AiTM phishing: Waarom zelfs een ingevoerde 2FA-code wordt gestolen

Jarenlang werd de uitrol van multi-factor authenticatie (MFA) beschouwd als het ultieme schild tegen credential theft. Voor CISO's en security teams was het invoeren van een sms-code of pushnotificatie dé manier om 99% van de klassieke phishingaanvallen direct te neutraliseren. Helaas brokkelt deze zekerheid snel af door de spectaculaire opkomst van Adversary-in-the-Middle (AiTM) aanvallen.

Tegenwoordig kan een medewerker nauwgezet zijn wachtwoord invoeren en de tweede factor op zijn smartphone goedkeuren, terwijl hij tegelijkertijd ongemerkt volledige toegang verleent tot zijn zakelijke mailbox of cloudomgeving. Cybercriminelen proberen uw wachtwoorden niet langer te kraken: ze omzeilen simpelweg de toegangscontrole. Het begrijpen van dit technische mechanisme is essentieel geworden om uw defensieve strategie en security awareness hierop aan te passen.

Hoe onderschept een AiTM phishingkit het sessietoken ondanks tweestapsverificatie?#

Kort samengevat: Een AiTM-kit functioneert als een kwaadaardige reverse proxy die verzoeken in real time doorstuurt tussen het slachtoffer en de legitieme doeldienst. Zodra de gebruiker zijn 2FA-code valideert, geeft de echte server een sessiecookie af die de aanvaller direct onderschept om de actieve sessie over te nemen.

In tegenstelling tot een traditionele phishingsite, die alleen het uiterlijk van een inlogpagina nabootst om toetsaanslagen te registreren, gebruikt een AiTM-infrastructuur een dynamische aanpak:

• Het spiegelrelais: De aanvaller zet een proxyserver (reverse proxy) op onder een misleidende domeinnaam. Zodra het slachtoffer op de kwaadaardige link klikt, laadt de server van de aanvaller de echte authenticatiepagina van de clouddienst en toont deze aan het slachtoffer.
• Onderschepping van de eerste factor: De gebruiker vult zijn gebruikersnaam en wachtwoord in. De kwaadaardige proxy stuurt deze gegevens meteen door naar de legitieme dienst, die vervolgens om de gebruikelijke tweede factor vraagt.
• Validatie van de MFA: Het slachtoffer ontvangt het goedkeuringsverzoek op zijn authenticator-app of krijgt een zescijferige code, en bevestigt deze te goeder trouw. Voor de medewerker verloopt het inlogproces volkomen identiek aan een normale sessie.
• Buitmaken van de sessiecookie: Zodra de MFA is goedgekeurd, genereert de legitieme server een authenticatietoken (sessiecookie) om de verbinding open te houden. Dit waardevolle token wordt door de AiTM-proxy onderschept voordat het slachtoffer wordt doorgestuurd naar een onschuldige pagina.

Gewapend met deze sessiecookie injecteert de aanvaller het token in zijn eigen browser. Hierdoor omzeilt hij het wachtwoord, de MFA-app en eventuele wachtwoordwijzigingen, met directe toegang tot de werkomgeving zonder dat er meteen alarmbellen afgaan.

Waarom traditionele 2FA-methoden niet meer volstaan tegen sessiediefstal#

Kort samengevat: Traditionele MFA-methoden zoals sms, TOTP-apps en mobiele pushberichten zijn cryptografisch niet gekoppeld aan het legitieme webdomein. Ze bewijzen uitsluitend de identiteit van de gebruiker op een specifiek moment, zonder de authenticiteit van de bezochte URL te controleren.

Eenmalige verificatiecodes via een app of per sms hebben een fundamentele structurele zwakte: ze zijn afhankelijk van menselijke invoer. Vanaf het moment dat een mens een reeks tekens kan aflezen en overtypen in een formulier, kan diegene gemanipuleerd worden om dit op een nagemaakte site te doen.

De kwetsbaarheid van pushberichten en TOTP-codes

Zelfs pushnotificaties met nummerverificatie (number matching) blijven kwetsbaar voor AiTM-aanvallen. De reverse proxy stuurt het nummer dat door de echte server wordt getoond rechtstreeks door naar het scherm van de misleide medewerker, die vervolgens zonder argwaan het juiste nummer kiest op zijn smartphone.

De noodzaak van FIDO2 en Passkeys

Om deze kwetsbaarheid structureel op te lossen, verschuift de markt naar phishing-resistente MFA gebaseerd op de FIDO2- en WebAuthn-standaard:

• Cryptografische domeinkoppeling: Bij een FIDO2-authenticatie (via een fysieke beveiligingssleutel of een Passkey) communiceert de browser rechtstreeks met de beveiligde hardware. De browser geeft hierbij de exacte URL van de bezochte website door.
• Automatische weigering bij een vals domein: Bevindt de gebruiker zich op een kwaadaardig domein (zoals login-beveiligd-domein.com in plaats van het officiële portaal), dan weigert de cryptografische sleutel het verzoek te ondertekenen omdat de herkomst niet klopt. De AiTM-proxy ontvangt niets en kan geen sessiecookie genereren.

