Wat de bellers echt deden

Het eigen threat-intelligenceteam van Google identificeerde een vishingcampagne van vier verwante groepen die het volgt onder de namen Falcon, Helix, Pink en Redact, die volgens Google mogelijk onder een gezamenlijke koepel opereren die het UNC6671 noemt. TechCrunch berichtte over de bevindingen op 6 augustus 2026.

De methode was in de kern direct en weinig technisch: de aanvallers belden medewerkers op hun privé-mobiele telefoon, niet hun werklijn, en deden zich voor als een collega of een lid van de interne IT-helpdesk. Slachtoffers werden doorgeleid naar een website die het echte inlogportaal van hun werkgever nauwkeurig nabootste, waar ze hun gebruikersnaam, wachtwoord en de code uit hun MFA-app invoerden.

Die laatste stap is degene die telt. De nepsite stuurde de inloggegevens en de MFA-code in realtime door naar de aanvaller, zodat die kon inloggen op het echte systeem binnen hetzelfde tijdsvenster waarin de code nog geldig was - een techniek die bekendstaat als realtime-MFA-relay, of phishing-in-the-middle. De campagne liep gedurende de eerste maanden van 2026. In die periode ontvingen wallets die aan de groepen zijn gekoppeld zo'n 10 miljoen dollar in bitcoin, en op een succesvolle inbraak volgde doorgaans een afpersingseis van tussen de 750.000 en 3 miljoen dollar.

Waarom private equity, en geen retailer met een database

De organisaties die in de berichtgeving worden genoemd zijn Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's en TPG. Dat is geen willekeurige steekproef van grote bedrijven, maar een lijst van grote Amerikaanse financiële en private-equitybedrijven, gekozen volgens een logica die het waard is expliciet te benoemen.

De meeste berichtgeving over datalekken gaat ervan uit dat aanvallers volume willen: een database met miljoenen klantgegevens om te verkopen of te gijzelen. Private-equity- en vermogensbeheerbedrijven bezitten daar relatief weinig van. Wat ze wel bezitten is geconcentreerde bevoegdheid - een klein aantal medewerkers, vaak een handvol per bedrijf, die een overboeking kunnen goedkeuren, een transactie kunnen medeondertekenen of een aanzienlijk bedrag kunnen verplaatsen zonder tweede handtekening. Die concentratie was het eigenlijke doelwit van de aanvallers.

Dit is een andere logica van doelwitselectie dan de meeste beveiligingsberichtgeving veronderstelt, en het verklaart waarom een telefoontje, en geen phishingmail naar duizenden postbussen, het juiste middel was. Je hoeft geen database te compromitteren als het compromitteren van drie of vier specifieke mensen sneller en met minder ruis hetzelfde resultaat oplevert.

Waarom het telefoontje uw hele beveiligingsstack verslaat

Multifactorauthenticatie, single sign-on, endpointdetectie en e-mailfiltering zijn allemaal gebouwd om tussen een kwaadaardig bestand, een link of een inlogpoging en uw systemen te gaan staan. Geen daarvan staat tussen een mens en een telefoontje. Een oproep die zich voordoet als een collega of IT-support raakt die hele infrastructuur helemaal niet - hij gaat rechtstreeks naar het enige onderdeel dat geen software-update kan patchen: een mens onder lichte druk die probeert behulpzaam te zijn.

Dit verklaart ook waarom de in realtime gestolen MFA-code zwaarder woog dan het wachtwoord. Een gestolen wachtwoord alleen is tegen een goed geconfigureerde MFA meestal nutteloos. Een wachtwoord en een live doorgestuurde MFA-code binnen dezelfde sessie ondermijnen die bescherming echter volledig, omdat het inloggen vanuit het oogpunt van het systeem er precies zo uitziet als dat van de echte medewerker die met zijn eigen tweede factor inlogt, slechts seconden na elkaar.

De oplossing is een protocol, geen product

Er is geen product te koop dat dit gat dicht, omdat het gat niet technisch is. Elke organisatie waar een klein aantal medewerkers grote financiële transacties kan goedkeuren - wat op de meeste private-equity-, vermogensbeheer- en treasuryfuncties van toepassing is, maar ook op veel gewone middelgrote bedrijven - zou een verificatieprotocol buiten het oorspronkelijke kanaal moeten opzetten en daadwerkelijk moeten oefenen, voor elk onverwacht telefoontje van IT of een collega dat om een inloggegeven, een MFA-code of dringende actie vraagt.

Het protocol zelf is eenvoudig: ophangen en terugbellen naar een bekend intern nummer dat u zelf hebt opgezocht, niet een nummer dat tijdens het gesprek werd gegeven. Nooit een wachtwoord of MFA-code opnieuw invoeren via een link die u tijdens een telefoontje ontving, hoe overtuigend de site ook oogt. Behandel urgentie zelf als het waarschuwingssignaal - echte IT-support heeft zelden binnen twee minuten een hardop voorgelezen inloggegeven nodig.

De les reikt ver voorbij de financiële sector. Elk bedrijf in de EU of het VK met een klein aantal mensen met hoge bevoegdheid - financiële goedkeurders, IT-beheerders, bestuurders met overboekingsbevoegdheid - past in hetzelfde doelwitprofiel waar de aanvallers van uitgingen. In de EU zouden bedrijven die al onder DORA vallen of onder de meldplichten van NIS2, een geslaagde vishing-inbraak precies moeten behandelen als het type incident dat die kaders verwachten te detecteren en te melden.

Lees hierna: Geen mens koos de exploit, CISA geeft 2 dagen  |  Roteer elke CI-sleutel van 4 augustus