Specialisatie

Account takeover via de servicedesk

Een aanvaller heeft geen wachtwoord nodig. Eén overtuigend telefoontje naar de servicedesk kan genoeg zijn om een wachtwoord te laten resetten of een nieuw MFA toestel te laten koppelen. DeepCalls test of uw servicedesk dat tegenhoudt.

Kennismaken Zo werkt het

Op maat voor uw organisatie
Binnen getekende autorisatie
Gevoerd door ervaren specialisten
Inclusief overzicht van technische maatregelen

Wat is het

Wat is account takeover via de servicedesk?

Bij een account takeover neemt een aanvaller het account van een medewerker over. Via de servicedesk kan dat zonder hack. De aanvaller belt, doet zich voor als die medewerker en vraagt om hulp bij het inloggen.

Krijgt hij een nieuw wachtwoord of wordt er een nieuw MFA toestel gekoppeld, dan heeft hij toegang tot de mail, systemen en data van die medewerker. Met de rechten van die medewerker.

Dat ligt niet aan de servicedesk. Die is er om collega's snel te helpen, en moet vaststellen wie er belt zonder die persoon te zien. Account takeover heet ook wel account overname, en is een vorm van voice phishing of vishing.

Waarom

Uw MFA is zo sterk als de reset

Er faalt niets technisch.

De aanvaller breekt niet in. Hij krijgt de toegang via een normaal proces.

Het ziet eruit als gewoon werk.

Een ticket, een reset, een tevreden beller. Daardoor valt het niet vanzelf op.

Eén account kan genoeg zijn.

Wat een aanvaller ermee kan, hangt af van de rechten van dat account.

Het gebeurt in de praktijk.

De Amerikaanse CISA en FBI beschrijven in hun advies over Scattered Spider hoe aanvallers via de helpdesk wachtwoorden laten resetten en MFA laten overzetten.

Het is een bestuurlijk onderwerp.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing, en NIS2 noemt toegangsbeheer en MFA bij de maatregelen.

Voor wie

Voor organisaties waar één account veel kan openen

Relevant voor elke organisatie waar de servicedesk op verzoek van een beller wachtwoorden of MFA kan resetten. In het bijzonder:

U hoeft niet precies te weten wat u wilt laten testen. In de intake bepalen wij samen wat zinvol is.

Multinationals en complexe organisaties met meerdere entiteiten, locaties of talen
Organisaties met een uitbestede servicedesk, of met local IT naast een centrale servicedesk
Banken, verzekeraars en andere financiële instellingen
Overheden, onderwijs en organisaties die onder de Cyberbeveiligingswet vallen
Organisaties die hebben geïnvesteerd in MFA en willen weten of dat ook aan de telefoon standhoudt

Het assessment

Wij testen het proces, niet de mensen

In een ATO assessment bellen wij uw servicedesk zoals een aanvaller dat zou doen, binnen afspraken die vooraf zijn vastgelegd. Wij kijken naar:

Identiteitsverificatie.

Hoe de servicedesk vaststelt wie er belt.

Wachtwoord en MFA resets.

Of de procedures in de praktijk standhouden.

Escalatie en overdracht.

Wat er gebeurt als een verzoek naar een andere afdeling of local IT gaat.

Weerbaarheid onder druk.

Of het proces overeind blijft als een beller aandringt.

Ik test geen mensen, ik test processen. Daarom verwerk ik alles anoniem. Een servicedesk wil helpen, en een goede procedure en de juiste technische verificatie zorgen ervoor dat dat veilig kan.

Lara Hemstede

founder DeepCalls

Wat u krijgt

Een rapport met de bevindingen per gesprek
Optioneel: een procesanalyse die laat zien waar de procedure ruimte laat, zodat u het proces kunt verbeteren
Een overzicht van technische maatregelen voor identiteitsverificatie aan de servicedesk
Een eindpresentatie voor uw team

Het proces

Van intake tot inzicht

01
Intake.
Wij bespreken uw organisatie, processen en risicoprofiel, en leggen de afspraken vast.
02
Scenario ontwikkeling.
Op maat voor uw sector en organisatie. Geen standaard scripts.
03
Uitvoering.
De gesprekken met uw servicedesk, binnen getekende autorisatie.
04
Rapportage en eindpresentatie.
U ontvangt het rapport en wij presenteren de uitkomsten aan uw team.

Binnen afspraken

Realistisch, maar gecontroleerd

Elk assessment gebeurt binnen getekende autorisatie en spelregels die vooraf zijn afgesproken. Wij werken volgens de AVG en zonder verstoring van uw operatie. Bevindingen worden anoniem en vertrouwelijk gerapporteerd.

Veelgestelde vragen

Kan iemand via de helpdesk mijn wachtwoord laten resetten?

Als de servicedesk niet goed kan vaststellen wie er belt, kan dat. Een ATO assessment laat zien of dat bij u het geval is.

Wij hebben MFA. Is dit dan nog nodig?

MFA beschermt de aanmelding. Kan de servicedesk MFA resetten of een nieuw toestel koppelen, dan loopt via de telefoon een route om MFA heen.

Wat is het verschil met een phishing simulatie?

Een phishing simulatie test of medewerkers op een mail reageren. Een ATO assessment test of de servicedesk een account vrijgeeft aan iemand die belt.

Is dit een pentest?

Nee. Het is een test van een proces via de telefoon. Technische pentests bieden wij aan via ons partnernetwerk.

Kan een uitbestede servicedesk ook worden getest?

Ja. De externe partij die uw servicedesk runt, geeft toestemming voor de test. Het contract en de afspraken lopen via u als opdrachtgever.

Wat doen wij na het assessment?

Met het rapport, eventueel de procesanalyse en het overzicht van technische maatregelen kiest u wat u aanpast.

Kennismaken

Weet u wat uw servicedesk doet als wij bellen?

In een kennismaking bespreken wij uw situatie en of een ATO assessment past.