Waarom is back-up je laatste verdedigingslinie als MFA wordt omzeild?

Hoe omzeilen aanvallers MFA?

Meestal door MFA helemaal niet te breken. Ze stelen het bewijs dat MFA al is gedaan, laten de gebruiker MFA voor hen afronden, of blijven vragen tot de gebruiker ja zegt.

Een IT-manager krijgt een melding: een beheerdersaccount verwijdert al twee uur SharePoint-bibliotheken. Er zijn geen mislukte logins en geen MFA-vragen. De aanvaller is niet ingebroken, maar gebruikte een sessie die een echte gebruiker al had geverifieerd. Daarom heeft identiteitsbeveiliging een herstelplan nodig, en daarom hoort Backup as a Service in hetzelfde gesprek als MFA.

Het bekendste voorbeeld van MFA-moeheid is Uber in september 2022. Volgens de eigen beveiligingsupdate van Uber kocht een aanvaller het wachtwoord van een externe medewerker en stuurde hij herhaaldelijk tweefactorverzoeken. De medewerker "accepteerde er één". Daardoor kreeg de aanvaller toegang tot interne tools, waaronder G-Suite en Slack.

Hoe vaak komt het omzeilen van MFA voor?

Vaak genoeg dat Europese rapporten en rapporten van leveranciers het apart noemen. De meeste aanvallen op identiteiten richten zich nog steeds op wachtwoorden, maar de technieken die gewone MFA verslaan, horen nu bij het standaardrepertoire.

• De ENISA Threat Landscape 2025 analyseerde tussen juli 2024 en juni 2025 4.875 incidenten in de EU. Phishing is volgens het rapport een belangrijke route naar binnen. Het wijst op infostealers en sessiekaping en noemt het omzeilen van MFA en adversary-in-the-middle-aanvallen onder de tactieken die worden gebruikt. Ransomware noemt het de meest ingrijpende dreiging voor organisaties in de EU.
• Het Digital Defense Report 2025 van Microsoft zegt dat meer dan 97% van de aanvallen op identiteiten wachtwoordaanvallen zijn, dat phishingbestendige MFA meer dan 99% van de aanvallen op identiteiten kan blokkeren en dat infostealers op grote schaal worden gebruikt om inloggegevens en sessietokens uit browsers te halen.
• Volgens de samenvatting van Help Net Security over de Verizon 2026 DBIR speelde ransomware een rol bij 48% van de datalekken en het menselijke element bij 62%.

De conclusie is niet dat MFA nutteloos is. MFA, bij voorkeur phishingbestendig, stopt de meeste aanvallen. Voor de aanvallen die het niet stopt, heb je een plan nodig.

Wat kan een aanvaller met een gekaapte beheerderssessie?

Alles wat dat account mag. Voor je systemen is de aanvaller de legitieme gebruiker, dus controles op basis van authenticatie zien niets vreemds.

• Bestanden, sites, mailboxen of hele mappenstructuren verwijderen.
• Data wijzigen of versleutelen, ook met ransomware die via beheertools draait.
• Back-uptaken uitschakelen, de bewaartermijn verkorten of back-updata verwijderen die in dezelfde tenant staat.
• Een eigen MFA-methode of doorstuurregels voor mailboxen toevoegen om binnen te blijven.
• Grote hoeveelheden data downloaden voor afpersing.

In de playbook van Microsoft staan massale bestandsdownloads, nieuwe MFA-methoden en nieuwe of gewijzigde doorstuur- en inboxregels als signalen om op te letten. In de AiTM-campagne die Microsoft beschreef, openden aanvallers binnen enkele minuten gehackte mailboxen, zochten ze naar mails over betalingen en maakten ze inboxregels om antwoorden te verbergen voordat ze factuurfraude probeerden.

De tijd werkt voor de aanvaller. Inbreuken via identiteiten worden vaak pas na dagen of weken opgemerkt. Een aanvaller met zoveel tijd zoekt je back-ups voordat jij iets merkt.

Beschermt een back-up nog als de aanvaller beheerdersrechten heeft?

Ja, maar alleen als de back-up buiten het bereik van die beheerder staat. Een back-up die inloggegevens of single sign-on deelt met productie, kan door dezelfde gekaapte sessie worden uitgeschakeld of verwijderd.

