Eerder deze week schreven we over BigBear, een phishingdienst die bij 258 organisaties de tweestapsverificatie van Microsoft 365 passeerde. Dat stuk ging over wat er gebeurt. In dit artikel beschrijven we het hoe en waarom, want wie de techniek begrijpt, ziet meteen waar de echte zwakke plek zit. Die zit niet in de tweede factor zelf, wel in de omgeving waarin we dagelijks werken. Dat is een reden om wat onrustig te worden.
MFA beschermt één moment
HTTP, het protocol onder elke website, heeft geen geheugen: bij uw tweede klik weet de server niet meer dat u net bent ingelogd. Daarom krijgt u na het aanmelden een bewijsstuk mee, een cookie of token, dat uw browser bij elke volgende aanvraag meestuurt.
Zo'n bewijsstuk heet een bearer token: wie het draagt, mag naar binnen. Denk aan het polsbandje op een festival. Bij de ingang wordt uw kaartje gecontroleerd, daarna kijkt niemand meer naar uw gezicht. Wie het bandje losknipt en zelf omdoet, loopt net zo makkelijk het terrein op.
Bij Microsoft 365 heet dat bandje onder meer ESTSAUTHPERSISTENT: de cookie die u krijgt als u op "aangemeld blijven" klikt en die volgens Varonis tot negentig dagen kan meegaan. Veel tokens zijn JSON Web Tokens (JWT's), opgebouwd uit een header, een payload met gegevens en een digitale handtekening. Die handtekening voorkomt dat iemand de inhoud aanpast, maar de payload is alleen base64-gecodeerd. Een verpakking, geen kluis.
In een Microsoft-token staat bovendien het veld amr, dat vastlegt hoe u zich aanmeldde, bijvoorbeeld pwd en mfa. De tweede factor is op dat moment geen controle meer, maar een regel tekst. Wie het token hergebruikt, neemt die regel gratis mee. Aanvallers hebben drie manieren gevonden om zo'n token te bemachtigen.
Route 1: de tussenpersoon die meeluistert
BigBear draaide op Evilginx, een opensource reverse proxy die in 2017 verscheen als hulpmiddel voor pentesters. Het slachtoffer klikt op een link naar het domein van de aanvaller. Die server haalt de echte inlogpagina van Microsoft op, geeft hem door en herschrijft onderweg alle verwijzingen, zodat de browser van het slachtoffer bij de proxy blijft hangen.
Het slachtoffer ziet dus de echte pagina, met het logo van de eigen organisatie en een echt slotje. De verbinding is versleuteld, alleen met de verkeerde partij. Wachtwoord en MFA-code gaan via de proxy naar Microsoft, dat de aanmelding goedkeurt en de sessiecookie terugstuurt. Naar de proxy, die een kopie bewaart. Sms, authenticator-code of pushmelding: het maakt niet uit. De proxy hoeft niets te kraken, alleen te luisteren.
CloudSEK kreeg toegang tot het controlepaneel van BigBear 2.0 en vond ruim vierduizend sessiecookies. Het verkeer liep via residentiële proxy's in 69 landen, telkens dicht bij het slachtoffer, zodat Microsoft geen afwijkende locatie zag.
Passkeys houden stand, zolang de achterdeur dicht is
Waar deze truc op stukloopt, is FIDO2, de techniek achter passkeys en hardwaresleutels. Bij een code controleert de mens of de pagina klopt. Bij een passkey doet de browser dat. De sleutel hoort bij één domein en de browser zet zelf het adres van de pagina in de ondertekende aanmelding. Op een phishingdomein wordt de passkey niet eens aangeboden. Een mens kun je misleiden, een browser die domeinnamen vergelijkt niet.
Aanvallers mikken daarom op de terugvaloptie. Proofpoint liet zien hoe een aangepaste Evilginx-configuratie zich voordoet als Safari op Windows, een combinatie waarvoor Entra ID geen FIDO ondersteunt. Microsoft biedt dan netjes de authenticator-app aan. BigBear schakelde de passkey-functie in de browser simpelweg uit met een stukje JavaScript. Uw aanmelding is zo sterk als de zwakste methode die nog aanstaat.
Route 2: niet onderscheppen, maar meenemen
Waarom een sessie onderscheppen als die al op de schijf staat? Browsers bewaren cookies in een databasebestand in het gebruikersprofiel. Op Windows was dat jarenlang versleuteld met DPAPI, waarmee elk programma onder hetzelfde account de gegevens weer mag ontsleutelen. Ook malware.
Google voerde in juli 2024 met Chrome 127 App-Bound Encryption in: de sleutel komt alleen vrij als het verzoek echt van Chrome komt. Volgens Elastic hield dat zo'n twee maanden stand. Stealers lazen cookies uit het werkgeheugen, verschaften zichzelf systeemrechten of misbruikten de debugfunctie van Chrome. Google sloot die route af, waarna VoidStealer dit jaar als debugger meekeek op het moment dat Chrome zijn sleutel ontsleutelt. Een kat-en-muisspel met een creatieve muis.
