Cybercriminelen misbruiken bestaande e-mailgesprekken door eerst toegang te krijgen tot een e-mailaccount of mailserver, de inhoud van lopende gesprekken te lezen en zich vervolgens in te voegen in die thread alsof ze een vertrouwde gesprekspartner zijn. Het resultaat is een phishingaanval die er precies uitziet als een normale, verwachte reactie van een collega of zakenpartner. In dit artikel beantwoorden we de belangrijkste vragen over deze aanvalsvorm, zodat je weet waar je op moet letten en hoe je jezelf kunt beschermen.
Hoe komen cybercriminelen aan bestaande e-mailgesprekken?
Cybercriminelen verkrijgen toegang tot bestaande e-mailgesprekken via gecompromitteerde e-mailaccounts, gelekte inloggegevens of kwetsbaarheden in mailservers. Zodra ze toegang hebben, lezen ze mee met lopende threads en wachten op het juiste moment om toe te slaan. Ze hoeven zelf geen gesprek te starten, want het werk is al voor hen gedaan.
De meest voorkomende methoden zijn:
- Credential stuffing: aanvallers gebruiken eerder gelekte gebruikersnamen en wachtwoorden om in te loggen op zakelijke e-mailaccounts.
- Phishing in een eerdere fase: een medewerker klikt op een gewone phishinglink, waarna de aanvaller toegang krijgt tot het account en alle gesprekken kan lezen.
- Malware op een werkstation: via kwaadaardige software worden inloggegevens of sessietokens gestolen, zonder dat de gebruiker dit merkt.
- Kwetsbaarheden in mailservers: slecht geconfigureerde of niet-gepatchte servers bieden een directe ingang voor aanvallers.
Wat deze aanpak zo gevaarlijk maakt, is dat de crimineel niet meteen toeslaat. Hij leest weken of maanden mee, begrijpt de relaties tussen betrokkenen, kent de lopende projecten en weet precies welke toon de gesprekspartners hanteren. Die kennis gebruikt hij later om een overtuigende, nagenoeg perfecte nepreactie te sturen.
Wat is conversation hijacking en hoe werkt het precies?
Conversation hijacking is een aanvalsvorm waarbij een cybercrimineel zich invoegt in een bestaande, legitieme e-mailthread om het vertrouwen van de ontvanger te misbruiken. In plaats van een nieuw bericht te sturen, reageert de aanvaller op een lopend gesprek, waardoor het lijkt alsof het bericht afkomstig is van iemand die de ontvanger al kent en vertrouwt.
Het proces verloopt doorgaans in een aantal stappen:
- Toegang verkrijgen: de aanvaller compromitteert een e-mailaccount of mailserver en leest mee met bestaande gesprekken.
- Informatie verzamelen: hij bestudeert de inhoud, toon, betrokkenen en context van de gesprekken gedurende een langere periode.
- Moment kiezen: hij wacht op een situatie waarin een verzoek logisch aanvoelt, bijvoorbeeld een factuur die verwacht wordt of een betalingswijziging die net besproken is.
- Inspringen in de thread: hij stuurt een bericht vanuit het gecompromitteerde account of een nabootsend adres, als directe reactie op de bestaande thread.
- Actie uitlokken: het bericht bevat een verzoek, zoals een rekeningnummer wijzigen, een bijlage openen of inloggegevens bevestigen.
Het verschil met gewone phishing is dat er geen verdacht nieuw onderwerp of onbekende afzender is. Alles past bij de verwachting van de ontvanger, wat de kans op succes voor de aanvaller aanzienlijk vergroot.
Waarom is deze aanvalsvorm moeilijker te herkennen dan gewone phishing?
Conversation hijacking is moeilijker te herkennen dan gewone phishing omdat het vertrouwen ontleent aan een echte, lopende relatie. Er is geen vreemd afzenderadres, geen onbekend onderwerp en geen generieke aanhef. Het bericht past precies in de context die de ontvanger al kent, waardoor de gebruikelijke waarschuwingssignalen ontbreken.
Bij traditionele phishing let je op dingen als:
- Een onbekende afzender of een vreemd e-mailadres
- Een onverwacht onderwerp of een generieke aanhef
- Spelfouten of een onnatuurlijke schrijfstijl
- Een verdachte link of bijlage zonder duidelijke context
Bij conversation hijacking zijn al deze signalen afwezig of sterk verminderd. De aanvaller kent de namen van de betrokkenen, weet welk project er loopt en schrijft in dezelfde informele of formele toon als de echte gesprekspartner. Bovendien staat het bericht in de vertrouwde thread, waardoor de ontvanger minder kritisch is dan bij een nieuw bericht.
