De Belgische overheid waarschuwt organisaties voor aanvallers die inloggen via sms misbruiken. Meerdere Belgische organisaties zijn op deze manier succesvol aangevallen, aldus het Belgische Centrum voor Cybersecurity (CCB). De aanvallers misbruikten de Microsoft-inlogmethode waarbij sms als eerste authenticatiefactor fungeert. Hierbij volstaat het opgeven van een telefoonnummer en een eenmalige code die via sms wordt verstuurd. Er is geen wachtwoord vereist.

"Sms en spraak zijn zwakke authenticatiemethoden, ongeacht of ze als eerste of als tweede factor worden gebruikt. Bij deze aanvallen kregen de aanvallers dankzij aanmelding via sms toegang tot accounts zonder dat ze een wachtwoord nodig hadden", aldus het CCB. De Belgische overheidsinstantie adviseert organisaties om nu in actie te komen en sms als eerste authenticatiefactor uit te schakelen. Tevens moet sms- en spraakverificatie voor alle accounts met beheerdersrechten worden verwijderd.

"Schakel sms- en spraakverificatie echter niet zomaar overal uit, want hierdoor kunnen gebruikers worden buitengesloten. Breng eerst in kaart welke gebruikers en processen hiervan afhankelijk zijn, en stel vervolgens phishingbestendige alternatieven (passkeys/FIDO2) in en test ze" , zo laat het CCB verder weten. Dat adviseert organisaties ook om in hun logs op succesvolle aanmeldingen via sms te zoeken en in het geval van een aanval dit te melden.