De buit belandt in logbestanden die op Telegram worden verhandeld. Okta analyseerde een gratis dump die op 2 augustus verscheen: zeven gigabyte van 5.871 besmette computers in 162 landen, met onder meer 9.213 geldige tokens voor Google en 1.763 voor Microsoft. Met een anti-detect browser, die de digitale vingerafdruk van het slachtoffer nabootst, is zo'n cookie snel ingeladen. Voor de dienst lijkt het alsof de gebruiker gewoon doorwerkt.
Route 3: laat het slachtoffer het token zelf uitgeven
De sluwste route gebruikt geen nepwebsite. De device code flow is de methode waarmee u bijvoorbeeld een smart-tv aanmeldt: ga naar deze pagina en voer deze code in. Een aanvaller vraagt zelf zo'n code aan en stuurt die naar het slachtoffer, verpakt als uitnodiging voor een Teams-vergadering. Het slachtoffer meldt zich aan op het echte microsoft.com/devicelogin, doorloopt de echte MFA en autoriseert daarmee het apparaat van de aanvaller.
Omdat alles op het echte domein gebeurt, helpt zelfs een passkey hier niet. De groep Storm-2372 ging volgens Microsoft nog verder en registreerde via deze route een eigen apparaat in de Entra-omgeving van het slachtoffer. Dan heb je geen sessie geleend, maar een werkplek gekregen.
AI-sleutels: tokens zonder houdbaarheidsdatum
Een sessiecookie verloopt ooit, een API-sleutel vaak niet. Geen sessie, geen apparaat, geen tweede factor: alleen een reeks tekens in een configuratiebestand, precies waar stealers naar zoeken. In dezelfde dump zaten 24 werkende API-sleutels voor AI-diensten en 164 geldige tokens voor Anthropic, dat eind augustus nog Claude-gebruikers uitlogde wier sessies door malware waren buitgemaakt. Het grootste risico zit in de koppelingen: een agent die namens een medewerker mail leest, draait op een token met precies die rechten. Wie het token heeft, heeft de agent.
De verdediging verschuift naar de sessie
Als een token overal werkt, is de oplossing: laat het maar op één apparaat werken. Dat doet Device Bound Session Credentials (DBSC). De browser maakt een sleutelpaar aan in de TPM-chip, de dienst geeft alleen kortlevende cookies uit, en voor een verse cookie moet de browser met die niet-exporteerbare sleutel bewijzen dat hij nog dezelfde computer is. Een gestolen cookie is buiten de deur snel waardeloos. Sinds Chrome 146 is DBSC algemeen beschikbaar op Windows. Microsoft biedt met Token Protection in Entra ID iets vergelijkbaars, al is dat voor browsersessies nog in preview.
Een wondermiddel is het niet. Malware die live op de computer meekijkt, kan de sessie gewoon vanuit de aangemelde browser gebruiken. Een schone, beheerde werkplek blijft het fundament.
Wat u concreet kunt doen
• Gebruik passkeys of FIDO2-sleutels en schakel zwakkere terugvalopties uit, zeker voor beheerders en financiële rollen.
• Geef alleen beheerde, bijgewerkte apparaten toegang tot bedrijfsdata en zet Token Protection aan waar het kan.
• Blokkeer de device code flow via Conditional Access, tenzij u hem echt nodig hebt.
• Verkort sessies voor gevoelige toepassingen en wees terughoudend met "aangemeld blijven".
• Breng API-sleutels in kaart, bewaar ze in een kluis, geef minimale rechten en stel bestedingslimieten in.
• Bij twijfel is een wachtwoordreset niet genoeg: trek sessies en tokens expliciet in.
Hoe wij hiernaar kijken
In de omgevingen die wij beheren zijn dit geen losse maatregelen, maar instellingen in het beleid rond identiteit en apparaten: welke aanmeldmethoden aanstaan, hoe lang sessies geldig blijven en hoe afwijkend tokengebruik opvalt. Dit werk is grotendeels onzichtbaar voor medewerkers, en dat is precies de bedoeling. Want hier zit onze balanceer act: maximale veiligheid is prio nummer 1, maar moet medewerkers niet in de weg gaan zitten, want dan worden protocollen vroeg of laat omzeild.
Wilt u weten welke terugvalopties in uw omgeving nog openstaan en hoe lang uw sessies geldig blijven? Plan een gesprek met een van onze engineers en we lopen het samen door.
Bronnen
- Infostealer Logs Expose Replayable AI Tokens That Can Bypass MFA — The Hacker News (2026-09-09)
- Anthropic waarschuwt Claude-gebruikers voor malware die tokens steelt — Security.NL (2026-08-31)
- The Secrets Agentic AI Leaves Behind — Okta (2025-06-30)
Lees ook
Waarom tweestapsverificatie deze phishing niet stopt
Klaar om zorgeloos te draaien?
Plan een vrijblijvende kennismaking. We brengen uw IT en security in kaart en laten zien waar het verschil zit.
Plan een gesprek →