ConsentFix en ClickFix: Zo kaapt u Microsoft 365-accounts in slechts enkele seconden.

Beveiligingsexperts waarschuwen voor twee snelgroeiende aanvalsmethoden, ClickFix en ConsentFix, die gebruikmaken van gebruikersgedrag om Microsoft 365-sessies te kapen. Aanvallers hoeven geen wachtwoorden te stelen of multifactorauthenticatie te omzeilen via traditionele methoden. In plaats daarvan maken ze gebruik van legitieme authenticatieprocessen en het vertrouwen van de gebruiker, waardoor de aanvallen aanzienlijk moeilijker te detecteren zijn.

Het afgelopen jaar zijn deze technieken steeds vaker waargenomen in gerichte campagnes tegen bedrijven en publieke organisaties. Beveiligingsonderzoekers voorspellen dat het aantal aanvallen zal blijven toenemen, omdat ze zich richten op sociale manipulatie en legitieme functionaliteit in plaats van het exploiteren van technische kwetsbaarheden.

Moderne cyberaanvallen maken misbruik van menselijk gedrag.

Cybercriminelen richten zich steeds vaker op gebruikersgedrag in plaats van op technische beveiligingslekken. We zijn eraan gewend geraakt om zonder vragen op CAPTCHA's te klikken, cookieverzoeken te accepteren en instructies op het scherm op te volgen.

Het zijn juist deze reflexmatige reacties die aanvallers uitbuiten.

In plaats van firewalls te forceren of softwarekwetsbaarheden uit te buiten, plaatsen ze zichzelf midden in een legitieme workflow en dwingen ze de gebruiker tot het uitvoeren van de handeling die tot de inbreuk leidt.

ClickFix misleidt de gebruiker om de code van de aanvaller uit te voeren.

ClickFix is een aanvalsmethode waarbij de gebruiker een nep-verificatiepagina te zien krijgt die hem of haar aanspoort tot het uitvoeren van eenvoudige handelingen, zoals het gebruiken van bepaalde toetsencombinaties om de identiteit te "bevestigen" of een proces te voltooien.

Wat eruitziet als een normale verificatie leidt er in werkelijkheid toe dat de gebruiker onbewust de commando's van de aanvaller kopieert en uitvoert op zijn eigen computer.

Er hoeft geen beveiligingslek te worden uitgebuit en geen firewall te worden omzeild. De aanvaller vertrouwt er volledig op dat de gebruiker de instructies opvolgt.

ClickFix nam in 2025 sterk toe en wordt nog steeds actief gebruikt door verschillende cybercriminelen bij aanvallen op zowel bedrijven als overheden.

ConsentFix verplaatst de aanval naar Microsoft 365.

De nieuwere aanvalsvariant ConsentFix is gericht op Microsoft 365 Authenticatie op basis van OAuth.

OAuth is een gevestigde standaard waarmee gebruikers applicaties beperkte toegang tot hun accounts kunnen verlenen zonder hun wachtwoord te delen. Als deze toegangstokens in verkeerde handen vallen, kan een aanvaller zich voordoen als de rechtmatige gebruiker en toegang krijgen tot de resources van de organisatie.

De aanval begint meestal met een phishing-e-mail die wordt verspreid via bekende diensten zoals Dropbox of DocSend. In sommige gevallen is het document ook met een wachtwoord beveiligd, waardoor het voor beveiligingsoplossingen moeilijker wordt om de inhoud te analyseren.

Wanneer de gebruiker het document opent, krijgt hij of zij een ogenschijnlijk legitiem Microsoft-aanmeldingsscherm te zien.

De gebruiker wordt vervolgens gevraagd de authenticatie te voltooien door een localhost-link naar de browser te slepen.

Precies op dit moment vindt de aanval plaats.

In plaats van een legitieme authenticatie te voltooien, geeft de gebruiker onbewust zijn OAuth-tokens door aan de aanvaller. Deze tokens geven toegang tot de Microsoft 365-sessie en kunnen worden gebruikt om toegang te krijgen tot e-mail, documenten, Teams en andere Microsoft 365-services zonder dat de aanvaller het wachtwoord van de gebruiker hoeft te weten.

De gebruiker voert nooit zijn inloggegevens in op een nepwebsite. Het is de reeds goedgekeurde sessie die wordt gekaapt.

