beller noemt. Heeft de beller ineens geen tijd voor een terugbelverzoek, dan is dat uw antwoord.
  • Voeg een tweede persoon toe bij gevoelige accounts. Laat bij financiën, bestuurders en beheerders de leidinggevende bevestigen, of verifieer via video met legitimatie of persoonlijk.
  • Vertrouw niet op gegevens die iedereen kan vinden. Personeelsnummers, startdata en namen van leidinggevenden staan op LinkedIn en in datalekken.
  • Geef de helpdesk een duidelijke manier om nee te zeggen. Het NCSC van Nieuw-Zeeland raadt vastgelegde verificatiecriteria aan en een vaste vervolgstap als een beller daar niet aan voldoet, zodat niemand onder druk hoeft te improviseren.
  • Stel meldingen in voor resets en nieuwe MFA-registraties, en beoordeel ze snel, vooral als er nieuwe mailboxregels of gewijzigde bankgegevens op volgen.
  • Bevestig betaalwijzigingen via een ander kanaal, telefonisch bij een bekend contact, met goedkeuring door twee personen.
  • Controleer of uw leverancier hetzelfde doet. Als een MSP uw helpdesk draait, is zijn proces uw proces.
  • Leg het vast. Een korte, gedateerde procedure is precies wat een leveranciersvragenlijst van u vraagt.

Hoe wij helpen

We beginnen met in kaart brengen hoe identiteit echt werkt in uw organisatie: wie wat mag resetten, via welk kanaal en met welke controles, inclusief wat uw IT-leverancier namens u doet. Daarna verstevigen we de zwakke plekken, zoals verificatie van bellers, regels voor MFA-registratie en meldingen, zonder de helpdesk onwerkbaar te maken. Tot slot helpen we u dat om te zetten in bewijs dat u kunt hergebruiken voor vragenlijsten van klanten en aanbestedingen, zodat de volgende een middag kost in plaats van twee weken.

Bronnen

← Alle Signals