Twee datalekken, één oorzaak: Wat Zimbra en Bank of Baroda onthullen over e-mail als aanvalsvector

Een Russische, aan de staat gelieerde hackgroep en een onbekende indringer die toegang kreeg tot de inbox van één Indiase bankmedewerker hadden niets bijzonders nodig om succesvol te zijn. Ze hadden alleen een e-mailaccount nodig. In dezelfde week, eind juli 2026, bevestigden twee niet-gerelateerde incidenten aan tegenovergestelde kanten van de wereld dezelfde ongemakkelijke waarheid: e-mail blijft de makkelijkste toegangspoort tot een organisatie, en de meeste organisaties laten die deur nog steeds openstaan.

Op 23 juli publiceerden CISA en internationale partneragentschappen Advies AA26-204A, waarin een campagne wordt beschreven van een groep die bekendstaat als LAUNDRY BEAR (ook bekend als Void Blizzard, CL-STA-1114 en TA488) die sinds ten minste juli 2025 misbruik maakt van een cross-site scripting-kwetsbaarheid in Zimbra Collaboration Suite webmail, CVE-2025-66376. Securityleverancier AttackIQ publiceerde op 27 juli een eigen reactie op het advies. Rond dezelfde tijd bevestigde de Indiase, staatsbank Bank of Baroda dat het een onderzoek is gestart naar een datalek dat volgens onderzoekers is ontstaan via het gecompromitteerde e-mailaccount van één medewerker. Verschillende continenten, verschillende aanvallers, verschillende schaal. Maar hetzelfde mechanisme.

Geen van beide incidenten vond plaats in een door Kiteworks beheerde omgeving. De slachtoffers van Zimbra gebruikten de native Zimbra webmail; de blootstelling bij Bank of Baroda is te herleiden tot standaard zakelijke e-mail. Maar beide gevallen illustreren hetzelfde risicotype waar een beheerd, beveiligd e-mail- en contenttoegangsplatform voor is ontworpen: door aanvallers gecontroleerde content die wordt uitgevoerd binnen een mailplatform, en een enkele mailbox die fungeert als ongecontroleerde toegangspoort tot maanden aan correspondentie, inloggegevens en gevoelige bestanden. Hieronder worden feit en bewering van de aanvaller in beide gevallen gescheiden, waarna wordt gekeken waar een Kiteworks secure data exchange-aanpak de blootstelling daadwerkelijk verandert en waar niet.

Belangrijkste inzichten

1. Eén enkele CVE in Zimbra webmail opende een spionagevenster van 12 maanden. CISA’s Advies AA26-204A koppelt CVE-2025-66376 aan een Russische, aan de staat gelieerde actor die sinds ten minste juli 2025 e-mails, inloggegevens en MFA-tokens verzamelt bij overheids- en commerciële doelwitten.
2. Bank of Baroda herleidt haar datalek tot één gecompromitteerde mailbox van een medewerker. De bank stelt dat de kernbanksystemen niet zijn benaderd, maar onderzoekers melden gelekte datasets die naar verluidt honderden gigabytes aan leningendossiers, auditrapporten en interne communicatie bevatten. Deze cijfers zijn afkomstig van de aanvaller en niet door de bank bevestigd.
3. E-mail is een dataopslagplaats, niet alleen een communicatiemiddel, en aanvallers weten dat. De Zimbra-exploit zou in één keer 90 dagen aan berichtenhistorie hebben opgehaald; de Baroda-mailbox bevatte blijkbaar leningbeoordelingen en interne audits die daar onbeschermd niet thuishoorden.
4. Geautomatiseerde beleidsafdwinging op elk bericht sluit een gat dat geen van beide slachtoffers had. Kiteworks Email Protection Gateway past encryptie, routering, quarantaine en afwijzingsbeleid toe op elk inkomend en uitgaand bericht op basis van de datainhoud en classificatie, en logt vervolgens het resultaat. Deze mogelijkheden zouden van toepassing zijn geweest als deze organisaties hun mail via Kiteworks hadden laten lopen in plaats van via native webmail.
5. Beheerde platforms maken webmail niet onkwetsbaar, en dit artikel beweert dat ook niet. Kiteworks was niet betrokken bij een van beide incidenten, en de kanttekeningen zijn belangrijk: EPG kan de onderliggende code van een webmailleverancier niet patchen, en de waarde ervan hangt af van hoe een organisatie haar beleid en bewaartermijnen instelt.

