Cyberpediadoor Brain
NLDEENESFRIT

AiTM-aanval en diefstal van een MFA-token

Een nepinlogsite geeft uw wachtwoord en MFA-code live door, waarna de aanvaller de sessie steelt. Hoe het werkt en hoe u zich beschermt.

In 30 seconden

Waar het gebeurt
Op de inlogpagina van een onlinedienst (e-mail, online kantoorsoftware), bereikt via een link of een bijlage in een e-mail1.
Wat de aanvaller wil
Het wachtwoord en vooral de sessiecookie, om zich in uw plaats aan te melden ondanks multifactorauthenticatie (MFA)1.
De reflex
Open de inlogpagina niet vanuit een bericht; gebruik uw bladwijzer of een adres dat u zelf intypt, en meld elk bericht dat u daarheen stuurt.
Als het al gebeurd is
Waarschuw meteen de IT-afdeling, want een aanvaller kan enkele minuten na de diefstal al actief zijn in de mailbox1.

Waar gaat het over

U voert uw wachtwoord in, bevestigt de code van uw authenticatie-app en uw mailbox opent zich zoals altijd. Toch was de inlogpagina nep. Bij een aanval die "adversary-in-the-middle" (AiTM, de aanvaller in het midden) heet, geeft een server tussen u en de echte dienst alles live door, en houdt de aanvaller onderweg het bewijs van uw aanmelding.

Dat bewijs is de sessiecookie, het kleine bestand dat de dienst aan de browser meegeeft zodra de identificatie is geslaagd. Daarmee komt de aanvaller in uw account zonder dat de dienst hem nog iets vraagt.

Directe vragen

Beschermt MFA niet tegen accountdiefstal?

MFA houdt veel bedreigingen tegen. Microsoft schrijft dat AiTM geen zwakte van MFA is: omdat de sessiecookie wordt gestolen, is de aanvaller geauthenticeerd in plaats van de gebruiker, welke aanmeldmethode die gebruiker ook heeft1. MITRE merkt eveneens op dat het gebruik van een gestolen sessiecookie bepaalde MFA-protocollen omzeilt, omdat de sessie al geauthenticeerd is2.

Hoe ziet de vervalste pagina eruit?

Zoals de echte. De server van de aanvaller geeft elke uitwisseling door aan de nagebootste site: de pagina is visueel identiek aan het origineel en het adres is het enige zichtbare verschil1. Heeft de organisatie haar Azure AD-inlogpagina aangepast, dan neemt de neppagina dezelfde aanpassing over1.

Is een code van zes cijfers genoeg om me te beschermen?

Nee. CISA beschrijft een gangbare phishingtechniek: het bericht leidt naar een site die het inlogportaal van een bedrijf nabootst, en de gebruiker voert daar zijn gebruikersnaam, wachtwoord en de 6-cijferige code van zijn authenticatie-app in3.

Welke bescherming houdt echt stand?

FIDO2-sleutels en passkeys. Microsoft legt uit dat ze beschermen tegen imitatie van de verificateur: de authenticator geeft zijn geheimen alleen af aan de dienst waarbij de sleutel is geregistreerd, niet aan een aanvaller die zich als die dienst voordoet4. CISA rekent FIDO/WebAuthn en authenticatie op basis van publiekesleutelinfrastructuur (PKI) tot de phishingbestendige vormen van MFA3.

1In de huid van de aanvaller1 min

De aanvaller hoeft geen nepsite te bouwen: hij zet een webserver op die HTTP-pakketten in beide richtingen doorgeeft tussen het slachtoffer en de beoogde dienst1. De pagina bevat twee afzonderlijke TLS-sessies, één met het slachtoffer en één met de echte site, waardoor hij uit de verzoeken wachtwoorden kan halen en, belangrijker nog, sessiecookies1.

Dit werk is te automatiseren met opensourcekits. Microsoft noemt Evilginx2, Modlishka en Muraena1. MITRE vermeldt dat Evilginx2 kan dienen als AiTM-relay tussen een legitieme site en een gephishte persoon om inloggegevens, authenticatietokens en sessiecookies te onderscheppen5. Zodra de aanvaller de cookie heeft, plaatst hij die in zijn eigen browser om de authenticatie over te slaan, ook als de MFA van het doelwit is ingeschakeld1.

2Wat u op het scherm ziet1 min

Het begint met een bericht. MITRE beschrijft de e-mail met een kwaadaardige link, die onder meer dient om verdedigingen te ontwijken die bijlagen controleren6. In de campagne die Microsoft onderzocht, bevatte de e-mail een HTML-bijlage en kondigde die een voicemailbericht aan1. De pagina toonde een downloadbalk voor het bericht, maar die balk was vast in het bestand geschreven: er werd geen audiobestand gedownload1. Het slachtoffer werd daarna doorgestuurd naar een pagina die zijn e-mailadres alvast invulde, wat de val geloofwaardiger maakte1.

Dan volgt de inlogpagina, een kopie van het Microsoft-portaal. Nadat de inloggegevens waren ingevoerd en de authenticatie was geslaagd, kwam het slachtoffer op de echte pagina office.com terecht1. Niets wijst op de onderschepping: op de achtergrond had de aanvaller de inloggegevens al onderschept en op zijn beurt een sessie geopend1.

