Is het wachtwoord wijzigen genoeg als een account is gehackt?

Nee. Een aanvaller die al is ingelogd, kan met een bestaande sessie vaak nog verder. Trek daarom ook alle sessies in, controleer de aanmeldmethoden voor tweestapsverificatie en zoek naar regels, doorsturen en apps die de aanvaller heeft achtergelaten.

Hoe ziet u of er mail is doorgestuurd naar de aanvaller?

Controleer de regels in de mailbox en het doorstuuradres van de mailbox zelf. In het auditlogboek ziet u bovendien wanneer zulke regels zijn aangemaakt en welke mail er is verstuurd.

Moeten we een gehackt account melden bij de Autoriteit Persoonsgegevens?

Als de aanvaller toegang had tot persoonsgegevens en dat een risico is voor de betrokkenen, gaat het om een datalek dat u binnen 72 uur na ontdekking meldt. Leg ook vast als u besluit niet te melden, en waarom.

Wat doet Floor ICT bij een gehackt account?

Floor ICT blokkeert de toegang, trekt sessies in, ruimt regels, doorsturen en onbekende apps op, zoekt in de logboeken uit wat er is gebeurd en helpt de instellingen zo aan te passen dat het niet opnieuw gebeurt.

Gehackt Microsoft 365-account: de eerste stappen voor het MKB

Een klant belt: hij kreeg vanochtend een mail van uw collega met een link naar een ‘gedeeld document’. Die collega heeft niets verstuurd. Even later blijkt dat er honderden van die mails de deur uit zijn gegaan, en dat er een regel in de mailbox staat die alle antwoorden direct verwijdert.

Hoe u merkt dat een account is overgenomen

Vaak merkt niet de medewerker het zelf, maar iemand anders. Signalen die we in het MKB regelmatig zien:

klanten of leveranciers krijgen vreemde mails uit naam van een collega, vaak met een link of een betaalverzoek;
in de mailbox staan regels die niemand heeft gemaakt, bijvoorbeeld een regel die mail naar een onbekend adres doorstuurt of antwoorden direct verwijdert;
Microsoft meldt een riskante aanmelding, bijvoorbeeld vanuit een land waar niemand van uw bedrijf is;
de medewerker krijgt MFA-verzoeken die hij zelf niet heeft aangevraagd;
Microsoft 365 blokkeert het versturen van mail, omdat het account ineens heel veel berichten verstuurt.

Twijfelt u, behandel het dan als een overname. Een paar minuten te vroeg ingrijpen kost weinig; een dag te laat kan veel kosten.

Stap 1: haal de aanvaller eruit

Alleen het wachtwoord wijzigen is niet genoeg. Wie al is ingelogd, kan met een bestaande sessie vaak nog een tijd verder. Doe daarom dit, in het Microsoft 365-beheercentrum of het Microsoft Entra-beheercentrum:

blokkeer het aanmelden van het account, of reset meteen het wachtwoord naar een nieuw, sterk wachtwoord;
trek alle sessies in, zodat het account op elk apparaat opnieuw moet inloggen;
controleer de aanmeldmethoden: aanvallers voegen soms hun eigen telefoon of authenticator-app toe. Haal elke methode weg die de medewerker niet herkent en laat hem MFA daarna opnieuw instellen.

Overleg met de medewerker voordat u het account weer vrijgeeft, en zorg dat die zelf ook weet dat het nieuwe wachtwoord nergens anders mag worden gebruikt.

Stap 2: ruim op wat de aanvaller heeft achtergelaten

Een aanvaller probeert vaak een achterdeur achter te laten, zodat hij later terug kan of mee kan lezen. Controleer daarom:

regels in de mailbox: verwijder regels die mail doorsturen, verplaatsen naar een onopvallende map of verwijderen;
doorsturen: kijk of er op de mailbox zelf een doorstuuradres is ingesteld;
gemachtigden: controleer wie er toegang heeft tot de mailbox of namens het account mag versturen;
apps: kijk of het account toestemming heeft gegeven aan een onbekende app. Zo’n app kan mail blijven lezen, ook na een wachtwoordwijziging;
apparaten: haal onbekende apparaten weg die aan het account zijn gekoppeld.

Stap 3: zoek uit wat er is gebeurd

Daarna wilt u weten hoe ver de aanvaller is gekomen. In het auditlogboek en de aanmeldlogboeken ziet u wanneer en vanaf waar er is ingelogd, welke mail is verstuurd en of er bestanden in OneDrive of SharePoint zijn geopend of gedeeld. Bewaar wat u vindt: dat heeft u nodig voor een eventuele melding en om later te begrijpen hoe het kon gebeuren.

Stap 4: informeer de juiste mensen

collega’s en klanten: waarschuw iedereen die verdachte mail van het account kreeg dat ze niet op links klikken en geen betaalverzoeken uitvoeren. Bel bij twijfel, zoals bij factuurfraude;
de directie: zij moeten beslissen over een eventuele melding;
Autoriteit Persoonsgegevens: heeft de aanvaller toegang gehad tot persoonsgegevens, zoals mail van klanten of personeelsgegevens, dan kan het een datalek zijn. Een datalek met risico voor de betrokkenen meldt u binnen 72 uur nadat u het ontdekte. Leg ook vast als u besluit niet te melden, en waarom.

Voorkom de volgende keer

De meeste overnames beginnen met een phishingmail en een account zonder goede tweestapsverificatie. Zet MFA aan voor iedereen, blokkeer automatisch doorsturen naar buiten, laat medewerkers geen apps zelf toestemming geven en zorg dat iemand riskante aanmeldingen in de gaten houdt. Spreek ook af wie medewerkers bellen als ze iets vreemds zien: hoe eerder u het hoort, hoe kleiner de schade.

Wat Floor ICT doet

Bij een overgenomen account blokkeert Floor ICT de toegang, trekt sessies in, ruimt regels, doorsturen en onbekende apps op en zoekt in de logboeken uit wat de aanvaller heeft gedaan. U krijgt een kort overzicht om te beslissen over een melding. Daarna lopen we met u de instellingen na, zodat dezelfde route niet nog eens werkt. De beslissing over een melding bij de Autoriteit Persoonsgegevens blijft bij u.

Bekijk MSP-pakketten Intake aanvragen Microsoft 365