Pretexting, of de kunst van het valse voorwendsel

De aanvaller begint met het verzamelen van namen, functies en procedures. Een nepprofiel op een sociaal netwerk kan als ingang dienen: MITRE beschrijft fictieve accounts die medewerkers vacatures aanbieden, wat een aannemelijke reden geeft om vragen te stellen over afdelingen, regels en de IT-omgeving⁴. Identiteiten van medewerkers kunnen ook uit eerdere lekken komen: MITRE meldt dat Scattered Spider informatie uit eerdere datalekken gebruikte om namen van medewerkers te vinden voor zijn manoeuvres⁷.

Dan volgt de enscenering. Een aanvaller die bij één persoon te weinig informatie krijgt, benadert een ander in dezelfde organisatie en leunt op het eerste antwoord om legitiem over te komen¹. De telefoontjes van Scattered Spider verlopen vaak in meerdere stappen: de eerste dienen om te leren hoe de helpdesk een wachtwoordreset afhandelt, de volgende om de gegevens van de beoogde medewerker te verzamelen⁵.

Tot slot de druk. MITRE wijst op het zich voordoen als vertrouwde bron en het versturen van meerdere berichten die dringend lijken², en bij voice phishing op het gevoel van urgentie of alarm dat bij de ontvanger wordt opgewekt³.

De vormen die in de bronnen zijn waargenomen, zijn de volgende.

• Een telefoontje van een zogenaamde technicus die vraagt een hulpmiddel voor onderhoud op afstand te installeren. MITRE noemt telefoontjes van Scattered Spider waarin de beller zich uitgaf voor IT-personeel om slachtoffers zo'n hulpmiddel te laten downloaden³.
• Een bericht in Microsoft Teams van een nep-interne helpdesk, door MITRE vastgesteld bij Scattered Spider⁷.
• Een e-mail waarvan de afzender zich voordoet als een derde, wat zowel de ontvanger als de automatische beveiligingstools kan misleiden².
• Een bericht dat uitnodigt een telefoonnummer terug te bellen, waar de aanvaller vertrouwelijke informatie probeert te achterhalen².

CISA noemt ook de klassieke waarschuwingssignalen: een afzenderadres dat lijkt op dat van een echt bedrijf maar waarvan enkele tekens zijn gewijzigd of weggelaten, een algemene aanhef, links waarvan het adres niet overeenkomt met de tekst, fouten of een onsamenhangende opmaak, een ongevraagde bijlage met valse urgentie¹. Die signalen volstaan niet altijd: een goed geschreven, goed voorbereid verzoek kan er geen enkele bevatten.

Hier volgt een geneutraliseerde illustratie, beschreven naar de domeinnamen die CISA noemt (de naam van het beoogde bedrijf gevolgd door "helpdesk" of een single sign-on-dienst)⁵:

Illustratie, geneutraliseerd adres:
naam-van-het-bedrijf-helpdesk[.]invalid
[Geparafraseerd bericht: de "helpdesk" vraagt in te loggen op deze site om het account te controleren.]

Drie mechanismen werken samen. Eerst het verzamelen van informatie (organigram, namen, procedures), dat het decor van het voorwendsel levert⁴⁵. Dan het zich voordoen als een ander: een medewerker, een technicus of een nieuwe collega. Microsoft meldt dat Octo Tempest aan de telefoon het taalgebruik van de nagebootste personen nabootst, hun persoonlijke gegevens kent en zich heeft uitgegeven voor nieuwe medewerkers om op te gaan in de procedures bij indiensttreding⁶. Ten slotte gezag en urgentie, die aanzetten tot snel antwoorden.

De telefoon maakt misleiding makkelijker. CISA benadrukt dat internettelefonie het eenvoudig maakt de identificatie van de beller te vervalsen, wat inspeelt op het misplaatste vertrouwen van het publiek in de veiligheid van de telefoon¹.

Wanneer de aanvaller zich bij de helpdesk voordoet als medewerker, is het doel een wachtwoord te laten resetten of de multifactorauthenticatie te laten overzetten naar een apparaat dat hij beheert⁵. Microsoft beschrijft zelfs gevallen waarin hij de procedure omzeilt door het account van een reeds gecompromitteerde leidinggevende te gebruiken om zijn verzoeken goed te keuren⁶. Interne bevestigingen zijn dus alleen iets waard als het kanaal zelf veilig is.

Begin 2022: Octo Tempest en SIM-swaps

Volgens Microsoft werd de groep Octo Tempest voor het eerst waargenomen begin 2022. Zij richtte zich op mobiele telefoonaanbieders en bedrijven die bedrijfsprocessen uitbesteden, om nummeroverdrachten uit te lokken, de SIM-swaps. In 2022 haalde zij voordeel uit deze inbraken door SIM-swaps te verkopen aan andere criminelen en door de accounts van zeer vermogende personen over te nemen om hun cryptovaluta te stelen⁶.

25 oktober 2023: Microsoft beschrijft de methoden van Octo Tempest

In zijn bericht van 25 oktober 2023 legt Microsoft uit dat deze groep de helpdesk van een organisatie belt om het wachtwoord van een gebruiker te laten resetten of een authenticatiefactor te laten toevoegen⁶. Zodra de groep het telefoonnummer van een medewerker beheert, kan zij ook een zelfbedieningsreset van het account starten⁶.

16 november 2023 en 29 juli 2025: het gezamenlijke advies over Scattered Spider

Het gezamenlijke advies van CISA, de FBI en partnerorganisaties werd gepubliceerd op 16 november 2023 en daarna bijgewerkt op 21 november 2023 en op 29 juli 2025⁵. Het beschrijft een groep die grote bedrijven en hun uitbestede IT-helpdesks viseert⁵. De leden gaven zich per telefoon of sms uit voor IT- of supportpersoneel om inloggegevens te bemachtigen, en voor medewerkers om de support te overtuigen een wachtwoord te resetten en de tweede factor over te zetten⁵. Het advies beveelt phishingbestendige multifactorauthenticatie aan, beschermd tegen notificatiebombardement en SIM-swapping⁵.

De reflex komt hierop neer: u antwoordt niet aan degene die contact opnam, u controleert via een ander kanaal.

• Wees op uw hoede bij een ongevraagd telefoontje, bezoek of bericht met vragen over medewerkers of de interne organisatie. Als de onbekende zegt een legitieme organisatie te vertegenwoordigen, controleer dan zijn identiteit rechtstreeks bij die organisatie¹.
• Geef geen informatie over uzelf of over het bedrijf, structuur en netwerken inbegrepen, tenzij u zeker weet dat de persoon die mag weten¹.
• Twijfelt u aan een verzoek per e-mail, neem dan rechtstreeks contact op met de organisatie, zonder de contactgegevens uit het bericht of van de site bij het verzoek te gebruiken: zoek ze op in eerdere correspondentie¹.
• Meld de poging, ook als u niets hebt prijsgegeven. De Britse NCSC beveelt een cultuur aan waarin men meldt zonder angst voor verwijten, omdat medewerkers die sancties vrezen hun fouten niet melden⁸.

Aan de kant van de organisatie wijst MITRE erop dat gebruikers kunnen worden getraind om deze technieken te herkennen en te melden, en om bellers te wantrouwen door hun identiteit te controleren³.