BLUETEAM ACADEMY — PRAKTISCHE GIDS PHISHINGBEWUSTZIJN Microsoft 365 / Entra, Google Workspace en AI-bedreigingen Cursuseditie: oktober 2026. Volg de goedgekeurde procedures van uw organisatie. 1. PAUZEER EN ONDERZOEK HET VERZOEK Wat word ik gevraagd te wijzigen, te onthullen, te autoriseren, te betalen, te downloaden of uit te voeren? Verwachtte ik dit werk? Heeft de afzender het gezag voor deze handeling? Een bekende naam, een logo, bestaande draad, correcte grammatica, HTTPS, stem of video beantwoordt die vragen niet. Een echt account kan gecompromitteerd zijn. 2. VERIFIËER ZONDER HET PAD VAN HET BERICHT TE GEBRUIKEN Gebruik een gevestigde bladwijzer, bedrijfslauncher, servicedesk of opgeslagen contact. Volg voor betalingen en wijzigingen in bankrekeningen de terugbel- en dubbele goedkeuringsregels. Bel geen nummer uit het verdachte verzoek of keur geen uitzondering goed omdat het verzoek urgentie, geheimhouding of senioriteit claimt. 3. LINKS EN QR-CODES Als je client een veilige preview aanbiedt, inspecteer dan de volledige bestemming zonder te openen de host is geen merknaam die eerder in een subdomein of later in een pad. Een verkorte URL of QR-code kan de bestemming verbergen. Open geen link naar test of het veilig is. Gebruik de bekende zakelijke dienst direct. 4. MICROSOFT APPARAATCODES EN TOESTEMMING Een echte Microsoft-pagina kan een door een aanvaller gestart verzoek autoriseren. Voer geen apparaatcode in uit een ongevraagde vergadering, recruiter- of supportbericht. Voer alleen een device flow uit die u zelf bewust voor een bekende, goedgekeurde app heeft gestart. Inloggen is iets anders dan een toepassing toestemming geven voor mail of bestanden. Verifieer de app-identiteit, gevraagde scopes, zakelijk doel en goedkeuringsstatus. Keurt nooit een onverwachte MFA-melding goed, ook niet op verzoek van een beller. 5. GOOGLE WORKSPACE Een echte Drive-deelmelding zegt niets over de veiligheid van het document. Een extern document of een agenda-uitnodiging kan een onveilige link of verzoek bevatten. Gebruik de bekende Drive/Calendar-route en verifieer het zakelijke doel apart. Beoordeel toegangsrechten van externe apps samen met IT. Toegang later verwijderen herstelt gegevens al gekopieerd. Google ondersteunt ook legitieme apparaat-autorisatie; beschouw onverwachte apparaat-instructies als een autorisatievraag behandelen, niet als een merk-vraag. 6. AI, SAMENWERKING EN BIJLAGEN Overtuigende spraak/video vervangt geen identiteit- en betalingsautorisatiecontroles. Een AI-samenvatting kan kwaadaardige instructies herhalen uit een document dat het samenvatte. Externe Teams- of Chatberichten vereisen dezelfde controles als e-mail. Open geen met wachtwoord beveiligde archieven om scannen te ontwijken, voer geen uitvoerbare bestanden uit of schakel nooit macro’s in alleen om een document te lezen. Een valse CAPTCHA of meeting-reparatie kan vragen u te laten plakken en een commando uit te voeren. Stop: voer het niet uit. Installeer geen niet-goedgekeurde browserextensie of ondersteuning op afstand tool. 7. VIRUSTOTAL BESLISSINGSBOOM — VOORDAT U EEN VRAAG OF INDIENING DOET A. Staan het bedrijfsbeleid en de voorwaarden van de dienst dit gebruik toe? NEE / ONZEKER -> gebruik het goedgekeurde interne beveiligingskanaal. B. Bevat het bestand of kenmerk vertrouwelijke, persoonlijke of toegangsgegevens? JA / ONZEKER -> upload of plak dit niet in openbare scanservices. Voorbeelden: loonadministratie, contracten, patiënt-/klantgegevens, privé-deellinks, wachtwoord-reset