Hackers misbruiken de Microsoft-inlogpagina: zou u deze code invullen?

Phishing herkennen leek lang eenvoudig: controleer de afzender, kijk goed naar de link en vul nooit uw gegevens in op een verdachte website. Maar cybercriminelen gebruiken nu een methode die al deze adviezen omzeilt. Bij device code phishing gebeurt alles op de echte website van Microsoft. Geen valse inlogpagina, geen verdachte link, geen gestolen wachtwoord - en toch krijgt de hacker volledige toegang tot uw account. 

Hoe werkt device code phishing? 

Toestellen zonder toetsenbord, zoals een smart-tv of een vergaderscherm, melden zich bij Microsoft 365 aan met een korte code. U surft op een ander toestel naar de officiële inlogpagina van Microsoft, vult de code in en meldt u aan. Het toestel is daarna gekoppeld aan uw account. 

Hackers draaien dit proces om: 

• De hacker vraagt zelf een geldige code aan bij Microsoft 

• Hij stuurt die code naar uw medewerker, bijvoorbeeld via een e-mail of Teams-bericht dat eruitziet als een vergaderuitnodiging of een dringende beveiligingsupdate 

• Uw medewerker surft naar de echte Microsoft-pagina, vult de code in en meldt zich aan zoals altijd 

• Op dat moment wordt het toestel van de hacker gekoppeld aan het account van uw medewerker

Uw medewerker voert de MFA-controle zelf uit. De hacker hoeft dus geen wachtwoord of MFA-code te stelen. 

De impact is significant 

Microsoft waarschuwde al voor een grootschalige campagne waarbij een staatsgesteunde hackersgroep deze techniek inzette tegen overheden, bedrijven en IT-dienstverleners. De methode is bijzonder gevaarlijk omdat: 

• De inlogpagina en de code volledig echt zijn 

• Klassieke phishingtrainingen medewerkers hier niet op voorbereiden 

• MFA de aanval niet tegenhoudt 

• De hacker vaak dagen of weken ongemerkt toegang houdt tot e-mails en documenten

Belangrijk om te weten: de gratis basisbeveiliging van Microsoft blokkeert deze aanmeldmethode enkel in nieuwe omgevingen. Bestaande Microsoft 365-omgevingen zijn dus niet automatisch beschermd. 

Bitlink enterprise beveiliging voor KMO's 

Met onze Enterprise Security oplossing sluiten we deze deur. Via conditional access blokkeren we deze risicovolle aanmeldmethode binnen uw bedrijfsomgeving. Daarnaast krijgen enkel geregistreerde en gevalideerde laptops en smartphones toegang tot uw bedrijfsgegevens. Zelfs als een medewerker toch een code invult, kan de hacker er niets mee aanvangen: zijn toestel staat niet in ons systeem geregistreerd. 

Wat kunnen uw medewerkers vandaag al doen? 

Hanteer één eenvoudige regel: vul nooit een code in die u niet zelf hebt aangevraagd. Krijgt u onverwacht een code via e-mail, Teams of een ander kanaal? Vul ze niet in en neem contact op met uw IT-partner. 

Waarom nu handelen? 

Device code phishing is geen toekomstscenario - het gebeurt nu al. De aanval is eenvoudig uit te voeren, moeilijk te herkennen en omzeilt de beveiliging waar veel bedrijven op vertrouwen. 

Wilt u weten of uw Microsoft 365-omgeving beschermd is tegen deze aanval? Neem dan contact met ons op voor een vrijblijvend gesprek over onze Enterprise Security oplossing. 

Lees ook onze eerdere blog over een verwante aanvalsmethode: Hackers omzeilen uw beveiliging via token theft 

Meer info? Microsoft Security beschrijft een echte aanvalscampagne: https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/