Wat is een man‑in‑the‑middle‑aanval?

Een aanvaller gaat als tussenstation fungeren tussen de gebruiker en de legitieme e‑maildienst. Je denkt in te loggen op een vertrouwde pagina, maar in werkelijkheid communiceer je met de aanvaller. Zo onderschept hij je inloggegevens.

Hoe werkt het?

Je krijgt een phishing-mail, bijvoorbeeld met een link naar een ‘veilige’ pagina om je e‑mailaccount te controleren of te upgraden.
Die link leidt niet naar de echte dienst, maar naar een nagemaakte loginpagina die eruitziet als het origineel.
De aanvaller configureert de pagina zo dat jij je gebruikersnaam en wachtwoord invoert, vaak inclusief je multi-factor authenticatie
De website stuurt je ingevoerde gegevens door naar de echte server — jij krijgt toegang, maar de aanvaller ook
Je bent ingelogd, maar de aanvaller heeft ook toegang doordat jouw loginsessie gekaapt is

Waarom is deze werkwijze effectief?

Het gebeurt in real time — je voert gegevens in alsof alles klopt.
De aanvaller vangt alle gegevens op die je invoert en laat deze automatisch doorsturen om zo jouw essie te kapen
De nep-login ziet er exact hetzelfde uit als de echte, zeker op mobiel of tablet.

Praktijkvoorbeeld

Stel: je krijgt een e‑mail met als afzender je eigen organisatie. Er wordt gevraagd je wachtwoord te verifiëren via een link.
Je klikt — ziet een pagina met je bedrijfslogo en een veld voor gebruikersnaam en wachtwoord.
Je logt in, je komt in je postvak, alles lijkt goed.
Maar de aanvaller heeft nu je wachtwoord en kan mails lezen, doorsturen of virussen verspreiden binnen je organisatie.

Hoe voorkom je dit?

Controleer de URL in de adresbalk. Zeker op mobiel is dat lastig, maar verdachte domeinen als *.security-login.com verdienen aandacht.
Deel nooit wachtwoorden via e-mail. Leg contact met IT of je provider als er iets wordt gevraagd.
Tweestapsverificatie (2FA) helpt enorm. Zelfs als je wachtwoord gestolen is, blijft je account beveiligd.
Phishing‑training helpt herkennen van nep‑e-mails. Triggerwoorden: urgentie, onbekende afzender, ongewone links.
E-mail security helpt met het voorkomen zodat deze berichten in eerste instantie niet je mailbox bereiken
Bij twijfel niet inloggen – gezond verstand helpt, klopt er iets niet? Log dan niet in.

Wat doe je als je toch slachtoffer bent?

Verander direct je wachtwoord via de officiële site en meldt je sessies af als dat mogelijk is
Breng IT-beheer of je e-mailprovider op de hoogte. Zij kunnen sessies blokkeren.
Controleer of er verdachte activiteit is geweest: doorgestuurde berichten, wachtwoordwijzigingen, inlogpogingen vanaf onbekende apparaten.

Conclusie

Een man‑in‑the‑middle aanval via phishing‑websites is slim opgezet en moeilijk te herkennen. Maar met alertheid, controle van URL’s, 2FA en phishing-voorlichting verklein je de kans dat je slachtoffer wordt. Een simpele klik kan wel één klik te veel zijn.

Sterke toename van ‘ClickFix’-aanvallen

De digitale wereld is continu in beweging, en helaas geldt dat ook voor cybercriminelen. In 2025 zien we een opvallende toename van een nieuwe vorm van social engineering (waarbij mensen worden misleid een handeling uit te voeren): ClickFix. In dit blogartikel leggen we deze nieuwe variant uit, wat is ClickFix precies en wat kun je er tegen doen?

Wat is ClickFix?

We schreven er eerder dit jaar al over, social engineering aanvallen waarbij gebruikers worden misleid om een handeling uit te voeren, bijvoorbeeld op een link klikken, software installeren, et cetera.

De meest recente ontwikkeling hierin zijn de aanvallen waarbij er een neppe fout- of updatemelding wordt getoond die de gebruiker zelf heel gemakkelijk kan oplossen, door de handelingen op het scherm uit te voeren. Deze handelingen zorgen er echter niet voor dat het probleem wordt opgelost, maar dat er malware wordt uitgevoerd. Een veel voorkomende variant bestaat uit de volgende instructies:

Druk op Windows-toets+R (opent het “Uitvoeren” scherm)
Druk op CTRL+V (plakken)
Enter (het commando wordt uitgevoerd)
Vaak wordt hiermee met Powershell een executable of script gedownload en uitgevoerd.

Breed verspreid

Deze aanvallen worden breed verspreid en worden op allerlei mogelijke manieren de wereld ingestuurd:

Phishing waarbij per e-mail of chat de links naar gebruikers worden verspreid
Malvertising waarbij bestaande advertentienetwerken worden misbruikt om de malware in advertenties op legitieme websites te tonen
SEO-poisoning waarbij de malware links hoog in de zoekresultaten van zoekmachines worden getoond
Gehackte websites waarbij de code wordt aangepast zodat ze links naar de malware tonen
Social media waarbij op diverse social media kanalen de links worden verspreid

Wat kun je er tegen doen?

