Attic Security onderzoekt gratis Microsoft 365-incident voor MKB

Aanleiding voor deze actie is de risicoanalyse die Attic maakte op basis van meldingen bij de eerste klanten van zijn AI-agent IVON, die in juni dit jaar is gelanceerd. Uit in totaal 165 Defender XDR-alarmen bij dertien aangesloten beta-deelnemers, (gemeten in juli 2026 (1) viel 71,5 procent in de laagste twee dreigingsniveaus die Microsoft aan incidenten toekent: Informational en Low. Dit zijn nou net de lagen die als eerste blijven liggen zodra een IT-team met beperkte capaciteit keuzes moet maken welke incidenten verder geanalyseerd moeten worden. En in die lagen kan een reële dreiging het langst onopgemerkt blijven.

Dreigingsniveau laag, toch onderzoek noodzakelijk 

Begin augustus onderschepte Defender op een werkplek van een beta-deelnemer een ClickFix-aanval (2) waarbij een medewerker via een nagemaakte foutmelding zelf een schadelijk commando uitvoerde. Defender blokkeerde die uitvoering maar classificeerde de melding als Low; geen serieuze dreiging. IVON stelde vast dat het wel degelijk om een gerichte aanvalspoging ging en onderzocht daarom of er andere sporen in het netwerk waren achtergebleven. Die bleken er niet te zijn. Het risico was inderdaad beperkt, maar dat wist niemand zeker totdat IVON het had uitgezocht.

“Met meldingen die niet als ernstig risico worden gezien, wordt meestal niks gedaan”, stelt Erik Remmelzwaal (foto), CEO van Attic Security. “Dat is een groot risico want cyberaanvallen zijn geëvolueerd tot handelingen die bijna niet te onderscheiden zijn van legitiem gebruik door medewerkers. Bij een kleine of externe IT-afdeling ligt de grens waarboven iets wordt uitgezocht vaak nog veel hoger dan bij een team met eigen analisten. Tegelijkertijd weten mkb’ers dat ze doelwit van cybercriminelen zijn en dat knaagt aan de gemoedsrust. Met een snelle en geautomatiseerde analyse van de kleinste indicatoren geven we mkb’ers weer meer grip op hun cybersecurity. We bieden het eerste onderzoek gratis, zodat ze een van de meldingen die ze toch niet vertrouwen kunnen laten onderzoeken.”

Bart Peters, IT Specialist bij IT-dienstverlener Digima Service & Support, ziet dat in de praktijk terug: “Wat ik met Attic en IVON eigenlijk koop, is rust. Niet alleen voor mijn klanten, maar ook voor mezelf.” Hij vult aan: “Maar cybercriminelen houden zich natuurlijk niet aan kantooruren. Ik krijg steeds vaker berichten van klanten buiten werktijd met teksten als: 'Help, ik heb op iets verkeerds geklikt.' Dat zijn precies de situaties waarin je wilt weten dat er direct wordt meegekeken, ook als ik zelf even niet beschikbaar ben.”

De koppeling met IVON wordt gemaakt door iemand met security-adminrechten op de eigen Microsoft 365-omgeving. Het rapport verschijnt in hetzelfde browserscherm waarin het onderzoek is gestart en blijft aan die sessie gebonden: er is geen deelbare link en er gaat niets per e-mail. Wie het rapport wil bewaren, downloadt het uit dat scherm voordat de sessie wordt gesloten. Sluit de beheerder de sessie, dan is het rapport weg. Zodra het rapport is opgeleverd vervalt bovendien het toegangstoken en kan Attic niets meer uit de omgeving lezen. Binnen 24 uur na de oplevering vervallen de voor het onderzoek verzamelde gegevens, het rapport en de sessie. Beheerders die willen deelnemen, starten het IVON-onderzoek via atticsecurity.com/incidentonderzoek.

IVON 

Deze gratis onderzoeksmogelijkheid van een Microsoft Defender-melding staat los van de standaard gratis proefperiode van Attic Security, Attic MDR 14 dagen gratis. Hiermee kunnen bedrijven de volledige dienst inclusief IVON op hun hele omgeving testen. IVON vormt de agentic laag op Attic's Identity-First agentic MDR voor Microsoft 365. Deze software signaleert en onderzoekt meldingen. En pakt ze, met menselijk toezicht en waar dat mag, ook aan.

NOTEN:

1) De beta kwam in juli op gang en niet alle tenants waren de hele maand aangesloten.

2) ClickFix is een aanvalstechniek waarbij cybercriminelen gebruikers via een valse foutmelding of verificatiestap (bijvoorbeeld een nagebootste CAPTCHA) verleiden om zelf een schadelijke opdracht te kopiëren en uit te voeren op hun computer. De techniek is een manier voor aanvallers om toegang te krijgen tot een organisatie, en vormt vaak de eerste stap in een bredere aanvalsketen: na de initiële toegang volgen vaak diefstal van inloggegevens, verspreiding van ransomware of verdere infiltratie van de organisatie.