Je wordt wel eens door ze gebeld of je krijgt er soms een e-mail van: Microsoft-medewerkers. Het zijn zelden echte medewerkers van het computerbedrijf. Vaker zijn het hackers, die op heel andere dingen uit zijn dan je te helpen. Het zijn nu zelfs nóg vaker cybercriminele, want er is een nieuwe bug ontdekt waardoor het nog makkelijker is geworden om te doen alsof je een medewerker van Microsoft bent.
Een onderzoeker kwam de bug op het spoor waarmee je je kunt voordoen alsof je een Microsoft-medewerker bent zonder dat je e-mailadres info@microosoft.com is of laura.jenny@microsofft.com. Je kunt mogelijk een e-mail sturen die echt vanuit een Microsoft-emailadres lijkt te komen. De bug is nog niet gepatcht, dus de onderzoeker openbaart nog niet hoe het precies werkt.
In ieder geval heeft de onderzoeker naar TechCrunch een mail gestuurd die echt vanuit een Microsoft-account lijkt te komen, schrijft de site. De beste man heet Vsevolod Kokorin, met de wat bijzondere X-handle Slonser. Hij heeft de fout ook gemeld bij Microsoft, maar dat zei dat het zijn bevindingen niet kon reproduceren en doet er daarom niets aan. Kokorin besloot daarom zich te richten tot het grote publiek, zonder hierbij te laten zien hoe het werkt, omdat het dan immers kan leiden tot grote problemen.
I want to share my recent case:
> I found a vulnerability that allows sending a message from any user@domain
> We cannot reproduce it
> I send a video with the exploitation, a full PoC
> We cannot reproduce it
At this point, I decided to stop the communication with Microsoft. pic.twitter.com/mJDoHTn9Xv— slonser (@slonser_) June 14, 2024
Als je immers denkt dat een mail echt vanuit een Microsoft-medewerker komt, dan ben je eerder geneigd om te antwoorden met bepaalde gegevens die niemand aangaan. Zo kunnen hackers bijvoorbeeld echte inloggegevens ontfutselen en er met allerlei informatie van je vandoor gaan. Je geeft ze hiermee misschien wel toegang tot informatie die bijvoorbeeld je bedrijf kan schaden, of je werkgever. Je kunt daarmee enorme geldbedragen verliezen, of het vertrouwen van een klant. Klantgegevens komen op straat te liggen.
Volgens de security-expert werkt het foefje alleen als je e-mail stuurt naar een Outlook-account, dus dat zou nog schelen in de schade die het kan aanrichten. Maar aan de andere kant zijn er een slordige 400 miljoen gebruikers van Outlook over de hele wereld, dus het kan toch een flinke vaart lopen.
Ondertussen is het nog steeds stil vanuit Microsoft, al is het te hopen dat daar inmiddels wel alarmbellen gaan rinkelen als dit euvel inderdaad zo enorm is. Het is in ieder geval niet de beste tijd voor Microsoft om hiermee te worden geconfronteerd: het moest vorige week nog in het Witte Huis vertellen hoe het toch kon gebeuren dat China allerlei overheidsmail van de Verenigde Staten kon stelen. En er gonsen ook geruchten dat Microsoft misschien in het hele SolarWinds-schandaal niet helemaal zo adequaat heeft gehandeld. Het zou het bedrijf misschien juist goed doen om de melding van Kokorin serieus te nemen, al is het alleen maar om naar de buitenwereld toe te tonen dat het security inderdaad hoog in het vaandel heeft.
