Sinds dit weekend gaat er een bericht rond op WhatsApp. Het komt van iemand die je kent en het vraagt of je wil stemmen op de dochter van een vriendin, voor een gratis dansles. Je klikt, je komt op een stemsite, je vult je telefoonnummer in en daarna een code die je te zien krijgt. Klaar.
Op dat moment is je account overgenomen. De NOS schreef er maandag over, de Fraudehelpdesk kreeg er de afgelopen dagen tientallen meldingen van, en het ministerie van Justitie en Veiligheid is vandaag een campagne begonnen onder de noemer ‘Laat je niet interneppen’.
Het interessante zit niet in de truc. Het zit in wat er níet is gebeurd.
Niemand heeft een wachtwoord weggegeven. Niemand is bestolen. Er is geen datalek bij WhatsApp en er is niets gekraakt. De code die mensen invulden koppelde een apparaat van de aanvaller aan hun account, via de gewone functie waarmee je WhatsApp op meerdere apparaten kunt gebruiken. In het nieuws heet het GhostPairing, maar de werking is prozaïscher dan de naam: het slachtoffer heeft zelf een tweede apparaat toegelaten.
En daar zit precies de reden dat dit meer is dan een consumentenverhaal.
Hetzelfde patroon, ander apparaat
Wij beheren IT voor bedrijven, en WhatsApp op een privételefoon is niet onze afdeling. Maar dit patroon kennen we wel, want het zakelijke equivalent komt vaker voor dan de meeste organisaties denken.
Daar werkt het zo. Een medewerker klikt op een link en komt op een pagina die er precies zo uitziet als de Microsoft-inlogpagina. Die pagina is geen namaak, hij zet het verkeer één op één door naar de echte dienst. De medewerker vult zijn wachtwoord in, krijgt zijn MFA-melding, keurt die goed en komt gewoon binnen. Alles werkt. Maar de pagina ertussen heeft het bewijs onderschept dat ná de verificatie wordt afgegeven, en daarmee kan de aanvaller verder zonder wachtwoord en zonder tweede stap.
Het patroon is hetzelfde, de techniek niet. Bij WhatsApp wordt een apparaat gekoppeld, zakelijk wordt een sessie overgenomen. De uitkomst is in beide gevallen dat er toegang bestaat die blijft werken, en dat de verificatie niet is omzeild maar gebruikt.
Dat laatste is het punt dat blijft hangen bij de mensen die wij hierover spreken. Meervoudige verificatie is geen slot dat is geforceerd. Het is een slot waarvan de eigenaar de deur heeft opengehouden.
De zakelijke versie is erger, en dat komt door iets onverwachts
In het WhatsApp-geval wist het slachtoffer het binnen een paar uur. Haar account stuurde het bericht door naar al haar contacten en zij kreeg naar eigen zeggen zo’n honderd berichten terug met “je bent gehackt”. WhatsApp blokkeerde het account daarna uit voorzorg.
Haar contacten waren haar detectie. En het platform greep in.
In een zakelijke omgeving bestaat dat allebei niet. Een overgenomen mailbox stuurt geen berichtje naar honderd mensen. De aanvaller leest mee, zet een regel aan die bepaalde mail wegsluist, en wacht. Er komt geen melding, er wordt niets geblokkeerd, en de aanmelding zelf is schoon: juiste gebruiker, geldige verificatie, bestaand apparaat.
Dat is waarom wij bij dit soort aanvallen altijd op hetzelfde uitkomen. Je moet niet alleen kijken naar wie er binnenkomt, maar naar wat er daarna gebeurt. Een aanmelding uit een land waar niemand zit. Een regel in de mailbox die facturen omleidt. Een download van een hele SharePoint-site op zondagavond. Daar is detectie voor nodig, en iemand die beoordeelt of het serieus is.
Dit is geen verhaal over domme mensen
De politie zegt in het NOS-artikel dat iedereen hier slachtoffer van kan worden, en vooral wie gehaast of afgeleid is. Dat is geen vriendelijkheid, dat is de kern.
Een maatregel die ervan uitgaat dat iemand in twee seconden de juiste afweging maakt, is geen maatregel. Het is een hoop. Wie zijn medewerkers de schuld geeft van dit soort aanvallen, heeft het probleem niet begrepen: de taak is om ervoor te zorgen dat één verkeerde klik niet meteen blijvende toegang oplevert.
Wat je deze week kunt doen
Controleer je gekoppelde apparaten. Op WhatsApp staat dat bij ‘Gekoppelde apparaten’. Herken je er een niet, meld hem af. Dat is dertig seconden en het geldt voor iedereen, zakelijk en privé. Stuur het vooral ook door naar je collega’s.
Koppel zakelijke toegang aan een beheerd apparaat. Richt voorwaardelijke toegang zo in dat aanmelden alleen lukt vanaf een apparaat dat je kent en beheert. Dan heeft een aanvaller aan een onderschepte sessie niets, want hij zit niet op dat apparaat. Dit is de maatregel die de aanval hierboven daadwerkelijk stopt.
Gebruik voor beheeraccounts verificatie die niet na te maken is, zoals een passkey of een hardwaresleutel. Die zijn gebonden aan het domein waarvoor ze zijn uitgegeven, dus een tussenpagina krijgt niets bruikbaars in handen.
En zorg dat iemand kijkt naar wat er na het aanmelden gebeurt. Want als de aanmelding schoon is, is dat het enige wat je nog kunt zien.
Die eerste kost je een halve minuut. Begin daar.