Waarom multifactorauthenticatie niet helpt

Multifactorauthenticatie blijft een van de belangrijkste beveiligingsmaatregelen, maar het voorkomt niet alle soorten identiteitsaanvallen.

ConsentFix vereist geen traditionele login.

In plaats daarvan maakt de aanvaller misbruik van een reeds geauthenticeerde sessie.

Dit betekent dat:

• Het wachtwoord van de gebruiker hoeft nooit gestolen te worden.
• Er is geen nieuwe login vereist.
• De aanvaller gebruikt de reeds geautoriseerde sessie en het bijbehorende OAuth-token.
• De multifactorauthenticatie is reeds voltooid door de rechtmatige gebruiker.

Hierdoor is de aanval met traditionele beveiligingsmaatregelen aanzienlijk moeilijker te identificeren.

Aanvallers delen hun tools openlijk.

In maart 2026 werd een gedetailleerde recensie van ConsentFix gepubliceerd op een openbaar Russisch cybercriminaliteitsforum.

Het materiaal bevatte werkende code, een complete infrastructuur, screenshots, videohandleidingen en gedetailleerde instructies voor het bouwen en uitvoeren van de aanval.

De handleiding beschreef ook hoe aanvallers hun doelwitten in kaart brengen via openbare bronnen zoals LinkedIn voordat ze hun phishingberichten versturen. Door informatie te verzamelen over organisaties en individuele werknemers, kunnen de lokberichten aanzienlijk geloofwaardiger worden gemaakt.

Dit betekent dat geavanceerde aanvalsmethoden, die voorheen uitgebreide technische expertise vereisten, nu aanzienlijk gemakkelijker te implementeren zijn.

Hoe organisaties risico's kunnen verminderen

Gebruikerstraining blijft een belangrijk onderdeel van beveiligingswerk, maar moet worden aangevuld met technische beveiligingsmaatregelen.

Omdat beide ClickFix En ConsentFix Op basis van legitieme werkprocessen moeten organisaties in staat zijn om afwijkend gedrag te detecteren, in plaats van alleen bekende malware te blokkeren.

Beveiligingsexperts adviseren organisaties onder andere het volgende:

• Het leert gebruikers om vragen te stellen bij ongebruikelijke instructies die toetsenbord sneltoetsen of sleep-en-drop-acties in de browser vereisen.
• bewaakt ongebruikelijke PowerShell-activiteit die wordt gestart vanuit normale gebruikersprocessen.
• Detecteert nieuwe Microsoft 365-sessies vanaf onverwachte geografische locaties of apparaten.
• Controleert regelmatig OAuth-apps en gebruikerstoestemmingen.
• beperkt de mogelijkheid van gebruikers om toestemming te geven voor applicaties van derden
• maakt gebruik van Microsoft Entra ID-identiteitsbescherming en beleidsregels voor voorwaardelijke toegang.
• Bewaakt verdachte tokengebaseerde authenticatie en ongebruikelijke sessiewijzigingen.
• Dit wordt aangevuld met geavanceerde identiteits- en eindpuntbewaking om gecompromitteerde sessies in een vroeg stadium te detecteren.

Identiteit en sessies zullen de volgende grote beveiligingsuitdaging vormen.

ConsentFix laat zien hoe cyberdreigingen zich blijven ontwikkelen, van traditionele phishing tot aanzienlijk geavanceerdere identiteitsaanvallen waarbij de aanvaller misbruik maakt van het vertrouwen van gebruikers in legitieme authenticatieprocessen.

In plaats van wachtwoorden te stelen, wordt de actieve sessie gestolen.

Hierdoor verlopen de aanvallen sneller, discreter en zijn ze moeilijker te detecteren.

Voor organisaties betekent dit dat de beveiliging niet langer alleen kan draaien om wachtwoorden en multifactorauthenticatie. Identiteit, actieve sessies, OAuth-rechten en continue monitoring worden een steeds belangrijkere component van een moderne Zero Trust-aanpak.

Omdat aanvallers niet langer proberen in te breken via de deur, maar de gebruiker volgen via de open ingang, moeten ook de beveiligingsstrategieën veranderen. Organisaties die gebruikerseducatie combineren met continue identiteitsmonitoring, risicogebaseerde toegangscontroles en doorlopende controle van OAuth-autorisaties, zullen aanzienlijk beter in staat zijn om de volgende generatie identiteitsaanvallen te detecteren en te stoppen voordat ze leiden tot een volledige accountcompromis.