M365 Device Code Phishing: De door AI ondersteunde kill chain die dagelijks honderden organisaties compromitteert
Belangrijkste inzichten
- Dagelijkse massale compromitteringen. Honderden M365-tenants worden dagelijks gecompromitteerd via een geautomatiseerde, AI-gestuurde phishingcampagne die misbruik maakt van apparaatcode-authenticatie.
- Misbruik van legitieme flow. Aanvallers zetten het apparaatcodeprotocol van Microsoft in als wapen om geldige sessietokens te stelen zonder malware, exploits of ongeldige inloggegevens.
- AI-versnelde kill chain. AI verzorgt doelvalidatie, rolgerichte lokmiddelen en snelle mailbox-exfiltratie, waardoor aanvallen van weken naar uren worden teruggebracht.
- Omzeiling van verdediging. Traditionele controles missen deze aanval omdat er gebruik wordt gemaakt van legitieme authenticatie, exfiltratie via Graph API en er geen malwarehandtekeningen worden gegenereerd.
Stel je een financieel controller voor die een Teams-bericht ontvangt van iemand die zich voordoet als interne compliance officer. Het bericht verwijst naar een specifieke audit — die daadwerkelijk bestaat — en vraagt de controller om een document te verifiëren via een apparaatcode-link. De controller voldoet aan het verzoek. Binnen 90 seconden heeft de aanvaller een geldig sessietoken, volledige toegang tot de mailbox van de controller en exporteert elke bijlage van de afgelopen 18 maanden.
De aanval die lijkt op normale bedrijfsvoering
Dit is geen theoretisch scenario. Volgens een Microsoft-advies gepubliceerd in april 2026 worden dagelijks honderden organisaties gecompromitteerd via een phishingcampagne die misbruik maakt van de apparaatcode-authenticatieflow in Microsoft 365. De campagne gebruikt AI om zeer gerichte lokmiddelen te genereren en schakelt geautomatiseerde stappen aan elkaar over de volledige kill chain — van doelvalidatie tot data-exfiltratie.
Het CrowdStrike 2026 Global Threat Report documenteerde een stijging van 89% in AI-ondersteunde aanvallen door tegenstanders op jaarbasis, en stelde vast dat 82% van de detecties in 2025 malwarevrij was. Deze aanval illustreert die verschuiving: geen malware, geen exploits, geen kwetsbaarheid. Alleen een legitieme authenticatieflow, binnenstebuiten gekeerd.
5 belangrijkste inzichten
1. Honderden M365-tenants worden dagelijks gecompromitteerd.
Een grootschalige phishingcampagne maakt misbruik van de apparaatcode-authenticatieflow van Microsoft, waarbij AI-gegenereerde lokmiddelen worden gebruikt om inloggegevens te stelen en mailboxdata op industriële schaal te exfiltreren. Volgens een Microsoft-advies uit april 2026 is dit geen gerichte aanval op een handvol organisaties — het is een geautomatiseerde, AI-gestuurde operatie die continu draait tegen M365-tenants in diverse sectoren en regio’s.
2. De aanval misbruikt een legitiem Microsoft-authenticatiemechanisme.
De apparaatcodeflow is ontworpen voor apparaten met beperkte invoermogelijkheden. Aanvallers hebben het omgevormd tot een van de meest effectieve technieken voor het stelen van inloggegevens in het huidige dreigingslandschap door een fundamentele eigenschap van het protocol uit te buiten: niets valideert wie de flow initieert. Het slachtoffer authenticeert via de infrastructuur van Microsoft met zijn eigen multi-factor authentication-token — en de aanvaller ontvangt het sessietoken.
3. AI versnelt elke fase van de kill chain.
Van doelvalidatie via GetCredentialType tot rolgerichte lokmiddelen en geautomatiseerde mailbox-exfiltratie: AI comprimeert wat eerst weken duurde tot uren. Het AI-risico is hier niet hypothetisch — het CrowdStrike 2026 Global Threat Report documenteerde een stijging van 89% in AI-ondersteunde aanvallen, en deze campagne weerspiegelt die verschuiving.
