PB-004: Account Takeover

Documentbeheer

1. Doel & scope

• Doel:

  Dit playbook beschrijft het responsproces bij account takeover-incidenten (ATO): gecompromitteerde identiteiten van medewerkers, services, SaaS en cloud; session hijacking; misbruik van credentials; omzeilen van MFA; en ongeautoriseerde accountactiviteit. Het doel is de toegang van de aanvaller in te trekken, vast te stellen waar de identiteit toegang toe heeft gehad, veilige toegang te herstellen en de identity-maatregelen te versterken tegen herhaling.

• Scope:

  Van toepassing op alle incidenten met gecompromitteerde identiteiten binnen de organisatie, waaronder:

  • Compromittering van accounts van medewerkers, services of bots
  • Compromittering van een IAM-gebruiker, rol, service account, managed identity, workload identity of service principal in de cloud
  • Diefstal van sessies, tokens, API-sleutels, access keys, refresh tokens of tijdelijke credentials
  • Misbruik via OAuth / consent phishing
  • Misbruik van federated identity, role assumption of gedelegeerde toegang
  • Omzeilen van MFA, MFA fatigue en SIM-swapaanvallen
  • Credential stuffing en password spraying

  Heeft een gecompromitteerde identiteit acties uitgevoerd in de cloud control plane, voer dan gelijktijdig PB-007: Cloud Compromise uit om de impact op cloudresources, workloads, opslag, netwerk en securitydiensten te onderzoeken.

2. Incidentidentificatie & criteria

Type incident: Account Takeover

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Alert over een afwijkende aanmelding (impossible travel, ongebruikelijke locatie/ASN, ongebruikelijk apparaat, risicovolle aanmelding), afkomstig van de IdP (SSO) of van de doelapplicatie (gebruikersnaam/wachtwoord)
• Afwijking rond MFA (fatigue, omzeiling, ongeautoriseerde registratie)
• Verdachte OAuth-grant of consent-prompt
• Aanval op credentials bij een IdP of SaaS-platform (stuffing, spraying, brute force)
• Aanwijzingen voor diefstal van sessies of tokens (hergebruik van cookies / refresh tokens vanaf een onverwachte bron)
• Afwijkend gebruik van API-sleutels of service-credentials (nieuwe bron, buiten kantoortijd, onverwachte scope)
• Gebruiker meldt activiteit die hij of zij niet herkent (bijv. onverwacht uitgelogd uit actieve sessies, ongeautoriseerde berichten of commits vanuit het eigen profiel, of MFA-prompts die de gebruiker niet zelf heeft gestart)
• Externe blootstelling van credentials (breach dumps, paste sites, threat intelligence)

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Coördineert en leidt de respons; is eigenaar van besluiten over het moment van containment, privilege escalation en externe communicatie.
• Communications Lead: Verzorgt interne updates, briefings aan de directie en berichten aan gebruikers en klanten.
• Identity & Access-team (IAM): Eigenaar van het blokkeren van accounts, het intrekken van sessies en tokens, MFA-resets, het opruimen van OAuth-grants en hardening aan de kant van de IdP; treedt op als technisch lead voor identity-acties.
• Incident responder / Forensic Analyst: Analyseert authenticatielogs, reviewt OAuth-consent, onderzoekt blootgestelde credentials en zoekt naar andere gecompromitteerde accounts; stelt identity-telemetrie veilig als bewijsmateriaal.
• Overige rollen:
  • Endpoint-/EDR-team: Onderzoekt endpoints die door het gecompromitteerde account zijn gebruikt op malware voor credential theft, diefstal van browsertokens en persistence; isoleert getroffen apparaten.
  • Cloud-/platformteam: Reviewt IAM-gebruikers, rollen, service accounts, managed identities, workload identities, service principals, access keys en federated identity in de cloud, en de impact op de cloud control plane.
  • HR / People-team: Nodig als de getroffen gebruiker via een ander kanaal moet worden benaderd, als accountherstel identiteitsverificatie vraagt of als een insider threat wordt vermoed.
  • Legal / Privacy: Beoordeelt verplichtingen uit regelgeving en meldplichten bij datalekken als persoonsgegevens, gereguleerde gegevens of financiële activiteit zijn geraakt.

