Controleer eerst de doorstuur- en postbusregels, dan pas het wachtwoord. Verbreek daarna alle actieve sessies, want een gestolen sessie overleeft een wachtwoordwijziging. Zet tweestapsverificatie aan en waarschuw de contacten met wie recent over geld is gemaild.
Hoe u het herkent
Zelden ziet u het aan uw eigen mailbox. Meestal merkt u het aan de buitenkant:
- Een klant belt over een factuur met een gewijzigd rekeningnummer die u niet heeft gestuurd.
- Mail aan bekende contacten komt ineens niet meer aan, omdat uw domein op een blokkeerlijst staat.
- Berichten verdwijnen uit uw postvak in, of staan al gelezen terwijl u ze niet opende.
- U krijgt goedkeuringsverzoeken op uw telefoon die u niet zelf veroorzaakte.
- Er staan verzonden berichten in de map Verzonden die u niet kent, of die map is juist verdacht leeg.
De volgorde die werkt
- Kijk eerst naar de regels in de mailbox. Aanvallers zetten bijna standaard een regel klaar die inkomende mail doorstuurt naar een extern adres, of die berichten met woorden als "factuur" en "IBAN" meteen naar een map verplaatst. Die regel blijft na een wachtwoordwijziging gewoon werken. Kijk ook bij de instelling voor automatisch doorsturen van de hele postbus; die staat op een andere plek dan de regels.
- Wijzig het wachtwoord. Niet een variant op het oude.
- Verbreek alle actieve sessies. Dit is de stap die vrijwel iedereen overslaat. Een aanvaller die al ingelogd is, blijft anders gewoon binnen. In Microsoft 365 heet dit het intrekken van de sessies van de gebruiker.
- Zet tweestapsverificatie aan voor dit account, en controleer of er geen tweede telefoonnummer of app door de aanvaller is toegevoegd.
- Controleer gekoppelde apps. Soms is er toestemming gegeven aan een app die ook na het wachtwoord bij de mail kan.
- Kijk in het aanmeldlogboek waar vandaan is ingelogd en sinds wanneer. Dat bepaalt hoever u moet terugkijken.
De schade beperken
Ga na met wie in de betreffende periode over betalingen is gemaild. Bel die contacten, mail ze niet: als er een doorstuurregel actief was, leest de aanvaller mee. Vraag ze expliciet om geen enkele wijziging van betaalgegevens te accepteren zonder telefonische bevestiging.
Controleer daarna uw eigen uitgaande betalingen van de afgelopen weken. Factuurfraude begint vaak stilletjes, weken voordat er iets zichtbaar wordt.
Melden of niet
In een zakelijke mailbox zitten vrijwel altijd persoonsgegevens: namen, adressen, soms bijlagen met meer. Daarmee is een gehackte mailbox meestal een datalek dat u binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens. Leg in elk geval intern vast wat er is gebeurd en welke afweging u heeft gemaakt, ook als u besluit niet te melden.
Voorkomen dat het opnieuw gebeurt
- Tweestapsverificatie voor iedereen, niet alleen voor de gehackte gebruiker.
- Verouderde mailprotocollen uitschakelen. Die omzeilen de tweede stap.
- Een melding bij nieuwe doorstuurregels. Dit is in te stellen en het vangt de volgende poging in een dag in plaats van in een maand.
- De afspraak dat betaalgegevens nooit per mail wijzigen. Geen techniek, wel de maatregel die de grootste schade voorkomt.