Inzicht in CISA Advies AA26-204A: De Zimbra-campagne

Het advies van CISA, gezamenlijk uitgegeven met internationale partneragentschappen, beschrijft een aanhoudende spionageoperatie tegen diverse sectoren: de Industriële defensiebasis (DIB), federale en lokale overheden, onderwijs, energie, rechtshandhaving, media, NGO’s en technologiebedrijven in westerse landen. De verantwoordelijke actor, gevolgd onder verschillende namen waaronder LAUNDRY BEAR, Void Blizzard, CL-STA-1114 en TA488, is naar verluidt sinds ten minste juli 2025 actief.

Het mechanisme is een cross-site scripting-kwetsbaarheid in de webmailinterface van Zimbra Collaboration Suite, gecatalogiseerd als CVE-2025-66376 en veroorzaakt door onvoldoende sanering van CSS @import-directieven in e-mailinhoud. Cross-site scripting-lekken stellen een aanvaller in staat om eigen code uit te voeren binnen de sessie van een legitieme webapplicatie, in dit geval de webmailclient zelf. Eenmaal geactiveerd, meldt CISA dat de exploit de voorgaande 90 dagen aan e-mails van het slachtoffer verzamelde, opgeslagen e-mailadressen en wachtwoorden, de interne e-maildirectory van de organisatie, tokens voor meervoudige authenticatie en alle nieuw aangemaakte applicatiewachtwoorden. Het gestolen materiaal werd naar verluidt doorgestuurd naar een backend-infrastructuur die de actor intern “Flowerbed” noemt. Zimbra bracht in november 2025 een oplossing uit in ZCS-versies 10.0.18 en 10.1.13, wat betekent dat elke organisatie die nog steeds blootstaat aan deze campagne al maanden een patch beschikbaar heeft.

Wat dit advies opmerkelijk maakt, is de omvang van wat één kwetsbaarheid in een webmailplatform kan opleveren. Het gaat niet om één e-mailbericht of één bijlage. Het betreft drie maanden aan correspondentie, de inloggegevens die die correspondentie beschermen, en de MFA-tokens die bedoeld zijn als vangnet tegen gestolen wachtwoorden. De reactie van AttackIQ, een adversary-emulatieoefening waarmee verdedigers kunnen testen of hun detectiestacks dit gedragspatroon opmerken, is een redelijke en nuttige stap. Het is echter op zichzelf een detectieoefening en geen preventieve maatregel; het emuleren van de aanval laat zien of je het zou opmerken, niet of de onderliggende webmailapplicatie de kwaadaardige inhoud überhaupt zou hebben uitgevoerd. Een SIEM-platform dat is geconfigureerd met gedragsalerts voor het Flowerbed-exfiltratiepatroon — abnormale uitgaande datastromen, ongebruikelijke sessietoken-activiteit, authenticatiegebeurtenissen buiten het gebruikelijke geografische gebied — is de detectie-infrastructuur die de emulatieoefening van AttackIQ omzet van een momentopname naar een continue monitoringmogelijkheid.

Bank of Baroda: Wat is bevestigd en wat blijft een bewering

Het tweede incident is beperkter in publieke details, maar mogelijk leerzamer over hoe snel een enkele mailboxcompromittering kan escaleren. Securityonderzoeker Srikanth Lakshmanan ontdekte als eerste een dataset die gelinkt is aan Bank of Baroda en circuleerde op het dark web. Reuters meldde vervolgens metadata waaruit bleek dat de verzameling meer dan 700GB omvatte, terwijl andere media spreken over “bijna 1 terabyte”. Dit zijn cijfers die zijn gemeld door de onderzoeker of de aanvaller, niet door de bank bevestigd, en dat onderscheid is belangrijk bij het beoordelen van de daadwerkelijke omvang van de blootstelling.

Het gelekte materiaal omvat naar verluidt klantidentiteitsdocumenten, lening- en waarderingsdossiers, interne auditrapporten, filiaaldocumenten en interne communicatie. Sommige berichten gaan verder en beweren dat ook Aadhaar-nummers en NetBanking-gegevens zijn blootgesteld, maar Bank of Baroda heeft deze specifieke inhoud niet bevestigd, dus die claim moet als onbevestigd worden beschouwd.

