MFA is geen muur: hoe hackers je sessie-tokens kaperen

Nov 06, 2026

Wie is Huntress eigenlijk?

Alles in deze aflevering vertrekt bij onderzoek van Huntress, dus eerst: wie is dat? Huntress is een Amerikaans cybersecuritybedrijf (24/7 SOC). Hun analisten bekijken dagelijks de alarmen bij duizenden bedrijven zonder eigen securityteam, meestal via IT-partners. Dat is belangrijk, want het bepaalt wat zij zien: geen zeldzame staatsaanvallen, maar de gewone, hardnekkige criminaliteit die het op jouw type bedrijf gemunt heeft. Als zo'n partij alarm slaat over een campagne tegen Microsoft 365-tenants, is dat geen theoretisch risico uit een rapport, maar iets wat hun klanten deze zomer echt hebben meegemaakt.

Wat gebeurde er precies?

Tussen half juli en eind september volgden de onderzoekers een campagne die ze zelf "token spraying" noemen, naar analogie met password spraying. De aanval vertrekt bij een nep-inlogpagina die als man-in-the-middle tussen de gebruiker en Microsoft instaat. De medewerker krijgt de échte loginpagina te zien, typt zijn wachtwoord, krijgt de échte MFA-prompt op zijn telefoon en bevestigt. Alles lijkt normaal. Maar de relay houdt het sessietoken achter dat Microsoft na die geslaagde aanmelding uitgeeft. Wie dat token bezit, hoeft nooit meer langs MFA: het systeem ziet hem als de rechtmatige gebruiker.

Daarna wordt het geïndustrialiseerd. De gestolen tokens werden in één keer uitgespeeld vanuit één blok IP-adressen van een Duitse hostingprovider die ook criminelen bedient: meer dan 200.000 geautomatiseerde pogingen leidden tot 497 geslaagde aanmeldingen bij 79 organisaties. In totaal werden 97 accounts overgenomen.

Wat er daarna gebeurt, verdient je volle aandacht. De aanvallers registreerden 48 valse toestellen in de Entra-mappen van slachtoffers, zodat ze blijvend nieuwe tokens konden aanvragen. Bij niet minder dan 19 organisaties werden de bestaande MFA-methodes van het slachtoffer gewist en vervangen door een eigen authenticator. In één geval zelfs binnen 51 minuten na de aanmelding. Tot slot werden in mailboxen verborgen regels geplaatst die e-mails over loon, stortingen en bonussen onzichtbaar doorsluisden. Eén overgenomen mailbox werd gebruikt om een payroll-mail naar een externe ontvanger te sturen: dit is klassieke facturatiefraude, niet meer spionage.

Niet nieuw. Wel geïndustrialiseerd.

Laten we eerlijk zijn: token-diefstal is geen uitvinding van 2026. Namaakpagina's die de MFA-stap omzeilen bestaan al jaren, en wie onze nieuwsbrief wat langer volgt, heeft het hier al eerder gelezen. In november vorig jaar schreven we al over wachtwoordloos werken, en ik citeerde toen een podcast die zich terecht afvroeg waarom we in 2025 nog wachtwoorden intoetsen. Dat artikel staat nog steeds online: dunetrails.be/zonder-wachtwoord.

Wat wél nieuw is, is de schaal en de snelheid. Eén operatie, één IP-blok, alles geautomatiseerd. Waar de aanvallers voorheen handmatig accounts overnamen, is het nu een lopendebandwerk geworden. Dat verandert de rekenkunde: bij 79 getroffen organisaties horen 79 IT-teams die het niet zagen gebeuren.

Microsoft zegt het zelf ook

Wie denkt dat dit een niche-observatie is van één leverancier, leze het Microsoft Digital Defense Report 2026, dat op 1 oktober verscheen. Microsoft noemt identiteit "de primaire control plane" en waarschuwt expliciet dat de AI-hype de aandacht niet mag afleiden van identiteitsbeveiliging. Het rapport telde in één jaar tijd meer dan 145 miljoen QR-phishing-aanvallen, en de conclusie is dezelfde als die van Huntress: kies voor phishing-resistente authenticatie en passkeys, niet voor nóg een extra code.

Wat we in de praktijk zien

Dit is geen theorie voor ons. Bij een van onze klanten begeleiden we momenteel de uitrol van passkeys als standaard aanmeldmethode en sinds 1 september dit jaar zijn passkeys in Entra ID de default. Ook in de CyFun-audits die we bij Belgische organisaties uitvoeren, is dit altijd een van de eerste zaken die we checken: wie kan wat registreren, en wie merkt het op als het gebeurt? Bij de 79 organisaties uit het onderzoek was het antwoord op die tweede vraag telkens: niemand.

Wat kun je deze week doen?

Vier dingen, in volgorde van urgentie:

1. Zet een melding op elke registratie van een nieuwe MFA-methode. Bij 19 organisaties was de aanval binnen drie uur zichtbaar op die plek.
2. Neem eens per kwartaal de lijst met geregistreerde methodes en toestellen in Entra door. Verwijder wat niemand herkent. De valse toestellen bleven in de mappen staan tot iemand ze handmatig verwijderde.
3. Kijk na of jullie Conditional Access-beleid token-replay daadwerkelijk afweert. Volgens Huntress is dit volledig te voorkomen met correct ingestelde policies.
4. En als het misloopt: de volgorde van je herstel bepaalt alles. Sessies intrekken, wachtwoord resetten, en pas daarna de geregistreerde toestellen en MFA-methodes van de aanvaller verwijderen. Een wachtwoordreset alleen laat de authenticator van de aanvaller namelijk gewoon staan.