Adversary-in-the-middle: als MFA de aanval niet stopt

Het probleem in één zin

Bij adversary-in-the-middle (AiTM) zit de aanvaller tussen jou en de echte dienst: je logt echt in, maar via de server van de aanvaller.

Hoe het werkt

1. Je ontvangt een lokbericht met een link om in te loggen.
2. De link leidt naar een nagemaakte inlogpagina die je gegevens doorstuurt naar de echte dienst.
3. Je vult je wachtwoord en MFA-code in of keurt een melding goed. De echte dienst laat je binnen.
4. De aanvaller vangt de sessiecookie af. Dat is het bewijs waarmee je browser ingelogd blijft. Met die cookie kan de aanvaller je sessie overnemen.

Phishing als dienst

Kant-en-klare kits en Phishing-as-a-Service maken deze aanpak beschikbaar voor criminelen zonder dat zij alles zelf hoeven te bouwen. Volgens ENISA was Tycoon 2FA de meest waargenomen phishingkit van 2025. Er bestaan ook openbare tools zoals Evilginx, die voor tests en aanvallen worden gebruikt.

Gericht en geautomatiseerd tegelijk

Een gepersonaliseerd lokbericht kan de voorkant zijn van een geautomatiseerde kit. Het bericht voelt persoonlijk, terwijl de inlogpagina en het onderscheppen van de sessie op grote schaal kunnen verlopen.

Herkennen

Een onverwachte vraag om opnieuw in te loggen of een webadres dat net niet klopt, kan een aanwijzing zijn. Vertrouw niet alleen op wat je op de pagina ziet. De beste regel: open zelf de app of typ het bekende adres in. Lees meer over verifiëren via een kanaal dat je zelf kiest.

Wat wel helpt

Phishingresistente MFA, zoals passkeys en hardwaresleutels, koppelt de inlog aan de echte website en werkt niet op een nagemaakte pagina. Daarnaast helpen voorwaardelijke toegang (bijvoorbeeld alleen beheerde apparaten toelaten), een beperkte sessieduur en detectie van afwijkende aanmeldingen.

Als het misging

Wijzig niet alleen je wachtwoord. Laat ook sessies intrekken en aanmeldingen, mailboxregels en geregistreerde MFA-methoden controleren. Lees wat je direct doet na een phishingaanval.

Bronnen

ENISA Threat Landscape 2026.