De servicedesk helpt elke dag collega's die niet kunnen inloggen. Een wachtwoord resetten of een nieuw toestel koppelen voor MFA is routine. Maar hoe weet de servicedesk zeker dat de beller ook echt die collega is? Lukt dat niet, dan kan één telefoontje genoeg zijn om een account over te nemen. Dat heet account takeover via de servicedesk.
Wat is account takeover?
Bij een account takeover (ATO), ook wel account overname, krijgt een aanvaller toegang tot het account van iemand anders. Hij kan dan inloggen, mail lezen en systemen gebruiken alsof hij die persoon is. Met alle rechten van dat account.
Er zijn meerdere routes naar een account. Dit artikel gaat over de route via de servicedesk: de aanvaller belt, doet zich voor als medewerker en laat het wachtwoord resetten of MFA opnieuw instellen. Dat is een vorm van voice phishing, ook wel vishing.
Waarom via de servicedesk?
De servicedesk is er om collega's snel weer aan het werk te helpen. Daardoor hoeft een aanvaller niets te hacken: een normaal proces geeft hem de toegang. Voor de servicedesk ziet het eruit als gewoon werk. Een ticket, een reset, een tevreden beller.
Dat ligt niet aan de medewerkers. Zij moeten vaststellen wie er belt zonder die persoon te zien, en vaak onder tijdsdruk. Het risico zit in het proces, niet in de mensen.
Waarom MFA dit niet tegenhoudt
MFA beschermt de aanmelding. Maar MFA moet ook opnieuw kunnen worden ingesteld, bijvoorbeeld als iemand een nieuwe telefoon heeft. Wie de servicedesk zover krijgt om dat te doen, gaat om MFA heen. Uw MFA is daarmee zo sterk als de reset.
Gebeurt dit echt?
Ja. De Amerikaanse CISA en FBI beschrijven in een gezamenlijk advies over de groep Scattered Spider hoe aanvallers zich bij de helpdesk voordoen als medewerker. Zo laten zij wachtwoorden resetten en MFA overzetten naar een toestel dat zij zelf beheren.
In Nederland is het ook een bestuurlijk onderwerp. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing, en NIS2 noemt toegangsbeheer en multifactorauthenticatie bij de verplichte maatregelen.
Hoe weet u of uw servicedesk dit tegenhoudt?
Een procedure op papier zegt weinig over wat er aan de telefoon gebeurt. Om dat te weten, moet u het testen. In een account takeover assessment belt DeepCalls uw servicedesk zoals een aanvaller dat zou doen. Altijd binnen getekende autorisatie en afspraken die vooraf zijn vastgelegd.
Wat kunt u doen?
- Test de praktijk. Een account takeover assessment laat zien of uw servicedesk een account vrijgeeft aan iemand die belt.
- Kijk naar het proces. Een procesanalyse laat zien waar beleid en praktijk uit elkaar lopen.
- Overweeg technische verificatie. Technische maatregelen vervangen het oordeel van één medewerker door een control die de beller zelf moet doorstaan.
