{"id":2294,"date":"2026-05-05T11:27:14","date_gmt":"2026-05-05T10:27:14","guid":{"rendered":"https:\/\/resilientsecurity.be\/?p=2294"},"modified":"2026-05-07T14:35:56","modified_gmt":"2026-05-07T13:35:56","slug":"wanneer-mfa-niet-langer-voldoende-is-de-opkomst-van-aitm-phishingaanvallen","status":"publish","type":"post","link":"https:\/\/resilientsecurity.be\/nl\/wanneer-mfa-niet-langer-voldoende-is-de-opkomst-van-aitm-phishingaanvallen\/","title":{"rendered":"Wanneer MFA niet langer voldoende is: de opkomst van AiTM-phishingaanvallen"},"content":{"rendered":"

[vc_row css=”.vc_custom_1749668169931{background-color: #006E6E !important;}”][vc_column][vc_empty_space height=”40px”][vc_row_inner el_class=”grid”][vc_column_inner][vc_empty_space height=”80px” el_class=”deskonly”][vc_custom_heading source=”post_title” font_container=”tag:h1|text_align:center|color:%23FFFFFF” use_theme_fonts=”yes” css=”” el_class=”blogheader”][vc_empty_space height=”80px” el_class=”deskonly”][\/vc_column_inner][\/vc_row_inner][vc_empty_space height=”40px”][\/vc_column][\/vc_row][vc_row el_class=”grid”][vc_column][vc_empty_space height=”40px”][vc_column_text css=””]<\/p>\n

Multi-Factor Authentication (MFA) staat aan. Medewerkers zijn getraind. Securitytools zijn aanwezig. En toch\u2026 raken organisaties nog steeds gecompromitteerd.<\/strong><\/p>\n

Bij Resilient Security blijven we het zien gebeuren, recent nog in een praktijkcase waarbij een phishingaanval erin slaagde MFA te omzeilen. Dankzij snelle detectie en response bleef de impact beperkt. Maar de aanval toont vooral \u00e9\u00e9n belangrijke realiteit aan: MFA alleen is niet langer voldoende.<\/strong><\/p>\n

Een phishingaanval die er volledig normaal uitziet<\/h2>\n

Phishing blijft \u00e9\u00e9n van de meest gebruikte aanvalsvectoren. En met de opkomst van AI worden deze aanvallen geloofwaardiger dan ooit.<\/p>\n

In dit geval verliep de aanval volgens een herkenbaar patroon:<\/p>\n

    \n
  • Een medewerker ontvangt een phishingmail van een ogenschijnlijk betrouwbare afzender<\/li>\n
  • De gebruiker klikt op de link en komt terecht op een realistische loginpagina<\/li>\n
  • De gebruiker logt in en voert MFA uit<\/li>\n
  • Alles lijkt volledig legitiem<\/li>\n<\/ul>\n

    Maar achter de schermen gebeurt iets heel anders.<\/p>\n

    Dit type aanval staat bekend als een Adversary-in-the-Middle (AiTM) aanval<\/strong>.<\/p>\n

    De aanvaller bevindt zich tussen de gebruiker en de echte loginservice en onderschept de authenticatiestroom in realtime. Wanneer de gebruiker inlogt en MFA uitvoert, onderschept de aanvaller de session cookie. Hierdoor krijgt hij toegang tot de sessie zonder opnieuw credentials of MFA nodig te hebben.<\/p>\n

    Wat gebeurt er nadat toegang verkregen is?<\/h2>\n

    Eens binnen hoeven aanvallers niet snel te handelen, ze moeten vooral onopgemerkt blijven.<\/p>\n

    Typische acties zijn:<\/p>\n

      \n
    • Meekijken in mailboxen en gesprekken monitoren<\/li>\n
    • Inboxregels aanmaken om bepaalde mails te verbergen<\/li>\n
    • E-mails versturen vanuit het gecompromitteerde account<\/li>\n
    • Facturen onderscheppen of betaalgegevens aanpassen<\/li>\n<\/ul>\n

      In veel gevallen ontstaat de echte schade pas later, bijvoorbeeld via financi\u00eble fraude of verdere laterale bewegingen binnen de omgeving.<\/p>\n

      Waarom dit vandaag relevanter is dan ooit<\/h2>\n

      Dit type aanval is niet volledig nieuw, maar wordt steeds relevanter.<\/p>\n

      Tools worden toegankelijker. Phishingcampagnes worden geavanceerder. En gebruikers vertrouwen sneller wat ze zien.<\/p>\n

      Organisaties die uitsluitend vertrouwen op traditionele MFA en awareness-training lopen het risico deze evoluerende dreiging te missen.<\/p>\n

      Hoe we dit aanpakken binnen Resilient PROTECT<\/h2>\n

      Het voorkomen en beantwoorden van AiTM-aanvallen vereist een gelaagde aanpak.<\/p>\n

      Preventie via sterkere security controls<\/h3>\n

      We zetten in op phishing-resistant MFA en Conditional Access policies die het risico op session hijacking beperken en toegang contextafhankelijk controleren.<\/p>\n

      Detectie en snelle response<\/h3>\n

      Wanneer een incident plaatsvindt, is snelheid cruciaal. Belangrijke acties zijn onder andere:<\/p>\n

        \n
      • Actieve sessies intrekken<\/li>\n
      • Credentials resetten<\/li>\n
      • Ongeautoriseerde authenticatiemethodes controleren en verwijderen<\/li>\n<\/ul>\n

        Duidelijke processen zijn noodzakelijk om deze stappen snel en consistent uit te voeren.<\/p>\n

        Het belang van correcte configuratie<\/h3>\n

        De juiste tools hebben, zoals Microsoft Defender XDR met automatische Attack Disruption-functionaliteit, is slechts een deel van de oplossing. Correcte configuratie en tuning maken het verschil tussen effectieve detectie en gemiste signalen.<\/p>\n

