Microsoft slaat alarm over ai-cyberaanvallen

In dit artikel:

Microsoft waarschuwt organisaties wereldwijd voor een nieuwe golf van cyberaanvallen die door agentic-ai-platforms veel sneller en grootschaliger kunnen worden uitgevoerd. Tijdens een spoedoverleg met ongeveer tweehonderd chief information security officers (ciso’s), afgelopen woensdag, benadrukte het bedrijf dat verdedigers soms nog maar drie uur hebben om aanvallers uit een cloudomgeving te weren. Onder de deelnemers was Dimitri van Zantvliet, ciso en directeur Cybersecurity bij NS en voorzitter van het CISO-platform Nederland.

De platforms laten grote aantallen gespecialiseerde AI-agenten vrijwel zelfstandig samenwerken. Ze kunnen met behulp van verschillende hackingtools continu netwerken verkennen, kwetsbaarheden zoeken, toegang uitbreiden en gegevens buitmaken. Het Chinese platform Artex is hiervan een belangrijk voorbeeld. Cybersecurity-expert Li Puhua ontwikkelde het aanvankelijk voor het opsporen van kwetsbaarheden, maar stelde het afgelopen juli gratis online beschikbaar. Hackers hebben de software daarna aangepast voor aanvallen. Er circuleren inmiddels duizenden, vaak meertalige kopieën.

Artex wordt volgens Microsoft en Van Zantvliet onder meer gebruikt tegen financiële instellingen en logistieke bedrijven in Zuidoost-Azië. Ook aan China gelieerde statelijke hackers, waaronder de groep Storm-0940, zouden er wereldwijd honderden organisaties mee hebben aangevallen. Niet iedere aanval slaagt, maar aanvallers konden in meerdere gevallen binnen drie uur diep in cloudomgevingen doordringen en langdurige toegang met ruime rechten behouden.

Die snelheid vormt een groot probleem voor organisaties. Eerst moeten beveiligingsteams bepalen of een waarschuwing ernstig is, vervolgens moeten leveranciers worden ingeschakeld en systemen of koppelingen mogelijk worden uitgeschakeld. Het kan al uren duren voordat alle verantwoordelijke medewerkers bijeen zijn. Tegelijkertijd kunnen aanvallers dankzij automatisering veel meer doelwitten onderzoeken. Naast grote bedrijven lopen daarom ook kleinere organisaties, verouderde internetapplicaties en vergeten leveranciersportalen risico.

Een belangrijke aanvalscampagne maakte misbruik van gecompromitteerde ConnectWise-applicaties die al toegang hadden tot Microsoft 365-omgevingen van klanten. Daardoor was geen nieuwe login of multifactor-authenticatie nodig. Volgens Van Zantvliet kijken organisaties nog te vaak naar medewerkers die op phishinglinks klikken, terwijl ook leveranciers, beheertools, back-updiensten en andere applicaties vaak ruime toegangsrechten hebben.

Microsoft waarschuwt bovendien dat aanvallers rechten en applicatiegegevens kunnen wijzigen, waardoor nieuwe toegangspunten blijven bestaan nadat de oorspronkelijke ingang is afgesloten. Alleen een getroffen leverancierskoppeling uitschakelen is daarom onvoldoende. Organisaties moeten ook controleren welke accounts, rechten en andere toegangsmiddelen tijdens een aanval zijn toegevoegd of aangepast. Beveiligingsteams, beheerders en leveranciers krijgen door de versnelling meer werk, maar niet automatisch meer capaciteit. Organisaties die nu al achterlopen, dreigen daardoor verder achterop te raken.