Je beschermt medewerkers tegen phishing via SharePoint en OneDrive door een combinatie van technische beveiligingsinstellingen, gerichte bewustwordingstraining en duidelijke procedures bij incidenten. Cybercriminelen misbruiken het vertrouwen dat medewerkers hebben in Microsoft-platformen, waardoor traditionele beveiligingsmaatregelen vaak tekortschieten. In dit artikel beantwoorden we de meest gestelde vragen over dit groeiende risico en laten we zien wat je er concreet aan kunt doen.
Hoe misbruiken cybercriminelen SharePoint en OneDrive voor phishing?
Cybercriminelen misbruiken SharePoint en OneDrive door legitieme Microsoft-links te gebruiken als doorgeefluik naar kwaadaardige inhoud. Ze uploaden een bestand naar een echt Microsoft-account of gehackte omgeving, delen dat bestand via een officiële SharePoint- of OneDrive-link en sturen die link vervolgens naar nietsvermoedende medewerkers. Omdat de URL afkomstig lijkt te zijn van Microsoft zelf, vertrouwen ontvangers de link.
De aanpak werkt zo goed omdat de link technisch gezien klopt. Het domein eindigt op sharepoint.com of onedrive.live.com, de verbinding is beveiligd met HTTPS en het e-mailbericht bevat geen verdachte bijlagen. Zodra de medewerker op de link klikt, wordt hij doorgestuurd naar een neppe inlogpagina of wordt er automatisch malware gedownload.
Criminelen gebruiken hiervoor vaak gratis Microsoft-accounts of accounts die ze eerder hebben gecompromitteerd via een andere phishingaanval. Zo bouwen ze een keten van vertrouwde omgevingen die steeds moeilijker te detecteren is. Dit type aanval staat ook wel bekend als een “cloudgebaseerde phishingaanval” en neemt in 2026 sterk toe in populariteit.
Wat zijn de meest voorkomende signalen van een phishing-link via SharePoint?
De meest voorkomende signalen van een phishing-link via SharePoint zijn een onverwacht gedeeld bestand van een onbekende afzender, een urgente toon in het begeleidende bericht, een vreemde bestandsnaam en een inlogverzoek nadat je op de link hebt geklikt. Let ook op berichten die je aansporen om snel te handelen, zoals “Jouw toegang verloopt vandaag.”
Concrete waarschuwingssignalen om op te letten:
- Je ontvangt een deellink van iemand die je niet kent of van wie je geen bestanden verwacht
- Het bericht vraagt je om in te loggen met je Microsoft-account, terwijl je dat normaal al bent
- De bestandsnaam is vaag, zoals “Factuur_2026.pdf” of “Belangrijk_document.docx”
- De afzender gebruikt een persoonlijk e-mailadres in plaats van een zakelijk domein
- Het bericht bevat spelfouten of een onpersoonlijke aanhef zoals “Beste gebruiker”
- Na het klikken op de link verschijnt een inlogpagina die er net iets anders uitziet dan normaal
Het lastige is dat niet alle signalen altijd zichtbaar zijn. Een goed opgezette phishingaanval ziet er op het eerste gezicht volledig legitiem uit. Dat maakt bewustwording bij medewerkers zo belangrijk: zij zijn de laatste verdedigingslinie als technische filters falen.
Waarom werken traditionele spamfilters niet tegen SharePoint-phishing?
Traditionele spamfilters werken niet effectief tegen SharePoint-phishing omdat ze de inhoud van de link beoordelen op basis van het domein en de afzender, en beide zijn in dit geval legitiem. Een link naar sharepoint.com wordt door vrijwel elk spamfilter als veilig beschouwd, ongeacht wat er achter die link schuilgaat.
Klassieke spamfilters zijn ontworpen om verdachte bijlagen, bekende kwaadaardige domeinen en spampatronen te herkennen. SharePoint-phishing omzeilt al deze controlepunten:
- Er is geen bijlage, alleen een link naar een vertrouwd Microsoft-platform
- Het verzendende domein kan een echt bedrijfsdomein zijn dat eerder is gecompromitteerd
- De kwaadaardige inhoud staat niet in de e-mail zelf, maar op een externe pagina
- Microsoft-domeinen staan op de witte lijst van vrijwel alle e-mailbeveiligingssystemen
Geavanceerdere beveiligingsoplossingen, zoals die welke werken met gedragsanalyse en sandboxing van links, kunnen dit soort aanvallen beter detecteren. Ze openen de link in een veilige omgeving en analyseren wat er daarna gebeurt, in plaats van alleen de URL te beoordelen. Maar ook deze systemen zijn niet onfeilbaar, zeker niet als de kwaadaardige pagina pas actief wordt nadat de sandboxcontrole is uitgevoerd.
Welke Microsoft 365-instellingen verlagen het risico op phishing via OneDrive?
Binnen Microsoft 365 verlagen specifieke instellingen het risico op phishing via OneDrive en SharePoint aanzienlijk. De belangrijkste zijn het beperken van extern delen, het activeren van Safe Links en Safe Attachments via Microsoft Defender, en het verplicht stellen van meervoudige verificatie voor alle gebruikers.
