Accountherstel bij Meta, Google en je eigen helpdesk: het herstelkanaal is de aanvalsroute

De inbraak die Transport for London 39 miljoen pond kostte, begon met een telefoontje naar de helpdesk. Geen zeroday, geen besmette bijlage, geen wachtwoord dat na drie jaar nog gold. Een handlanger belde met gestolen inloggegevens en zei dat hij niet meer op afstand binnenkwam, waarna een helpdeskmedewerker werd overgehaald de authenticatie te resetten naar een apparaat van de aanvallers. Dat hoorde het Woolwich crown court in juli, bij de veroordeling van de twee daders tot elk vijfenhalf jaar cel. Binnen vier dagen hadden ze een domeinbeheerdersaccount, door de aanklagers in de rechtszaal omschreven als de sleutels van het koninkrijk. TfL kreeg ze er alleen uit door zelf de stekker uit de systemen te trekken. Naast die 39 miljoen pond zijn de gegevens van ongeveer zeven miljoen mensen meegenomen.

Bijna alles wat een bedrijf aan accountbeveiliging doet, gaat over de voordeur. Een langer wachtwoord, een tweede factor, passkeys, een kluis om het allemaal in te bewaren. De achterdeur krijgt die aandacht zelden, en dat is geen slordigheid. Het herstelkanaal is ontworpen voor iemand die buitengesloten is, haast heeft en in paniek raakt, en dus met opzet zo soepel mogelijk gemaakt.

Mijn stelling is dat die achterdeur inmiddels de hoofdingang is. Wie een account mag teruggeven, en op welk bewijs, is de eigenlijke beveiligingsmaatregel. Niet het wachtwoord, en niet de tweede factor.

Het loket bestaat niet, en waar het wel bestond was het de aanvalsroute

Bij Meta en Google is er geen nummer om te bellen. Raak je als ondernemer je bedrijfspagina kwijt, dan is er precies één route, en die route is een formulier: Meta komt alleen in actie als het zelf kan bevestigen dat de pagina daadwerkelijk gehackt is, en ook een betaald Meta Verified-abonnement levert exact hetzelfde formulier op. Je kunt geen voorrang kopen.

Dat voelt als het probleem. Het echte probleem is wat er gebeurde toen Meta wél een loket bouwde. Voor Instagram draaide het bedrijf een AI-ondersteunde herstelvoorziening, High Touch Support, die buitengesloten gebruikers weer binnen moest helpen met een resetlink. Aanvallers vroegen die assistent gewoon om hun eigen e-mailadres aan het account van een doelwit te koppelen, meldde 404 Media begin juni, met onder de slachtoffers het account van Sephora en dat van het Witte Huis onder Obama.

De nuance is belangrijk, want die maakt het erger in plaats van beter. Dit was niet iemand die netjes een nieuw wachtwoord aanvroeg. Het was een supportkanaal dat je in gewone taal kon overtuigen, plus een controle die op één plek ontbrak: door een bug in een apart codepad verifieerde het systeem niet of het opgegeven e-mailadres hoorde bij het Instagram-account van de gebruiker, erkende Meta in een melding die BleepingComputer op 8 juni beschreef. Het bedrijf kwam uit op 20.225 gekaapte accounts. De aanval liep vanaf 17 april en werd pas op 31 mei ontdekt.

Zes weken. Het kanaal dat bestaat om je account terug te geven, gaf zes weken lang accounts weg aan wie erom vroeg, en de accounts die vielen waren de accounts zonder tweede factor. De vraag is dus niet hoe je sneller bij een platform binnenkomt als het misgaat. De vraag is hoeveel van je bedrijf je wilt laten afhangen van een loket dat je niet kunt bellen en dat, als het er is, zelf een ingang blijkt.

Bij Google is je domeinnaam het bewijsstuk

Google lost hetzelfde probleem eleganter op, en juist daarom is het leerzaam. Ben je de enige beheerder van je Google Workspace en heb je geen herstel-e-mail of herstelnummer meer, dan bewijs je eigendom door een CNAME- of TXT-record aan het DNS van je eigen domein toe te voegen, wat tot 24 uur kan duren voordat het is doorgevoerd.

Dat is een eerlijk ontwerp. Het bewijs zit in iets dat alleen de echte eigenaar kan veranderen, en niet in een verhaal dat je aan een medewerker vertelt. Maar lees de zin nog een keer. Wie jouw DNS beheert, beheert je herstelroute. Bij heel veel bedrijven staat de domeinnaam op naam van het webbureau dat ooit de site bouwde, of bij een hostingpartij met een inlog die drie mensen delen en niemand rouleert. Die partij kan dan, in de praktijk, het beheerdersaccount van je hele werkomgeving overnemen. Niet omdat iemand slecht van plan is, maar omdat het herstelontwerp van Google precies dat toestaat aan wie het domein bestuurt.

Daar zit dezelfde blinde vlek als bij het beoordelen van je IT-partij. Je meet een organisatie, haar certificaat en haar vragenlijst, terwijl een aanvaller geen leverancier gebruikt maar een account. Je herstelroute is geen eigenschap van Google. Het is een eigenschap van wie jouw DNS in handen heeft.

Binnen de deur is het herstelkanaal een mens met haast

De TfL-zaak is geen uitschieter. Okta volgt sinds augustus 2025 een financieel gedreven groep die zich bij de IT-helpdesk voordoet als medewerker, om een wachtwoordreset vraagt en daarna een eigen MFA-authenticator aan het gekaapte account koppelt, waarna het doorstoot naar salarissystemen als Workday en ADP om bankrekeningen te wijzigen.

