Cybercriminelen maken op grote schaal gebruik van ogenschijnlijk onschuldige vectorafbeeldingen om kwaadaardige JavaScript-code langs traditionele e-mailbeveiliging te loodsen. Beveiligingsonderzoeker INKY ontdekte een campagne van ruim 26.000 phishingmails gericht op meer dan 5.500 organisaties. Opvallend genoeg liet de standaard filtering van Microsoft driekwart van deze berichten ongehinderd door naar de inbox.
De aanvalsmethode gebruikt een vertrouwd lokmiddel, namelijk een melding van een gemiste voicemail. Bij het bericht zit een bijlage die oogt als een audiobestand of transcript, maar in werkelijkheid een SVG-bestand is. In tegenstelling tot reguliere afbeeldingsformaten zoals JPEG of PNG, die uit pixels bestaan, is een SVG opgebouwd uit XML-code. Binnen die webstandaard is het mogelijk om interactieve scripts, waaronder JavaScript, rechtstreeks in het bestand in te sluiten.
Zodra een medewerker zo’n afbeelding in de browser opent, wordt het script direct uitgevoerd. Deze techniek staat bekend als SVG smuggling. Omdat mailgateways afbeeldingsbestanden van oudsher als ongevaarlijk beschouwen, weten aanvallers met deze route geavanceerde aanvallen ongezien het bedrijfsnetwerk binnen te krijgen.
Lees ook: Waarom traditionele e-mailbeveiliging tekortschiet tegen moderne phishing
Een groeiende dreiging in 2026
Hoewel kwaadaardige vectorbestanden al jaren incidenteel opduiken, is het volume dit jaar fors toegenomen. Uit recente cijfers van securitybedrijf Hoxhunt blijkt dat het aantal kwaadaardige SVG-bijlagen in korte tijd vervijftigvoudigd is. Daarmee is het na PDF en HTML het meest gebruikte bestandstype geworden voor het verspreiden van phishing.
De schaal van het probleem reikt ver buiten Nederland. In februari 2026 rapporteerde het SANS Internet Storm Center over een enkele campagne die volgens Microsoft-gegevens 1,2 miljoen SVG-phishingberichten afleverde bij meer dan 53.000 organisaties verspreid over 23 landen. Ook documenteerde SANS in juni 2026 een vergelijkbare golf van kwaadaardige vectorbestanden die wereldwijd inboxen overspoelden.
De positie van SVG in het landschap van digitale bedreigingen is daarmee fundamenteel verschoven. Waar het bestandstype jarenlang een niche-aanvalsvector was, staat het nu dus op de derde plaats van meest gebruikte kwaadaardige bijlagen. Deze verschuiving heeft alles te maken met de effectiviteit. Aanvallers ontdekten dat beveiligingssystemen simpelweg niet waren ingericht op het scannen van afbeeldingsbestanden op actieve code.
Tussen begin juni en begin augustus 2026 registreerde INKY 26.589 van deze berichten, verspreid over 5.527 verschillende bedrijven. Vrijwel alle e-mails volgden exact hetzelfde stramien van een gemiste oproep. Daarbij werd in 99,5 procent van de gevallen de gebruikersnaam van de ontvanger automatisch overgenomen in de onderwerpregel om vertrouwen te wekken.
Breed gespreid, niet gericht
De verspreiding van de berichten verraadt de aard van de operatie. Dit was geen gerichte aanval op specifieke organisaties of individuen, maar een breed opgezette ‘spray campaign’ bedoeld om zoveel mogelijk inloggegevens te verzamelen. Van alle getroffen bedrijven ontving 32 procent slechts één enkel bericht. De tien zwaarst getroffen organisaties samen waren goed voor slechts 6 procent van het totale mailvolume.
Deze spreiding is kenmerkend voor geautomatiseerde phishing-operaties die draaien op zogenoemde phishing-as-a-service platforms. Beveiligingsonderzoekers linken dit type aanvallen aan toolkits zoals Tycoon2FA, Mamba2FA en Sneaky2FA. Deze commerciële platformen stellen criminelen zonder technische kennis in staat om op grote schaal geavanceerde phishingcampagnes op te zetten, compleet met adversary-in-the-middle-functionaliteit om multifactorauthenticatie te omzeilen.
