ReliaQuest voorkomt datalek na snelle blokkade van gehackt account

Bij de aanval registreerde de kwaadwillende een nep-domeinnaam die sterk leek op de officiële website van ReliaQuest en zette daar een valse inlogpagina (single sign-on) op. Vervolgens belden de aanvallers meerdere werknemers op, waarbij zij zich telefonisch voordeden als collega's van de interne beveiligingsafdeling. Eén medewerker werd misleid, vulde zijn wachtwoord in en keurde de verificatiemelding (MFA-push) op zijn telefoon goed.

Geen toegang tot systemen of klantdata

Hierdoor verkreeg de aanvaller kortstondig toegang tot het identiteitsdashboard van het bedrijf. De toegangsrechten bleven echter beperkt tot het louter bekijken van het dashboard. De aanvaller probeerde door te dringen tot andere bedrijfstoepassingen, maar werd telkens geblokkeerd door de ingestelde beveiligingsfilters.

De belangrijkste bevindingen en maatregelen uit het interne onderzoek:

Beveiligingsprincipe: ReliaQuest hanteert een defense-in-depth-strategie. Apparaten die niet door de organisatie worden beheerd (device trust), krijgen automatisch geen toegang tot applicaties of systemen, zelfs niet met een geldig wachtwoord.

Direct ingrijpen: Nadat de verdachte activiteit werd opgemerkt, zijn alle actieve sessies van de aanvaller beëindigd, werd het wachtwoord verlopen verklaard en zijn alle authenticatiefactoren gereset.

Geen datalek: Er is geen klantinformatie of bedrijfskritische data ingezien. Geruchten dat het bedrijf slachtoffer zou zijn geworden van ransomware of een volledige netwerkinbreuk, noemt ReliaQuest expliciet onjuist.

Volgens het beveiligingsbedrijf past deze aanvalsmethode — telefonische impersonatie gecombineerd met snelle domeinregistratie en misbruik van push-notificaties — binnen een bredere trend die momenteel in de gehele techsector te zien is.