The New Phishing Click: How OAuth Consent Bypasses MFA
In February 2026, a phishing-as-a-service (PhaaS) platform called EvilTokens went live. Within five weeks, it had compromised more than 340 Microsoft 365 organizations across five countries. The targets of the platform received a message asking them to enter a short code at microsoft.com/devicelogin and complete their normal MFA challenge, then walked away believing they had verified a
Prioriteit & onderbouwing
Prioriteit: Laag
Monitoren
Laag (29/100): monitoren. Zwaarst wegend: gemeentelijke relevantie en betrouwbaarheid van het signaal.
laag
- Technische ernst (severity): Genormaliseerde ernst 'low'; geen CVSS-score beschikbaar.
laag
- Geen exploit bekend: Er is geen exploit of actief misbruik bekend.
midden
- Gemeentelijke relevantie: Relevantiescore 40/100 uit de relevantie-engine (module 5).
midden
- Technische ernst: Threat Score 20/100 x gewicht 25%.
- Exploitatie: Exploit Score 10/100 x gewicht 25%.
- Gemeentelijke relevantie: Relevantiescore 40/100 x gewicht 22%.
- Betrouwbaarheid van het signaal: Confidence 'unconfirmed' x gewicht 12%.
- Blootstellingskans: Geschatte blootstelling 34% x gewicht 10%.
- Betrouwbaarheid van de bron: Bronbetrouwbaarheid 60% x gewicht 6%.
De priority_score is de Action Urgency Score: een gewogen combinatie van de technische ernst, de exploitatie en de gemeentelijke relevantie.
Toelichting
In February 2026, a phishing-as-a-service (PhaaS) platform called EvilTokens went live. Within five weeks, it had compromised more than 340 Microsoft 365 organizations across five countries. The targets of the platform received a message asking them to enter a short code at microsoft.com/devicelogin and complete their normal MFA challenge, then walked away believing they had verified a
Onderbouwing van de classificatie
Categorie 'phishing' op basis van trefwoord 'phishing'. Severity 'low' bepaald op basis van: geen severity-signalen gevonden, standaard 'low'. Confidence 'unconfirmed': nieuwsbron zonder primaire bevestiging (The Hacker News). Herkende leveranciers/producten: Microsoft, Microsoft 365.
Gemeentelijke relevantie
Deze dreiging scoort 40/100 voor de gemeentelijke relevantie. Meegewogen: veelgebruikte gemeentelijke technologie en impact op identity of Microsoft 365. Geraakte processen: Microsoft 365 en identity.
Bestuurlijke duiding
Deze dreiging is relevant voor de gemeente. Phishing richt zich op medewerkers en kan leiden tot gecompromitteerde accounts en vervolgschade. De impact is beheersbaar mits de geadviseerde maatregelen tijdig worden opgevolgd. Laat de CISO de voortgang bewaken en escaleer richting directie zodra nieuwe signalen daartoe aanleiding geven.
Geraakte processen
Geraakte technologie
Betrokken rollen
CISO · ISO · SOC · ICT beheer
Operationele acties
- Blokkeer de gemelde afzenders en URL's in de mail- en webfilters.
- Reset de inloggegevens van medewerkers die mogelijk gegevens hebben ingevoerd.
- Controleer de aanmeldlogboeken op succesvolle aanmeldingen vanaf afwijkende locaties.
Concrete stappen voor ICT-beheer en het securityteam.
Aanbevolen acties
- Informeer medewerkers en stimuleer het melden van verdachte berichten.
- Controleer de mailfiltering en de aanmeldbeveiliging.
- Overweeg phishingbestendige MFA (FIDO2).
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Kenmerken
- Ernst
- Laag
- Categorie
- Phishing
- Zekerheid
- Onbevestigd
- Status
- Verrijkt
- CVE's
- Geen
- Prioriteitsscore
- 29 / 100 · Laag
- Bron
- The Hacker News
- Gepubliceerd
- 19 mei 2026