De belangrijkste maatregelen die je kunt nemen tegen Clickfix zijn:

Awareness Training – leer de mens de gevaren herkennen en ze zijn minder snel geneigd erin te trappen
E-mail beveiliging – zorgt ervoor dat de malware de mens helemaal niet kan bereiken
Endpoint Protection – beschermt de PC’s zodat de malware niet kan worden uitgevoerd
Beperking van rechten – als de gebruiker geen lokale administrator is kan de malware vaak vrijwel niets uitvoeren en blijft de schade beperkt

Eén op de vier ransomware-slachtoffers krijgt data niet terug na betaling

Uit het 2025 state of Ransomware report van onderzoeksbedrijf Delinea is gebleken dat 69% van de bedrijven wereldwijd te maken krijgt met ransomware en zelfs dat 27% van deze slachtoffers te maken krijgt met meerdere aanvallen.

Minder vaak, meer impact

Een trend die zich laat zien is dat ten opzichte van 2024 er minder organisaties daadwerkelijk losgeld hebben betaald, namelijk 57% ten opzichte van 76%.
Maar helaas staat daar tegenover dat 85% van deze slachtoffers ook te maken had met het openbaar maken van hun data, de zogenaamde extortion attacks waarbij bedrijven geld moeten betalen zodat de criminelen hun data niet publiceren.

Uit dit onderzoek is ook gebleken dat één op de vier slachtoffers hun data niet of niet helemaal heeft teruggekregen, zelfs na het betalen van losgeld. Dit onderstreept maar weer waarom het altijd een slecht idee is om het losgeld te betalen.

Dubbelrol voor AI

Ook is gebleken dat AI hierin een dubbelrol speelt:

Aanvallers gebruiken AI voor geavanceerde of zelfs geautomatiseerde phishing-aanvallen, maar ook voor deepfakes
AI wordt ook veel ingezet om phishing tegen te gaan door betere patroonherkenning of betere analyse van IoC’s (Indicators of Compromise)

Alleen backup niet meer voldoende

Met de toenemende trend van de extortion is het hebben van een backup als losstaande maatregel niet meer voldoende. Hoewel dit ervoor zorgt dat je je data kunt terughalen voorkomt dit niet dat criminelen jouw data kunnen uitlekken.

Ransomware evolueert snel, met AI-gestuurde aanvallen en extortion die net zo schadelijk zijn als encryptie. Hoewel minder organisaties losgeld betalen, nemen de aanvallen en hun gevolgen toe. Organisaties moeten daarom een proactieve beveiligingsstrategie hanteren: AI-ondersteunde detectie, zero trust, PAM en striktere toegangscontrole vormen de sleutel tot effectieve verdediging.

Politie haalt veelgebruikte malware-tool offline

De politie heeft de malware-testdienst AVCheck offline gehaald, waarmee cybercriminelen hun software onzichtbaar maakten voor antivirusprogramma’s. Deze actie, onderdeel van een internationale operatie, verstoort de verspreiding van malware en voorkomt nieuwe slachtoffers.

AVCheck

AVCheck was een zogenaamde counterantivirus wat inhoudt dat de service gebruikt kon worden om te testen of malware door een antivirus gedetecteerd zou worden of niet. Dit stelde de ontwikkelaars ervan in staat om hun malware zodanig aan te passen zodat het zo min mogelijk gedetecteerd werd of zelfs worden gebruikt om bepaalde producten te kunnen ontwijken voor gerichte aanvallen.

Offline gehaald

Een internationale samenwerking tussen verschillende instanties, waaronder de Nederlandse Politie en de Amerikaanse FBI, heeft ervoor gezorgd dat een populaire tool onder malware-ontwikkelaars genaamd AVCheck offline gehaald is. Daaraan gerelateerd zijn ook twee crypting services offline gehaald waarmee malware zodanig versleuteld kon worden dat het (zo goed als) onherkenbaar werd voor anti-virus oplossingen.

Tijdens de actie hebben de instanties het loginscherm van de dienst nagebootst om zo min mogelijk argwaan te wekken om vervolgens een bericht te tonen dat de site in beslag is genomen door overheden.

Operation Endgame & Project Melissa

Deze actie hangt nauw samen met de grotere Operation Endgame waarin verschillende malwarediensten offline zijn gehaald met als uiteindelijke doel om de dreiging van deze cybercriminelen te verkleinen.

In deze operatie is er ook nauw samengewerkt met bekende antiviruspartijen die samenwerken met diverse instanties onder de noemer Project Melissa om informatie te delen en samen te werken.

Microsoft maakt nieuwe accounts standaard wachtwoordloos

Microsoft maakt nieuwe accounts nu standaard wachtwoordloos om de beveiliging en het gebruiksgemak te verbeteren. Gebruikers hoeven geen traditioneel wachtwoord meer in te stellen, maar kunnen inloggen via passkeys, biometrische gegevens zoals vingerafdruk of gezichtsherkenning, of een eenmalige verificatiecode. Deze stap is onderdeel van Microsofts bredere strategie om wachtwoorden volledig uit te faseren en zo phishing en andere cyberaanvallen te verminderen.