De principes van het Britse NCSC voor ransomwarebestendige cloudback-ups leggen de lat. Destructieve verzoeken vanaf klantaccounts, ook van beheerders, moeten worden verboden of out-of-band worden geautoriseerd. Verwijderverzoeken kunnen voor een afgesproken periode worden uitgesteld. Geprivilegieerde acties moeten een melding veroorzaken.

Onze back-ups volgen dezelfde gedachte. Ze zijn onveranderbaar met Object Lock en er staat een air-gapped kopie volgens de 3-2-1-1-0-regel. Beheeracties vragen MFA, het platform wordt 24/7 bewaakt en back-ups worden gescand op malware, zodat je niet de tools van de aanvaller terugzet.

Hoe herstel je na een aanval op een identiteit?

Sluit eerst de identiteit af en zet daarna terug. Zet je terug terwijl de aanvaller nog een geldige sessie heeft, dan kan hij de teruggezette data opnieuw vernietigen.

1. Insluiten: blokkeer het account, trek sessies in, reset wachtwoorden en verwijder MFA-methoden die je zelf niet hebt toegevoegd, zoals de playbook van Microsoft over tokendiefstal beschrijft.
2. Omvang bepalen: zoek in de inlog- en auditlogs naar de eerste kwaadaardige actie en alle systemen die het account heeft geraakt.
3. Kies een schoon herstelpunt: een van vóór die eerste actie, niet het meest recente.
4. Terugzetten: per bestand of mailbox, of start VM's direct op in een geïsoleerde herstelomgeving op een apart, schoon netwerk om ze eerst te controleren.
5. Toegang van de aanvaller opruimen: inboxregels, doorstuurregels, toestemmingen voor OAuth-apps en nieuwe apparaten.
6. Melden: onder NIS2-artikel 23 vragen significante incidenten om een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Een datalek met persoonsgegevens moet op grond van AVG-artikel 33 mogelijk ook binnen 72 uur worden gemeld.

Voor kritieke workloads herstellen we met een SLA van 4 uur. Voor het bredere beeld lees je hoe lang herstel na een ransomware-aanval duurt en hoe je Microsoft 365 herstelt na een ransomware-aanval.

Hoe maak je MFA moeilijker te omzeilen?

Stap over op phishingbestendige MFA, koppel sessies aan vertrouwde apparaten en bescherm de endpoints (laptops, desktops en mobiele apparaten) waar tokens staan. Daarmee dicht je de meeste gaten hierboven.

• Phishingbestendige MFA: CISA noemt FIDO/WebAuthn en methoden op basis van PKI "de gouden standaard", bestand tegen phishing, push bombing en SIM-swaps.
• Conditional access: eis apparaten die aan het beleid voldoen en controleer locatie en risico bij beheerlogins.
• Tokencontroles: Microsoft adviseert continuous access evaluation, tokenbescherming en een kortere sessieduur.
• Endpointbeveiliging: infostealers draaien op apparaten, dus detecteer daar malware en patch kwetsbaarheden. MSP's kunnen ons EDR-platform gebruiken, met malwaredetectie, kwetsbaarhedenbeheer en MITRE ATT&CK-mapping, om die dienst voor hun klanten te draaien.
• Aparte beheeridentiteiten: laat back-upbeheer draaien op andere inloggegevens dan de dagelijkse accounts.

Wat je nu kunt doen

Houd MFA en maak het phishingbestendig. Ga er daarna van uit dat er ooit toch een sessie wordt gestolen, en zorg dat je de schade ongedaan kunt maken. Dat betekent een back-up waar de aanvaller niet bij kan: onveranderbaar, met aparte inloggegevens, met een air-gapped kopie en met herstel dat je hebt getest.

Controleer vandaag één ding: kan je Global Admin-account je back-ups verwijderen? Is het antwoord ja of "weet ik niet zeker", dan is dat het gat dat je eerst dicht. In ons overzicht van Backup as a Service lees je hoe de geïsoleerde laag werkt.

Wil je zien hoe herstel werkt na een gecompromitteerd beheerdersaccount? Plan een gratis demo van 15 minuten in het Nederlands, Duits of Engels.

Dit artikel is algemene informatie, geen juridisch advies.