Belgische overheid waarschuwt voor misbruik van inloggen via sms

In dit artikel:

Het Belgische Centrum voor Cybersecurity (CCB) waarschuwt organisaties voor aanvallen waarbij criminelen Microsoft-accounts binnendringen via sms-aanmelding. Daarbij is alleen een telefoonnummer en een eenmalige sms-code nodig; een wachtwoord ontbreekt. Meerdere Belgische organisaties zijn op deze manier succesvol aangevallen.

Volgens het CCB zijn sms en spraak kwetsbare authenticatiemethoden, zowel als eerste als tweede beveiligingsfactor. Organisaties moeten sms-aanmelding als eerste factor uitschakelen en sms- en spraakverificatie verwijderen voor accounts met beheerdersrechten. Dat moet wel zorgvuldig gebeuren om te voorkomen dat gebruikers worden buitengesloten. Het CCB adviseert eerst afhankelijkheden in kaart te brengen, phishingbestendige alternatieven zoals passkeys of FIDO2 in te stellen en die te testen. Ook moeten organisaties hun logbestanden controleren op succesvolle sms-aanmeldingen en incidenten melden.