FBI slaat alarm voor nieuwe phishingmethode met toestelcodes
De FBI waarschuwt organisaties en Microsoft 365‑gebruikers voor een snel opkomende phishingtechniek (via Security.nl). Daarbij maken criminelen misbruik van zogeheten device codes (toestelcodes) om toegang te krijgen tot bedrijfsaccounts. De FBI noemt die actief gebruikte methode ‘device code phishing’. Ze vormt een risico voor Outlook, Teams, OneDrive en andere Microsoft‑diensten.
Slimme methode
Microsoft gebruikt toestelcodes om apparaten met beperkte invoermogelijkheden veilig te laten inloggen. Dat gaat dan bijvoorbeeld om smart‑tv’s, IoT‑apparaten en printers. Normaal genereert de gebruiker zo’n code zelf en voert hij of zij die in op een officiële Microsoft‑pagina. Bij de nieuwe phishingmethode draaien aanvallers dat proces om. De aanvaller genereert zelf zo’n device code en stuurt die samen met een link naar een echte Microsoft‑inlogpagina naar het slachtoffer, dat nietsvermoedend inlogt en de code invoert. Vervolgens geeft Microsoft een toegangstoken uit, maar dat token gaat naar het apparaat van de aanvaller. Op die manier krijgt de aanvaller directe toegang tot het Microsoft 365‑account, zonder wachtwoord en zonder extra multifactorauthenticatie.
De FBI heeft uitgevogeld dat de aanvalsmethode aangeboden wordt via een nieuw platform, Kali365. Dat is een Phishing‑as‑a‑Service‑dienst die al sinds april 2026 actief is. Het platform biedt kant‑en‑klare phishingtemplates, AI‑gegenereerde lokmails en dashboards waarmee criminelen gestolen tokens kunnen beheren. De verspreiding gebeurt voornamelijk via Telegram.
Deze phishingmethode is heel gevaarlijk. Zodra een aanvaller een toegangstoken heeft, kan hij e‑mails lezen en versturen via Outlook, bestanden downloaden uit OneDrive, Teams‑gesprekken volgen en langdurige toegang behouden zonder opnieuw te hoeven inloggen. De aanvaller steelt geen wachtwoord, waardoor de traditionele beveiligingsmaatregelen de aanval vaak te laat of niet opmerken.
FBI deelt advies uit
De FBI raadt organisaties aan om het gebruik van dergelijke toestelcodes volledig te blokkeren of sterk te beperken. Zijn er toch uitzonderingen nodig, sta die dan enkel toe voor apparaten die het echt nodig hebben. En zijn er momenteel toestelcodes in omloop, controleer die dan op misbruik. Een waterdicht beleid dat het overdragen van authenticaties (bv. van computer naar smartphone) blokkeert, dringt zich dan ook op.
