Herken de signalen
Een gehackte mailbox valt vaak op door berichten die de gebruiker niet zelf heeft verstuurd, reacties van klanten op een vreemde factuur of mail die verdwijnt. Ook meldingen van onbekende aanmeldingen of een nieuw geregistreerde MFA-methode kunnen erop wijzen. Aanvallers houden zich vaak weken stil om betalingsverkeer af te luisteren voordat ze toeslaan.
Stel het account direct veilig
Handel snel, want de aanvaller kan elk moment verder gaan.
- Blokkeer de aanmelding tijdelijk of reset het wachtwoord.
- Trek alle actieve sessies in, zodat ook gestolen sessietokens niet meer werken.
- Controleer de geregistreerde MFA-methoden en verwijder onbekende methoden.
- Controleer of de aanvaller beheerrechten had of heeft gekregen.
Verwijder de sporen van de aanvaller
Aanvallers maken vaak inboxregels die berichten doorsturen, verbergen of verwijderen, zodat de gebruiker niets merkt. Controleer inboxregels, doorstuurinstellingen en gedelegeerde toegang tot de mailbox. Kijk ook naar applicaties waaraan de gebruiker toestemming heeft gegeven. Een kwaadaardige app kan toegang houden, ook na een wachtwoordwijziging.
Onderzoek de omvang
Gebruik het aanmeldlogboek in Entra ID en het auditlogboek in Microsoft Purview om vast te stellen wanneer de aanvaller binnenkwam, vanaf waar en wat hij heeft gedaan. Welke berichten zijn gelezen of verstuurd? Zijn er bestanden in OneDrive of SharePoint geopend? Logboeken worden een beperkte tijd bewaard, dus exporteer de relevante gegevens tijdig. Bepaal op basis daarvan of persoonsgegevens zijn ingezien en of er een meldplicht geldt.
Informeer en voorkom herhaling
Waarschuw klanten en leveranciers die mogelijk een vervalste mail hebben ontvangen, bij voorkeur telefonisch. Spreek af dat wijzigingen in bankrekeningnummers altijd via een tweede kanaal worden bevestigd. Ga daarna na hoe de aanvaller binnenkwam. Vaak is dat een phishingpagina die ook MFA omzeilde; phishingbestendige MFA en Conditional Access maken een volgende poging veel lastiger.