Volgens de resultaten van een enquête van Act, waarover TechTarget Japan op 29 oktober 2026 berichtte, had 89,8% van de bedrijven met gemelde of vermoede incidenten MFA ingeschakeld. Tegelijkertijd vielen twee problemen bij getroffen accounts samen op tot 64,4%: MFA was uitgeschakeld of uitgezonderd, of er waren problemen met de instellingen of aanmeldmethode. De enquête geeft geen oorzaak voor de gemelde incidenten.
Act hield de enquête in september 2026 onder 1.002 mensen die betrokken waren bij Microsoft 365-beheer bij particuliere bedrijven met 100 tot 999 werknemers. De vragen over ongeautoriseerde toegang of vermoedelijke accountcompromittering gingen over de periode september 2025 tot en met september 2026.
In dit artikel
- Wat de cijfers over MFA laten zien
- Beveiligingscontroles zijn niet altijd regelmatig
- Hoe MFA-sessies toch kunnen worden overgenomen
- Wat Microsoft noemt bij incidentrespons
Wat de cijfers over MFA laten zien
Volgens de enquête meldde 71,5% van de onderzochte bedrijven ongeautoriseerde toegang, accountcompromittering of een vermoeden daarvan in die periode. Onder bedrijven met zulke gemelde of vermoede incidenten had 89,8% MFA toegepast; 6,3% had dat niet gedaan.
De cijfers over getroffen accounts hebben een andere noemer dan die over bedrijven. De gemelde 64,4% is de som van twee accountcategorieën: bij 43,0% was MFA tijdelijk uitgeschakeld of uitgezonderd, en bij 21,4% waren er problemen met de authenticatiemethode of de instellingen.
| Onderzoeksmaat | Resultaat | Populatie of periode |
| Ongeautoriseerde toegang, compromittering of vermoeden daarvan | 71,5% | Onderzochte bedrijven, september 2025 tot en met september 2026 |
| MFA toegepast | 89,8% | Bedrijven met gemelde of vermoede incidenten |
| MFA niet toegepast | 6,3% | Bedrijven met gemelde of vermoede incidenten |
| MFA uitgeschakeld of uitgezonderd | 43,0% | Getroffen of vermoedelijk getroffen accounts |
| Problemen met methode of instellingen | 21,4% | Getroffen of vermoedelijk getroffen accounts |
| Beide accountcategorieën samen | 64,4% | Getroffen of vermoedelijk getroffen accounts |
Beveiligingscontroles zijn niet altijd regelmatig
Hoewel 82,6% van de respondenten beveiligingsaanbevelingen had gebruikt om instellingen te controleren, zei 32,7% dat zulke controles regelmatig plaatsvonden. 67,1% had vertrouwen in de instellingen. Die uitkomsten wijzen op een verschil tussen ooit controleren en periodiek opnieuw beoordelen.
De gerapporteerde controlepercentages liepen uiteen: 40,4% controleerde Conditional Access, 32,2% de bescherming van beheerdersaccounts, 11,0% OAuth-machtigingen en 10,1% auditlogboeken of waarschuwingen. Integraties met AI-hulpmiddelen zoals Microsoft 365 Copilot kwamen bij 90,1% voor; 29,4% controleerde de bijbehorende toegangsrechten regelmatig. Daarnaast inventariseerde 38,6% regelmatig geprivilegieerde rollen.
Hoe MFA-sessies toch kunnen worden overgenomen
Microsoft beschrijft adversary-in-the-middle-phishing, afgekort AiTM, waarbij een aanvaller het echte aanmeldproces tussen gebruiker en dienst doorstuurt. De gebruiker kan de aanmelding en MFA-controle afronden, terwijl de aanvaller een sessiecookie onderschept. Met die cookie kan de aanvaller de al geauthenticeerde sessie opnieuw gebruiken.
In een afzonderlijk beschreven campagne misbruikten aanvallers zwakke controles voor het aanpassen van MFA-methoden om na sessiediefstal een eigen telefoongebonden eenmalige code (OTP) toe te voegen. Dit zijn afzonderlijke, door Microsoft beschreven aanvalspaden; ze zijn niet aangewezen als oorzaak van de gevallen in de enquête.
Microsoft noemt phishingbestendige aanmeldmethoden, waaronder passkeys, FIDO2-beveiligingssleutels, certificaatgebaseerde authenticatie en Windows Hello for Business. Ook Conditional Access en toezicht op afwijkende sessies maken deel uit van de genoemde aanvullende maatregelen.
Wat Microsoft noemt bij incidentrespons
In de analyse van de afzonderlijke campagne adviseerde Microsoft om inloggegevens opnieuw in te stellen, sessies in te trekken en ongeautoriseerde wijzigingen aan MFA-methoden ongedaan te maken. Zo omvat de respons zowel de toegang via een gestolen sessie als een mogelijk toegevoegde aanmeldmethode.
Respondenten noemden onduidelijke instellingen (32,5%) en het risico dat aanpassingen bestaand werk of integraties verstoren (31,8%) als obstakels voor beveiligingscontroles. 10,8% noemde de kosten van een hogere licentie, zoals Microsoft 365 E5.