Dit maakt bewustwording extra belangrijk. Technische filters herkennen deze aanvallen minder goed, en medewerkers zijn gewend om snel te reageren op berichten van bekende contacten. Juist die combinatie van technische en menselijke factoren maakt deze aanvalsvorm zo effectief.
Welke sectoren en bedrijfsprocessen zijn het vaakst doelwit?
Sectoren met veel externe communicatie, hoge transactiewaarden of complexe toeleveringsketens zijn het vaakst doelwit van conversation hijacking. Financiële dienstverlening, vastgoed, juridische diensten, bouw en zakelijke dienstverlening worden het meest getroffen, maar ook het MKB in het algemeen is een aantrekkelijk doelwit vanwege beperktere beveiligingsmaatregelen.
Binnen bedrijven richten aanvallers zich het liefst op deze processen:
- Betalingen en facturatie: het wijzigen van een rekeningnummer of het doorsturen van een “gecorrigeerde” factuur is een klassiek scenario.
- Inkoop en leveranciersbeheer: gesprekken met leveranciers worden onderschept om frauduleuze bestellingen of betalingen te initiëren.
- HR en salarisadministratie: aanvallers vragen om een rekeningnummer te wijzigen voor salarisuitbetaling.
- Juridische en contractuele communicatie: gevoelige documenten of betalingsverplichtingen worden misbruikt.
- IT-gerelateerde communicatie: verzoeken om inloggegevens te bevestigen of software te installeren worden ingevoegd in lopende IT-gesprekken.
Een gemeenschappelijk kenmerk is dat het gaat om processen waarbij geld, gevoelige gegevens of toegangsrechten van hand wisselen, en waarbij medewerkers gewend zijn om snel te handelen op basis van e-mailverzoeken.
Hoe herken je een gehijackte e-mailthread als medewerker?
Als medewerker herken je een gehijackte e-mailthread door te letten op subtiele afwijkingen in het afzenderadres, onverwachte verzoeken die niet passen bij de vorige berichten in de thread, of een plotseling andere schrijfstijl. Het gevoel dat iets niet klopt, is vaak een betrouwbare indicator.
Concrete signalen om op te letten:
- Een iets ander e-mailadres: het domein lijkt op het echte adres, maar bevat een extra letter, een cijfer of een ander domein (bijvoorbeeld .net in plaats van .nl).
- Een onverwacht verzoek: midden in een gesprek over een project verschijnt plotseling een verzoek om een betaling te doen of een bijlage te openen.
- Urgentie zonder duidelijke reden: het bericht vraagt om snelle actie, bij voorkeur zonder verificatie via een ander kanaal.
- Iets anders dan normaal in de toon: de schrijfstijl voelt iets formeler, afstandelijker of juist ongewoon informeel aan.
- Rekeningnummer of contactgegevens die zijn gewijzigd: een bestaand gesprek over een factuur eindigt met een “gecorrigeerd” rekeningnummer.
De gouden regel: bel de afzender altijd op via een bekend telefoonnummer als je twijfelt aan een verzoek, zeker als het gaat om betalingen of het delen van gevoelige informatie. Vertrouw nooit alleen op de e-mailthread zelf om de identiteit van de afzender te bevestigen.
Welke technische maatregelen verkleinen het risico op conversation hijacking?
Technische maatregelen die het risico op conversation hijacking verkleinen zijn onder andere multifactorauthenticatie op alle e-mailaccounts, sterke e-mailauthenticatieprotocollen zoals SPF, DKIM en DMARC, en geavanceerde e-mailbeveiligingsoplossingen die verdachte activiteit detecteren. Samen maken deze maatregelen het voor aanvallers veel moeilijker om toegang te krijgen of zich voor te doen als een legitieme afzender.
Toegangsbeveiliging voor e-mailaccounts
De eerste verdedigingslinie is het voorkomen van onbevoegde toegang tot e-mailaccounts. Meervoudige verificatie, ook wel MFA genoemd, zorgt ervoor dat een gestolen wachtwoord alleen niet genoeg is om in te loggen. Bij NTNT gebruiken we hiervoor Cisco Duo, een betrouwbare MFA-oplossing die eenvoudig te implementeren is voor het MKB. Daarnaast is het gebruik van een wachtwoordmanager zoals Keeper essentieel om unieke, sterke wachtwoorden te garanderen voor elk account.
