Welke apps hebben toegang tot je Microsoft 365? Kijk het na voor een aanvaller het doet

De voordeur zat op slot, de achterdeur stond open

Je hebt tweestapsverificatie aangezet, je team gebruikt sterke wachtwoorden en je mail staat netjes bij Microsoft. Toch kan iemand zonder inlog in je mailbox komen. De route loopt via een app die je ooit toestemming gaf.

Dat gebeurde de afgelopen week bij honderden bedrijven. Het is een goed moment om te kijken welke apps er bij jou binnen mogen.

Wat er gebeurde bij ConnectWise

ConnectWise Cloud Backup, voorheen bekend als SkyKick, maakt back-ups van Microsoft 365-omgevingen. Veel IT-partners gebruiken het voor hun klanten, dus ook voor kleine bedrijven die zelf nooit van de naam gehoord hebben.

Een aanvaller kreeg de digitale sleutels van die back-up-app in handen. Met die sleutels kon hij bij elke klant aankloppen die de app ooit toegang had gegeven. Er was geen wachtwoord nodig en geen code op je telefoon, want de app was al vertrouwd. ConnectWise legde de dienst op 17 oktober stil. Beveiligingsbedrijf Huntress telde ruim 170 Microsoft 365-omgevingen waar daadwerkelijk iemand binnen was.

Op 21 oktober publiceerde Microsoft zijn analyse. Volgens Microsoft zit een aan de Chinese staat gelieerde groep erachter, die het werk liet doen door een AI-agent die zelfstandig aanvallen uitvoert. De cijfers uit dat rapport:

• inlogpogingen op meer dan 2.250 Microsoft 365-omgevingen;
• tot 2.900 pogingen per minuut;
• in meerdere gevallen minder dan drie uur van eerste verkenning tot beheerdersrechten.

Eenmaal binnen keek de aanvaller rond, voegde eigen sleutels toe aan apps om terug te kunnen komen en probeerde rechten op te hogen. Volgens ConnectWise zijn de back-ups zelf versleuteld gebleven en is daar geen inbraak gezien.

Waarom dit jou ook raakt

Je denkt misschien: wij gebruiken geen ConnectWise. Dat kan kloppen. Het punt is breder. In elke Microsoft 365-omgeving staan apps die toegang hebben gekregen. Een back-uptool, een plug-in voor je agenda, een e-mailhandtekening, een boekhoudkoppeling, een AI-assistent die je mail mag lezen. Elk van die apps heeft een sleutel. Wordt de leverancier gehackt, dan ligt die sleutel bij iemand anders.

Twee dingen maken dat nu urgenter dan een paar jaar geleden:

1. Snelheid. Een AI-agent probeert duizenden deuren tegelijk. Wat een mens dagen kostte, gebeurt nu in een middag. We schreven eerder over hoe kort de tijd tussen een lek en een aanval is geworden.
2. Meer koppelingen. Elke AI-tool die je aan je mail, agenda of bestanden hangt, is er weer een. Dat is prima, als je weet welke het zijn en wat ze mogen.

Zo zie je welke apps toegang hebben

Je hoeft hier geen specialist voor te zijn. Met een beheerdersaccount kost het een half uur.

1. Log in op het Microsoft Entra-beheercentrum (entra.microsoft.com) met een beheerdersaccount.
2. Ga naar Identiteit, dan Toepassingen, dan Bedrijfstoepassingen.
3. Zet het filter op alle toepassingen. Je ziet nu elke app die ooit toegang kreeg.
4. Klik per app op Machtigingen. Daar staat wat de app mag: alleen je naam lezen, of alle mail van iedereen in het bedrijf.
5. Kijk bij Aanmeldingslogboeken of de app de laatste maanden nog gebruikt is.

Heb je een IT-partner die je omgeving beheert? Vraag dan om dit overzicht. Een goede partner heeft het binnen een dag.

Wat je met dat overzicht doet

Loop de lijst langs met drie vragen per app:

• Gebruiken we dit nog? Een proefabonnement van twee jaar geleden hoeft geen toegang meer. Weg ermee.
• Mag hij meer dan nodig? Een handtekeningtool hoeft niet alle mailboxen te lezen. Vraag de leverancier of het met minder kan, of zoek een alternatief.
• Wie is de leverancier en hoe hoor je het als daar iets misgaat? Noteer bij elke app een contactpersoon of statuspagina.

Let bij het opruimen op één ding. Microsoft raadt aan om bij een vermoedelijke inbraak een app eerst uit te schakelen. Verwijderen kan daarna, zodat de sporen eerst bewaard blijven. Bij gewoon opruimen van ongebruikte apps is verwijderen prima.

Voor AI-tools geldt hetzelfde principe dat we beschreven in AI-agents alleen de toegang geven die ze nodig hebben. Een assistent die je agenda bijhoudt, hoeft niet in je boekhouding te kunnen.

Wat als je de getroffen app wel gebruikte?

Gebruik je ConnectWise Cloud Backup of SkyKick, of doet je IT-partner dat voor je? Dan raadt Microsoft het volgende aan:

• laat de koppelingen van ConnectWise uitgeschakeld tot de leverancier zegt hoe je veilig herstelt;
• bekijk de aanmeldingen van die apps vanaf 1 oktober, met extra aandacht voor alles na 15 oktober;
• controleer of er nieuwe beheerders, nieuwe apps of nieuwe sleutels bij zijn gekomen die niemand herkent;
• kijk of er doorstuurregels in mailboxen staan die er niet horen.

Dat laatste is belangrijk. Een doorstuurregel die alle facturen naar een extern adres stuurt, valt dagenlang niet op. Ging er klantdata naar buiten, dan heb je ook met de meldplicht uit de AVG te maken. Hoe dat zit lees je in AI en klantdata onder de AVG.

Maak er een vast moment van

Eén keer opruimen helpt, maar apps komen er ongemerkt weer bij. Elke medewerker die ergens op "toestaan" klikt, kan een nieuwe koppeling toevoegen. Twee dingen maken het blijvend:

• Zet in Entra de instelling aan waarmee medewerkers geen apps meer zelf toegang kunnen geven. Ze kunnen dan een verzoek indienen dat jij of je IT-partner goedkeurt.
• Plan twee keer per jaar een half uur om de lijst opnieuw door te lopen. Zet het in de agenda naast je back-uptest.

Zo weet je op elk moment wie er binnen mag. En als er morgen weer een leverancier in het nieuws komt, weet je binnen vijf minuten of het jou raakt.

Benieuwd wat dit voor jouw bedrijf betekent? We kijken het graag samen met je door.