Microsoft Threat Intelligence rapporteerde voor juli tot en met september 2026 circa 7,3 miljard via e-mail gedetecteerde phishingdreigingen. In september liep het aantal op tot bijna 3 miljard, 41% meer dan in augustus. Tegelijk volgden QR-codephishing en phishing achter CAPTCHA’s verschillende trends. Microsoft publiceerde de cijfers en campagnebeschrijvingen op 5 november.
QR-codephishing bleef achter bij de maartpiek
Microsoft telde in het derde kwartaal ongeveer 12,1 miljoen QR-codephishingaanvallen, 67% minder dan in het tweede kwartaal. In september lag het aantal 86% onder de piek van maart. Phishing achter CAPTCHA’s, controles die bezoekers vragen te bewijzen dat ze mens zijn, trok juist aan: in september waren er 3,1 miljoen aanvallen, bijna twee keer zoveel als op het dieptepunt in juli. SVG-bestanden vormden 65% van deze activiteit in augustus en 49% in september.
Die bewegingen liepen dus uiteen: het hogere totaal voor september betekende niet dat elke phishingmethode toenam. Microsoft meldde daarnaast circa 129 miljoen kwaadaardige berichten die afzenderdomeinen van zakelijke diensten nabootsten die het in de analyse volgde. In september waren beveiligingsinstellingen overschreven bij 63% van de berichten met een geregistreerde beveiligingsuitkomst.
Twee campagnes met verschillende lokmiddelen
Microsoft Defender Research beschreef een campagne van 19 en 20 augustus die zich vooral op de Verenigde Staten richtte. De campagne bereikte volgens Microsoft meer dan 10.000 gebruikers bij ruim 4.800 organisaties; professionele dienstverlening, met name juridische organisaties, vormde 72,1% van de beoogde doelwitten. Een gepersonaliseerde boodschap over een salarisbeoordeling bevatte een Word-bestand met een QR-code.
Die code leidde naar een nagemaakte OneDrive-aanmeldpagina. Daar kreeg de gebruiker een apparaatcode, die vervolgens op de echte Microsoft-aanmeldpagina kon worden ingevoerd. Als iemand de aanmelding voltooide, kon de aanvaller volgens Microsoft een geldig sessietoken bemachtigen zonder het wachtwoord te krijgen of opnieuw om meervoudige verificatie te vragen.
Behandel een QR-code in een onverwachte salarisreview net zo voorzichtig als een link: in de campagne van augustus leidde zo’n code naar een valse OneDrive-aanmeldpagina.
Op 21 september zag Microsoft Defender Research een andere campagne, gericht op meer dan 56.000 gebruikers bij ruim 8.100 organisaties. Inkooporderberichten maakten 63% uit van de campagne; loonadministratieberichten 37%. De beoogde ontvangers kwamen onder meer uit Colombia (15%), de Verenigde Staten en Mexico (elk 12%), Chili (11%) en Spanje (8%). Die percentages beschrijven de verdeling binnen deze campagne.
De twee soorten berichten gebruikten verschillende bijlagen. In de inkoopordertak zat een JavaScript-downloader in een archief dat als pdf leek, waarna het bestand Lincoln.ps1 werd opgehaald. In de loonadministratietak zat een uitvoerbaar bestand in een anders genoemd archief. Microsoft beschreef beide routes als manieren waarop Agent Tesla werd afgeleverd. Voor de verzending slaagden SPF, DKIM en DMARC voor het verzenddomein, terwijl de weergavenaam leek op die van een verkoop- of HR-medewerker bij de ontvanger.
Detecties zijn geen telling van bevestigde slachtoffers
Microsofts cijfers gaan over detecties in zijn eigen telemetrie. Ze tellen niet hoeveel ontvangers berichten openden of hoeveel accounts werden overgenomen. Ook de circa 141.000 kwaadaardige oproeppogingen via Microsoft Teams in het kwartaal zijn pogingen: het aantal omvatte ook oproepen die niet werden beantwoord of werden geweigerd.
Bij aanvallen met schadelijke bijlagen leidde volgens Microsoft ongeveer 94 tot 96% naar phishingwebsites of frauduleuze aanmeldpagina’s. Diefstal van inloggegevens was daarmee het voornaamste risico dat Microsoft bij zulke bijlagen beschreef. Microsoft telde daarnaast circa 6,2 miljoen aanvallen waarbij aanvallers zich voordeden als zakelijke contacten.
Microsoft adviseert organisaties onder meer hun Exchange- en Defender-instellingen, Safe Links en Safe Attachments te controleren, phishingoefeningen uit te voeren en wachtwoordloze aanmelding of meervoudige verificatie te gebruiken. Voor aanvullende achtergrond over gegevensbescherming rond Microsoft 365 en Copilot is er een aparte uitleg.
