Op donderdag meldde Microsoft een Microsoft 365 storing die de toegang tot zakelijke e-mail en diverse cloudservices verstoorde. Gebruikers kregen problemen met het verbinden met Exchange Online-mailboxen, en later kwamen ook signalen van impact op andere onderdelen van het Microsoft 365-ecosysteem.
Belangrijk voor organisaties: Microsoft gaf aan dat het niet met zekerheid kan zeggen wat de oorzaak was en dat er op dat moment geen bewijs was van een cyberaanval. Tegelijk is de verstoring wel degelijk operationeel, omdat het om systemen gaat die dagelijks worden gebruikt voor communicatie, samenwerking en beveiligingsprocessen.
Wat er gebeurde bij de Microsoft 365 storing
Microsoft startte met meldingen dat gebruikers in de regio’s van Amerika problemen ondervonden bij het aansluiten op Exchange Online-mailboxen. Al snel bleek dat de verstoring mogelijk verder reikte dan e-mail.
Later noemde Microsoft mogelijke verstoring van onder andere Teams, SharePoint Online, Microsoft 365 Copilot en Defender XDR. Dat wijst erop dat meerdere servicecomponenten tegelijk geraakt kunnen zijn.
Effect op andere cloudmail: Outlook clients bij Google Workspace
Naast Microsoft-gebruikers kwamen er ook rapporten van problemen bij sommige gebruikers van Google Workspace. Zij gaven aan dat ze hun Google-gehoste e-mail niet goed konden benaderen via Outlook desktop of Outlook mobiele clients.
Dat betekent niet automatisch dat de storing “bij Google” zat, maar het laat wel zien dat gebruikerservaringen met maildiensten kunnen afhangen van externe koppelingen, clients, netwerkgedrag of timing van de verstoring.
Microsoft’s technische verklaring: servers vallen uit, niet door meer verkeer
Microsoft koppelde de toegenomen belasting aan een groot aantal servers dat beschikbaarheidsproblemen kende. Volgens de uitleg van het bedrijf kwamen niet alle servers nog in staat om hun aandeel van de verwerking over te nemen.
Daarom bleven de resterende systemen het verkeer moeten verwerken dat anders over meer servers verdeeld was. Microsoft benadrukte daarbij dat het totale verkeer niet was toegenomen. Met andere woorden: het ging niet om “meer gebruikers dan verwacht”, maar om “minder capaciteit dan nodig”.
Waar Microsoft op testte: health checks en verhoogde processorbelasting
In een update kort voor 15:00 uur ET gaf Microsoft aan dat getroffen servers automatische health checks niet passeerden. Het bedrijf testte vervolgens een workaround om een component te omzeilen die verantwoordelijk is voor het verwerken van die checks.
Daarnaast onderzocht Microsoft ook waarom de processorbelasting op de getroffen systemen hoger was dan normaal. Op dat moment had Microsoft nog geen volledig antwoord op beide punten, maar wel een gerichte aanpak om de afhandeling van het incident te verbeteren.
Is er sprake van een cyberaanval?
Een logische vraag bij elke grote storing is: “komt dit door een aanval?” In de periode van publicatie zei Microsoft dat het de oorzaak nog onderzocht. Het bedrijf had geen bewijs van een cyberaanval bekendgemaakt.
Ook de serviceadviezen die Microsoft rapporteerde, noemden geen aanwijzingen voor kwaadaardige activiteit. Met andere woorden: op basis van wat er toen publiek werd gedeeld, lag de nadruk op operationele verstoring in plaats van op een aantoonbare hack.
Dat gezegd hebbende: zelfs zonder bewezen aanval kan een incident gevolgen hebben voor de beveiliging (bijvoorbeeld door misbruik van herstelprocessen, accounts die door gebruikers extra worden geraakt, of omgevingen die tijdens storingen anders gedragen).
Relatie met eerdere updates en Patch Tuesday
De timing is opvallend: Microsoft had twee dagen eerder zijn November Patch Tuesday-updates uitgerold. Daarbij werden in totaal 1.094 kwetsbaarheden in Microsoft-producten behandeld.