4. Traditionele beveiligingscontroles zien deze aanval niet.
De campagne gebruikt legitieme authenticatieflows, genereert geen malwarehandtekeningen en exfiltreert data via de eigen Graph API van Microsoft. Het CrowdStrike-rapport uit 2026 stelde vast dat 82% van de detecties al malwarevrij was — deze aanval past precies in dat patroon. Standaard e-mailbeveiliging en endpointcontroles zijn niet ontworpen om misbruik van de authenticatielaag te detecteren.
5. Governance van samenwerkingsplatforms is nu een bestuursrisico.
Wanneer gevoelige data — legal holds, M&A-documenten, financiële gegevens — zich bevinden op een platform waarvan de authenticatiemechanismen worden misbruikt, verschuift de vraag van patchen naar architectuur. Het gegevensbeheer-gat in M365 is een compliance-gat: HIPAA, GDPR, SEC-regels en CMMC vereisen allemaal controles die de native auditinfrastructuur van M365 niet consequent kan bieden.
Welke E-mailbeveiliging heeft uw organisatie nodig om uw zakelijke e-mail te beschermen?
Lees nu
Hoe apparaatcodeflow een wapen wordt
Apparaatcode-authenticatie is ontworpen voor apparaten zonder browser of volledig toetsenbord — denk aan smart-tv’s, IoT-apparaten en CLI-tools. De flow werkt door een code op het apparaat weer te geven en de gebruiker te vragen deze in te voeren in een aparte browser. Na invoer ontvangt het apparaat een toegangstoken.
Het probleem is dat niets in het protocol valideert wie de flow heeft gestart. Een aanvaller kan een apparaatcode-aanvraag genereren, deze in een phishinglokmiddel verwerken en wachten tot het slachtoffer zich namens hem authenticeert. Het slachtoffer ziet een legitieme Microsoft-inlogpagina. Hij voert zijn inloggegevens in en voltooit multi-factor authentication. Vervolgens ontvangt de aanvaller — niet het slachtoffer — het sessietoken.
Dit is geen kwetsbaarheid in de traditionele zin. Microsoft heeft apparaatcodeflow precies zo ontworpen. De exploitatie zit in het misbruiken van het vertrouwensmodel: het slachtoffer authenticeert via de infrastructuur van Microsoft, met zijn eigen inloggegevens en multi-factor authentication-token. Elke beveiligingscontrole ziet een legitieme authenticatiegebeurtenis.
AI verandert social engineering in een productielijn
Wat deze campagne onderscheidend maakt, is de rol van AI in elke stap. De aanval begint met het aanroepen van de GetCredentialType API van Microsoft om doel-e-mailadressen te valideren — waarmee wordt bevestigd welke accounts bestaan, welke zijn beschermd door multi-factor authentication en welke authenticatiemethoden zijn geconfigureerd. Deze verkenningsstap, die vroeger handmatig gebeurde, draait nu op machinesnelheid.
Vervolgens genereert AI rolgerichte lokmiddelen. Een CFO ontvangt een bericht over een boarddeck-review. Een juridisch adviseur krijgt een vraag over een contractwijziging. Een projectmanager ziet een verzoek dat gekoppeld is aan een daadwerkelijk lopend project. Het 2026 Thales Data Threat Report stelde vast dat menselijke fouten met 28% de belangrijkste oorzaak van datalekken blijven — en door AI samengestelde social engineering is er juist op gericht om menselijk vertrouwen op grote schaal uit te buiten.
Zodra het slachtoffer zich authenticeert, wordt de geautomatiseerde exfiltratiemachine geactiveerd. De tooling van de aanvaller maakt verbinding met de gecompromitteerde mailbox via Microsoft Graph API, identificeert waardevolle content — bijlagen, agenda-items, gedeelde bestanden — en exporteert deze in bulk. Het CrowdStrike-rapport uit 2026 documenteerde adversary-in-the-middle phishing tegen Microsoft 365/Entra ID waarbij cookies en tokens worden gestolen om multi-factor authentication te omzeilen en direct toegang te krijgen tot mail, SharePoint en andere datarijke diensten. Deze campagne volgt hetzelfde draaiboek, op industriële schaal.
