CTM360-onderzoek onthult hoe verzekeringsphishing is geëvolueerd naar realtime accountkaping

Jarenlang volgden phishingcampagnes gericht op financiële instellingen hetzelfde draaiboek. Slachtoffers werden misleid om gebruikersnamen en wachtwoorden in te voeren, aanvallers verzamelden de inloggegevens en accounts werden later gecompromitteerd toen de gelegenheid zich voordeed.

Dat model is aan het veranderen.

Recent onderzoek naar op verzekeringen gerichte phishing-operaties laat een directere aanpak zien. In plaats van inloggegevens te verzamelen voor later gebruik, synchroniseren aanvallers nu hun activiteiten in realtime met hun slachtoffers, waarbij ze zich authenticeren via legitieme verzekeringsportals terwijl slachtoffers onbewust het inlogproces voltooien. De hele aanval kan zich binnen één enkele browsersessie ontvouwen.

Deze verschuiving benadrukt een bredere trend in het cyberbeveiligingslandschap. Naarmate phishing-campagnes geavanceerder worden, is het eenvoudigweg identificeren van kwaadaardige websites en imitatiedomeinen niet langer voldoende. Organisaties moeten steeds meer inzicht krijgen in de infrastructuur, technieken en operationele workflows achter deze aanvallen.

Verzekeringen zijn een steeds aantrekkelijker doelwit geworden

Verzekeraars hebben hun online dienstverlening snel uitgebreid. Klanten kunnen nu polissen aanschaffen, dekking verlengen, claims indienen, accounts beheren, persoonlijke gegevens bijwerken en betalingen voltooien, volledig via digitale portalen.

Hoewel dit de klantervaring verbetert, creëert het ook een aantrekkelijke omgeving voor bedreigingsactoren.

In tegenstelling tot traditionele bankaanvallen die zich primair richten op financiële transacties, bevatten gecompromitteerde verzekeringsrekeningen vaak uitgebreide persoonlijke informatie, identiteitsdocumenten, polisgegevens, betalingsmethoden en andere gevoelige klantgegevens die fraude kunnen ondersteunen die veel verder gaat dan de aanvankelijke compromittering.

Tijdens het onderzoek werd een gecoördineerde phishing-operatie geïdentificeerd die zich richtte op meerdere verzekeringsmaatschappijen in verschillende regio’s. In plaats van zich voor te doen als een enkele organisatie, gebruikte de campagne dezelfde operationele infrastructuur voor talloze verzekeringsmerken, waarbij de taal, branding en inhoud werden aangepast aan de lokale markten. Saoedi-Arabië leek het voornaamste doelwit te zijn, terwijl er in heel Europa, de Verenigde Staten en India extra activiteit werd waargenomen.

Google-advertenties worden de eerste aanvalsvector

Een van de meest opvallende observaties was het consistente gebruik van gesponsorde Google-advertenties als het primaire leveringsmechanisme.

In plaats van te vertrouwen op phishing-e-mails of sms-campagnes, kopen aanvallers advertenties die verschijnen wanneer gebruikers zoeken naar verzekeringsoffertes, verlengingen of prijsvergelijkingen. In de advertenties werden aanbiedingen gepromoot zoals ‘Vergelijk autoverzekeringsaanbiedingen’ of ‘Goedkoopste WA-verzekering’, waardoor gebruikers werden aangemoedigd om op legitieme offertediensten te klikken.

Nadat ze op de advertentie hebben geklikt, worden de slachtoffers doorgestuurd naar phishingwebsites die zijn ontworpen om sterk op echte verzekeringsmaatschappijen te lijken. Deze sites repliceerden branding, gebruikersinterfaces, offerteworkflows en klantportals met een niveau van realisme dat bedoeld was om argwaan tijdens de interactie te verminderen.

De infrastructuur die deze campagnes ondersteunde, was eveneens beschikbaar. In plaats van te vertrouwen op specifieke kwaadaardige hosting, maakten operators vaak gebruik van legitieme websitebouwers en gratis hostingplatforms zoals GitHub Pages, Netlify, Hostinger, Wix, Lovable en andere clouddiensten. Gerandomiseerde domeinen met weinig of geen gelijkenis met verzekeringsmerken zorgden ervoor dat campagnes snel konden rouleren, terwijl de effectiviteit van conventionele merkmonitoring-inspanningen werd verminderd.

