850.000 EUR verdween omdat niemand ooit testte of het kón. Ontdek wat een analyse vooraf had blootgelegd.

Het verloop van de aanval

Van één vergeten update tot vijf dagen stilstand

De aanval op dit notariskantoor duurde maanden en verliep in zes stappen. Bij elke stap was er een moment waarop de keten te onderbreken viel.

1. DECEMBER 2025

   Firewall-kwetsbaarheid aan de perimeter

   De firewall aan de rand van het netwerk draaide op een verouderde firmwareversie met een publiek gedocumenteerde kwetsbaarheid. Zulke systemen staan aan de buitenkant en worden dag en nacht automatisch gescand. De aanvallers moesten geen wachtwoord raden: zodra ze de versie herkenden, lag de weg naar binnen open.

   Zo was dit te voorkomen

   Een pentest van Cyberplan had deze niet-gepatchte firewall opgemerkt en gerapporteerd, nog voor iemand ze kon uitbuiten. Met een vast patchritme voor internetgerichte systemen sluit u zo'n venster in dagen in plaats van in maanden.

2. WEKEN LATER

   Living off the land in het netwerk

   Eenmaal binnen installeerden de aanvallers geen malware. Ze werkten met de beheertools die al op de systemen stonden, zoals PowerShell en de ingebouwde remote-desktopfuncties. Dat verkeer lijkt op gewoon beheerwerk, dus sloeg de antivirus niet aan. Zo brachten ze wekenlang rustig in kaart waar de dossiers en de betalingen zaten.

   Zo was dit te voorkomen

   Netwerksegmentatie beperkt hoe ver iemand vanaf één toestel geraakt. En monitoring die let op afwijkend gedrag van beheeraccounts, niet alleen op bekende malware, maakt precies dit soort stilte zichtbaar.

3. ONDERTUSSEN

   OAuth-tokens gestolen, MFA omzeild

   In de cloudomgeving haalden de aanvallers actieve sessietokens op. Zo'n token is het bewijs dat iemand al ingelogd is. Wie het in handen krijgt, heeft geen wachtwoord en geen tweede factor meer nodig en neemt de sessie gewoon over. De multifactor-authenticatie stond correct ingesteld en werd toch gepasseerd.

   Zo was dit te voorkomen

   MFA is een vertrekpunt, geen eindpunt. Kortere sessieduur, opnieuw bevestigen bij gevoelige handelingen en tokens intrekken bij verdacht gedrag sluiten dit gat. Een doorlichting van het identiteits- en sessiebeleid toont waar die instellingen vandaag te ruim staan.

4. DE AANVAL

   Vervalste bankcommunicatie

   Met toegang tot de mailbox lazen de aanvallers wekenlang mee met een lopend dossier. Ze kenden het bedrag, de timing en de toon van het kantoor. Op het juiste moment stuurden ze een gewijzigd rekeningnummer, binnen de bestaande mailconversatie, gevolgd door een telefoontje ter bevestiging. Voor de medewerker zag dat eruit als de logische volgende stap.

   Zo was dit te voorkomen

   Awareness-training die vertrekt van echte fraudepatronen leert medewerkers één vaste reflex aan: een wijziging van rekeningnummer wordt altijd gecontroleerd via een ander kanaal en op een nummer dat al bekend was. Niet uit wantrouwen, wel als procedure.

5. HET RESULTAAT

   850.000 euro overgeschreven

   De overschrijving vertrok naar een rekening buiten de EU en werd door één persoon vrijgegeven. Tegen de tijd dat de vergissing opviel, was het bedrag al doorgestort naar andere rekeningen. Terughalen lukte niet meer.

   Zo was dit te voorkomen

   Het vier-ogen-principe boven een vastgelegde drempel, en een verplichte verificatie langs een ander kanaal bij elke betaling naar een nieuw rekeningnummer. Twee afspraken die niets kosten en deze overschrijving hadden tegengehouden.

6. HERSTEL: 5 DAGEN

   Vijf dagen zonder dossiers

   Na de vaststelling ging de omgeving plat voor onderzoek en heropbouw. Vijf werkdagen zonder toegang tot dossiers, zonder aktes en zonder betalingen. Voor het kantoor woog die stilstand uiteindelijk zwaarder dan het verlies zelf: afspraken schoven op, cliënten moesten wachten en het vertrouwen moest terugverdiend worden.

   Zo was dit te voorkomen

   Een risicoanalyse vooraf maakt dit scenario concreet: hoelang ligt u stil, welke processen vallen als eerste uit en wat kost die week. Vanuit dat beeld kiest u de maatregelen die de stilstand het sterkst verkorten. Bij Cyberplan is dat het vertrekpunt van elke audit.