Hier volgt een geneutraliseerde illustratie van de vorm van zo'n adres, om te laten zien dat alleen het adres de val verraadt:

Fragment
Illustratie (geneutraliseerd adres, verzonnen als voorbeeld):
hxxps://login[.]exemple-portail[.]invalid/[identificatie van het slachtoffer]
Getoonde pagina: [kopie van het Microsoft-inlogformulier]
Verwacht adres: [het officiële adres van de dienst, door u zelf getypt of opgeslagen]
3Onder de motorkapIT-teams2 min

Een webdienst opent na de authenticatie een sessie, om niet op elke pagina opnieuw naar de identiteit te vragen. Die sessie berust op een cookie van de authenticatiedienst, dat aan de server bewijst dat de gebruiker is aangemeld1. MITRE merkt op dat dergelijke cookies vaak lang geldig blijven, ook wanneer de toepassing niet actief wordt gebruikt7. Een aanvaller die er een heeft, kan die importeren in een browser die hij beheert en zich bij de toepassing aanmelden2.

In de campagne van 2022 bevatten de cookies een MFA-claim: de aanvaller gebruikte ze dus om toegang te krijgen tot het account ondanks het MFA-beleid van de organisatie1. MITRE noemt ook een geval waarin APT29 gestolen cookies gebruikte voor toegang tot cloudbronnen, en een vervalste duo-sid-cookie om de MFA van een e-mailaccount te omzeilen, bij de inbreuk op SolarWinds2.

Aan de verdedigingskant rangschikt CISA de vormen van MFA van sterkst naar zwakst. Eenmalige codes uit een app zijn kwetsbaar voor phishing, net als sms en spraakoproepen3. Pushmeldingen met het invoeren van een getal zijn bestand tegen "push bombing", maar niet tegen phishing3. Alleen FIDO/WebAuthn is volgens CISA de breed beschikbare phishingbestendige authenticatie3. Het Britse NCSC wijdt een gids aan de sterkste MFA-methoden8. Microsoft raadt ook beleid voor voorwaardelijke toegang aan, dat wordt beoordeeld bij elke poging om een gestolen cookie te gebruiken (conform apparaat, vertrouwd IP-adres)1.

4IncidentanalysesEchte gevallen1 min

Juli 2022: een campagne gericht op meer dan 10.000 organisaties

Op 12 juli 2022 publiceert Microsoft de analyse van een grootschalige AiTM-phishingcampagne. Die stal wachtwoorden, kaapte sessies en omzeilde de authenticatie, ook wanneer MFA was ingeschakeld. Volgens de gegevens van Microsoft probeerde de campagne sinds september 2021 meer dan 10.000 organisaties te treffen1. De aanvallers bootsten de onlineauthenticatiepagina van Office na, met de kit Evilginx21.

Na de diefstal: fraude met overboekingen

De aanvallers gebruikten de gestolen inloggegevens en cookies vervolgens om toegang te krijgen tot mailboxen en om fraude met overboekingen (BEC) te plegen tegen andere doelwitten1. Microsoft zag dat vijf minuten genoeg konden zijn tussen de diefstal en het begin van de fraude1. In de dagen daarna bekeek de aanvaller om de paar uur financiële e-mails en bijlagen, zocht hij lopende uitwisselingen en wiste hij daarna de oorspronkelijke phishingmail1.

Vervolgens maakte hij een regel voor de postvak IN aan die berichten van het domein van het fraudedoelwit naar "Archief" verplaatste, als gelezen gemarkeerd, zodat de eigenaar niets zou zien1. Ten slotte beantwoordde hij gesprekken over betalingen en facturen en verwijderde hij zijn antwoorden uit de verzonden items1. Eén keer voerde hij meerdere pogingen tegelijk uit vanuit dezelfde mailbox1.

Fiche

Identificatie
CP-004
Vleugel
1. Aanvallen en technieken
Brain-competentie
Phishing herkennen (detect_phishing)
Brain-reflex
cr-004
Schema
G1 · Aanvalsketen (Kill Chain)
Talen
de, en, es, fr, it, nl
Bronnen
8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
  1. Microsoft, “From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud”, 12 juli 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise”. https://attack.mitre.org/techniques/T1550/004/ (geraadpleegd op 3 november 2026)
  3. CISA, “Implementing Phishing-Resistant MFA”. https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (geraadpleegd op 3 november 2026)
  4. Microsoft, “Passkeys (FIDO2) authentication method in Microsoft Entra ID”. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Adversary-in-the-Middle, Technique T1557 - Enterprise”. https://attack.mitre.org/techniques/T1557/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise”. https://attack.mitre.org/techniques/T1566/002/ (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Steal Web Session Cookie, Technique T1539 - Enterprise”. https://attack.mitre.org/techniques/T1539/ (geraadpleegd op 3 november 2026)
  8. NCSC (Royaume-Uni), “Multi-factor authentication for your corporate online services”, 26 september 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “AiTM-aanval en diefstal van een MFA-token”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/aitm-aanval-diefstal-mfa-token/

BibTeX 
@misc{brain_cp004_nl_2026,
  author = {Brain},
  title = {AiTM-aanval en diefstal van een MFA-token},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/aitm-aanval-diefstal-mfa-token/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0