Bouw, non-profitorganisaties, vastgoed, maakindustrie, financiële dienstverlening, gezondheidszorg, juridische sector en overheid behoren tot de meest getroffen sectoren. Geen enkele branche is buiten schot. De tooling achter de campagne, EvilTokens, wordt sinds medio februari 2026 aangeboden als een Phishing-as-a-Service-kit waarmee kopers MFA kunnen omzeilen en zich stilzwijgend kunnen authenticeren als het slachtoffer bij de Microsoft 365-omgeving van de organisatie.

Volgens het Franse cybersecuritybedrijf Sekoia biedt EvilTokens "een kant-en-klare Microsoft device code phishing-kit en een reeks geavanceerde functies voor BEC-aanvallen, waaronder toegangsmisbruik, e-mailharvesting, verkenningsfunctionaliteiten, een ingebouwde webmail-interface en AI-gestuurde automatisering."

Hoe Aanvallers Finance- en Directieaccounts Targeten

De campagne behandelt niet alle gecompromitteerde accounts gelijk. Doorgaans vindt er 10 tot 15 dagen voor de daadwerkelijke phishingpoging een verkenningsfase plaats. Aanvallers gebruiken vervolgens AI om hypergepersonaliseerde phishingmails op te stellen die aansluiten bij de rol van het doelwit, met thema's als offerteaanvragen, facturen en productieprocessen.

Om geautomatiseerde URL-scanners en sandboxes te omzeilen, linken aanvallers niet rechtstreeks naar de uiteindelijke phishingsite. In plaats daarvan maken ze gebruik van een reeks doorverwijzingen via gecompromitteerde legitieme domeinen en serverless platforms met een hoge reputatie. Microsoft constateerde een zwaar gebruik van Vercel, Cloudflare Workers en AWS Lambda voor het hosten van de doorverwijzingslogica. Door deze domeinen te gebruiken, valt phishingverkeer samen met legitiem zakelijk cloudverkeer, waardoor eenvoudige domeinblokkades worden omzeild.

Na de eerste inbraak registreerden aanvallers in sommige gevallen binnen 10 minuten nieuwe apparaten om een Primary Refresh Token voor langdurige persistentie te genereren. In andere gevallen wachtten ze uren voordat ze gevoelige e-mailgegevens buitmaakten of inboxregels aanmaakten, zoals het automatisch doorsturen van berichten met "salarisadministratie" of "factuur" in de onderwerpregel.

Activiteit na de inbraak laat een consistente focus zien op finance-gerelateerde profielen, met geautomatiseerde e-mailexfiltratie in die accounts, bevestigde Ganacharya.

Waarom Standaard MFA Dit Niet Tegenhoudt

Dit is het onderdeel dat de meeste teams verrast. Deze aanval onderschept Microsoft 365-toegangstokens zonder dat slachtoffers inloggegevens hoeven in te voeren op een nagemaakt inlogscherm, waardoor de authenticatie niet te onderscheiden is van een echte aanmelding. Multifactorauthenticatie biedt geen bescherming: het slachtoffer voltooit de MFA-uitdaging zelf, namens de aanvaller, en de resulterende refresh tokens blijven geldig zelfs na een wachtwoordreset, wat herstel bemoeilijkt.

Anders dan bij traditionele credential harvesting worden slachtoffers via legitieme Microsoft-authenticatiepagina's geleid, waardoor het voor security operations centers aanzienlijk moeilijker is om de inbraak in real time te detecteren.

Deze aanval is een directe escalatie ten opzichte van de Storm-2372-campagne die Microsoft in februari 2025 documenteerde, waarbij handmatige social engineering via berichtenapps en Teams-uitnodigingen centraal stond. De campagne van 2026 maakt de stap naar geïndustrialiseerde automatisering en AI-integratie over de gehele keten: verkenning, lokaasopmaak, infrastructuur opzetten en exploitatie.

Wat Zakelijke Teams Nu Moeten Doen

Phishing-resistente MFA-methoden, specifiek FIDO2-hardwaresleutels en op certificaten gebaseerde authenticatie, blokkeren deze aanval wel, omdat zij de authenticatie koppelen aan het fysieke apparaat. Standaard TOTP-codes en pushnotificaties bieden die bescherming niet.

De Microsoft Security Blog en onafhankelijke analisten bevelen drie prioritaire acties aan:

1. Beperk de device code flow in Microsoft Entra ID. Conditional Access-beleid kan de device code-authenticatieflow blokkeren voor gebruikers die daar geen legitieme zakelijke behoefte aan hebben.
2. Monitor op het aanmaken van inboxregels na een inbraak. Microsoft Defender XDR en Entra ID Protection bevatten nu detecties voor afwijkende device code-authenticatie, waaronder verdachte aanmeldingen en het aanmaken van inboxregels in combinatie met Graph API-verkenning na een inbraak.
3. Train finance- en directieteams specifiek. Rolgericht lokaas dat verwijst naar echte werkprocessen, daadwerkelijke functietitels en geloofwaardige zakelijke context vormt een fundamenteel andere dreiging dan generieke phishing. Standaard bewustwordingstraining alleen is niet voldoende.

Voor elke organisatie die Microsoft 365 als e-mailomgeving gebruikt, reikt de operationele impact van een gecompromitteerde inbox veel verder dan dataverlies. Aangetaste verzendgeschiedenissen, gemanipuleerde doorstuurregels en gekaapt facturatieverkeer kunnen de verzendreputatie en deliverability maandenlang schaden. E-mailbeveiliging behandelen als een identiteitsprobleem, en niet alleen als een contentfilterprobleem, is inmiddels een bedrijfskritische vereiste.