Passkeys

Microsoft is al langer board member van de FIDO Alliance die sinds 10 jaar het gebruik van passkeys als een alternatief op wachtwoorden ontwikkelt en promoot. Volgens de FIDO Alliance wordt dit momenteel door meer dan 15 miljard accounts wereldwijd gebruikt.

Passwordless by default

Microsoft heeft recent aangekondigd dat alle nieuwe accounts vanaf heden automatisch passwordless zullen zijn door de standaardinstelling hierop aan te passen. Deze mogelijkheid was er al enige tijd, maar het bekende bedrijf uit Redmond heeft nu de interface zodanig aangepast dat de passkey default is, er is nog wel een mogelijkheid om een wachtwoord te gebruiken maar dat wordt afgeraden.

Veiliger

Zoals wij al eerder schreven in ons blog zijn passkeys standaard een stuk veiliger dan het gebruik van wachtwoorden, plus in veel gevallen ook nog eens makkelijker in gebruik.

Zo’n passkey kan een smartphone zijn (in combinatie met bestaande biometrische beveiliging zoals FaceID of een vingerafdrukscanner) of een token als een YubiKey met een USB-aansluiting.

Door de inherente veiligheid van passkeys wordt het vrijwel onmogelijk om met een nagemaakte website credentials te achterhalen, de passkey weet immers dat de credentials bij een bepaalde website horen en zo’n nagemaakte phishing site valt hier niet onder.

Amerikaanse overheid stopt financiering van MITRE

De Amerikaanse non-profit organisatie MITRE, vooral bekend van het CVE-programma (Common Vulnerabilities & Exposures) wat één van de steunpilaren van de cybersecurity-industrie is heeft bekend gemaakt dat met ingang van 16 april de Amerikaanse overheid stopt met het financieren van dit programma.

CVE’s

CVE’s zijn één van de belangrijkste items binnen de cybersecurity wereld, aangezien dit een de facto standaard biedt waaruit iedereen informatie kan halen.
Sinds 1999 worden in het CVE programma worden kwetsbaarheden geïnventariseerd, gedefinieerd en bijgehouden.
Een CVE wordt daarbij aangemerkt als een SPOT (Single Point of Truth), omdat een CVE-nummer door een beperkt aantal instanties (ook wel CNA, CVE Numbering Authority) mag worden uitgegeven waarbij er het nodige werk vooraf gaat.

Financiering

Dit programma is jarenlang onder andere gefinancierd door de Amerikaanse overheid, maar dit houdt op per 16 april 2025 en is (helaas) nog niet verlengd.

Dit kan mogelijk verstrekkende gevolgen hebben als er een onderbreking in de dienstverlening plaatsvindt, waardoor het niet ondenkbaar is dat er geen nieuwe CVE’s kunnen worden aangemeld als MITRE een storing heeft.

De vicepresident van de MITRE Yosry Barsoum schrijft daarover het volgende in een brief naar CVE board members:

“If a break in service were to occur, we anticipate multiple impacts to CVE, including deterioration of national vulnerability databases and advisories, tool vendors, incident response operations, and all manner of critical infrastructure.”

Wereldwijd belang

Voor een grootschalig en internationaal probleem zoals cybersecurity is het zeer belangrijk dat er een onafhankelijke en centrale database zoals CVE is, omdat samenwerking tussen organisaties vanuit verschillende aspecten met een gedeelde bron van informatie een essentieel onderdeel hiervan is.

Wij van RiskGuard hopen dan ook ten zeerste dat dit programma doorgang kan vinden en zullen ons inzetten om hierbij te ondersteunen waar mogelijk en indien nodig.

Microsoft dicht actief gebruikt zero-day lek in Windows

Microsoft heeft recent updates uitgebracht die een zero-day kwetsbaarheid in vrijwel alle versies van Windows oplost. Deze kwetsbaarheid werd volgens diverse onderzoeken ingezet in ransomware-aanvallen om privilege escalation te doen.

CVE-2023-28252

Het betreffende lek (CVE-2023-28252) maakt gebruik van een kwetsbaarheid in Common Log File System (CLFS) binnen Microsoft Windows in zit in zowel Server- als clientedities. Dit onderdeel wordt gebruikt om applicaties en services snelle toegang te geven tot logging en is beschikbaar voor vrijwel elke applicaties, ongeacht het niveau.

Privilege escalation

Door dit lek te gebruiken kan een aanvaller een privilege escalation uitvoeren, oftewel de rechten verhogen naar SYSTEM niveau, wat het hoogste niveau is binnen Windows. Door het verschaffen van deze rechten kan een volledig systeem gecompromitteerd worden.

Ransomware aanvallen

Volgens onderzoeken van Microsoft zelf en onder andere ook Kaspersky is deze CVE gebruikt in recente ransomware-aanvallen om systemen over te nemen. Kaspersky heeft waargenomen dat de ransomware-bende “Nokoyawa” voornamelijk deze methodiek gebruikt waarbij vooral MKB-bedrijven in het Midden-Oosten en Noord-Amerika werden aangevallen.