Waarom bestaande verdediging faalt
De reden dat deze aanval de meeste security stacks omzeilt, is structureel en niet technisch. De campagne genereert geen malwarepayload die endpointdetectie kan signaleren. De authenticatiegebeurtenis is legitiem, dus identity analytics zien een normale login. De data-exfiltratie gebruikt de eigen Graph API van Microsoft, waardoor DLP-tools geautoriseerde API-activiteit zien.
Het 2026 Thales Data Threat Report stelde vast dat slechts 33% van de organisaties volledig weet waar hun data is opgeslagen, en slechts 39% al hun data kan classificeren. Als organisaties hun gevoelige data niet kunnen lokaliseren, wordt het bijna onmogelijk om ongeautoriseerde toegang te detecteren — en classificatiegaten vertalen zich direct in forensische blinde vlekken na een compromis.
De bevinding van CrowdStrike dat 35% van de cloudincidenten betrekking had op misbruik van geldige accounts onderstreept dit. Traditionele perimeterverdediging is nooit ontworpen voor een aanval die via de voordeur authenticeert. En conditional access policies — hoewel nuttig — staan apparaatcodeflow vaak standaard toe, omdat de meeste organisaties nooit hebben gecontroleerd welke authenticatieflows daadwerkelijk zijn ingeschakeld op hun tenants.
Het samenwerkingsplatform als aanvalsvlak
Deze campagne maakt een dieper architecturaal probleem zichtbaar: het samenwerkingsplatform waarop organisaties vertrouwen voor hun meest gevoelige werkprocessen is ook het platform dat aanvallers het meest agressief aanvallen.
SharePoint-sites bevatten legal holds, M&A-dataruimten en beleidsrepositories. Exchange Online faciliteert vertrouwelijke communicatie tussen bestuurders, juridisch adviseurs en bestuursleden. OneDrive slaat financiële modellen, klantgegevens en strategische plannen op. Dit zijn niet alleen productiviteitsworkloads — het zijn gereguleerde dataverzamelingen met complianceverplichtingen onder HIPAA, GDPR, SEC-regels en steeds vaker CMMC 2.0.
De Patch Tuesday-update van april 2026 onderstreepte deze realiteit, met een oplossing voor een SharePoint zero-day die al actief werd misbruikt om content te wijzigen in vertrouwde samenwerkingsomgevingen. In combinatie met de apparaatcode-phishingcampagne is de boodschap duidelijk: M365-tenants worden geconfronteerd met gelijktijdige bedreigingen voor zowel dataconfidentialiteit als dataintegriteit.
Volgens de Kiteworks 2026 Data Security, Compliance and Risk Forecast noemt 46% van de organisaties zichtbaarheidsgaten als belangrijkste zorg op het gebied van databeveiliging. Wanneer gevoelige data wordt uitgewisseld via platforms waar auditlogs kunnen worden vertraagd bij hoge activiteit, tot 72 uur kunnen duren en waarvoor premiumlicenties nodig zijn voor volledige vastlegging, wordt het governance-gat een compliance-gat.
Het audittrailprobleem waarvan de meeste organisaties zich niet bewust zijn
Wanneer een organisatie ontdekt dat een mailbox is gecompromitteerd via apparaatcode-phishing, is de eerste vraag altijd: welke data is geraadpleegd? Om die vraag in M365 te beantwoorden, moeten logs uit diverse bronnen worden gecorreleerd — Entra ID-aanmeldlogs, Exchange-auditlogs, Microsoft Graph-activiteitslogs en mogelijk SharePoint-toegangslogs. Deze logs hebben verschillende bewaartermijnen, verschillende garanties op volledigheid en verschillende licentievereisten.
Voor organisaties die vallen onder de 72-uurs meldplicht van de GDPR, de meldingsplicht van HIPAA of de incidentmeldingsregels van de SEC, is een onvolledige audittrail niet alleen een operationeel ongemak — het is een risico op regelgeving. Het incident response plan werkt niet meer zodra de forensische bewijslast onvolledig is.