Bouw, non-profitorganisaties, vastgoed, maakindustrie, financiële dienstverlening, gezondheidszorg, juridische sector en overheid behoren tot de meest getroffen sectoren. Geen enkele branche is buiten schot. De tooling achter de campagne, EvilTokens, wordt sinds medio februari 2026 aangeboden als een Phishing-as-a-Service-kit waarmee kopers MFA kunnen omzeilen en zich stilzwijgend kunnen authenticeren als het slachtoffer bij de Microsoft 365-omgeving van de organisatie.

Volgens het Franse cybersecuritybedrijf Sekoia biedt EvilTokens "een kant-en-klare Microsoft device code phishing-kit en een reeks geavanceerde functies voor BEC-aanvallen, waaronder toegangsmisbruik, e-mailharvesting, verkenningsfunctionaliteiten, een ingebouwde webmail-interface en AI-gestuurde automatisering."

Hoe Aanvallers Finance- en Directieaccounts Targeten

De campagne behandelt niet alle gecompromitteerde accounts gelijk. Doorgaans vindt er 10 tot 15 dagen voor de daadwerkelijke phishingpoging een verkenningsfase plaats. Aanvallers gebruiken vervolgens AI om hypergepersonaliseerde phishingmails op te stellen die aansluiten bij de rol van het doelwit, met thema's als offerteaanvragen, facturen en productieprocessen.

Om geautomatiseerde URL-scanners en sandboxes te omzeilen, linken aanvallers niet rechtstreeks naar de uiteindelijke phishingsite. In plaats daarvan maken ze gebruik van een reeks doorverwijzingen via gecompromitteerde legitieme domeinen en serverless platforms met een hoge reputatie. Microsoft constateerde een zwaar gebruik van Vercel, Cloudflare Workers en AWS Lambda voor het hosten van de doorverwijzingslogica. Door deze domeinen te gebruiken, valt phishingverkeer samen met legitiem zakelijk cloudverkeer, waardoor eenvoudige domeinblokkades worden omzeild.

Na de eerste inbraak registreerden aanvallers in sommige gevallen binnen 10 minuten nieuwe apparaten om een Primary Refresh Token voor langdurige persistentie te genereren. In andere gevallen wachtten ze uren voordat ze gevoelige e-mailgegevens buitmaakten of inboxregels aanmaakten, zoals het automatisch doorsturen van berichten met "salarisadministratie" of "factuur" in de onderwerpregel.

Activiteit na de inbraak laat een consistente focus zien op finance-gerelateerde profielen, met geautomatiseerde e-mailexfiltratie in die accounts, bevestigde Ganacharya.

Waarom Standaard MFA Dit Niet Tegenhoudt

Dit is het onderdeel dat de meeste teams verrast. Deze aanval onderschept Microsoft 365-toegangstokens zonder dat slachtoffers inloggegevens hoeven in te voeren op een nagemaakt inlogscherm, waardoor de authenticatie niet te onderscheiden is van een echte aanmelding. Multifactorauthenticatie biedt geen bescherming: het slachtoffer voltooit de MFA-uitdaging zelf, namens de aanvaller, en de resulterende refresh tokens blijven geldig zelfs na een wachtwoordreset, wat herstel bemoeilijkt.

Anders dan bij traditionele credential harvesting worden slachtoffers via legitieme Microsoft-authenticatiepagina's geleid, waardoor het voor security operations centers aanzienlijk moeilijker is om de inbraak in real time te detecteren.

Deze aanval is een directe escalatie ten opzichte van de Storm-2372-campagne die Microsoft in februari 2025 documenteerde, waarbij handmatige social engineering via berichtenapps en Teams-uitnodigingen centraal stond. De campagne van 2026 maakt de stap naar geïndustrialiseerde automatisering en AI-integratie over de gehele keten: verkenning, lokaasopmaak, infrastructuur opzetten en exploitatie.

Wat Zakelijke Teams Nu Moeten Doen

Phishing-resistente MFA-methoden, specifiek FIDO2-hardwaresleutels en op certificaten gebaseerde authenticatie, blokkeren deze aanval wel, omdat zij de authenticatie koppelen aan het fysieke apparaat. Standaard TOTP-codes en pushnotificaties bieden die bescherming niet.

De Microsoft Security Blog en onafhankelijke analisten bevelen drie prioritaire acties aan:

1. Beperk de device code flow in Microsoft Entra ID. Conditional Access-beleid kan de device code-authenticatieflow blokkeren voor gebruikers die daar geen legitieme zakelijke behoefte aan hebben.
2. Monitor op het aanmaken van inboxregels na een inbraak. Microsoft Defender XDR en Entra ID Protection bevatten nu detecties voor afwijkende device code-authenticatie, waaronder verdachte aanmeldingen en het aanmaken van inboxregels in combinatie met Graph API-verkenning na een inbraak.
3. Train finance- en directieteams specifiek. Rolgericht lokaas dat verwijst naar echte werkprocessen, daadwerkelijke functietitels en geloofwaardige zakelijke context vormt een fundamenteel andere dreiging dan generieke phishing. Standaard bewustwordingstraining alleen is niet voldoende.

Voor elke organisatie die Microsoft 365 als e-mailomgeving gebruikt, reikt de operationele impact van een gecompromitteerde inbox veel verder dan dataverlies. Aangetaste verzendgeschiedenissen, gemanipuleerde doorstuurregels en gekaapt facturatieverkeer kunnen de verzendreputatie en deliverability maandenlang schaden. E-mailbeveiliging behandelen als een identiteitsprobleem, en niet alleen als een contentfilterprobleem, is inmiddels een bedrijfskritische vereiste.