Wat de bank wél heeft bevestigd, is beperkter en veelzeggender: het datalek is ontstaan via een gecompromitteerd e-mailaccount van een medewerker, en de bank stelt dat de kernbanksystemen niet zijn benaderd en veilig zijn gebleven. Geen enkele hackgroep heeft formeel verantwoordelijkheid opgeëist, hoewel sommige onderzoekers de activiteit hebben gelinkt aan een dreigingsactor genaamd TripleX. Bank of Baroda zegt een forensisch onderzoek te zijn gestart en samen te werken met autoriteiten. Totdat dat onderzoek is afgerond, moeten de exacte hoeveelheid en inhoud van het gelekte materiaal als voorlopig worden beschouwd. Het feit dat via die ene mailbox intellectueel eigendom en klantendossiers toegankelijk waren, illustreert waarom financiële instellingen die onder GDPR-naleving of sectorspecifieke gegevensbeschermingsverplichtingen vallen, individuele e-mailaccounts van medewerkers niet buiten hun beheerde contentomgeving mogen plaatsen.

Laat de onzekere cijfers weg en één feit blijft overeind: een enkele mailbox van een medewerker bevatte of bood toegang tot leningendossiers, auditrapporten en interne communicatie die een bank niet publiekelijk wil laten circuleren. Dit is geen technisch complexe exploit zoals de Zimbra CVE. Het is een veelvoorkomender en mogelijk gevaarlijker patroon: gevoelige bedrijfscontent die zich bevindt in of bereikbaar is via de inbox van een individu, beheerd door welke toegangscontrole dat ene account toevallig ook heeft.

Waarom e-mail blijft winnen als aanvalsvector

Securityteams investeren al twintig jaar in phishing-bewustwordingstrainingen, antivirus-scans en meervoudige authenticatie, en toch is e-mail nog steeds het initiële toegangspunt bij een groot deel van de incidenten die het nieuws halen. De gevallen van Zimbra en Bank of Baroda laten zien waarom het probleem blijft bestaan: e-mail is geen enkel controlepunt, het is een complete contentopslagplaats met zwakke perimeterverdediging in verhouding tot wat het bevat.

Bedenk wat een mailbox na een of twee jaar normaal zakelijk gebruik bevat. Contracten. Leningbeoordelingen. Auditbevindingen. Klantendossiers die als bijlage zijn doorgestuurd omdat een gedeelde schijf onhandig was. Wachtwoordresetlinks. MFA-back-upcodes die “maar één keer” zijn verstuurd. Geen van deze content was bedoeld om permanent in e-mail te blijven staan, maar het hoopt zich daar op omdat e-mail het pad van de minste weerstand is voor informatieoverdracht tussen mensen. Aanvallers begrijpen dit beter dan de meeste verdedigers, wat verklaart waarom een webmailkwetsbaarheid of een enkele gestolen inloggegevens maanden aan gevoelige informatie kan opleveren in één keer. Een bevestigd datalek via een gecompromitteerd e-mailaccount — waar maanden aan gevoelige content zich hebben opgehoopt zonder beheerd bewaarbeleid — creëert een meldingsomvang die geen enkele organisatie precies kan afbakenen totdat de volledige toegangs­geschiedenis is gereconstrueerd.

Het Zimbra-advies voegt daar een tweede dimensie aan toe: de webmailapplicatie zelf wordt het aanvalsoppervlak, niet alleen de gebruiker die de berichten leest. Een cross-site scripting-lek vereist niet dat een gebruiker op iets kwaadaardigs klikt in de traditionele phishingzin. Het maakt misbruik van het vertrouwen dat de browser heeft in de eigen code van het webmailplatform. Dat verschuift een deel van de verdedigingslast van gebruikersopleiding naar hoe het e-mailplatform content screent, isoleert en auditeert, zowel wat wordt opgeslagen als wat erdoorheen gaat.

Waar een beheerde, beveiligde e-mailaanpak het risico verandert

Geen van de slachtoffers van Zimbra of Bank of Baroda gebruikte een Kiteworks secure email-omgeving, dus het zou onjuist zijn te stellen dat Kiteworks een van beide incidenten direct zou hebben voorkomen. Wat wel terecht is om te zeggen, is dat de mechanismen die beide adviezen beschrijven, door aanvallers geleverde content die wordt uitgevoerd binnen een webmailplatform en een gecompromitteerde mailbox die een pijplijn wordt voor gevoelige bedrijfsbestanden, precies het probleemgebied zijn waarvoor beheerde, beveiligde e-mail en zero trust-architectuur zijn ontworpen om te verkleinen.