Hoe Kiteworks het M365 governance-gat aanpakt
Het Kiteworks Private Data Network benadert dit probleem architecturaal in plaats van reactief. In plaats van governancecontroles bovenop een productiviteitsplatform te stapelen, biedt Kiteworks een speciaal ontworpen control plane voor gevoelige data-uitwisseling — e-mail, bestandsoverdracht, SFTP, MFT, API’s en webformulieren — met beveiliging ingebouwd op platformniveau, niet als dure premium add-on.
Elke gevoelige data-uitwisseling via Kiteworks wordt vastgelegd in één, uniforme audittrail met realtimelevering aan SIEM-systemen — geen throttling, geen 72 uur vertraging, geen premiumlicentie vereist voor volledige vastlegging. Het platform wordt ingezet als een hardened virtual appliance met ingebouwde beveiligingscontroles — netwerkfirewall, WAF, inbraakdetectie — die geen klantconfiguratie vereisen.
Voor organisaties die M365 gebruiken voor interne productiviteit maar behoefte hebben aan gereguleerde, controleerbare kanalen voor gevoelige externe data-uitwisseling — met partners, toezichthouders, juridische tegenpartijen en klanten — biedt Kiteworks de zero trust data protection-architectuur die M365 niet kan leveren. Zelfs als een authenticatiemechanisme wordt gecompromitteerd, blijft de impact op gevoelige data beperkt.
Wat organisaties moeten doen vóór de volgende golf
Ten eerste audit uw M365-tenant direct op apparaatcodeflow. De meeste organisaties hebben nooit gecontroleerd welke authenticatieflows zijn ingeschakeld. Schakel apparaatcodeflow uit voor alle gebruikers behalve die met een gedocumenteerde zakelijke noodzaak, en beperk het via conditional access policies die compliant apparaten en beheerde locaties vereisen.
Ten tweede implementeer conditional access policies die legacy en onnodige authenticatiemethoden blokkeren. Het CrowdStrike-rapport uit 2026 stelde vast dat de gemiddelde eCrime breakout time nu 29 minuten is — het snelste geval was 27 seconden. Door exploiteerbare authenticatieroutes te verminderen, verkleint u het tijdsvenster dat aanvallers nodig hebben om de kill chain te voltooien.
Ten derde implementeer realtime monitoring op afwijkende toestemmingsverstrekkingen, onmogelijke reispatronen en grote mailbox-exportoperaties. Dit zijn de gedragskenmerken van een apparaatcode-phishingcompromis — en ze vereisen analytics die de native monitoring van M365 vaak niet snel genoeg kan leveren.
Ten vierde scheid gevoelige data-uitwisseling van algemene samenwerking. Het Thales-rapport stelde vast dat organisaties gemiddeld 89 SaaS-applicaties gebruiken. Wanneer gevoelige data via hetzelfde platform stroomt als informele samenwerking, wordt elke authenticatiecompromis een potentieel compliance-incident. Een speciaal, toegangsgecontroleerd data-uitwisselingsplatform verkleint die impact.
Ten vijfde stel vooraf geplande incident response-workflows op die rekening houden met de forensische beperkingen van M365. Weet welke logs u heeft, hoe lang ze worden bewaard, welke premiumlicenties vereisen en wat de maximale vertraging is voordat ze beschikbaar zijn. De 72-uurs GDPR-meldklok stopt niet terwijl u wacht tot logs zijn bijgewerkt.
De snelheid van AI-ondersteunde aanvallen neemt toe. De vraag is niet meer óf uw M365-tenant met dit soort campagnes te maken krijgt — maar of uw architectuur ervoor zorgt dat een gecompromitteerde authenticatieflow niet leidt tot een gecompromitteerd data-landschap.
Meer weten over het dichten van het M365 governance-gat? Plan vandaag nog een demo op maat.
Veelgestelde vragen
Defender for Office 365 is effectief tegen malware en traditionele phishing, maar is niet ontworpen om misbruik van apparaatcodeflow te blokkeren, omdat de aanval gebruikmaakt van een legitiem Microsoft-authenticatiemechanisme — niet van een schadelijke payload. Bescherming vereist conditional access policies die apparaatcodeflow beperken. Met 82% van de detecties in 2025 die malwarevrij zijn volgens CrowdStrike, zijn identity-layer controles essentieel naast endpointtools.