4. Eerste acties

• Directe stappen:

  • Voer triage van de identity-alert uit om de alert te valideren en het directe risico te beoordelen
    • 📘 RB-TRIAGE-003: Triage van identity-alerts

    Beslispunt:

    • False positive → sluiten en documenteren
    • True positive → doorgaan

  • Blokkeer de getroffen account(s) om verdere toegang van de aanvaller te voorkomen (aanmelden uitschakelen, blokkeren in de IdP of een conditional access-blokkade toepassen, afhankelijk van de situatie)
    • 📘 RB-CONTAIN-001: Account blokkeren
  • Trek alle actieve sessies en refresh tokens van de getroffen account(s) in: een wachtwoordreset alleen beëindigt bestaande sessies niet
    • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  • Informeer de leiding van Incident Response en wijs de rollen toe
  • Neem via een ander kanaal (telefoon, persoonlijk of een alternatief kanaal) contact op met de getroffen gebruiker om te bevestigen dat de activiteit ongeautoriseerd is en om het herstel af te stemmen; nooit via het mogelijk gecompromitteerde kanaal

  Waarschuwing: Ga er NIET van uit dat de compromittering beperkt is tot één identiteit voordat sessieactiviteit, OAuth-grants, aangrenzende accounts en lateral movement allemaal zijn beoordeeld. Een gecompromitteerde identiteit leidt vaak tot bredere toegang tot de omgeving via gestolen tokens, kwaadaardige OAuth-grants en vertrouwensketens.

5. Onderzoek & analyse

• Verzamelen van bewijsmateriaal:
  • Verzamel voor de getroffen account(s) de volgende identity-telemetrie over het incidentvenster:
    • Authenticatie- / aanmeldgebeurtenissen: let vooral op de eerste verdachte aanmelding, bron-IP/ASN/locatie, user-agent, apparaat en uitkomsten van conditional access
    • MFA-gebeurtenissen: gebruikte factor, registratie en verwijdering van factoren, signalen van fatigue of omzeiling
    • Sessie- en tokengebeurtenissen: uitgifte, verversing, intrekking en hergebruik van tokens vanaf onverwachte bronnen
    • OAuth / consent en toegang door applicaties van derden
    • Gebeurtenissen in directory en identity management: roltoewijzingen, groepswijzigingen, wachtwoordresets, geprivilegieerde acties
    • 📘 RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • Is er een specifiek apparaat bij betrokken, verzamel dan ook de telemetrie van dat endpoint
    • 📘 RB-EVIDENCE-002: Acquisitie van host-logs
  • Leg bron-IP's, ASN's, user-agents en apparaat-ID's vast
• Analysestappen:
  • Analyseer de authenticatielogs om de tijdlijn van de compromittering op te bouwen (eerste verdachte aanmelding, bron-IP/locatie/ASN/apparaat, MFA-uitkomsten) en alle sessies te vinden die na de compromittering zijn uitgegeven
    • 📘 RB-ANALYSIS-007: Analyse van authenticatielogs
  • Onderzoek de blootstelling van credentials om de initiële toegangsvector vast te stellen (phishing, infostealer of andere malware voor credential theft, hergebruik van een wachtwoord uit een openbaar datalek, brute force / spraying, OAuth consent phishing, diefstal van tokens van endpoint of browser)
    • 📘 RB-ANALYSIS-010: Onderzoek naar blootgestelde credentials

  Beslispunt: Voer voor elke vastgestelde initiële toegangsvector de fasen na detectie (analyse → recovery) van het betreffende playbook gelijktijdig met dit playbook uit:

  • Phishing → PB-001: Phishing & Credential Theft
  • Malware voor credential theft op een endpoint (bijv. infostealer) → PB-003: Endpoint-malware-infectie
  • Patroon van business email compromise waargenomen → PB-016: Business Email Compromise

  • Review OAuth-grants en toegang door applicaties van derden: aanvallers zorgen vaak voor blijvende toegang via kwaadaardige OAuth-applicaties, die een wachtwoordreset overleeft
    • 📘 RB-ANALYSIS-008: Review van OAuth- en applicatie-consent
  • Beoordeel de blootstelling van geprivilegieerde toegang: review de geprivilegieerde acties van het account, toegekende rollen, gewijzigde groepslidmaatschappen en gegeven admin consent tijdens het compromitteringsvenster
    • 📘 RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang

  Beslispunt:

  • Compromittering van een geprivilegieerd account bevestigd → verhoog de severity naar Sev 1 of hoger en schakel direct de IAM-leiding in; beoordeel de integriteit van de hele IdP (federatievertrouwen, sync-accounts, break-glass-accounts, eigen rollen).