Dit zijn de instellingen die je als organisatie moet controleren en activeren:
- Extern delen beperken: Stel in dat medewerkers bestanden alleen kunnen delen met personen binnen de organisatie of met specifieke externe domeinen die je vertrouwt
- Safe Links activeren: Microsoft Defender for Office 365 herschrijft links in e-mails en documenten zodat ze worden gecontroleerd op het moment van klikken
- Safe Attachments inschakelen: Bestanden die via SharePoint worden gedeeld, worden gescand voordat ze worden geopend
- MFA verplicht stellen: Met een tool als Cisco Duo voeg je een extra verificatiestap toe, zodat gecompromitteerde wachtwoorden alleen niet genoeg zijn om in te loggen
- Conditional Access instellen: Beperk toegang tot Microsoft 365 op basis van locatie, apparaat en risiconiveau
- Auditlogboeken inschakelen: Zorg dat alle activiteiten binnen SharePoint en OneDrive worden geregistreerd, zodat je verdacht gedrag snel kunt opsporen
Het correct configureren van deze instellingen vraagt kennis van de Microsoft 365-beheeromgeving. Veel organisaties activeren Microsoft 365 met de standaardinstellingen, maar die bieden lang niet altijd het beschermingsniveau dat nodig is voor zakelijk gebruik.
Hoe train je medewerkers om phishing via cloudopslag te herkennen?
Je traint medewerkers effectief door regelmatige, realistische phishingsimulaties te combineren met korte en praktische bewustwordingslessen. Eenmalige trainingen werken niet, want phishingtechnieken veranderen voortdurend. Het gaat erom dat medewerkers een reflex ontwikkelen: even nadenken voordat ze op een link klikken.
Simulaties met echte scenario’s
Gebruik phishingsimulaties die specifiek gericht zijn op cloudopslagscenario’s, zoals een nep-deelmelding van OneDrive of een verzoek om een document te bekijken via SharePoint. Platforms zoals Phished maken het mogelijk om dit soort simulaties geautomatiseerd en gepersonaliseerd in te zetten. Medewerkers die op een gesimuleerde phishinglink klikken, ontvangen direct een korte uitleg over wat er net is gebeurd. Dat is het moment waarop de les het beste beklijft.
Praktische gedragsregels
Naast simulaties helpt het om medewerkers concrete gedragsregels mee te geven die ze direct kunnen toepassen:
- Controleer altijd wie een bestand heeft gedeeld, ook als de link van Microsoft afkomstig lijkt
- Bel de afzender kort na als je een onverwacht gedeeld bestand ontvangt
- Log nooit in via een link in een e-mail; ga altijd direct naar de website
- Meld twijfelachtige berichten altijd bij de IT-afdeling of helpdesk, ook als je er niet op hebt geklikt
Training is geen eenmalig project, maar een doorlopend proces. Door medewerkers regelmatig te testen en te informeren, bouw je een cultuur van alertheid op die de hele organisatie sterker maakt.
Wat moet een medewerker doen als hij op een phishing-link heeft geklikt?
Als een medewerker op een phishing-link heeft geklikt, moet hij dit direct melden bij de IT-afdeling en zijn wachtwoord onmiddellijk wijzigen. Hoe sneller er wordt gehandeld, hoe kleiner de schade. Wachten of hopen dat er niets is gebeurd, is de slechtste optie.
De stappen die een medewerker direct moet zetten:
- Meld het onmiddellijk bij de IT-afdeling of helpdesk, ook als je denkt dat er niets is misgegaan
- Verander je wachtwoord van het account waarmee je bent ingelogd of dat je op de pagina hebt ingevoerd
- Koppel het apparaat los van het netwerk als je vermoedt dat er malware is gedownload
- Informeer je leidinggevende zodat de juiste escalatieprocedure in gang wordt gezet
- Verwijder niets van je apparaat voordat IT ernaar heeft gekeken, want logbestanden kunnen belangrijk zijn voor het onderzoek
Aan de kant van IT zijn ook directe acties nodig: het controleren van de auditlogboeken in Microsoft 365, het blokkeren van verdachte toegangspogingen en het beoordelen of andere accounts of systemen zijn geraakt. Een wachtwoordmanager zoals Keeper helpt hierbij, omdat medewerkers unieke wachtwoorden per account gebruiken en een gecompromitteerd wachtwoord dus minder snel toegang geeft tot andere systemen.
Wanneer is een managed IT-partner zinvol bij het aanpakken van SharePoint-phishing?
Een managed IT-partner is zinvol wanneer je organisatie niet de interne capaciteit of kennis heeft om Microsoft 365-beveiliging correct in te stellen, phishingsimulaties te beheren en incidenten snel op te pakken. Voor de meeste MKB-bedrijven is dat het geval, want het bijhouden van cyberdreigingen is een fulltime bezigheid.
Een managed IT-partner neemt het volgende uit handen:
- Het correct configureren en doorlopend beheren van Microsoft 365-beveiligingsinstellingen
- Het uitvoeren van regelmatige phishingsimulaties en bewustwordingstrainingen voor medewerkers
- Het monitoren van verdachte activiteiten binnen SharePoint en OneDrive
- Het snel reageren bij incidenten, zodat schade wordt beperkt
- Het geven van strategisch advies over hoe je beveiliging meegroeit met je organisatie
Phishing via cloudplatformen als SharePoint en OneDrive is een serieuze dreiging die vraagt om een gelaagde aanpak: de juiste technische instellingen, goed getrainde medewerkers en duidelijke procedures. Bij NTNT combineren we tools zoals Huntress en Phished met persoonlijk advies en proactief beheer, zodat jouw organisatie weerbaar is tegen dit soort aanvallen, ook als de dreigingen blijven veranderen.