De verzending volgde het ritme van een reguliere werkweek. Het zwaartepunt lag van maandag tot en met donderdag, met een duidelijke piek op woensdag. In het weekend stopte de stroom vrijwel volledig. Criminelen weten dat een notificatie over een gemiste voicemail tijdens kantooruren veel sneller routinematig wordt geopend.
Waarom reguliere scanners de mist in gaan
Aanvallers omzeilen detectie met een slimme combinatie van misleidingstechnieken. Allereerst leek het bericht van het eigen interne bedrijfsdomein te komen, terwijl het in werkelijkheid van buitenaf werd verstuurd. Dit wekt vertrouwen bij ontvangers die denken dat het om een intern systeembericht gaat.
Daarnaast gebruikten de criminelen een technische truc voor de bestandsidentificatie. Elk e-mailbestand krijgt een label mee dat aangeeft wat voor soort bestand het is, het zogenoemde MIME-type. De aanvallers gaven het SVG-bestand bewust het label ’text/plain’ mee, wat staat voor een simpel tekstbestand. In werkelijkheid had het het label ‘image/svg+xml’ moeten krijgen. Veel beveiligingsscanners vertrouwen op dit label om te bepalen of een bestand gevaarlijk kan zijn. Wanneer ze ’text/plain’ zien, gaan ze ervan uit dat het om een onschuldige tekstnotitie gaat en voeren ze geen grondige controle uit. Zo glipt de kwaadaardige code onopgemerkt door de beveiliging.
De code in het bestand zelf is bovendien zwaar versleuteld. Functienamen kregen willekeurige benamingen en externe webadressen werden pas bij het openen dynamisch opgebouwd uit losse numerieke reeksen. Omdat elk bestand er daardoor uniek uitziet, slaan traditionele scanners op basis van vaste hashes niet aan.
Microsoft kende aan 75 procent van deze e-mails een lage spamscore toe, waardoor driekwart van de berichten gewoon in de inbox van medewerkers belandde. Slechts 18 procent werd als spam tegengehouden.
Doel: het omzeilen van tweestapsverificatie
Zodra het script start, haalt het via een externe server een nagemaakte inlogpagina van bijvoorbeeld Microsoft 365 of Google Workspace op. Dit gebeurt via Adversary-in-the-Middle-tussenstations.
Wanneer een gebruiker inlogt, stuurt de pagina die gegevens realtime door naar de legitieme inlogdienst. Zodra de gebruiker zijn multifactorauthenticatie bevestigt, vangt de aanvaller het geldige sessietoken op. Daarmee krijgt de crimineel direct toegang tot het zakelijke account, zonder dat het wachtwoord of de authenticatiecode daarna nog nodig is.
Maatregelen voor organisaties
Voor IT- en beveiligingsteams vraagt deze ontwikkeling om een herijking van het e-mailbeleid. Het is raadzaam om mailgateways zo in te stellen dat inkomende SVG-bestanden standaard als actieve code worden behandeld en gecontroleerd op ingebouwde scripts, ongeacht het opgegeven MIME-type. Omdat vectorafbeeldingen in het reguliere zakelijke verkeer zelden als losse bijlage naar eindgebruikers worden gestuurd, kan het standaard blokkeren of in quarantaine plaatsen van inkomende SVG’s ook een slimme keuze zijn om zo het risico aanzienlijk te verkleinen.
Traditionele beveiliging die werkt met vaste patronen of digitale vingerafdrukken van bekende bedreigingen schiet hier tekort. Omdat de aanvallers in elk bestand de code net iets anders opbouwen, ziet elk bericht er uniek uit en wordt het niet herkend. Moderne beveiliging moet daarom niet alleen kijken naar hoe een bestand eruitziet, maar vooral naar wat het doet zodra het wordt geopend.
Tot slot blijft het essentieel om strenge controles in te stellen op de herkomst van e-mail. Technieken zoals SPF, DKIM en DMARC controleren of een bericht daadwerkelijk van het domein komt dat het claimt te zijn. Zonder deze verificatie kunnen aanvallers zich moeiteloos voordoen als een collega of intern systeem, precies zoals in deze campagne is gebeurd.