PB-001: Phishing & Credential Theft

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	PB-001: Phishing & Credential Theft	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Doel:

Dit playbook beschrijft het volledige responsproces bij phishingincidenten, waaronder credential harvesting, kwaadaardige bijlagen en business email compromise (BEC). Het is erop gericht snel vast te stellen of een e-mail kwaadaardig is, getroffen gebruikers en accounts in te dammen, de scope binnen de organisatie te bepalen en vervolgcompromittering (account takeover, malware, data-exfiltratie) te voorkomen.
Scope:

Van toepassing op alle phishingincidenten die binnen de organisatie worden gemeld of gedetecteerd, waaronder door gebruikers gemelde e-mails, alerts van e-mailsecuritytooling en latere indicatoren van compromittering door phishing. Omvat alle gebruikers, endpoints en identitysystemen binnen de organisatie.

Type incident: Phishing & Credential Theft

Triggercondities:

Severity-niveaus:

Severity	Omschrijving
Sev 3	Melding van één gebruiker, geen interactie bevestigd
Sev 2	Gebruiker heeft op een link geklikt of een bijlage geopend
Sev 1	Credentials ingevoerd of malware uitgevoerd
Sev 0	Wijdverspreide phishingcampagne of bevestigde compromittering van de hele organisatie

Incident Commander: Coördineert en leidt de respons op het security-incident; stuurt besluiten en tijdlijnen; zorgt dat communicatie, containment en herstelacties worden uitgevoerd.
Incident response-analist: Analyseert grondig e-mailartefacten, URL's, bijlagen en endpoint-telemetrie wanneer interactie is bevestigd.
Communications Lead: Verzorgt interne en externe communicatie, gebruikersnotificaties en updates aan stakeholders.
Overige rollen:
- Identity & Access-team: Ondersteunt bij het blokkeren van accounts, het intrekken van sessies en het opnieuw registreren van MFA.
- Team e-mailplatform: Helpt bij het tenant-breed verwijderen van e-mails en het uitrollen van gatewayregels.

Voer een analyse van de e-mailheaders uit en haal URL's en bijlagen eruit:
- 📘 RB-TRIAGE-001: E-mailtriage & headeranalyse
Beslispunt
- Onschuldig → sluiten en documenteren
- Verdacht/kwaadaardig → doorgaan
Analyseer de gevonden URL's en bijlagen om intentie en mogelijkheden vast te stellen.
- 📘 RB-ANALYSIS-001: URL-analyse

Stel vast of gebruikers op de phishinglink hebben geklikt
- 📘 RB-ANALYSIS-012: Validatie van interactie met phishing
- Zo ja, hebben gebruikers:
  - Credentials ingevoerd?
    - Zo ja, controleer op verdachte loginactiviteit direct na de aflevering van de e-mail of het invoeren van de credentials.
  - Een kwaadaardig bestand gedownload en uitgevoerd?
Beslispunt:
- Credential harvesting vastgesteld (en verdachte loginactiviteit waargenomen) → voer de stappen voor analyse, containment, eradication en recovery van PB-004: Account Takeover gelijktijdig met dit playbook uit.
- Aflevering van malware vastgesteld → voer de stappen voor analyse, containment, eradication en recovery van PB-003: Endpoint-malware-infectie gelijktijdig met dit playbook uit.
Voer een phishing retro hunt uit om de volledige omvang van de campagne te bepalen en aanvullende gecompromitteerde accounts te vinden
- 📘 RB-ANALYSIS-002: Phishing retro hunt

Containment-acties:
- 📘 RB-CONTAIN-001: Account blokkeren
  - Schakel getroffen accounts uit of blokkeer ze
  - Trek actieve sessies en tokens van getroffen accounts in
  - Reset het wachtwoord
  - Dwing opnieuw registreren van MFA af
Eradication-stappen:
- 📘 RB-ERAD-001: E-mails verwijderen & blokkeren
  - Verwijder de phishingmails uit alle mailboxen (tenant-breed)
  - Blokkeer afzender en domein op de e-mailgateway
  - Blokkeer kwaadaardige URL's op de e-mailgateway, de proxy en in DNS
  - Rol detectieregels uit om toekomstige varianten te herkennen
Recovery-stappen:
- Herstel de toegang tot de accounts van getroffen gebruikers zodra de containment is bevestigd

Interne communicatie:
- Informeer de getroffen gebruikers
  - 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident
- Stuur een waarschuwing aan de hele organisatie als de campagne breed is
Externe communicatie:
- Bij vermoedelijke of bevestigde privacy-impact: schakel Legal/Privacy in voor een beoordeling op grond van regelgeving.
- Informeer alle vereiste externe partijen (bijv. klanten, toezichthouders, partners) volgens de aanwijzingen van Legal
- Stem elke externe notificatie vooraf af met Legal
Escalatiecriteria:

Situatie Escaleren naar

Credential theft bevestigd + verdachte loginactiviteit waargenomen PB-004: Account Takeover

Uitvoering van malware bevestigd PB-003: Endpoint-malware-infectie

Situatie	Escaleren naar
Credential theft bevestigd + verdachte loginactiviteit waargenomen	PB-004: Account Takeover
Uitvoering van malware bevestigd	PB-003: Endpoint-malware-infectie

Lessons learned:
- Plan en houd een post-incidentreview (PIR)
- Documenteer wat goed ging en wat beter moet
- Stel hiaten in de detectie vast (e-mailfiltering, proxyregels, IdP-alerts)
- Beoordeel de effectiviteit van de security awareness-training
Documentatie bijwerken:
- Werk dit playbook bij als responsstappen moeten worden aangepast
- Werk de gekoppelde runbooks bij met nieuwe technieken of tooling

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.