Welke apps hebben beheerrechten in jouw Microsoft 365?

Op 21 oktober publiceerde Microsoft een analyse van een aanvalscampagne op honderden organisaties wereldwijd. De aanvallers lieten een groot deel van het werk doen door AI-agents die samenwerken. Bij meerdere organisaties hadden ze binnen drie uur na de keuze voor een doelwit vergaande rechten in de cloudomgeving.

De ingang was opvallend gewoon. Het was een backupdienst die de slachtoffers zelf hadden toegelaten tot hun Microsoft 365. Weet jij welke diensten dat bij jou zijn?

Binnen via een vertrouwde koppeling

Microsoft schrijft de campagne toe aan Storm-0940, een groep die volgens Microsoft aan China gelieerd is. De aanvallers misbruikten de koppelingen van ConnectWise Cloud Backup. Zo’n backupdienst krijgt bij het instellen ruime rechten, want hij moet bij alle mail en bestanden kunnen. Een beheerder had die toestemming ooit netjes gegeven. Daarom hoefde niemand opnieuw in te loggen of een MFA-melding goed te keuren.

Eenmaal binnen brachten de agents de omgeving in kaart. Ze voegden eigen inloggegevens toe aan applicaties en pasten rollen en groepen aan. In één geval gaf een app zichzelf de rol van globale beheerder. ConnectWise legde de dienst stil. Microsoft adviseert om elke omgeving te controleren waar die apps ooit zijn toegelaten, ook als niemand ze nog gebruikt.

Wat AI-agents veranderen

De software achter de aanval heet ARTEX. Het is een open-source platform voor penetratietesten, waarin meerdere AI-agents samen het werk doen, van verkennen tot gegevens weghalen. Een aanvaller zet dus veel minder stappen zelf. Hij laat agents tegelijk tientallen sporen volgen en bouwt verder op wat lukt.

ARTEX duikt vaker op. CrowdStrike beschreef op 7 oktober hoe een onbekende aanvaller hetzelfde platform inzette tegen financiële instellingen in Zuid-Korea. Daar werden gegevens buitgemaakt. Dimitri van Zantvliet, lid van de adviesraad van het NCSC, telde op 22 oktober zo’n 2.100 kopieën van een meertalige versie van ARTEX op GitHub. De techniek ligt dus voor iedereen klaar.

Wat betekent dat voor jou? Wanneer een aanval minder tijd en minder mensen kost, loont het om veel meer doelwitten te proberen. Een bedrijf van veertig medewerkers met een vergeten koppeling is dan net zo interessant als een grote organisatie.

De koppelingen die je zelf hebt goedgekeurd

In een gemiddelde MKB-omgeving draaien meer apps met rechten dan je denkt. De backupdienst, de koppeling met het boekhoudpakket, de beheertool van je IT-partner, een plug-in voor e-mailhandtekeningen, een planningsapp die iemand jaren geleden eens uitprobeerde. Elke app kreeg bij het toelaten een set rechten. Die blijven staan tot iemand ze intrekt.

Medewerkers trainen we om verdachte links te herkennen. Dat blijft nodig. Deze aanval liep buiten de medewerkers om, via toegang die de organisatie zelf had verleend. Kun jij vandaag zeggen welke apps beheerrechten hebben in jouw omgeving? En wie het merkt als zo’n app zich ineens anders gedraagt? Daarom heeft een omgeving onderhoud nodig, ook als hij goed is ingericht. We schreven er eerder over in Microsoft 365 is niet automatisch veilig.

Drie dingen om nu te regelen

Begin met een overzicht. Leg per app en per leverancier vast welke rechten die heeft, waarvoor en wie er eigenaar van is. Ruim op wat niemand meer gebruikt en beperk de rest tot wat echt nodig is.

Spreek daarna af wie mag ingrijpen. Als een vertrouwde leverancier gehackt is, moet iemand de koppeling direct mogen uitzetten. Ook als je backup dan een paar dagen stilligt. Die afspraak maak je nu, samen met je leveranciers. Hoe je dat aanpakt, lees je in als het misgaat bij je leverancier, ben jij dan voorbereid?

Kijk na een incident verder dan de ene koppeling. De agents in deze campagne voegden eigen inloggegevens en rechten toe. Wie alleen de getroffen app uitzet, laat die extra toegang staan. Controleer dus ook welke accounts, apps en rollen er in de tussentijd zijn bijgekomen of veranderd.

Hoeveel van die drie uur gaat op aan wachten?

Van Zantvliet sloot zijn stuk op LinkedIn af met een vraag voor de volgende bestuursvergadering. Hoeveel van die drie uur besteedt een organisatie aan wachten op elkaar? Die vraag past op de agenda van elke directie.

Voor financiële dienstverleners hoort een overzicht van leveranciers en hun toegang onder DORA al bij wat de toezichthouder wil zien. Voor de rest van het MKB is het simpelweg verstandig. Als regiepartner helpen we klanten dat overzicht op te stellen en bij te houden, met de afspraken over ingrijpen erbij. Benieuwd welke apps er in jouw Microsoft 365 rechten hebben? Lees meer over onze aanpak van cybersecurity of maak kennis. Dan kijken we er samen naar.