Compromittering van zakelijke e-mail (BEC)
Hoe een aanvaller een zakelijke mailbox overneemt of een bekende afzender nabootst, en hoe u een betaalverzoek controleert.
In 30 seconden
- Waar het gebeurt
- In de e-mail, met een bericht dat lijkt te komen van een bekende contactpersoon, soms vanaf het echte account van een gehackte collega23.
- Wat de aanvaller wil
- Een ongeautoriseerde betaling of wachtwoorden1.
- De reflex
- Bevestig elk betalings- of wijzigingsverzoek via een tweede communicatiemiddel, met contactgegevens die u al kent en niet met die uit het bericht14.
- Als het al gebeurd is
- Meld het meteen, ook als u al hebt geklikt. Een snelle melding beperkt de schade1.
Waar gaat het over
Bij compromittering van zakelijke e-mail gebruikt een aanvaller een vertrouwd adres om een collega, klant of leverancier te misleiden. Hij heeft de controle over een echte mailbox overgenomen, of hij maakt een bericht dat de afzender nabootst. De medewerker krijgt een verzoek dat gewoon lijkt, bijvoorbeeld een betaling die moet worden uitgevoerd. Aanvallers maken misbruik van de werkgewoonten van een organisatie om ongeautoriseerde betalingen los te krijgen1.
De bronnen die hier worden aangehaald behandelen deze fraude niet allemaal onder die naam. Ze beschrijven de technieken die haar mogelijk maken: vervalsing van de afzender, gecompromitteerde accounts, verborgen doorstuurregels en slecht beveiligde domeinen. Dit artikel houdt zich aan wat ze zeggen.
Directe vragen
Wat is compromittering van zakelijke e-mail?
Het is e-mailfraude waarbij de aanvaller de rol van een vertrouwd persoon speelt. De bronnen noemen twee wegen. Ofwel vervalst hij de identiteit van de afzender, wat MITRE "Email Spoofing" noemt2. Ofwel compromitteert hij een legitiem account en gebruikt hij dat om de collega's van het slachtoffer te schrijven3.
Hoe herkent u het bericht?
CISA noemt veelvoorkomende signalen: dringende of emotionele taal, een verzoek om persoonlijke of financiële gegevens, onjuiste adressen of links, zoals amazan.com4. Dezelfde tekst stelt dat slechte spelling geen betrouwbaar signaal meer is, omdat sommige e-mails inmiddels perfecte grammatica hebben4.
Bewijst een bekend adres wie de afzender is?
Nee. Het vervalsen van de afzender kan zowel de menselijke ontvanger als geautomatiseerde beveiligingstools misleiden2. Een aanvaller kan ook aanhaken bij een bestaande gespreksdraad, wat MITRE "thread hijacking" noemt2. En als een intern account echt is gecompromitteerd, benut de aanvaller het vertrouwen in dat account om meer mensen te misleiden3.
Wat doet u als het verzoek echt lijkt?
Klik op geen enkele link en bel geen nummer uit het bericht. CISA raadt aan een andere manier te zoeken om het bedrijf of de persoon te bereiken, bijvoorbeeld via een nummer van een geverifieerde website, of een contactpersoon te bellen van wie u het nummer al hebt4. De Britse NCSC voegt toe dat belangrijke verzoeken per e-mail via een tweede soort communicatie moeten worden gecontroleerd: sms, telefoongesprek, inloggen op een account, bevestiging per post of persoonlijk1.
1In de huid van de aanvaller1 min
De aanvaller heeft twee beginpunten. Het eerste is een gestolen account. Volgens MITRE kan een legitiem account worden gecompromitteerd door het apparaat van de gebruiker te beheersen of door de inloggegevens te bemachtigen, waarna de aanvaller het gebruikt om andere mensen in dezelfde organisatie erin te laten lopen3. Om de inloggegevens te stelen kan hij een link sturen naar een site die een inlogpagina nabootst3.
Eenmaal in de mailbox kan hij daar een doorstuurregel aanmaken. Daarmee kan hij de activiteiten van het slachtoffer volgen, informatie stelen en de organisatie beter leren kennen5. De regel kan hem ook toegang tot de e-mails van het slachtoffer houden nadat beheerders het wachtwoord hebben gereset5.
Het tweede beginpunt is vervalsing, waarvoor geen toegang nodig is. De aanvaller zoekt dan informatie op die openbaar is. Volgens de NCSC dient de informatie op uw website en sociale netwerken om gerichte berichten overtuigender te maken, onder meer om een bestuurder te treffen in een zogeheten "whaling"-aanval1. Mensen die over geld beschikken of de IT beheren zijn voor hem interessanter1.
2Wat u op het scherm ziet1 min
Het bericht komt van een bekende naam en vraagt om snel handelen. De signalen die CISA beschrijft zijn tijdsdruk, een verzoek om financiële gegevens en een adres dat net iets afwijkt4. Een naastliggend domein kan volstaan: MITRE merkt op dat de groep Leviathan e-mails met een link verstuurde, vaak met een frauduleus "lookalike"-domein en gestolen huisstijl6.