  • Zoek naar aangrenzende gecompromitteerde accounts met gedeelde indicatoren uit de eerste compromittering (bron-IP's, user-agents, apparaat-ID's, ID's van OAuth-applicaties, metadata van MFA-factoren)
    • 📘 RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
  • Heeft het gecompromitteerde account hosts gebruikt, review dan de activiteit op die endpoints op tooling voor credential theft, diefstal van browsertokens en persistence
  • Heeft de gecompromitteerde identiteit acties uitgevoerd in de cloud control plane, voer dan gelijktijdig PB-007: Cloud Compromise uit om de impact op cloudresources, workloads, opslag, netwerk en securitydiensten te onderzoeken.
  • Documenteer bevindingen, de tijdlijn van de aanval, de omvang van de compromittering en de indicators of compromise (IOC's)

6. Containment, eradication & recovery

Waarschuwing: Herstel de toegang van de gebruiker NIET voordat:

• Alle sessies en tokens zijn ingetrokken
• De MFA-factoren zijn gereset en door de echte gebruiker opnieuw zijn geregistreerd
• Kwaadaardige OAuth-grants zijn verwijderd
• De initiële toegangsvector is vastgesteld en verholpen
• Er geen andere accounts als gecompromitteerd zijn bevestigd

Voortijdige recovery leidt vaak tot directe hercompromittering via achtergebleven tokens, persistence via OAuth of een niet-aangepakte root cause.

• Containment-acties:

  • Containment op korte termijn (direct):
    • Account blokkeren en sessies/tokens intrekken (zie Eerste acties)
    • Trek kwaadaardige OAuth-grants die bij de analyse zijn gevonden in of beperk ze
      • 📘 RB-ANALYSIS-008: Review van OAuth- en applicatie-consent
    • Reset de MFA-factoren en verwijder MFA-apparaten die door de aanvaller zijn geregistreerd
      • 📘 RB-CONTAIN-006: MFA-reset & validatie
    • Verwijder kwaadaardige mailboxregels, forwardingregels en gedelegeerde toegang op e-mailaccounts
  • Containment op lange termijn (directory):
    • Zijn on-premises Active Directory-accounts gecompromitteerd, voer dan containment uit in AD (reset, KRBTGT-rotatie bij compromittering van Tier 0, review van groepslidmaatschappen)
      • 📘 RB-CONTAIN-003: Containment in Active Directory

    Beslispunt:

    • Compromittering van een geprivilegieerd of Tier 0-account bevestigd → escaleer naar een identity-respons voor de hele organisatie en behandel het als incident in de identity-infrastructuur van Sev 1 of hoger.

• Eradication-stappen:

  • Reset het wachtwoord van het account en alle bijbehorende app-wachtwoorden, API-sleutels en programmatische credentials
  • Verwijder alle kwaadaardige OAuth-grants, mailboxregels, forwardingregels en gedelegeerde toegang
  • Trek alle persistence in die de aanvaller tijdens het compromitteringsvenster heeft aangebracht (nieuwe roltoewijzingen, nieuwe groepslidmaatschappen, nieuwe federated identity-grants, nieuwe credentials voor service principals)
  • Wordt malware voor credential theft vermoed op een bijbehorend endpoint, volg dan PB-003: Endpoint-malware-infectie voor de eradication op het endpoint

  Let op: Kan de compromittering niet betrouwbaar ter plekke worden verholpen (bijv. uitgebreide persistence, onbekende root cause), voer de eradication dan uit door de identiteit opnieuw uit te geven: nieuw account, nieuwe MFA-registratie, nieuwe provisioning. Bouw bijbehorende endpoints opnieuw op via RB-RECOVERY-002: Schone herinstallatie van systemen.