E-mailauthenticatie en monitoring
Naast toegangsbeveiliging zijn er technische protocollen die het nabootsen van e-mailadressen bemoeilijken:
- SPF (Sender Policy Framework): bepaalt welke servers e-mails mogen versturen namens jouw domein.
- DKIM (DomainKeys Identified Mail): voegt een digitale handtekening toe aan uitgaande e-mails, zodat de ontvanger kan controleren of het bericht echt van jouw domein afkomstig is.
- DMARC: combineert SPF en DKIM en geeft instructies over wat er moet gebeuren als een e-mail de verificatie niet doorstaat.
- Geavanceerde e-mailbeveiliging: oplossingen die verdachte inlogpogingen, ongebruikelijke doorstuurregels en afwijkend e-mailgedrag detecteren en melden.
Regelmatige patching van mailservers en het beperken van toegangsrechten tot alleen wat noodzakelijk is, verkleinen bovendien het aanvalsoppervlak aanzienlijk.
Wat moet een bedrijf doen als het slachtoffer is geworden van deze aanval?
Als je bedrijf slachtoffer is geworden van conversation hijacking, is snel en gestructureerd handelen essentieel. Isoleer het gecompromitteerde account direct, wijzig alle wachtwoorden, schakel MFA in als dat nog niet het geval was, en breng alle betrokkenen op de hoogte. Meld de aanval ook bij de relevante instanties en onderzoek de schade zorgvuldig.
Een stappenplan voor direct herstel:
- Isoleer het account: blokkeer de toegang tot het gecompromitteerde e-mailaccount om verdere schade te voorkomen.
- Wijzig alle wachtwoorden: niet alleen het gecompromitteerde account, maar ook gerelateerde accounts die mogelijk bereikbaar zijn via hetzelfde wachtwoord.
- Activeer of versterk MFA: zorg dat alle accounts direct worden beveiligd met meervoudige verificatie.
- Controleer doorstuurregels: aanvallers stellen vaak automatische doorstuurregels in om mee te blijven lezen. Controleer en verwijder deze direct.
- Informeer betrokken partijen: waarschuw klanten, leveranciers of collega’s die mogelijk ook een frauduleus bericht hebben ontvangen.
- Meld de aanval: doe aangifte bij de politie en meld het incident bij het Nationaal Cyber Security Centrum (NCSC) of de Autoriteit Persoonsgegevens als er persoonsgegevens bij betrokken zijn.
- Voer een forensisch onderzoek uit: analyseer hoe de aanvaller toegang heeft gekregen, hoe lang hij heeft meegelezen en welke informatie hij heeft ingezien.
Na het directe herstel is het belangrijk om de lessen uit de aanval te vertalen naar verbeterde beveiligingsmaatregelen. Denk aan aanvullende training voor medewerkers, een strengere verificatieprocedure voor betalingsverzoeken en een periodieke controle van accountinstellingen.
Hoe NTNT helpt bij bescherming tegen phishing en conversation hijacking
Conversation hijacking is een geavanceerde aanvalsvorm die zowel technische als menselijke kwetsbaarheden uitbuit. Een goede bescherming vraagt om een combinatie van de juiste tools, bewuste medewerkers en proactief beheer. NTNT helpt MKB-bedrijven bij het opzetten van een complete beveiligingsaanpak die op al deze vlakken werkt.
Wat NTNT voor jouw bedrijf kan betekenen:
- Implementatie van MFA via Cisco Duo op alle accounts, zodat gestolen wachtwoorden niet meer genoeg zijn voor toegang.
- Inzet van Huntress en Phished voor geavanceerde detectie van dreigingen en gerichte phishingtraining voor medewerkers.
- Configuratie van e-mailauthenticatieprotocollen zoals SPF, DKIM en DMARC om spoofing en nabootsing te bemoeilijken.
- Proactieve monitoring van e-mailomgevingen op verdachte activiteit, zoals ongebruikelijke doorstuurregels of inlogpogingen vanuit onbekende locaties.
- Wachtwoordbeheer via Keeper, zodat medewerkers sterke, unieke wachtwoorden gebruiken zonder dat dit ten koste gaat van gebruiksgemak.
Wil je weten hoe jouw bedrijf er nu voor staat op het gebied van e-mailbeveiliging? Bekijk onze cybersecurity-oplossingen en ontdek welke stappen passen bij jouw situatie.
