Stap 1
Scenario
Een accountantskantoor met 40 medewerkers, werkend op Microsoft 365 Business Premium, ontvangt wat lijkt op een routineverzoek van een vaste klant: een wijziging van het rekeningnummer voor de volgende betaling. De toon, de opmaak en de gespreksgeschiedenis kloppen allemaal.
Stap 2
De uitdaging
De e-mail kwam ongeschonden door SPF, DKIM én DMARC. De aanvaller had twee weken eerder via een phishingcampagne toegang gekregen tot de mailbox van de klant. Het reply-to-adres was subtiel aangepast naar een lookalike-domein, en het verzoek sloot naadloos aan op de eerdere correspondentie. Technisch was er dus niets "fout" aan het bericht precies daarom is BEC zo effectief.
Stap 3
De aanpak
Defender for Office 365 markeerde het bericht als "impersonatie van een vertrouwde afzender", omdat het lookalike-domein pas 11 dagen eerder was geregistreerd. Mailbox Intelligence vergeleek het afzenderpatroon met het historische verzendgedrag van de échte klant en legde de afwijking bloot. De medewerker crediteurenadministratie zag de safety tip-banner boven de e-mail, pakte de telefoon en belde de klant op een bekend nummer. Daarmee was binnen enkele minuten duidelijk dat de wijziging frauduleus was.
Stap 4
Het resultaat
Geen euro schade. Het kantoor meldde het lookalike-domein, blokkeerde het tenant-breed en gebruikte het incident als casus in een training van 30 minuten voor álle medewerkers. De automated investigation van Defender vond bovendien twee andere ontvangers van dezelfde campagne en plaatste hun kopieën met terugwerkende kracht in quarantaine.
Ontvang de volgende casus
Echte scenario's, geanonimiseerd, in je inbox.
Comments (0)
- Be the first to comment.