links, ondertekende download-URL's, toegangstokens en interne details. C. Is er voor een toegestane, al veilig bewaarde file een goedgekeurde SHA-256 beschikbaar? Vraag beveiliging om raad of gebruik een goedgekeurd lokaal hulpprogramma zonder het bestand uit te voeren. Download geen verdacht bijlage alleen om de hash te berekenen. D. Doorzoek de toegestane hash voor een BESTAAND rapport. Hiermee worden de bytes van het bestand niet geüpload, maar de zoekopdracht wordt alsnog bekend bij een derde partij. partij. Een ontbrekend rapport betekent onbekend; dit autoriseert geen bestandsupload. E. Controleer bij een toegestane publieke URL of de volledige string geen gevoelige informatie bevat informatie vóór het raadplegen. URL-zoekopdrachten kunnen worden gescand en gedeeld; doe dit niet ga er niet vanuit dat een zoekactie privé is of dat het verwijderen van een token hetzelfde object test. F. Controleer het geanalyseerde kenmerk, bestandstype, analysedatum en individuele resultaten. Nul detecties is geen bewijs van veiligheid. Een oud rapport beschrijft mogelijk niet de huidige situatie inhoud. Een detectie kan interpretatie vereisen; overschrijf bedrijfs-tools niet. G. Een rapport keurt geen betaling, toestemmingsverlening, inloggen of vrijgave van data goed. Volg het goedgekeurde onderzoeks- en escalatieproces. WAAROM VERTROUWELIJKE BESTANDEN BUITEN MOETEN BLIJVEN Gewone VirusTotal-indieningen en rapporten kunnen binnen de eigen beveiliging worden gedeeld ecosysteem, inclusief partners en klanten. Publieke scanning kan een nieuw gegevensopenbaarmaking. Private Scanning is een aparte dienst die moet worden goedgekeurd en geconfigureerd voor jouw organisatie. Alleen inloggen of betalen is niet voldoende. Als je per ongeluk gevoelige informatie hebt ingestuurd, meld dat datalek direct; ga er niet vanuit dat het verwijderen van een lokale kopie of het wijzigen van de bestandsnaam dit terugdraait. 8. INCIDENTRAPPORTSABLAUW - GEBRUIK ALLEEN GOEDGEKEURDE INTERNE KANALEN Getroffen account/apparaat: Bij benadering tijd en tijdzone: Kanaal en opgegeven afzender: Wat ik heb waargenomen: Wat ik daadwerkelijk deed (bekeken / geklikt / wachtwoord ingevoerd / MFA afgerond / ingevoerde apparaatcode / verleende app-toegang / inhoud uitgevoerd / gegevens verzonden / betaald): Opvallende downloads, prompts of wijzigingen: Wat ik ben gestopt met doen: Waar origineel bewijs wordt bewaard via het goedgekeurde rapportagetool: Bekende servicedesk- of securityroute gebruikt: Meld snel, ook bij twijfel. Herhaal de handeling niet om te onderzoeken. Zet geen wachtwoorden, herstelcodes of geheimen in het rapport. Beveiliging kan sessies en app-toestemmingen moeten intrekken, mailboxregels inspecteren en controleer apparaten; alleen een wachtwoord wijzigen is niet bij elk geval een volledige reactie. Meld betalingen direct bij de financiële en beveiligingsafdelingen via de gevestigde kanalen. Volg de instructies van het responsteam in plaats van te improviseren met wissen of aanpassingen van apparaten. BRONNEN https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/ https://support.google.com/mail/answer/8253 https://support.google.com/accounts/answer/14012355 https://docs.virustotal.com/docs/how-it-works https://docs.virustotal.com/docs/searching https://docs.virustotal.com/docs/results-reports https://docs.virustotal.com/docs/private-scanning Gebruik fictieve of geanonimiseerde voorbeelden in cursusantwoorden. Plak geen echte verdachte bestanden, privé-links of bedrijfsgeheimen op het trainingsplatform.