Een spray, geen doorbraak
Het beveiligingsbedrijf Huntress maakte een password-sprayingcampagne bekend die liep van 12 tot 26 juni 2026, met een piek op 22 juni. In die twee weken werden meer dan 81 miljoen aanmeldpogingen op Microsoft 365-accounts gericht. Het verkeer kwam uit een IPv6-bereik dat op naam van één operator stond, en de aanvallers raadden de wachtwoorden niet blindelings. Ze speelden combinaties van gebruikersnaam en wachtwoord opnieuw af die uit eerdere, volstrekt losstaande datalekken kwamen, in de gok dat mensen dezelfde inloggegevens bij meerdere diensten gebruiken. Uit die vloed kwamen 78 gecompromitteerde accounts bij 64 organisaties.
Wat opvalt, is het ontbreken van iets exotisch. Geen zero-day, geen slimme malware, geen truc in de toeleveringsketen. Er waren volume, hergebruikte inloggegevens en één zwakke authenticatieroute. Die combinatie ligt binnen het bereik van elke doorsnee aanvaller, en juist daarom verdient ze de aandacht van een eigenaar. De techniek is goedkoop, eindeloos herhaalbaar en gericht op de identiteitslaag die de meeste bedrijven dankzij multifactorauthenticatie al veilig wanen.
Hoe de aanmeldingen langs MFA kwamen
Het mechanisme was een verouderde aanmeldroute. De aanvallers authenticeerden zich via de opdrachtregelhulpmiddelen van Azure met de Resource Owner Password Credentials-stroom, bekend als ROPC, een oudere OAuth-methode die een gebruikersnaam en wachtwoord rechtstreeks aanneemt en in veel tenants helemaal geen multifactorprompt oproept. Waar een tenant MFA wel had ingeschakeld maar smal had afgebakend, liepen de hergebruikte inloggegevens er recht doorheen. Huntress vond keer op keer dezelfde misconfiguraties: MFA alleen toegepast op geselecteerde toepassingen, MFA alleen afgedwongen voor beheerdersgroepen, MFA alleen vereist vanaf niet-vertrouwde locaties, en Conditional Access-beleid dat in de alleen-rapportmodus was blijven staan, waar het wel logt maar nooit blokkeert.
De minder voor de hand liggende les is dat MFA geen schakelaar is, maar een dekkingskaart. Een tenant kan een audit doorstaan die alleen vraagt of MFA bestaat, en toch een oude deur van het slot laten. De aanvallers hebben multifactorauthenticatie niet verslagen. Ze vonden de aanmeldingen waar er nooit om werd gevraagd. In dat onderscheid zit het hele verhaal, en het blijft onzichtbaar zolang niemand nagaat welke authenticatieroutes een tenant nog toestaat.
Het halfuur dat het gat dicht
Een configuratieprobleem heeft een configuratieantwoord, en het meeste ervan is een korte beheerderssessie zonder aankoop. Blokkeer verouderde authenticatie en schakel de ROPC-stroom uit, zodat aanmeldingen met gebruikersnaam en wachtwoord die MFA overslaan eenvoudigweg worden geweigerd. Dwing multifactorauthenticatie af op elke toepassing en elke aanmelding, niet alleen op beheerdersaccounts of niet-vertrouwde locaties, en zet Conditional Access van de alleen-rapportmodus over naar actief blokkeren. Controleer daarna de aanmeldlogboeken op het patroon van de mislukte spray en reset elk inloggegeven dat een eerder datalek kan hebben blootgelegd.
Voor een Europees bedrijf is er een tweede reden om snel te handelen. Openen hergebruikte inloggegevens een postbus met persoonsgegevens, dan kan het incident binnen 72 uur een meldplicht onder de AVG in gang zetten, en wordt een stil identiteitsgat een meldplichtige gebeurtenis en een gesprek met de toezichthouder. De deur sluiten kost een middag configuratiewerk. Haar open laten staan kost openbaarmakingsverplichtingen en vertrouwen. Behandel de identiteitslaag als wat ze inmiddels is, namelijk de perimeter.
Lees hierna: AI-audit miste het Linux-lek dat root geeft | 29 jaar oude Squid-fout lekt logins in leesbare tekst
