Duizenden wachtwoorden Outlook-accounts gestolen via malafide add-in
Met add-ins kan je extra functies aan Microsoft Outlook toevoegen. Ideaal voor bedrijfsspecifieke taken of gewoon voor handige features, zoals ook het geval was bij AgreeTo. Met de in 2022 verschenen add-in kon je werk- en privéagenda’s samenvoegen.
De ontwikkelaar staakte in 2023 de verdere ontwikkeling, maar vergat de add-in uit Microsofts Marketplace te verwijderen. Dat detail bleek cruciaal.
Verlopen domeinnaam wordt misbruikt
Toen de ontwikkeling werd stopgezet, verliep ook de domeinnaam die aan de add-in gekoppeld was. Dat is geen onbelangrijk detail: een Outlook-add-in haalt inhoud op van het domein waarmee ze verbonden is. Het laat zich raden wat er daarna gebeurde. Het verlopen domein werd overgenomen voor malafide doeleinden. Gebruikers kregen via de add-in plots een Microsoft-loginformulier te zien.
Dat formulier was uiteraard niet afkomstig van Microsoft, maar had maar één doel: het buitmaken van logingegevens.
Beveiligingsbureau Koi Security ontdekte de aanval. Volgens de onderzoekers zijn er logingegevens van ruim vierduizend Outlook-gebruikers buitgemaakt. Dat kon ook omdat de add-in al in de Microsoft Marketplace stond. Add-ins worden vóór publicatie gecontroleerd, maar daarna niet opnieuw gescand. Zodra ze eenmaal zijn goedgekeurd, blijven ze dus in principe vertrouwd ogen.
De buitgemaakte gegevens werden bovendien doorgestuurd naar een slecht beveiligde server. Zo kon Koi Security vaststellen hoeveel accounts getroffen zijn. Of de gestolen inloggegevens daadwerkelijk zijn misbruikt, is voorlopig niet bekend. Microsoft heeft de add-in inmiddels uit de Marketplace verwijderd.
Structureel probleem bij Outlook-add-ins
Met het verwijderen van AgreeTo is één probleem opgelost, maar volgens de onderzoekers blijft het onderliggende risico bestaan. Microsoft zou add-ins periodiek opnieuw moeten scannen, in plaats van alleen bij de eerste publicatie.
Juist omdat add-ins dynamische inhoud van externe domeinen ophalen, kan een verlopen of overgenomen domein ernstige beveiligingsrisico’s veroorzaken.
Voor wie met Outlook-add-ins werkt, is dit een duidelijke waarschuwing. Controleer regelmatig of een ontwikkelaar nog actief is en of een extensie nog wordt onderhouden. Download daarnaast alleen add-ins van bedrijven of ontwikkelaars die je vertrouwt. Eén vergeten domeinnaam bleek in dit geval voldoende om duizenden wachtwoorden in gevaar te brengen.
