Aanvallers bellen medewerkers via Teams en doen zich voor als IT-support of bank. Vishing groeide het afgelopen jaar met 442 procent. Microsofts nieuwe brand impersonation protection detecteert verdachte oproepen in real time. Wat zien uw medewerkers, wat moet u instellen en wat is er aanvullend nodig?
Telefoonfraude heeft een nieuw gezicht gekregen. Waar aanvallers vroeger belden vanuit een anoniem callcenter, gebruiken ze nu Microsoft Teams om medewerkers te benaderen als ogenschijnlijke IT-collega's, bankmedewerkers of overheidsinstanties. Teams is het nieuwe zakelijke telefoonnet voor honderden miljoenen gebruikers, en daarmee ook een aantrekkelijk aanvalskanaal.
De cijfers zijn alarmerend. Voice phishing, ook wel vishing genoemd, groeide het afgelopen jaar met 442 procent. Zeventig procent van de organisaties heeft inmiddels te maken gehad met een vishing-aanval. Microsoft reageerde dit voorjaar met een nieuwe beveiligingsfunctie die rechtstreeks in Teams Calling is ingebakken: brand impersonation protection. Wat houdt dat in, wat zien uw medewerkers, en welke aanvullende stappen zijn verstandig?
De meest gedocumenteerde aanvalsmethode laat zien hoe geraffineerd de werkwijze is geworden. Aanvallers registreren een eigen Microsoft 365-tenant zodat hun Teams-account er legitiem uitziet, en bellen vervolgens medewerkers van een doelorganisatie op via een Teams-oproep. Ze stellen zich voor als IT-support of helpdesk en claimen dat er een beveiligingsprobleem op de computer van de medewerker is ontdekt. Nadat ze het vertrouwen hebben gewonnen, overtuigen ze het slachtoffer om Quick Assist of een vergelijkbaar remote access-programma te activeren.
Eenmaal toegang verleend, installeren de aanvallers malware, stelen ze inloggegevens en krijgen ze in de ernstigste gevallen volledige toegang tot het bedrijfsnetwerk. Wat deze aanval zo effectief maakt, is dat er geen enkele softwarekwetsbaarheid wordt misbruikt. De aanval werkt puur via vertrouwen: vertrouwen in een bekende applicatie die legitiem lijkt.
Microsoft rolde in mei 2026 brand impersonation protection uit voor Teams Calling. De functie analyseert inkomende oproepen van externe bellers die u nog nooit eerder heeft gesproken, zogeheten first-contact callers, en beoordeelt in real time of de oproep kenmerken vertoont van brandneppartij. Daarbij kunt u denken aan bellers die in hun weergavenaam, gedrag of context de identiteit imiteren van een bekende organisatie, een IT-dienstverlener, een bank of een overheidsinstantie.
De functie is voor alle tenants standaard ingeschakeld die Teams Calling gebruiken. Er is geen extra configuratie nodig en bestaande belbeleidsregels veranderen niet. De analyse vindt volledig op de achtergrond plaats, nog voordat de medewerker de oproep aanneemt.
Als Teams een inkomende oproep als hoog-risico beoordeelt, verschijnt er een waarschuwing op het scherm van de ontvanger voordat de oproep wordt aangenomen. De waarschuwing adviseert de oproep te weigeren of te rapporteren. Als de medewerker toch opneemt en de risicosignalen aanhouden tijdens het gesprek, kan de waarschuwing ook in-call zichtbaar blijven.
Na het gesprek, of na een geweigerde oproep, kan de medewerker de oproep als verdacht rapporteren via de belgeschiedenisweergave in de Teams-app. De medewerker kiest daarbij een reden, en de gegevens worden gebruikt om de detectie te verbeteren. Dit rapportagemechanisme geeft organisaties ook inzicht in hoe frequent medewerkers worden aangevallen.
De functie is standaard actief, maar drie aanvullende stappen zijn verstandig. Ten eerste: informeer uw helpdesk. Medewerkers die een waarschuwing zien, nemen vaak contact op met de IT-afdeling om te controleren of de melding klopt. Zorg dat helpdesk-collega's precies weten wat de waarschuwing inhoudt en hoe ze medewerkers moeten adviseren.
Ten tweede: controleer uw externe toegangsinstellingen in het Teams Admin Center. Standaard staat open federatie aan voor de meeste tenants, wat inhoudt dat iedereen met een Microsoft 365-account u rechtstreeks kan bellen. Door over te stappen op een allowlist van vertrouwde externe domeinen verkleint u het aanvalsoppervlak aanzienlijk. Ten derde: leg in uw intern beleid vast dat IT nooit spontaan belt met het verzoek om remote access te verlenen. Dit heldere uitgangspunt ontneemt aanvallers hun voornaamste overtuigingsstrategie.
Technische maatregelen beschermen tegen bekende aanvalspatronen, maar sociaal gedrag vereist training. Medewerkers moeten begrijpen dat een Teams-oproep van een externe beller die beweert IT-support te zijn, altijd verdacht is wanneer ze zelf geen verzoek hebben ingediend. De kernregel is eenvoudig: IT belt niet spontaan met het verzoek Quick Assist of remote desktop te activeren. Ontvang je toch zo'n oproep? Hang op, bel de helpdesk terug via het interne nummer en rapporteer de oproep in Teams.
Bewustwordingstraining hoeft niet ingewikkeld te zijn. Een korte simulatie of een gerichte instructiesessie is in de meeste gevallen voldoende om medewerkers alert te maken. Documenteer dat de training heeft plaatsgevonden, met name voor organisaties die vallen onder NIS2 of andere compliance-kaders.
Brand impersonation protection richt zich op gedragsmatige en numerieke signalen bij inkomende oproepen. De volgende bedreiging is echter al in opkomst. Met AI-stemkloningstools die op basis van slechts drie seconden audio een overtuigende stemreplica genereren, kunnen aanvallers een bekende collega of directeur imiteren. In het eerste kwartaal van 2025 nam het gebruik van deepfake-technieken bij vishing-aanvallen met meer dan 1.600 procent toe ten opzichte van het voorgaande kwartaal.
Microsoft werkt aan detectiemethoden voor AI-gegenereerde stemmen in Teams, maar die zijn op dit moment nog niet beschikbaar als productiefeature. De praktische aanbeveling is om bewustwordingstraining nu al te verbreden: richt medewerkers op het herkennen van onverwachte oproepen met dringende verzoeken, ongeacht hoe vertrouwd de stem klinkt. Verifieer altijd via een afzonderlijk kanaal wanneer iemand via de telefoon vraagt om geld over te maken, gevoelige gegevens te delen of toegang te verlenen.
Vishing via Teams is geen hypothetische bedreiging. De aanvallen zijn uitgebreid gedocumenteerd, de methoden worden geraffineerder en de statistieken zijn helder. Microsofts nieuwe brand impersonation protection is een waardevolle eerste verdedigingslinie, maar beschermt niet tegen alles. Een combinatie van technische instellingen, heldere interne regels en gerichte bewustwording maakt uw organisatie weerbaarder. Wilt u uw Teams-omgeving doorlichten op externe toegangsinstellingen en belbeleid, of een bewustwordingssessie over vishing organiseren voor uw team? Zarioh helpt IT-teams en directeuren bij de praktische beveiliging van Microsoft 365. Neem contact op voor een vrijblijvend gesprek.
Was dit artikel nuttig?
Ontvang nieuwe artikelen direct in je inbox.
Geen spam. Afmelden kan altijd.