Kijk goed naar de volgorde. De aanvaller omzeilt je multi-factor niet. Hij laat je eigen helpdesk hem opnieuw uitgeven. Alles wat je aan sterke authenticatie hebt gekocht, wordt in dat gesprek van vier minuten kosteloos overgedragen aan iemand anders.

De omgekeerde richting is bekender: aanvallers die zich in Microsoft Teams voordoen als de IT-helpdesk en een medewerker een sessie voor hulp op afstand in praten. Daar heb je bewustwordingstraining tegen. Tegen deze richting heb je die niet, want de mens die wordt bewerkt is degene die betaald wordt om te helpen. Nee zeggen tegen een collega die zegt dat hij niet bij zijn mail kan, is precies het gedrag waarop je die functie nooit hebt beoordeeld.

"We hebben MFA aan" is hier dus geen antwoord. MFA aanzetten was de makkelijke stap, en de aanval is er allang omheen gaan lopen. De vraag die eronder ligt, is wie bij jou een reset mag goedkeuren en waarop die persoon dat baseert.

Om eerlijk te zijn: de meeste bedrijven hebben helemaal geen helpdesk

Dit is het sterkste tegenargument, en het is een goed argument. TfL heeft een servicedesk met telefonisten in dienst. De doelwitten die Okta beschrijft zijn concerns met duizenden medewerkers en een salarisadministratie die iemand van buiten kan aanwijzen. In een bedrijf van twaalf mensen is er niemand om te bewerken. Je regelt je wachtwoorden zelf, en de stem aan de telefoon herken je aan de eerste lettergreep. Zo'n bedrijf heeft geen resetprocedure nodig, want het heeft geen reset-afdeling.

Alleen verdween die bevoegdheid niet. Ze verhuisde. Ze zit bij je externe IT-partij, die een gedelegeerde beheerrelatie op je Microsoft- of Google-omgeving heeft. Ze zit bij het webbureau dat je domein beheert. Ze zit bij de collega die goed met computers is en 's avonds via WhatsApp even iets voor iemand resette. Die drie hebben samen meer resetmacht over jouw bedrijf dan de servicedesk van TfL had, en geen van drieën werkt met een ticket, een tweede paar ogen of een clausule.

Kleiner zijn betekent dus niet minder poorten. Het betekent minder vastgelegde poorten. En buiten de deur ben je juist slechter af dan het concern: die heeft een accountmanager bij Meta, jij hebt een formulier.

Herstel mag traag zijn, dat is het hele punt

Google laat zien hoe je dit oplost zonder één euro aan software. Voeg je tweestapsverificatie of een herstelnummer toe aan je account, dan blokkeert Google gevoelige acties tot zeven dagen lang. Dat is geen kinderziekte in het ontwerp. Dat ís het ontwerp. Een echte eigenaar kan een week wachten. Een aanvaller die vandaag binnen wil zijn, kan dat niet.

Twee principes vallen daaruit te kopiëren, en ze kosten alleen discipline. Het eerste is vertraging: een herstelverzoek wordt nooit afgerond in hetzelfde gesprek waarin het is aangevraagd. Het tweede is verificatie buiten het kanaal waarin het verzoek binnenkwam. Belt iemand, dan bel je terug op het nummer uit je eigen personeelsadministratie, niet op het nummer dat de beller opgeeft. Komt het per mail, dan bevestig je het via de telefoon.

En leg het bewijs vooraf klaar in plaats van tijdens de paniek. De herstelcodes van je platformen horen op papier in een kluis te liggen, niet in de mailbox waar je net uit bent gezet. Er hoort te staan wie de tweede beheerder is en wie zijn account beheert. En er hoort vastgelegd te zijn welke DNS-toegang van jou is en welke van iemand anders, want dat is het echte eigendomsbewijs waar Google om vraagt.

Wat je deze week vastlegt

Drie beslissingen, en ze passen op één A4. Wie mag goedkeuren: één naam en één vervanger, geen afdeling en geen bedrijfsnaam. Waarop: een terugbelnummer uit je eigen administratie, en nooit afronden in hetzelfde gesprek. Wat er in het contract staat: je overeenkomst met je IT-partij noemt vrijwel zeker een reactietijd, en vrijwel zeker niet wat die partij mag resetten zonder jouw akkoord en hoe zij verifieert dat het echt jouw medewerker is die belt.

Dat laatste is de spiegelkant van iets dat je waarschijnlijk ook nog niet geregeld hebt: een beheerrelatie met je IT-partner die bij een leverancierswissel gewoon doorloopt omdat niemand hem opzegt. Toegang uitgeven en toegang teruggeven zijn dezelfde vraag, alleen op twee momenten. De meeste bedrijven hebben voor geen van beide een antwoord opgeschreven.

De maatregel die niet te koop is

Eén telefoontje, één medewerker die wilde helpen, 39 miljoen pond. Dat is geen verhaal over slechte techniek, want de techniek van TfL deed precies wat er gevraagd werd. Het is een verhaal over een bevoegdheid die niemand als bevoegdheid had opgeschreven.

Bij Meta en Google valt dat niet te repareren. Daar kun je geen supportlijn kopen, geen uitzondering regelen en geen mens aan de lijn krijgen, en het loket dat er even was gaf zes weken lang accounts weg. Binnen je eigen muren kun je het wel bepalen: wie een account mag teruggeven, op welk bewijs, en met hoeveel vertraging. Zolang dat antwoord in iemands hoofd zit in plaats van op papier, is je zwaarste slot een deur die opengaat als iemand hard genoeg klopt.