De Kiteworks Email Protection Gateway (EPG) draait op een Data Policy Engine die automatisch encryptie, routering, quarantaine en afwijzing afdwingt op elk inkomend en uitgaand bericht op basis van datainhoud, afzender en ontvanger, en classificatielabels, zonder dat de verzender of ontvanger actie hoeft te ondernemen. Ook scant het inkomende berichten en leidt het vermoedelijk gevoelige data, zoals CUI van een defensie-aannemer, weg van een standaard inbox naar een compliant pad, en elke beslissing wordt vastgelegd in een uniforme, onveranderlijke audit log. Toegepast op het Zimbra-scenario zit die beleidslaag vóór de mailflow in plaats van binnen de eigen rendering engine van de webmailclient, waardoor de blootstelling aan een aanvalsklasse wordt verkleind die afhankelijk is van het uitvoeren van content door de webmailapplicatie die niet vertrouwd zou moeten worden. Toegepast op het Bank of Baroda-scenario is de meest relevante functionaliteit het behandelen van gevoelige bestanden, leningbeoordelingen, auditrapporten en klantendossiers als beheerde content die door beleid wordt gerouteerd en gelogd, in plaats van als losse bijlagen die overal kunnen staan waar een individuele mailbox ze opslaat. Dataminimalisatiebeleid dat wordt afgedwongen op het e-mailgatewayniveau — waarbij bijlagen en gevoelige content die de gedefinieerde bewaartermijn overschrijden automatisch worden verwijderd — vermindert de hoeveelheid terugvindbaar materiaal die beschikbaar is voor een aanvaller die een mailbox weet te compromitteren, en beperkt zo direct de impact die beide incidenten illustreren.

Deze beperkingen zijn belangrijk, want het overschatten van de mogelijkheden van een leverancier na een datalek is een veelvoorkomende en weinig behulpzame gewoonte in securitymarketing. EPG patcht geen broncode van een externe webmailleverancier en kan niet elke kwetsbaarheid op applicatieniveau elimineren in een platform waar het vóór zit. De effectiviteit hangt sterk af van hoe een organisatie haar beleid, classificatielabels en bewaartermijnen instelt; een slecht geconfigureerde gateway biedt slechts een fractie van de potentiële bescherming. De eerlijke framing is: minder blootstelling en een kleinere impact, geen immuniteit. Hetzelfde geldt voor het Baroda-geval: een directe koppeling tussen “gecompromitteerd e-mailaccount van medewerker” en “beheerde, beveiligde e-mail sluit dat gat” is een redelijke conclusie op basis van wat de bank heeft bekendgemaakt, maar geen bevestiging van een specifieke technische exploit, omdat de bank die niet heeft gepubliceerd.

Een Zero Trust-beveiligingsstatus rond e-mailcontent opbouwen

De praktische les uit beide incidenten is dat e-mail moet worden behandeld als een contentsysteem waarop dezelfde grondigheid wordt toegepast als op een fileserver of database, niet als een communicatiemiddel dat toevallig bijlagen vervoert.

Scan vóór aflevering, niet pas nadat een compromis is ontdekt. De Zimbra-exploit draaide binnen de webmailsessie zelf, dus een scanlaag vóór aflevering van berichten, in plaats van alleen te vertrouwen op de patchcyclus van de webmailleverancier, verkleint het venster waarin kwaadaardige content kan worden uitgevoerd.

Gevoelige bestanden horen ook niet permanent in individuele mailboxen te blijven staan. De leningbeoordelingen, auditrapporten en filiaaldocumenten van Bank of Baroda lagen naar verluidt in of waren bereikbaar via de inbox van één medewerker. Dataclassificatie en beheerde beveiligde bestandsoverdracht geven die content een eigen toegangsgrens, onafhankelijk van wat er met de inloggegevens van één persoon gebeurt. Een gegevensbeheerframework dat expliciet langdurige opslag van gevoelige bedrijfsdossiers in individuele mailboxen verbiedt — en die dossiers via een beheerde bestandsoverdrachtomgeving met toegangscontrole per bestand laat lopen — sluit het accumulatiepatroon dat beide incidenten van inloggegevensdiefstal naar grootschalige contentblootstelling deed omslaan.

MFA-tokens en applicatiewachtwoorden verdienen dezelfde behandeling als gevoelige content in transit, niet alleen als authenticatiegegevens. De Zimbra-campagne was specifiek gericht op nieuw aangemaakte applicatiewachtwoorden die via e-mail werden verstuurd. Dat betekent dat verdedigers moeten nadenken over hoe die tokens worden afgeleverd en opgeslagen, niet alleen over hoe ze worden gegenereerd.