Phishing is geëvolueerd naar realtime accountkaping

Phishingcampagnes worden al lang gebruikt om gevoelige informatie te stelen, waaronder persoonlijke informatie, financiële gegevens, betaalkaartgegevens, verzekeringsgegevens en accountgegevens. In veel gevallen was het doel om zoveel mogelijk informatie te verzamelen en deze later te exploiteren door middel van accountovername, identiteitsfraude of financieel misbruik.

Moderne phishing-campagnes voor verzekeringen vertegenwoordigen een belangrijke evolutie van dit model. In plaats van te functioneren als statische gegevensverzamelingspagina’s, houden deze phishingportals zich tijdens het hele authenticatieproces actief bezig met slachtoffers. Terwijl slachtoffers hun informatie doorgeven, gebruiken aanvallers tegelijkertijd de verzamelde gegevens om in realtime met het legitieme verzekeringsportaal te communiceren, waardoor de phishing-pagina verandert in een live tussenpersoon tussen het slachtoffer en de echte dienst.

Met deze aanpak kunnen aanvallers authenticatiemechanismen omzeilen die traditioneel het nut van gestolen inloggegevens zouden beperken. Wanneer de legitieme verzekeringsmaatschappij een eenmalig wachtwoord (OTP) of een andere verificatie-uitdaging verzendt, vraagt ​​de phishing-pagina het slachtoffer onmiddellijk om dezelfde code in te voeren onder het mom van routinematige identiteitsverificatie. Het ingediende OTP wordt vervolgens doorgestuurd naar de legitieme portal voordat deze verloopt, waardoor aanvallers het authenticatieproces kunnen voltooien terwijl het slachtoffer zich er niet van bewust is.

In plaats van eenvoudigweg informatie te verzamelen voor toekomstig gebruik, synchroniseren deze campagnes elke fase van het inlogproces, waardoor aanvallers inloggegevens kunnen valideren, aan multi-factor authenticatievereisten kunnen voldoen en in realtime geverifieerde sessies kunnen opzetten. Het resultaat is een veel effectievere vorm van phishing die wat ooit een gegevensverzameling was, transformeert in een actieve operatie voor het kapen van accounts, waardoor de kans voor slachtoffers of verdedigers om de aanval te detecteren en te onderbreken aanzienlijk wordt verkleind voordat toegang wordt verkregen.

Moderne phishing-kits functioneren als operationele platforms

Uit analyse van de phishing-infrastructuur blijkt dat deze campagnes door aanzienlijk meer worden ondersteund dan alleen statische phishing-pagina’s.

Tijdens het onderzoek identificeerde CTM360 een voorheen ongedocumenteerde phishing-kit en gaf deze een naam VerzekerOTP-kit. De kit is speciaal gebouwd voor phishing-operaties met een verzekeringsthema en biedt live sessiebeheer, realtime gegevensverzameling, backend-beheer en meerdere methoden voor gegevensexfiltratie.

In tegenstelling tot oudere phishing-kits die de vastgelegde inloggegevens eenvoudigweg per e-mail stuurden, kunnen operators met dit raamwerk elke slachtoffersessie actief beheren.

Waargenomen mogelijkheden omvatten:

• Realtime monitoring van slachtoffers
• Backend administratieve dashboards
• Handmatige goedkeuringsworkflows
• Sessie volgen
• Telegram Bot-integraties
• Directe backend API-communicatie
• Live OTP-afhandeling

Sommige varianten vertrouwden op Telegram Bot API’s om direct gestructureerde slachtofferinzendingen te ontvangen, terwijl andere informatie rechtstreeks naar de door de aanvaller bestuurde backend-servers stuurden. Onderzoekers hebben ook backend-interfaces waargenomen die in staat zijn om aanvullende OTP-inzendingen aan te vragen wanneer de authenticatie mislukt, waardoor operators toegang tot accounts kunnen blijven proberen voordat de authenticatiecodes verlopen.

Deze mogelijkheden laten zien hoe phishing-kits zich blijven ontwikkelen van eenvoudige inloggegevensverzamelaars tot interactieve aanvalsplatforms die zijn ontworpen voor het compromitteren van live accounts.

Infrastructuur kan de hele operatie onthullen

Een van de waardevollere aspecten van cyberdreigingsinformatie is het vermogen om verder te gaan dan individuele phishing-pagina’s en het bredere campagne-ecosysteem te begrijpen.

Tijdens het onderzoek identificeerde CTM360 openbaar toegankelijke backend-bronnen die verband hielden met de phishing-infrastructuur. Analyse van blootgestelde archieven bracht administratieve componenten, backend-broncode, SQLite-databases, operationele records en ondersteunende infrastructuur aan het licht die inzicht gaven in hoe het phishing-framework functioneerde.