• Recovery-stappen:

  • Verifieer de identiteit van de echte gebruiker via een ander kanaal voordat je de toegang herstelt
  • Herstel de toegang van de gebruiker gecontroleerd en gevalideerd, met een nieuwe MFA-registratie en een verplichte wachtwoordwijziging bij de eerste aanmelding
    • 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang
  • Monitor het herstelde account na de recovery een ruime periode nauwlettend op hergebruik van het eerdere aanvalspatroon (dezelfde bron-IP's, user-agents, OAuth-applicaties, MFA-factoren)

    Beslispunt:

    • Activiteit van hercompromittering waargenomen → stop de recovery direct, ga terug naar containment en zoek opnieuw naar gemiste persistence.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de getroffen gebruiker via een ander kanaal over wat er is gebeurd en hoe het herstel verloopt
    • 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident
  • Informeer de manager van de gebruiker en het getroffen bedrijfsonderdeel
  • Geef regelmatig updates aan de leiding; breng de leiding direct op de hoogte als compromittering van een geprivilegieerd account of service account is bevestigd
  • Stuur een identity-waarschuwing aan de hele organisatie bij een aanval in campagnevorm (bijv. OAuth consent phishing gericht op meerdere gebruikers)

• Externe communicatie:

  • Schakel Legal/Privacy in om verplichtingen uit regelgeving en meldplichten bij datalekken te beoordelen als er toegang is geweest tot persoonsgegevens, gereguleerde gegevens of financiële activiteit
  • Informeer klanten, toezichthouders en partners volgens de aanwijzingen van Legal
  • Stem alle externe berichten af met de Communications Lead en Legal
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie

• Escalatiecriteria:

  Situatie	Escaleren naar
  Phishing vastgesteld als initiële toegangsvector	PB-001: Phishing & Credential Theft
  Malware voor credential theft op een endpoint vastgesteld als initiële toegangsvector	PB-003: Endpoint-malware-infectie
  Patroon van business email compromise waargenomen	PB-016: Business Email Compromise
  Data-exfiltratie bevestigd	PB-005: Data-exfiltratie
  Gecompromitteerde identiteit heeft acties in de cloud control plane uitgevoerd	PB-007: Cloud Compromise
  Wijdverspreide compromittering van identiteiten of impact op de IdP-/IAM-infrastructuur	PB-019: Management van een major security incident / escalatie naar de directie

8. Post-incidentactiviteiten

• Lessons learned:

  • Plan en houd een post-incidentreview (PIR)
  • Documenteer wat goed ging en wat beter moet
  • Beoordeel falende maatregelen (afdwingen van MFA, conditional access, OAuth-governance, maatregelen voor geprivilegieerde toegang, dekking van de detectie)
  • Stel hiaten in de detectie vast voor de initiële toegangsvector en het waargenomen gedrag, en dicht ze

• Identity-hardening:

  • Versterk de MFA-inrichting (phishingbestendige factoren zoals FIDO2/passkeys voor geprivilegieerde gebruikers; geen sms voor risicovolle rollen)
  • Scherp conditional access aan (legacy authenticatie blokkeren, beleid op basis van locatie of risico, eisen aan compliance van apparaten)
  • Verminder permanente rechten (just-in-time-toegang, roltoewijzingen met een tijdslimiet, privileged access workstations)
  • Verbeter de OAuth-governance (workflows voor admin consent, gebruikersconsent voor niet-geverifieerde uitgevers beperken, periodieke review van OAuth-grants)
  • Versterk het sessiebeleid (kortere sessieduur voor geprivilegieerde rollen, eisen aan de aanmeldfrequentie)

• Documentatie bijwerken:

  • Werk dit playbook, de gekoppelde runbooks en KB-artikelen bij met de lessons learned
  • Werk detecties en threat intelligence bij op basis van de waargenomen TTP's (broninfrastructuur, ID's van OAuth-apps, aanvalspatronen)

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-001: Phishing & Credential Theft
  • PB-003: Endpoint-malware-infectie
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-016: Business Email Compromise
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-003: Triage van identity-alerts
  • RB-CONTAIN-001: Account blokkeren
  • RB-CONTAIN-003: Containment in Active Directory
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-CONTAIN-006: MFA-reset & validatie
  • RB-ANALYSIS-007: Analyse van authenticatielogs
  • RB-ANALYSIS-008: Review van OAuth- en applicatie-consent
  • RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
  • RB-ANALYSIS-010: Onderzoek naar blootgestelde credentials
  • RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
  • RB-EVIDENCE-002: Acquisitie van host-logs
  • RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • RB-RECOVERY-002: Schone herinstallatie van systemen
  • RB-RECOVERY-003: Herstel van gebruikers & toegang

• SOP's:

  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-004: Gebruikersnotificatie tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.