Daaronder was ook CVE-2026-124194, een Outlook-spoofingkwetsbaarheid. Microsoft stelde dat aanvallers deze al hebben uitgebuit. De kwetsbaarheid kan, volgens Microsoft’s beschrijving, gebruikersauthenticatiemateriaal blootleggen wanneer een gebruiker een speciaal gemaakt bestand opent in een getroffen Outlook-client.
Cruciaal: Microsoft’s advisering legde de Outlook-kwetsbaarheid niet direct aan de Exchange Online-storing. Ook werd er niet aangegeven dat die CVE verantwoordelijk was voor de uitval van de mailservice.
Voor organisaties blijft het in elk geval verstandig om Patch Tuesday updates wél op tijd te beoordelen en door te voeren, maar in dit specifieke incident is er geen publiek bevestigde link gelegd tussen de patchstatus en de outage.
Incidentregistratie in de Microsoft 365 admin center
Microsoft volgde de verstoring via twee registraties in de Microsoft 365 admin center:
- EX1550543 voor de Exchange Online-disruptie
- MO1550821 voor het bredere Microsoft 365-incident
Op het moment van de update net voor 15:00 uur ET werden beide vermeld als service degradations. Dat duidt erop dat de dienstverlening wel beschikbaar kon zijn, maar minder betrouwbaar of met verminderde prestatie.
Wat kun je als IT-team doen tijdens een Microsoft 365 storing?
Ook wanneer Microsoft stelt dat er geen bewijs is van een aanval, is het nuttig om je eigen processen strak te houden. Zo verklein je de kans dat gebruikers improviseren of dat beveiligingsmaatregelen vertraging oplopen.
Concreet kun je denken aan:
- Check de servicestatus en de incidentreferenties in de admin center om te bepalen welke onderdelen echt geraakt zijn.
- Beperk risico op “workarounds” door alleen te handelen volgens interne richtlijnen (vermijd ad-hoc acties die securitymonitoring omzeilen).
- Let extra op accountgedrag: verhoogde inlog- of authenticatie-activiteiten kunnen tijdens storingen anders lijken dan normaal.
- Communiceer naar gebruikers met duidelijke verwachtingen: welke mail- en samenwerkingsfuncties kunnen vertraagd zijn, en wat wel/niet nodig is (bijv. niet massaal opnieuw inloggen als dat niet helpt).
Wil je aanvullend kader over het beschermen van identities en het voorkomen van blind spots bij incidenten? Lees dan ook Identity context voor SOC: sluit blind spots.
Waarom dit incident ook met cyberveiligheid samenhangt
Hoewel Microsoft ten tijde van de melding geen kwaadaardig gedrag rapporteerde, raakt een grote Microsoft 365 storing in de praktijk vaak meerdere lagen: communicatiekanalen, authenticatieketens, samenwerking en (mogelijk) beveiligingscomponenten.
Dat maakt het incident relevant voor beveiligingsteams: zodra gebruikers niet normaal kunnen werken, ontstaan er sneller kansen voor misleiding of ongewenste handelingen, bijvoorbeeld via valse “statusberichten” of phishing die inspelen op de drukte rondom outages.
Als je zoekt naar voorbeelden van hoe partijen kunnen proberen toegang te krijgen via kwetsbaarheden of misbruik in Microsoft-ecosystemen, kan dit ook nuttig zijn om mee te nemen in je awareness-activiteiten. Een gerelateerd voorbeeld in dezelfde brede hoek is SignDrop: Windows CLFS kan SYSTEM worden via misbruik—niet omdat het dezelfde storing is, maar omdat het laat zien dat aanvallen zich kunnen richten op het omzetten van technische problemen of fouten in privileges.
Conclusie
De Microsoft 365 storing veroorzaakte op meerdere regio’s problemen met toegang tot zakelijke e-mail en raakte later mogelijk ook Teams, SharePoint Online, Microsoft 365 Copilot en Defender XDR. Microsoft beschreef de kern als serverproblemen waarbij health checks faalden en verwerking op resterende systemen moest worden opgevangen.
Op basis van de informatie die tijdens het incident werd gedeeld, was er geen bewijs van een cyberaanval. Toch is het verstandig om als organisatie dit soort verstoringen serieus te nemen: houd controle over communicatie, bewaak accountgedrag en zorg dat je security- en IT-processen niet door de outage onder druk komen te staan.
Bron: https://www.securityweek.com/microsoft-365-outage-disrupts-outlook-exchange-online-and-teams/
