Beveiligingsbedrijf Huntress rangschikt in zijn nieuwe “Tragic Quadrant” de aanvalstechnieken die bedrijven momenteel het hardst raken, met als doel organisaties te helpen hun verdediging in de juiste volgorde te prioriteren. De rechterbovenhoek van het model, door Huntress zelf de “Fix These Threats First”-hoek genoemd, bevat de technieken die bedrijven als eerste zouden moeten aanpakken.
Bovenaan die lijst staat misbruik van remote monitoring- en managementtools (RMM). Omdat die tools ook door legitieme beheerders worden gebruikt, krijgen aanvallers er moeiteloos aanhoudende toegang mee die op gewoon onderhoudswerk lijkt. Volgens Huntress ging het in het eerste kwartaal van 2026 om 45 procent van de endpoint-incidenten die het bedrijf onderzocht. Op de tweede plaats staat manipulatie van e-mailpostbussen, goed voor 24,6 procent van de identiteitssignalen die Huntress in 2026 registreerde. Aanvallers wijzigen daarbij inboxregels en betaalgegevens zonder dat er malware in het spel is, wat dit soort fraude lastig te detecteren maakt. De derde grote dreiging is accountovername via adversary-in-the-middle-aanvallen die mfa omzeilen: aanvallers plaatsen zich tussen gebruiker en een Microsoft 365-login en stelen het sessietoken. Zolang die sessie geldig is, hoeft een aanvaller geen wachtwoord of nieuwe mfa-prompt meer te doorlopen. Dit speelde in 18,9 procent van de identiteitsdreigingen die Huntress in 2025 zag.
De overige hoeken van het model bevatten dreigingen die volgens Huntress nog niet op dezelfde schaal toeslaan, maar wel groeien. Device code phishing misbruikt het echte inlogproces van Microsoft: het phishing-as-a-service-kit EvilTokens trof binnen zestien dagen 344 organisaties in vijf landen. ClickFix, waarbij gebruikers zelf een kwaadaardig commando in hun terminal plakken, is met 2,2 procent van de Managed EDR-signalen in 2026 nog relatief klein, maar bijna 99 procent van die gevallen wordt als ernstig beoordeeld. Misbruik van AI-platforms noemt Huntress zelf nog “overhyped”, al illustreert het rapport dat met een voorbeeld: de aanvaller FakeAgent verspreidde via een kwaadaardig Claude-artefact de malware SectopRAT naar 29 organisaties in twee dagen.
Als praktisch advies raadt Huntress aan eerst te inventariseren welke remote-tools in de eigen omgeving daadwerkelijk zijn goedgekeurd, wijzigingen in mailboxregels en ongewone sessieactiviteit scherp te monitoren, en alert te zijn op onverwachte device-code-prompts.
Voor Nederlandse IT-afdelingen is de rode draad dat de grootste risico’s niet meer in exotische malware zitten, maar in misbruik van tools en sessies die een organisatie zelf al gebruikt. Een periodieke check op onbekende RMM-software, verdachte inboxregels en langlopende M365-sessies levert vaak meer op dan een extra virusscanner.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.