Volgens de Amerikaanse CISA en FBI richt de groep Scattered Spider zich op grote bedrijven en hun ingehuurde IT helpdesks. Hun advies over de groep is een van de duidelijkste waarschuwingen dat de servicedesk een ingang kan zijn. Wat staat erin, en wat betekent het voor uw organisatie?
Wat is Scattered Spider?
Scattered Spider is de naam voor een groep cybercriminelen die werkt met social engineering. CISA en FBI publiceerden in november 2023 een gezamenlijk advies over de groep. Op 29 juli 2025 werd het advies bijgewerkt, samen met partners uit onder meer Canada, Australië en het Verenigd Koninkrijk.
Wat zegt het advies over de helpdesk?
Het advies beschrijft hoe aanvallers zich voordoen als medewerker en de IT helpdesk overtuigen om wachtwoorden of MFA tokens te resetten. Zo krijgen zij toegang tot het account van die medewerker. Dat heet account takeover via de servicedesk.
Het advies noemt ook het omgekeerde: aanvallers die zich bij medewerkers voordoen als de helpdesk. In beide gevallen draait het om dezelfde vraag. Weet u zeker met wie u spreekt?
Waarom dit ook voor Nederlandse organisaties geldt
Het advies komt uit de Verenigde Staten, maar de route die het beschrijft is niet aan een land gebonden. Elke organisatie waar de servicedesk op verzoek van een beller wachtwoorden of MFA kan resetten, heeft dezelfde route. Heeft u uw servicedesk uitbesteed, dan geldt dat ook voor die partij.
Daarbij is het in Nederland een bestuurlijk onderwerp. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing, en NIS2 noemt toegangsbeheer en multifactorauthenticatie bij de verplichte maatregelen.
Wat het advies aanraadt
- Phishingbestendige MFA. Het advies raadt aan om waar mogelijk phishingbestendige MFA te gebruiken, zoals FIDO/WebAuthn of MFA op basis van PKI.
- Blijven testen. Het advies raadt aan om het beveiligingsprogramma te oefenen, te testen en te valideren, en dat doorlopend te doen in de productieomgeving.
Een specifieke werkwijze voor identiteitsverificatie aan de helpdesk geeft het advies niet. En ook phishingbestendige MFA moet opnieuw kunnen worden ingesteld als iemand een toestel kwijt is. Dan komt de vraag weer bij de servicedesk terecht: wie belt er?
Wat kunt u doen?
- Test of uw servicedesk standhoudt. Een account takeover assessment laat zien of uw servicedesk een account vrijgeeft aan iemand die belt. Altijd binnen getekende autorisatie.
- Kijk waar het proces ruimte laat. Een procesanalyse laat zien waar beleid en praktijk uit elkaar lopen.
- Kies technische verificatie. Technische maatregelen vervangen het oordeel van één medewerker door een control die de beller zelf moet doorstaan.