        Van tools naar resilience<\/h2>\n

        AiTM-phishingaanvallen tonen duidelijk aan hoe cyberdreigingen sneller evolueren dan traditionele verdedigingsmechanismen.<\/p>\n

        Security draait vandaag niet langer om \u00e9\u00e9n enkele controle, maar om de samenwerking tussen technologie, processen en mensen.<\/p>\n

        Bij Resilient Security focussen we op dat volledige plaatje: van preventie en detectie tot response en langdurige cyber resilience.<\/p>\n

        Want in het huidige dreigingslandschap is veilig zijn niet langer voldoende. Je moet resilient<\/strong> zijn!<\/p>\n

        [\/vc_column_text][vc_empty_space height=”20px”][vc_row_inner][vc_column_inner][vc_column_text css=”” el_class=”learn”]<\/p>\n

        Case 1: De Multi-Tenant API Orchestrator<\/h2>\n

        De uitdaging: \u00e9\u00e9n JSM, meerdere Entra tenants<\/h3>\n

        In een managed services omgeving moeten we aanvragen voor meerdere klanten verwerken vanuit \u00e9\u00e9n centrale Jira-omgeving.<\/p>\n

        Onze oplossing maakt gebruik van de automation engine van Jira om aanvragen dynamisch te routeren op basis van de organisatie van de gebruiker.<\/p>\n

        De workflow & API-keten<\/h3>\n

        Wanneer een gebruiker een \u201cRequest an access package IGA\u201d<\/em> ticket aanmaakt, doorloopt de automation volgende stappen:<\/p>\n

          \n
        • Tenant identificatie<\/strong>
          Op basis van de organisatie van de aanvrager wordt een tenantID<\/code> variabele ingesteld. Hierdoor kan dezelfde automation schaalbaar ingezet worden over verschillende klanten.<\/li>\n
        • Access package opzoeken<\/strong>
          GET \/identityGovernance\/entitlementManagement\/accessPackages<\/code><\/li>\n
        • Policy ophalen & encoding fix: <\/strong>https:\/\/graph.microsoft.com\/beta\/identityGovernance\/entitlementManagement\/accessPackages\/{{AccessPackageID.urlEncode.replace(“+”,”%20″)}}?$expand=accessPackageAssignmentPolicies<\/li>\n<\/ul>\n

          Technische noot<\/strong><\/h3>\n

          Jira\u2019s .urlEncode<\/code> functie zet spaties om naar +<\/code>, terwijl Microsoft Graph %20<\/code> verwacht. Door .replace(\"+\",\"%20\")<\/code> toe te voegen, vermijden we fouten zoals 400 Bad Request<\/em><\/p>\n

            \n
          • Identity resolutie:<\/strong>GET https:\/\/graph.microsoft.com\/v1.0\/users\/{{reporter.emailAddress}}<\/code>
            Hiermee vertalen we het e-mailadres naar de unieke Entra User ID.<\/li>\n
          • Final provisioning: <\/strong>POST \/identityGovernance\/entitlementManagement\/assignmentRequests<\/code><\/li>\n<\/ul>\n

            Het resultaat<\/h3>\n

            Na validatie van de laatste API-call wordt de workflow afgerond.<\/p>\n

            Binnen enkele seconden krijgt de gebruiker automatisch toegang via een Access Package in Entra ID<\/strong>, zonder enige manuele actie van IT.<\/p>\n

            Case 2: Hybride governance via Custom Extensions<\/h2>\n

            Automatisatie voor \u201coffline\u201d applicaties<\/h3>\n

            Wat als een applicatie niet automatisch beheerd kan worden via Entra ID? Voor legacy of \u201coffline\u201d applicaties bouwen wij een brug via een Logic App<\/strong>.<\/p>\n

            De architectuur<\/h3>\n

            We integreren een Logic App rechtstreeks in de Access Package workflow van Entra ID.<\/p>\n

              \n
            • Integratiepunt<\/strong>
              Via een Custom Extension binnen de Access Package configuratie<\/li>\n
            • Lifecycle triggers<\/strong>
              We focussen op twee cruciale momenten:\n
                \n
              • Request approved<\/strong>
                \u2192 Logic App maakt automatisch een Jira-ticket aan
                \u2192 Lokale IT krijgt instructies om toegang manueel toe te kennen<\/li>\n
              • Request removed<\/strong>
                \u2192 Automatisch ticket om toegang onmiddellijk te verwijderen<\/li>\n<\/ul>\n<\/li>\n
              • Security layer: <\/strong>De Logic App valideert de oorsprong van de aanvraag, zodat enkel legitieme Entra events acties kunnen triggeren.<\/li>\n<\/ul>\n

                Waarom Resilient Security?<\/h2>\n

                De integratie tussen JSM en Entra ID vraagt meer dan technische configuratie alleen. Het vereist inzicht in: OData filtering, URI encoding, API orchestration en Custom extensions.<\/strong><\/p>\n

                Wij leveren niet enkel security services, we bouwen slimme, geautomatiseerde en resilient workflows die jouw organisatie vooruit helpen.[\/vc_column_text][vc_empty_space height=”40px”][\/vc_column_inner][\/vc_row_inner][\/vc_column][\/vc_row][vc_row css=”.vc_custom_1749668237497{background-color: #8AD7A6 !important;}”][vc_column][vc_empty_space height=”40px”][vc_column_text css=””]<\/p>\n

                Overig NIEUWS<\/h1>\n

                [\/vc_column_text][vc_empty_space height=”40px”][vc_row_inner el_class=”grid”][vc_column_inner][vc_column_text css=”” el_class=”blue”]