Oktober 2026 bracht een nieuwe golf dreigingen voor Amerikaanse bedrijven. Wat opvalt: aanvallen leunen niet alleen op “klassieke” phishing, maar misbruiken ook vertrouwde authenticatieprocessen en alledaagse werkstromen. Daardoor is de impact voor organisaties vaak groter dan bij een losstaande beveiligingsfout—denk aan datalekken, financiële schade en verstoringen van de operatie.
Een rode draad in meerdere campagnes is device code phishing: aanvallers proberen toegang tot Microsoft 365 te krijgen via een legitieme device-code flow, zonder per se wachtwoorden te stelen of MFA meteen te omzeilen. Hieronder lees je hoe vijf actieve dreigingen werken, waar je op kunt letten en welke maatregelen je SOC helpen om sneller in te grijpen.
SkyW4lker: phishing die de Microsoft device-code flow misbruikt
De campagne SkyW4lker is actief en richt zich op corporate accounts via phishingmails die lijken op zakelijke documenten, zoals contracten en facturen. Slachtoffers passeren daarbij verificatiestappen zoals een CAPTCHA, waarna ze naar een authentieke Microsoft-authenticatiepagina worden geleid.
Het kernidee van device code phishing bij SkyW4lker: de gebruiker voert een device code in, waarna aanvallers ongeautoriseerde toegang kunnen krijgen. In de sandboxanalyses zagen onderzoekers honderden gerelateerde onderzoeken tussen juni en 21 oktober 2026, met een groot deel vanuit de Verenigde Staten.
Een belangrijk voordeel voor defenders is dat één verdachte phishing-URL vaak een breder netwerk aan infrastructuur onthult. Onderzoekers gebruikten bovendien context om gerelateerde activiteiten sneller te koppelen aan eerdere analyses en zo manuele speurwerk te verminderen.
Nabootsing van AI: fake AI-campagnes voor accountcompromis
Naast phishing via documentmails zien onderzoekers ook fake AI-campagnes die inspelen op de adoptie van AI. Aanvallers verspreiden nep-apps of misleidende “event invitations” die bekende diensten nabootsen, zoals ChatGPT en Claude.
Het doel is credential theft en account compromise: in een opvallende casus draait een legitieme installer, terwijl verborgen processen browsesessiecookies proberen te stelen. Daardoor kan toegang tot Microsoft 365 of andere accounts worden verkregen zonder dat er opnieuw een MFA-moment volgt.
Voor teams betekent dit: kijk niet alleen naar “de mail” of “de download”, maar ook naar wat daarna op de endpoint en in de browser gebeurt. Snelle analyse van downloads en redirects helpt om te bepalen of een ogenschijnlijk normale installatie eigenlijk onderdeel is van device code phishing-achtige accountaanvallen.
GeorgeGinx: Adobe Shared Links als schakel naar device code phishing
GeorgeGinx wordt beschreven als phishing-as-a-service (PhaaS) en richt zich op organisaties in overheid, banking, healthcare en IT. Het opvallende detail: aanvallers misbruiken Adobe Shared Links om slachtoffers te redirecten naar Microsoft device-code phishingpagina’s.
Hier werkt het vertrouwen in de documentdeeldienst tegen je. Verdedigers die alleen op domeinen of “lijkt veilig” letten, missen de echte bestemming. Onderzoekers lieten zien hoe je dit type aanval kunt onderzoeken door veranderingen in de HTML DOM en HTTP-requests in de browser te inspecteren.
Daarnaast ontdekten ze extra elementen op een aanvallersserver, waaronder een administratiepaneel. Dat helpt om te begrijpen hoe de operatie is ingericht en welke sporen je mogelijk in logbestanden terugvindt.
De kernles: vertrouw een gedeelde link niet uitsluitend op basis van het feit dat hij “binnen een bekende dienst” lijkt te vallen. Juist de verborgen redirect of scripts kunnen het verschil maken tussen een veilige workflow en device code phishing met accountcompromis als resultaat.
WKLP: infostealer en RAT die Microsoft Defender verzwakt
De campagne WKLP is een Python-gebaseerde infostealer en remote access trojan (RAT) die onderzoekers koppelen aan aanvallen op overheidsorganisaties in de VS en Frankrijk. Het malwarepakket is gericht op het stelen van credentials, browserdata en gevoelige bestanden.
Waar het extra zorgelijk wordt, is dat WKLP niet alleen gegevens buitmaakt, maar ook probeert de verdediging langdurig te verzwakken. De malware gebruikt PowerShell en een legitieme Python runtime om schadelijke code uit te voeren, waarna hij onder andere Microsoft Defender-exclusions toevoegt, beveiligingsprocessen beëindigt en verhulde firewallregels maakt.
