Onderzoekers van KnowBe4 analyseerden 544.000 dreigingsmails en zagen dat aanvallers in 53.000 gevallen legitieme diensten zoals DocuSign en QuickBooks misbruikten om beveiligingsfilters te omzeilen.
KnowBe4 Threat Lab onderzocht dreigingsmails tussen juni 2026 en augustus 2026. Bij bijna één op de tien gebruikten aanvallers zogeheten Living Off Trusted Services-technieken (LOTS).
Daarbij bootsen cybercriminelen een merk niet alleen na, ze gebruiken de echte infrastructuur van het platform. Het slachtoffer krijgt een echte notificatie met een legitiem afzenderadres, maar de link leidt naar kwaadaardige content.
Waarom werkt phishing via vertrouwde platforms zo goed?
DocuSign en QuickBooks waren samen goed voor bijna twee derde van de 53.000 waargenomen mails. Het misbruik van DocuSign nam elke maand toe. Het aantal phishingmails via Dropbox verdrievoudigde bijna, terwijl dat via Adobe meer dan verdubbelde.
Platforms sturen automatisch meldingen wanneer iemand een document deelt, en aanvallers benutten die functie. Bovendien staan zakelijke diensten vaak op allow lists, waardoor traditionele e-mailbeveiliging moeite heeft met de herkenning. Door gratis abonnementen of proefperiodes maken criminelen binnen enkele minuten een account aan.
Welke aanvalsmethoden zagen de onderzoekers?
Bij de eerste methode leidt de link naar een nagemaakte inlogpagina, bijvoorbeeld voor Microsoft-inloggegevens. Soms zet de aanvaller een Adversary-in-the-Middle-techniek (AiTM) in en onderschept hij de geauthenticeerde sessie, zelfs bij MFA.
De tweede methode misbruikt de OAuth device-authorization flow. De aanvaller start zelf een inlogproces en stuurt de code naar het slachtoffer. Dat voert de code in op de echte inlogpagina en doorloopt de MFA-controle, waardoor de aanvaller een geldige sessie krijgt zonder het wachtwoord te stelen.
Bij de derde methode krijgt het slachtoffer legitieme Remote Monitoring and Management-software (RMM) aangeboden, zoals ScreenConnect, AnyDesk of Atera. Die tools zijn digitaal ondertekend en worden niet altijd tegengehouden, waarna de aanvaller op afstand volledige toegang tot het toestel krijgt.
Kijk verder dan de afzender
James Dyer, Head of Threat Intelligence bij KnowBe4, wijst erop dat een legitieme afzender niet automatisch betrouwbare inhoud betekent. Volgens hem moeten organisaties verder kijken dan de technische reputatie van een afzender of link.
Medewerkers moeten bij onverwachte verzoeken via een bekend platform kritisch blijven. Dyer adviseert om rechtstreeks in te loggen op het platform in plaats van op de link in de e-mail te klikken. De technische analyse met aanbevelingen staat in de blog van KnowBe4 Threat Lab.