En bouw audittrail-zichtbaarheid in op elk punt waar gevoelige content e-mail raakt. Wanneer zich een incident voordoet, moet de forensische tijdlijn al bestaan in plaats van achteraf uit fragmentarische logs te worden gereconstrueerd. Het lopende forensische onderzoek van Bank of Baroda en de nog onbevestigde omvang van het gelekte materiaal laten zien hoeveel moeilijker incidentrespons wordt zonder die zichtbaarheid vanaf het begin. Een gedocumenteerd incidentresponsplan dat een specifiek draaiboek bevat voor het scenario “gecompromitteerde mailbox van medewerker met opgehoopte gevoelige content” — met directe toegangsintrekking, extractie van auditlogs, scopebepaling en volgorde van meldingen aan toezichthouders — verandert dit patroon van een geïmproviseerde paniekreactie na een datalek in een geoefende, tijdgebonden respons.

Dit is allemaal niet exotisch. Het is de operationele uitwerking van zero trust data protection: verifieer elk stukje content dat via e-mail gaat, ongeacht of het van binnen of buiten de organisatie komt, en ga er niet van uit dat een mailbox veilig is alleen omdat deze toebehoort aan een vertrouwde medewerker.

Regelgevende en sectorspecifieke blootstelling buiten deze twee incidenten

De sectoren die in het CISA-advies worden genoemd, defensie, overheid, energie, rechtshandhaving en onderwijs, behoren ook tot de zwaarst gereguleerde als het gaat om de omgang met gevoelige content. Organisaties die onder CMMC-naleving vallen of CUI verwerken, hebben specifieke verplichtingen rond de manier waarop die gecontroleerde informatie via communicatiekanalen wordt uitgewisseld, verplichtingen die een webmailplatform dat kwetsbaar is voor content-executieaanvallen moeilijker maakt om na te leven. Financiële instellingen zoals Bank of Baroda opereren onder hun eigen regelgevende verwachtingen rond gegevensbescherming en meldingsplicht bij datalekken, en een gecompromitteerde mailbox van een medewerker die lening- en auditdossiers blootstelt, roept precies de vragen op die toezichthouders achteraf stellen: welke toegangscontroles waren er, wat werd gelogd en hoe snel werd de blootstelling vastgesteld. Risicobeheerprogramma’s voor de toeleveringsketen van organisaties in de doelsectoren van het CISA-advies moeten expliciet beoordelen of leveranciers of partners CUI of gereguleerde financiële data uitwisselen via onbeheerde e-mailkanalen — dezelfde kwetsbaarheidsklasse die LAUNDRY BEAR uitbuitte, geldt evenzeer voor de uitgebreide toeleveringsketen waarop een hoofdaannemer of financiële instelling vertrouwt.

Geen van deze adviezen is in de eerste plaats een complianceverhaal. Beide zijn operationele beveiligingsfouten, en de compliancegevolgen zullen waarschijnlijk volgen zodra de onderzoeken zijn afgerond. Toch herinneren ze eraan dat regelgevingskaders er steeds vaker van uitgaan dat organisaties basisvragen kunnen beantwoorden over via e-mail verzonden content: wat heeft de organisatie verlaten, wanneer en onder wiens toegang. Een platform dat is gebouwd rond naleving van regelgeving en beheerde contentuitwisseling is bedoeld om die vragen op afroep te kunnen beantwoorden, niet om ze achteraf te reconstrueren. Het CISO-dashboard biedt realtime zichtbaarheid over alle e-mail- en contentuitwisselingskanalen, waardoor deze directe beantwoordbaarheid operationeel wordt in plaats van een streven blijft.

Meer weten over het verkleinen van e-mailgerelateerde blootstelling met beheerde scanning, toegangscontrole en auditzichtbaarheid? Plan vandaag nog een persoonlijke demo.

Aanvullende bronnen

• Blog Post Bescherm uw gevoelige content met e-mailbeveiliging
• Blog Post Korte handleiding: optimaliseer e-mailbeheer, compliance en contentbescherming
• Brief Vergroot zichtbaarheid en automatiseer bescherming van alle gevoelige e-mail
• Brief Versterk Kiteworks Secure Email met de Email Protection Gateway (EPG)