Apparaatcode-phishing die mailboxtoegang verleent waar PHI aanwezig is, vereist onmiddellijke HIPAA-beoordeling voor datalekmeldingen. Omdat de aanvaller zich legitiem authenticeert, kunnen toegangslogs de inbraak niet signaleren — waardoor de omvangsbepaling afhankelijk is van een volledige audittrail-infrastructuur die M365 mogelijk alleen biedt met premiumlicenties en handmatige logcorrelatie.
Apparaatcodeflow is standaard ingeschakeld in de meeste M365-tenants. Controleer de authenticatiemethoden in het Entra ID-portaal onder Conditional Access en stel vervolgens policies in die apparaatcodeflow blokkeren voor alle gebruikers behalve die met een gedocumenteerde zakelijke noodzaak. Controleer ook op multi-factor authentication-lacunes — de Kiteworks 2026 Forecast stelde vast dat 46% van de organisaties zichtbaarheidsgaten als primaire zorg noemt, en auditing van authenticatieflows is een van de meest over het hoofd geziene blinde vlekken.
Organisaties die gevoelige data extern delen, moeten een speciaal beveiligd data-uitwisselingsplatform gebruiken dat onafhankelijk werkt van de authenticatie-infrastructuur van M365. Het Kiteworks Private Data Network biedt een speciaal ontworpen control plane met uniforme auditlogging, hardened virtual appliance-architectuur en beleidsafdwinging die niet afhankelijk is van M365-inloggegevens — waardoor gereguleerde, controleerbare uitwisseling mogelijk blijft, zelfs als M365-authenticatie wordt gecompromitteerd.
CMMC Level 2 vereist NIST SP 800-171-controles voor toegangscontrole (AC.L2-3.1.1), auditlogging (AU.L2-3.3.1) en identificatie en authenticatie (IA.L2-3.5.1). Apparaatcode-phishing omzeilt multi-factor authentication via een legitieme flow, wat mogelijk tegelijkertijd AC- en IA-controles schendt. Als CUI wordt geraadpleegd, leidt het incident tot zowel een beveiligingsincident als een CMMC-compliancegat dat moet worden gedocumenteerd en hersteld vóór certificering.
Aanvullende bronnen
- Blog Post Bescherm uw gevoelige content met e-mailbeveiliging
- Blog Post Brief Hoe e-mailgovernance, compliance en contentbescherming te optimaliseren
- Brief Vergroot zichtbaarheid en automatiseer bescherming van alle gevoelige e-mail
- Brief Versterk Kiteworks Secure Email met de Email Protection Gateway (EPG)
Veelgestelde vragen
De apparaatcodeflow is ontworpen voor apparaten met beperkte invoermogelijkheden, zoals smart-tv’s en IoT-tools. Aanvallers genereren een apparaatcode, verwerken deze in een phishinglokmiddel en wachten tot het slachtoffer zich namens hen authenticeert. Het slachtoffer voltooit een legitieme Microsoft-login en multi-factor authentication, maar de aanvaller ontvangt het sessietoken, waarmee toegang wordt verkregen tot mailboxen en data zonder traditionele beveiligingswaarschuwingen te activeren.
AI valideert doelen via de GetCredentialType API van Microsoft, genereert rolgerichte lokmiddelen die verwijzen naar echte audits of projecten en automatiseert mailbox-exfiltratie via de Graph API. Dit comprimeert verkenning, social engineering en datadiefstal van weken naar uren, waardoor dagelijks honderden compromitteringen plaatsvinden bij M365-tenants.
De aanval gebruikt legitieme authenticatieflows zonder malwarepayload, genereert geen handtekeningen en exfiltreert data via de eigen Graph API van Microsoft. Hierdoor zien identity analytics normale logins, DLP-tools geautoriseerde activiteit en missen standaardverdedigingen het misbruik van de authenticatielaag volledig.
Audit tenants om apparaatcodeflow uit te schakelen behalve voor gedocumenteerde zakelijke behoeften, dwing conditional access policies af die legacy methoden blokkeren, monitor op afwijkende toestemmingsverstrekkingen en grote mailbox-exporten, en scheid gevoelige externe data-uitwisseling naar een speciaal gereguleerd platform om de impact bij authenticatiecompromissen te beperken.