Voor security teams betekent dit: let op gedrag dat wijst op verdedigingstampering—zoals wijzigingen in security exclusions en verdacht PowerShell-gebruik. Ook hier geldt: wanneer het endpoint minder beschermd is, wordt laterale beweging en post-compromis veel eenvoudiger.
Mir0Auth: token theft met device code authentication
Mir0Auth is een phishingkit voor Microsoft 365-gebruikers en laat in de analyses vooral activiteit tegen Amerikaanse organisaties zien. Net als SkyW4lker leunt Mir0Auth sterk op device code phishing: aanvallers misbruiken een legitieme device-code flow om access tokens te stelen.
De aanval begint met phishingmails die een malafide PDF-bijlage bevatten. Daarna wordt de gebruiker naar een nep-DocuSign-pagina geleid. In sandboxresultaten zagen onderzoekers obfuscated scripts en verborgen authenticatieverzoeken die Microsoft 365-tokens proberen te verkrijgen.
Als dat lukt, krijgen aanvallers potentieel toegang tot gevoelige communicatie en data—zonder dat er per se wachtwoorden worden gestolen. Daarom is het monitoren van verdachte device-code authenticaties en het tijdig intrekken van gecompromitteerde sessies essentieel.
Wat je nu kunt doen: detecteren en containen zonder extra SOC-last
De combinatie van phishinglinks, kwaadwillende downloads en misbruik van accountflows kan snel leiden tot financiële verliezen, datadiefstal en operationele verstoring. Tegelijkertijd staan SOC’s vaak onder druk. De uitdaging is dus: risico verlagen, maar wel met dezelfde capaciteit.
Op basis van de beschreven campagnes komen de volgende maatregelen steeds terug.
1) Beperk device-code authenticatie waar dat kan
Maak het aanvallers moeilijker om via de device-code flow toegang te krijgen. Concretiseer dit met conditional access waar het kan, en controleer of device-code authenticatie alleen is toegestaan voor de juiste contexten en users.
2) Onderzoek niet alleen de alert—maar ook de keten
Veel waarde zit in het koppelen van één verdachte URL aan een bredere campagne. Dat helpt om gerelateerde infrastructuur en indicators sneller te vinden, zodat je containment eerder kunt starten en triage versnelt.
3) Controleer redirects achter “vertrouwde” documentdiensten
Zoals GeorgeGinx laat zien: een gedeelde link kan betrouwbaar ogen, maar toch slachtoffers naar een phishingpagina sturen. Inspecteer verborgen scripts, DOM-wijzigingen en HTTP-verzoeken—zodat je niet alleen het uiterlijk van de link beoordeelt.
4) Let op token-gerelateerde signalen en sessiecompromis
Bij Mir0Auth is het vooral het stelen van access tokens dat de impact bepaalt. Richt je detectie daarom op verdachte device-code authenticaties en zorg dat je snel gecompromitteerde Microsoft 365-sessies kunt intrekken.
5) Bewaak integriteit van beveiliging op endpoints
WKLP toont hoe aanvallers verdediging kunnen neutraliseren. Zet daarom monitoring op wijzigingen aan Defender-exclusions, PowerShell-activiteit en firewallveranderingen. Zo voorkom je dat aanvallers rustig kunnen doorwerken na initiële toegang.
Handige verdiepingslinks
Wil je meer context over AI-gedreven misbruik of hoe je misleidende accountflows herkent? Bekijk dan ook:
- LLMjacking: wat het kost en hoe je het herkent
- AI-toegangslekken: aanvallers jagen op tokens
- WordPress core kwetsbaarheid: actief misbruik
Conclusie: device code phishing vraagt om snellere, ketengerichte detectie
Oktober 2026 maakte duidelijk dat aanvallen steeds vaker vertrouwen in “legitieme” processen gebruiken. Device code phishing is daarbij een terugkerend patroon: aanvallers proberen Microsoft 365-toegang te verkrijgen via authenticatiestappen die voor gebruikers bekend en normaal voelen.
Door conditional access te verfijnen, redirects en verborgen scripts te onderzoeken, token- en sessiesignalen te bewaken en endpoint-verzwakking te detecteren, kun je de kans op accountcompromis verkleinen. Uiteindelijk draait het om sneller triage, eerder containment en minder schade wanneer een campagne toch door je controles heen breekt.
Bron: https://thehackernews.com/2026/11/5-active-cyber-threats-that-put-us.html
