Cybercriminelen sturen steeds vaker phishingmails via legitieme diensten als DocuSign, QuickBooks en Dropbox. Dat blijkt uit onderzoek van KnowBe4 Threat Lab, dat 544.000 dreigingsmails analyseerde. Bij bijna één op de tien gebruikten aanvallers de infrastructuur van een vertrouwd platform om beveiligingsfilters te omzeilen.
De onderzoekers bekeken dreigingsmails die tussen juni en augustus 2026 werden verstuurd. In 53.000 gevallen ging het om zogeheten Living Off Trusted Services (LOTS). Aanvallers bootsen daarbij geen bekend merk na, maar gebruiken het platform zelf. Het slachtoffer ontvangt dus een echte notificatie, met een legitiem afzenderadres en de juiste huisstijl. Pas de link in het bericht leidt naar kwaadaardige content.
En dat maakt detectie lastig. Traditionele e-mailbeveiliging leunt op de reputatie van een domein en die is bij DocuSign of Dropbox goed. Veel organisaties zetten zulke diensten bovendien op een allow list, zodat belangrijke meldingen niet in de spamfolder belanden. De drempel voor aanvallers is laag. Veel diensten bieden immers een gratis abonnement of proefperiode, waardoor een account binnen enkele minuten is aangemaakt.
DocuSign groeit elke maand
DocuSign en QuickBooks waren samen goed voor bijna twee derde van de waargenomen LOTS-mails. Het misbruik van DocuSign nam in elk van de drie onderzochte maanden toe. Ook Adobe en Dropbox wonnen terrein. Het volume via Dropbox verdrievoudigde bijna, terwijl Adobe-misbruik meer dan verdubbelde.
DocuSign waarschuwt zelf op zijn pagina met veiligheidsmeldingen voor aanvallers die echte accounts en authentieke enveloppen inzetten, bijvoorbeeld met een vervaagd document en een knop om het ‘zichtbaar’ te maken.
Lees ook: KnowBe4 komt met browserextensie tegen Shadow AI
Drie routes na de klik
Wat gebeurt er na een klik? KnowBe4 onderscheidt drie methoden. De eerste is klassiek waarbij op een nagemaakte inlogpagina wordt gevraagd om in te loggen met bijvoorbeeld Microsoft-inloggegevens. Soms gebruiken aanvallers daarbij een Adversary-in-the-Middle-techniek, waarmee ze ook de geauthentiseerde sessie onderscheppen. Zelfs MFA houdt dat niet tegen.
De tweede methode misbruikt de OAuth device-authorization flow. De aanvaller start zelf een inlogproces en stuurt de code naar het slachtoffer, dat deze invoert op de echte inlogpagina en daar ook de MFA-controle doorloopt. Zo krijgt de aanvaller een geldige sessie, zonder wachtwoord. Volgens BleepingComputer namen device-codeaanvallen afgelopen tijd 37 keer toe, nu nieuwe phishingkits online circuleren. LevelBlue noemt kits als EvilTokens en Kali365, die onder meer met Adobe- en DocuSign-thema’s werken.
Bij de derde route wordt het slachtoffer verleid om legitieme RMM-software als ScreenConnect, AnyDesk of Atera te installeren, zogenaamd om het gedeelde document te openen. Omdat die tools digitaal ondertekend zijn en door IT-afdelingen worden gebruikt, worden ze niet altijd tegengehouden. Na installatie heeft de aanvaller volledige toegang op afstand. Misbruik van zulke tools is niet nieuw. Zo schreven we op Techzine eerder over de Skeleton Key-campagne, die vertrouwde RMM-tools misbruikte.
Rechtstreeks inloggen
“Deze ontwikkeling maakt duidelijk dat een legitieme afzender niet automatisch betekent dat ook de inhoud van een e-mail te vertrouwen is”, zegt James Dyer, Head of Threat Intelligence bij KnowBe4. Hij adviseert medewerkers om bij een onverwacht verzoek via een bekend platform rechtstreeks op dat platform in te loggen, in plaats van de link in de e-mail te gebruiken.