Het onderzoek laat zien waarom moderne dreigingsinformatie verder gaat dan het identificeren van kwaadaardige domeinen of phishing-websites. Door de onderliggende infrastructuur, tooling, backend-componenten en workflows van aanvallers te analyseren, kunnen verdedigers een veel dieper inzicht krijgen in hoe campagnes worden ontwikkeld, beheerd en uitgevoerd.

In plaats van te vragen “Waar is de phishing-pagina?” vragen onderzoekers zich af “Hoe werkt de campagne?”

Deze verschuiving weerspiegelt een van de belangrijkste veranderingen in de moderne cyberdreigingsinformatie, die verder gaat dan de detectie van individuele bedreigingen en zich richt op het begrijpen van de infrastructuur, de instrumenten en de operationele methodologie van de tegenstander.

Waarom verdedigers een andere aanpak nodig hebben

Het bepalende kenmerk van deze campagne is niet alleen diefstal van inloggegevens; het is compromis over sessietijd.

Traditionele respons op incidenten gaat ervan uit dat er een vertraging zit tussen diefstal van inloggegevens en accountmisbruik. Die veronderstelling gaat niet altijd meer op.

Bij deze bewerkingen vinden het verzamelen van inloggegevens, het onderscheppen van OTP’s en het overnemen van accounts plaats als onderdeel van één doorlopende workflow. Tegen de tijd dat een slachtoffer zich realiseert dat er iets mis is, heeft de aanvaller zich mogelijk al succesvol geauthenticeerd en toegang gekregen tot het legitieme account.

Voor verdedigers betekent dit dat detectie niet uitsluitend kan berusten op het identificeren van phishing-domeinen nadat ze online zijn verschenen.

Organisaties moeten letten op betaalde advertenties waarin misbruik wordt gemaakt van hun merken, nieuw geregistreerde lookalike-domeinen, wegwerpbare, in de cloud gehoste phishing-infrastructuur en authenticatiepatronen die realtime OTP-onderschepping aangeven.

Even belangrijk is het begrijpen van het ecosysteem van de aanvallers achter deze campagnes, in plaats van elke phishing-site als een geïsoleerd incident te behandelen.

Verder kijken dan de phishing-pagina

Phishingcampagnes bij verzekeringen vormen een duidelijk voorbeeld van hoe externe bedreigingen zich blijven ontwikkelen.

Aanvallers optimaliseren voor snelheid, automatisering en onmiddellijke toegang in plaats van vertraagde exploitatie. Infrastructuur wordt steeds meer wegwerpbaar, phishing-kits worden operationele platforms en het compromitteren van accounts vindt nu plaats tijdens de actieve sessie van het slachtoffer in plaats van daarna.

Voor verdedigers versterkt dit een belangrijke realiteit. Het identificeren van kwaadaardige websites alleen is niet langer voldoende. Beveiligingsteams hebben steeds meer behoefte aan contextuele intelligentie die infrastructuur, workflows van aanvallers, tools en campagnegedrag met elkaar verbindt om te begrijpen hoe bedreigingen zich ontwikkelen en waar ze kunnen worden verstoord voordat ze klanten bereiken.

Dit weerspiegelt ook een bredere verschuiving die plaatsvindt in de cyberbeveiligingsindustrie. Digital Risk Protection (DRP) is van oudsher gericht op het identificeren van externe bedreigingen zoals phishingwebsites, merknabootsing en kwaadaardige domeinen. Tegenwoordig hebben organisaties steeds vaker Cyber ​​Threat Intelligence (CTI) nodig die uitlegt hoe campagnes werken, hoe de infrastructuur van aanvallers is verbonden, hoe phishing-kits evolueren en hoe tegenstanders hun activiteiten uitvoeren en aanpassen.

CTM360 heeft dezelfde evolutie ondergaan en is uitgegroeid van een Digital Risk Protection-platform naar een breder Cyber ​​Threat Intelligence-platform. Eerder dit jaar werd CTM360 erkend als een van de leveranciers die zijn opgenomen in Gartner’s inaugurele Magic Quadrant™ voor Cyber ​​Threat Intelligence Technologies.

Hoewel dit onderzoek zich richt op een phishing-campagne bij verzekeringen, laat het ook zien waarom moderne beveiligingsprogramma’s intelligentie vereisen die verder gaat dan het identificeren van individuele indicatoren, maar ook het begrijpen van volledige activiteiten van tegenstanders.