De tekst is soms onberispelijk. De NCSC noemt een geval waarin een valse factuurmail die "needed urgent attention" goed geschreven was, zonder spel- of grammaticafouten1.
De weergegeven naam vertelt niet alles. In de campagne die hieronder wordt beschreven leek de e-mail afkomstig van een adres op usaid.gov, terwijl het echte verzendadres toebehoorde aan de gebruikte dienst voor massamailing, met een antwoordadres (Reply-To) dat eveneens op usaid.gov eindigde7.
De volgende illustratie is verzonnen en geneutraliseerd. Ze toont de typische vorm van een verdacht verzoek.
Illustration inventée, sans valeur réelle
De : [nom d'un dirigeant] <[email protected]>
Objet : [paiement urgent]
Corps : [demande de régler tout de suite une facture, de garder
l'affaire confidentielle et de ne parler à personne]3Onder de motorkapIT-teams2 min
In de bronnen komen drie mechanismen terug.
Het eerste is diefstal van inloggegevens via phishing, zoals hierboven beschreven. Daartegen raadt de NCSC multifactorauthenticatie aan: met een tweede factor kan een aanvaller een account niet openen met alleen het gestolen wachtwoord1. CISA geeft particulieren hetzelfde advies4.
Het tweede is de doorstuurregel. Regels kunnen worden aangemaakt vanuit een lokale toepassing, een webinterface of een opdrachtregel, en berichten onbeperkt doorsturen naar interne of externe ontvangers5. De aanvaller kan de regel ook verbergen door de eigenschappen ervan te wijzigen via de MAPI-API van Microsoft, waardoor ze onzichtbaar wordt in Outlook, OWA en de meeste beheertools van Exchange5. In Exchange kunnen transportregels zelfs gelden voor alle e-mail van een organisatie5. MITRE adviseert extern doorsturen uit te schakelen, de regels regelmatig te auditen en out-of-band-waarschuwingen in te stellen voor ongebruikelijk verzendgedrag, zoals massaal doorsturen5.
Het derde is de controle over het verzenddomein. MITRE beveelt SPF aan om het domein van de afzender te verifiëren en DKIM voor de integriteit van berichten, en merkt op dat een beleid als DMARC ontvangers helpt op dezelfde manier te filteren2. De NCSC stelt dat DMARC voorkomt dat fraudeurs uw domein vervalsen, en dat de ontvanger, als de afzender een DMARC-beleid van quarantaine of weigering heeft, dat beleid moet toepassen wanneer de validatie mislukt1. MITRE erkent bovendien dat interne e-mail met een val moeilijk met preventieve maatregelen te blokkeren is, omdat ze berust op misbruik van normale functies3.
4IncidentanalysesEchte gevallen1 min
28 januari 2021: de NOBELIUM-campagne, eerste golven
Microsoft volgt sinds januari 2021 een campagne met kwaadaardige e-mails van NOBELIUM, de actor achter de aanvallen op SolarWinds7. Ze begint op 28 januari 2021: de actor stuurt eerst alleen het vervolgdeel van het bericht, om de doelwitten te vinden die klikken, zonder kwaadaardige lading mee te sturen7. Dit geval richt zich op het installeren van malware en niet op een betaling. Het laat toch de methode zien: testen, nagaan wie reageert, bijsturen7.
25 mei 2021: een vertrouwde afzender op grote schaal nagebootst
Op 25 mei 2021 gebruikt NOBELIUM de legitieme dienst voor massamailing Constant Contact om zich voor te doen als een Amerikaanse ontwikkelingsorganisatie7. Het richt zich op ongeveer 3.000 accounts bij meer dan 150 organisaties7. In één voorbeeld lijkt de e-mail van USAID te komen, met een authentiek verzendadres dat eindigt op @in.constantcontact.com en een antwoordadres op usaid.gov7. De link leidt eerst naar de legitieme dienst en daarna naar de infrastructuur van de aanvaller, die een kwaadaardig ISO-bestand aflevert7.
De geautomatiseerde systemen blokkeerden de meeste e-mails en classificeerden ze als spam, maar enkele van de eerste berichten kunnen zijn afgeleverd7. Microsoft raadt multifactorauthenticatie aan om het effect van gecompromitteerde inloggegevens te beperken7.
Fiche
- Identificatie
- CP-017
- Vleugel
- 1. Aanvallen en technieken
- Brain-competentie
- Phishing herkennen (detect_phishing)
- Brain-reflex
- cr-007
- Schema
- G1 · Aanvalsketen (Kill Chain)
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 7 bronnen gecontroleerd op 3 november 2026
Bronnen7 bronnen
- NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1534/ (geraadpleegd op 3 november 2026)
- CISA, “Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1114/003/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (geraadpleegd op 3 november 2026)
- Microsoft, “New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog”, 27 mei 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Compromittering van zakelijke e-mail (BEC)”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp017_nl_2026,
author = {Brain},
title = {Compromittering van zakelijke e-mail (BEC)},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/},
note = {CC BY 4.0}
}