Stel: een klant belt dat hij vanochtend een factuur van jouw bedrijf kreeg met een ander rekeningnummer. Of een collega merkt dat er mail uit zijn postvak verdwijnt. Grote kans dat iemand anders is ingelogd op een Microsoft 365-account van je bedrijf.
Dan telt elk uur. Wie is ingelogd, kan meelezen, facturen aanpassen en vanuit het echte account nieuwe phishing versturen naar je klanten. Dit stappenplan is gebaseerd op de richtlijnen van Microsoft voor een gehackt e-mailaccount, vertaald naar wat een klein bedrijf praktisch kan doen. Voor de meeste stappen heb je een beheerder van je Microsoft 365-omgeving nodig, of je IT-partner.
Hoe herken je een gehackt Microsoft 365-account?
Een of meer van deze signalen zijn reden om in actie te komen:
- In Verzonden items of Verwijderde items staan berichten die de gebruiker niet zelf heeft gestuurd.
- Er is een inboxregel die mail automatisch doorstuurt naar een onbekend adres, of verplaatst naar mappen waar niemand kijkt, zoals RSS-abonnementen of Ongewenste e-mail.
- Er is recent doorsturen naar een extern adres ingesteld.
- Het postvak is geblokkeerd voor verzenden, omdat er veel mail uit is gegaan.
- Mail verdwijnt of is verwijderd zonder dat de gebruiker dat deed.
- Het wachtwoord is vaak gewijzigd, of het account wordt onverklaarbaar geblokkeerd.
- De handtekening onder de mail is aangepast, bijvoorbeeld met een ander rekeningnummer.
Stap 1: blokkeer het account of wijzig het wachtwoord
Het beste is om het account tijdelijk te blokkeren tot je weet wat er is gebeurd. Kan dat niet, wijzig dan direct het wachtwoord.
- Kies een sterk, nieuw wachtwoord dat nergens anders wordt gebruikt.
- Stuur het nieuwe wachtwoord niet per mail naar de medewerker: de aanvaller leest misschien nog mee.
- Gebruikt de medewerker app-wachtwoorden, laat die dan opnieuw aanmaken. Die verlopen niet vanzelf als het gewone wachtwoord wijzigt.
Stap 2: trek alle actieve sessies in
Dit is de stap die het vaakst wordt vergeten. Een aanvaller die al is ingelogd, heeft een actieve sessie. Met alleen een nieuw wachtwoord blijft hij soms gewoon binnen, en met een gestolen sessie omzeilt hij zelfs tweestapsverificatie.
Een beheerder kan in het Microsoft 365-beheercentrum de gebruiker afmelden bij alle sessies. Het kan even duren voordat elke app dat heeft verwerkt, dus blokkeer het account in de tussentijd.
Stap 3: controleer de achterdeuren
Aanvallers zorgen dat ze terug kunnen komen, ook als het wachtwoord is gewijzigd. Loop deze vijf plekken na:
- Methodes voor tweestapsverificatie. Staat er een telefoon of app tussen die de medewerker niet kent? Verwijderen.
- Apps met toegang tot het account. Een app die toestemming heeft gekregen om mail of bestanden te lezen, werkt door na een wachtwoordwijziging. Onbekende apps intrekken.
- Beheerrollen. Heeft het account ineens beheerrechten gekregen? Weghalen.
- Doorsturen. Controleer of het postvak mail doorstuurt naar een ander adres.
- Inboxregels. Ook verborgen regels. Let vooral op regels die mail doorsturen, verwijderen of verplaatsen naar een map waar niemand kijkt.
Stap 4: zoek uit wat er is gebeurd
Kijk in de aanmeldlogboeken van Microsoft Entra naar de inlogs van het account: vanaf welk IP-adres, welke locatie en op welk tijdstip. Zo weet je sinds wanneer de aanvaller binnen was. Bekijk daarna de verzonden items en, als je dat hebt ingeschakeld, het auditlogboek over die periode. Dan weet je welke mail er is verstuurd en wat er is ingezien.
Stap 5: waarschuw wie het moet weten
- Collega's, klanten en leveranciers die mail uit het account hebben gekregen. Vooral als er facturen of betaalverzoeken zijn verstuurd.
- Je bank, als er mogelijk betalingen zijn omgeleid.
- De Autoriteit Persoonsgegevens, als er persoonsgegevens zijn ingezien of gestolen. Dat moet in de meeste gevallen binnen 72 uur.
- De politie, als je aangifte wilt doen.
Stap 6: zet het account weer aan en voorkom herhaling
Is alles opgeruimd, zet het account dan weer aan met een nieuw wachtwoord. Is het postvak geblokkeerd voor verzenden, dan kan een beheerder die blokkade opheffen.
Zorg daarna dat het niet opnieuw gebeurt:
- Tweestapsverificatie voor iedereen, ook voor de directie en de beheerder. Hoe je dat controleert, lees je in de 6 Microsoft 365-instellingen die de meeste MKB'ers overslaan.
- Blokkeer automatisch doorsturen naar externe adressen, zodat een aanvaller niet ongemerkt kan meelezen.
- Laat de inlogs bewaken. Een inlog vanaf een onverwachte locatie, een hergebruikte sessie of een nieuwe doorstuurregel valt dan op voordat er schade is.
Liever niet zelf om drie uur 's nachts?
Een deel van de signalen uit dit stappenplan is automatisch te herkennen: een onmogelijke reis, een gestolen sessie, een nieuwe doorstuurregel, een app die ineens toegang tot de mail krijgt. Met accountbewaking gebeurt dat 24/7. Bij misbruik trekt ons team via 24/7 Managed Detection & Response de sessies in en blokkeert het waar het technisch kan het account, ook 's nachts.
Wil je zien hoe dat werkt? Plan een gratis demo, of vraag eerst een gratis kwetsbaarhedenscan aan. Die laat onder meer zien welke inloggegevens van je domein in datalekken zijn opgedoken.