Hoe beschermt u uw medewerkers concreet tegen AiTM phishing?#

De volledige overstap naar fysieke security keys en Passkeys vraagt tijd en aanpassingen in uw infrastructuur. Naast deze technische transitie kunt u direct operationele maatregelen nemen om uw risico aanzienlijk te verkleinen.

Voorwaardelijke toegang aanscherpen (Conditional Access)

Beperk de bruikbaarheid van gestolen sessiecookies door strikte toegangsregels in te stellen:

• Vereiste van conforme apparaten: Blokkeer het gebruik van websessies afkomstig van apparaten die niet geregistreerd zijn of niet voldoen aan het bedrijfsbeleid (via MDM-beheer).
• Geografische restricties en reisafwijkingen: Detecteer onmogelijke reispatronen (impossible travel), zoals een sessievalidatie vanuit Brussel of Amsterdam die twee minuten later wordt gevolgd door een API-verzoek vanaf een ander continent.
• Levensduur van tokens verkorten: Verklein de geldigheidsduur van sessiecookies op het web om regelmatige herauthenticatie af te dwingen bij bedrijfskritische applicaties.

Train teams op scherpe URL-controle

Het zwakke punt van een AiTM-aanval blijft de domeinnaam: een aanvaller kan immers nooit exact het legitieme domein van uw leverancier gebruiken. Aandacht voor de adresbalk van de browser blijft een cruciale verdedigingslinie.

Om deze reflexen structureel in te bedden bij uw personeel, is realistische training onmisbaar. Met Super Phisher, onze simulator voor phishingcampagnes die samen met onze experts wordt uitgerold, confronteert u uw teams met moderne scenario's. Zo meet u nauwkeurig in hoeverre zij afwijkende URL's herkennen voordat ze hun gegevens achterlaten.

BRAIN SECURITY IN DE PRAKTIJK · Super Phisher

Naar een moderne cyberdefensie: technologie en de menselijke factor#

Phishing die multi-factor authenticatie omzeilt, toont aan hoe snel aanvalstechnieken evolueren. Blind vertrouwen op een technische beveiligingslaag zonder continue training van uw medewerkers creëert een gevaarlijk gevoel van schijnveiligheid.

De meest effectieve verdediging combineert FIDO2-architecturen, strak geconfigureerde toegangscontroles en doorlopende training tegen geavanceerde social engineering. Wilt u toetsen hoe weerbaar uw organisatie is tegen de nieuwste cyberdreigingen en een passend trainingsprogramma opzetten? Neem contact met ons op om van gedachten te wisselen met ons team en onze interactieve aanpak te ontdekken.

Verder lezen: gerelateerde artikelen en oplossingen van Brain Security#

Aanvullende artikelen over dit thema

• Social engineering op professionele netwerken: Hoe een nepofferte leidt tot een datalek (Phishing & Social Engineering) : Ontdek hoe aanvallers zakelijke platforms misbruiken om medewerkers met valse vacatures te misleiden en bedrijfsnetwerken te infiltreren.
• Phishing meldingspercentage: waarom de CISO de klikratio moet loslaten (Phishing & Social Engineering) : Ontdek waarom het phishing meldingspercentage belangrijker is dan de klikratio om risico's te beperken en uw organisatie sneller te beveiligen.
• Baiting en besmette USB-sticks: Waarom nieuwsgierigheid een gevaarlijke aanvalsvector blijft (Phishing & Social Engineering) : Ontdek hoe een USB-baiting aanval uw medewerkers misleidt en welke fysieke beveiligingsreflexen uw organisatie beschermen tegen datalekken.
• Cyberveiligheid voor HR en Recruitment: Detecteer Kwaadaardige CV's en AI-Spooksollicitanten (Sectoren & Functies) : Ontdek hoe u uw HR-teams beschermt tegen besmette cv's, schadelijke portfolio's en deepfake video-sollicitanten tijdens online interviews.

Oplossingen van Brain Security op de website ontdekken

• Bijbehorende oplossing : Super Phisher : De phishingsimulator die uw teams traint op echte aanvallen, van de valse e-mail tot de geprepareerde QR-code, in een beheerst kader dat nooit een wachtwoord opvangt.
• Gebruikssituaties per doelstelling en sector bekijken
• Onze formats voor cyber- en AI-bewustwording vergelijken
• De volledige interactieve catalogus van Brain Security bekijken
• Bespreek uw behoeften met ons team (demo en opzet)