Zakelijke e-mail gehackt

Mailboxregels die u niet hebt gemaakt, inlogs uit landen waar de gebruiker nooit is geweest, wachtwoordreset- of MFA-registratiemeldingen die de gebruiker niet aanvroeg, contacten die vreemde antwoorden melden en verzonden items die de gebruiker niet herkent. Een enkel signaal verdient onderzoek. Twee tegelijk is een bevestigd incident.

Nee. Een wachtwoordreset maakt bestaande vernieuwingstokens en sessiecookies niet ongeldig. Heeft de aanvaller een gestolen token, dan blijft hij ingelogd. U moet sessies intrekken, door de aanvaller geregistreerde MFA-apparaten verwijderen en OAuth-toestemmingen intrekken. Pas daarna heeft de wachtwoordreset betekenis.

Ja, als u de sessies niet hebt ingetrokken, als de aanvaller een doorstuurregel heeft opgezet of als hij toestemming heeft gegeven aan een OAuth-app met leesrechten op het postvak. Daarom is herstel meer dan alleen een wachtwoordreset.

Dat hangt af van welke data is blootgesteld. Las of exporteerde de aanvaller persoonsgegevens, dan verplicht de AVG u het risico voor de betrokkenen te beoordelen en in veel gevallen ook te informeren. Wij helpen bij die beoordeling en bij de schriftelijke melding aan de Autoriteit Persoonsgegevens.

Een enkel gecompromitteerd postvak zonder laterale beweging sluit doorgaans binnen een of twee werkdagen billable werk. Verspreidde de aanval zich naar andere accounts, naar SharePoint of naar financiële processen, dan duurt het langer. Wij schatten dit in het eerste gesprek.

Dan zoeken wij het uit. Inloglogboeken, apparaatlogs, mailheaders, OAuth-auditsporen en de browsergeschiedenis van de gebruiker wijzen naar de oorzaak. Kunnen wij het niet met zekerheid bepalen, dan zeggen wij dat en beschrijven de waarschijnlijke weg binnen.