Pas op voor deze slimme phishingtruc: de nepsite verschijnt pas in je eigen browser
Samenlevingvrijdag, 11 september 2026 om 5:17
Een phishingmail met een bijlage die op een agenda-uitnodiging lijkt, kan je naar een vervalst inlogscherm leiden dat pas ín je eigen browser wordt opgebouwd. Onderzoekers van Barracuda waarschuwen voor deze aanpak, die misbruikmaakt van vertrouwde Microsoft-diensten en zogeheten blob-URL's. De techniek verandert de belangrijkste regel niet: vul nooit inloggegevens in nadat je via een onverwachte mail of sms op een link hebt geklikt.
Geen gewone nepwebsite
Bij klassieke phishing lokken criminelen slachtoffers naar een nagemaakte website. Die website heeft meestal een extern webadres dat beveiligingsdiensten kunnen onderzoeken en blokkeren.
In de nieuwe campagne werkt dat anders. Het valse inlogscherm wordt met een blob-URL opgebouwd in het geheugen van de browser. Zo'n tijdelijk browseradres verwijst niet naar een normale, openbaar gehoste pagina. De frauduleuze pagina bestaat alleen tijdens die browsersessie.
Dat kan automatische controles lastiger maken. Er is immers geen permanente phishingwebsite die eenvoudig aan een blokkadelijst kan worden toegevoegd. Maar voor de gebruiker blijft het risico precies hetzelfde: een frauduleus scherm probeert een wachtwoord of inlogcode buit te maken.
De mail lijkt van DocuSign te komen
De onderzochte aanval begint met een e-mail die zich voordoet als een bericht van DocuSign. Daarbij zit een agenda-uitnodiging als bijlage. Wie die opent, kan via een reeks omleidingen bij Microsoft Teams belanden. Vervolgens wordt extern materiaal geladen en verschijnt er lokaal in de browser een vals inlogscherm.
Dat de route langs bekende Microsoft-onderdelen loopt, betekent nadrukkelijk niet dat de inlogvraag betrouwbaar is. Criminelen rekenen erop dat mensen minder argwanend worden zodra zij bekende logo's, Teams of een Microsoft-inlogvenster zien.
Zo voorkom je dat je erin trapt
Een technische truc vraagt vooral om nuchter gedrag. Hanteer deze regels:
- Open geen onverwachte agenda-uitnodiging of bijlage, ook niet als de mail een bekend bedrijfslogo draagt.
- Ga bij een verzoek om in te loggen zelf naar de officiële app of typ het bekende webadres handmatig in.
- Wantrouw onverwachte omleidingen: een document hoeft je niet plotseling via meerdere schermen naar een inlogpagina te sturen.
- Geef nooit een wachtwoord, verificatiecode of herstelcode af na een link uit e-mail, sms of chat.
- Controleer extra kritisch of er opeens toestemming wordt gevraagd voor een Microsoft-, Google- of andere accountkoppeling.
Toch geklikt of ingelogd?
Alleen klikken betekent niet automatisch dat je account is overgenomen. Heb je echter gegevens ingevuld, verander dan direct het wachtwoord via de officiële website of app. Meld actieve sessies af, controleer of er onbekende hersteladressen of apparaten aan je account zijn toegevoegd en zet tweestapsverificatie aan als die nog niet actief is.
Gebruik je hetzelfde wachtwoord elders? Verander het daar eveneens. Juist wachtwoordhergebruik maakt één gestolen inlog combinatie gevaarlijk voor meerdere accounts.
De belangrijkste bescherming is nog steeds simpel
Een slotje in de browser, een bekend logo of een ogenschijnlijk betrouwbare omleiding is geen garantie. De veiligste gewoonte blijft verrassend eenvoudig: ontvang je onverwacht een inlogverzoek, sluit het venster en open zelf de dienst die je nodig hebt. Dat kost enkele seconden en haalt de kracht uit veel phishingtrucs.
POPULAIR NIEUWS
Hoe vaak wast de gemiddelde Nederlander zichzelf? En zijn beddengoed?
Asielaanvragen dalen hard in Nederland, en kans op inwilliging keldert nog sneller
Jonge zwarte vrouw opgehangen aan boom in VS, politie komt nu eindelijk in actie
ECB verhoogt rente opnieuw: dit betekent het voor je hypotheek, spaargeld en lening
Verlaging ziekengeld: VVD wakkert ruzie met vakbonden verder aan
Voor een appel en een ei naar deze prachtige steden: dit zijn de goedkoopste Europese treindeals, zonder overstap
Loading