Aanvallers zetten de infrastructuur van legitieme diensten als DocuSign, QuickBooks, Google Drive, Adobe en Dropbox in om phishingmails af te leveren. Dat blijkt uit een analyse van 544.000 dreigingsmails door KnowBe4 Threat Lab. Bij bijna één op de tien berichten ging het om zogeheten Living Off Trusted Services-technieken.
De onderzoekers van KnowBe4 Threat Lab bekeken dreigingsmails die tussen juni en augustus 2026 werden waargenomen. Bij 53.000 van de 544.000 geanalyseerde berichten maakten aanvallers gebruik van LOTS-technieken. Daarbij gebruiken aanvallers de infrastructuur van het platform zelf, in plaats van een bekend merk na te bootsen. Een slachtoffer ontvangt zo een echte notificatie van bijvoorbeeld DocuSign of QuickBooks, met een legitiem afzenderadres en de juiste huisstijl. Een link in het bericht leidt vervolgens naar kwaadaardige content. Omdat de mail van een domein met een goede reputatie komt, kunnen traditionele e-mailbeveiligingsoplossingen volgens KnowBe4 moeite hebben om deze aanvallen te herkennen.
DocuSign en QuickBooks voeren de lijst aan
Samen waren DocuSign en QuickBooks goed voor bijna twee derde van de waargenomen LOTS-phishingmails. Het misbruik van DocuSign nam in elk van de drie onderzochte maanden toe. Het aantal phishingmails via Dropbox verdrievoudigde bijna en het misbruik van Adobe meer dan verdubbelde in dezelfde periode.
KnowBe4 verklaart de populariteit van deze diensten onder aanvallers uit het vertrouwen dat gebruikers en beveiligingssystemen erin hebben. Sommige platforms versturen automatisch een melding als iemand een document deelt. Aanvallers zetten die functie in om vanuit het platform zelf een legitieme notificatie te laten versturen. Daarnaast staan veelgebruikte zakelijke platforms bij organisaties vaak op allow lists, zodat meldingen niet in de spamfolder belanden. De drempel is volgens de onderzoekers laag: veel diensten bieden een gratis abonnement of proefperiode, waardoor een account binnen enkele minuten is aangemaakt.
Drie aanvalsmethoden na de klik
Na een klik op de link zagen de onderzoekers drie methoden. Bij de eerste komt het slachtoffer op een nagemaakte inlogpagina terecht, waar bijvoorbeeld om Microsoft-inloggegevens wordt gevraagd. In sommige gevallen gebruiken aanvallers daarbij een Adversary-in-the-Middle (AiTM)-techniek. De aanvaller stuurt het inlogproces dan in realtime door naar de echte omgeving en onderschept zo ook de geauthenticeerde sessie, ook als het slachtoffer MFA gebruikt.
De tweede methode misbruikt de OAuth device-authorization flow. De aanvaller start zelf een inlogproces en stuurt de bijbehorende code naar het slachtoffer, bijvoorbeeld met het verzoek deze in te voeren om een Adobe-document te openen. Het slachtoffer logt in op de echte inlogpagina en doorloopt de MFA-controle, maar rondt daarmee ongemerkt het proces van de aanvaller af. Die krijgt zo een geldige sessie in handen zonder het wachtwoord te hoeven stelen.
Bij de derde methode probeert de aanvaller het slachtoffer RMM-software zoals ScreenConnect, AnyDesk of Atera te laten installeren. De software wordt aangeboden als programma dat nodig is om het gedeelde document te openen. Omdat deze tools ook door IT-afdelingen en IT-dienstverleners worden gebruikt en digitaal zijn ondertekend, houdt beveiligingssoftware ze niet altijd tegen. Na installatie heeft de aanvaller volledige toegang op afstand tot het apparaat en kan hij proberen verder in de organisatie door te dringen.
Rechtstreeks inloggen op het platform
James Dyer, Head of Threat Intelligence bij KnowBe4, stelt dat een legitieme afzender niet automatisch betekent dat de inhoud van een e-mail te vertrouwen is. Volgens Dyer zijn gebruikers gewend alert te zijn op onbekende afzenders en verdachte domeinen, terwijl aanvallers juist diensten inzetten die medewerkers dagelijks gebruiken. Hij adviseert organisaties verder te kijken dan de technische reputatie van een afzender of link. Medewerkers doen er volgens Dyer goed aan om bij een onverwacht verzoek via een bekend platform rechtstreeks op dat platform in te loggen, in plaats van een link in de mail te gebruiken.
Het volledige rapport is te lezen via analyse van KnowBe4 Threat Lab.
