Een phishingmail met een bijlage die op een agenda-uitnodiging lijkt, kan je naar een vervalst inlogscherm leiden dat pas ín je eigen browser wordt opgebouwd. Onderzoekers van Barracuda waarschuwen voor deze aanpak, die misbruikmaakt van vertrouwde Microsoft-diensten en zogeheten blob-URL's. De techniek verandert de belangrijkste regel niet: vul nooit inloggegevens in nadat je via een onverwachte mail of sms op een link hebt geklikt.
Bij klassieke phishing lokken criminelen slachtoffers naar een nagemaakte website. Die website heeft meestal een extern webadres dat beveiligingsdiensten kunnen onderzoeken en blokkeren.
In de nieuwe campagne werkt dat anders. Het valse inlogscherm wordt met een blob-URL opgebouwd in het geheugen van de browser. Zo'n tijdelijk browseradres verwijst niet naar een normale, openbaar gehoste pagina. De frauduleuze pagina bestaat alleen tijdens die browsersessie.
Dat kan automatische controles lastiger maken. Er is immers geen permanente phishingwebsite die eenvoudig aan een blokkadelijst kan worden toegevoegd. Maar voor de gebruiker blijft het risico precies hetzelfde: een frauduleus scherm probeert een wachtwoord of inlogcode buit te maken.
De onderzochte aanval begint met een e-mail die zich voordoet als een bericht van DocuSign. Daarbij zit een agenda-uitnodiging als bijlage. Wie die opent, kan via een reeks omleidingen bij Microsoft Teams belanden. Vervolgens wordt extern materiaal geladen en verschijnt er lokaal in de browser een vals inlogscherm.
Dat de route langs bekende Microsoft-onderdelen loopt, betekent nadrukkelijk niet dat de inlogvraag betrouwbaar is. Criminelen rekenen erop dat mensen minder argwanend worden zodra zij bekende logo's, Teams of een Microsoft-inlogvenster zien.
Een technische truc vraagt vooral om nuchter gedrag. Hanteer deze regels:
- Open geen onverwachte agenda-uitnodiging of bijlage, ook niet als de mail een bekend bedrijfslogo draagt.
- Ga bij een verzoek om in te loggen zelf naar de officiële app of typ het bekende webadres handmatig in.
- Wantrouw onverwachte omleidingen: een document hoeft je niet plotseling via meerdere schermen naar een inlogpagina te sturen.
- Geef nooit een wachtwoord, verificatiecode of herstelcode af na een link uit e-mail, sms of chat.
- Controleer extra kritisch of er opeens toestemming wordt gevraagd voor een Microsoft-, Google- of andere accountkoppeling.
Alleen klikken betekent niet automatisch dat je account is overgenomen. Heb je echter gegevens ingevuld, verander dan direct het wachtwoord via de officiële website of app. Meld actieve sessies af, controleer of er onbekende hersteladressen of apparaten aan je account zijn toegevoegd en zet tweestapsverificatie aan als die nog niet actief is.
Gebruik je hetzelfde wachtwoord elders? Verander het daar eveneens. Juist wachtwoordhergebruik maakt één gestolen inlog combinatie gevaarlijk voor meerdere accounts.
Een slotje in de browser, een bekend logo of een ogenschijnlijk betrouwbare omleiding is geen garantie. De veiligste gewoonte blijft verrassend eenvoudig: ontvang je onverwacht een inlogverzoek, sluit het venster en open zelf de dienst die je nodig hebt. Dat kost enkele seconden en haalt de kracht uit veel phishingtrucs.
Meer weten? Help Net Security: Cybercriminals are building phishing pages that exist only inside browsers · Security Brief: Barracuda spots blob URL phishing in Microsoft browser · NCSC: Actuele beveiligingsadviezen
