Een nieuw rapport van Cisco Talos laat zien hoe aanvallers AitM phishing via valse event inzetten om Google-accounts te kaapren. De campagne richt zich op personen die gelieerd zijn aan Taiwan-onderzoeksorganisaties en gebruikt slimme social engineering om slachtoffers te laten inloggen met hun Google-account én om hun MFA-gegevens te misbruiken.
De kern van het probleem is dat de nep-registratie niet alleen een “gewone” phishingpagina is. In plaats daarvan draait het om een adversary-in-the-middle (AitM)-opzet die in realtime doorstuurt naar de echte Google-authenticatie. Daardoor kan de aanvaller loginstappen en verificatieverzoeken effectief nabootsen.
Wat maakt deze AitM phishing-aanpak anders?
Bij traditionele phishing proberen aanvallers gebruikersnaam en wachtwoord te verzamelen op een nepportaal. In dit geval wordt het proces complexer: slachtoffers krijgen een pagina voorgeschoteld die lijkt op een legitieme Google Form. Zodra iemand inlogt, wordt er een gespoofde Google-login weergegeven.
Belangrijk detail: de pagina werkt als een AitM-proxy. Het kwaadaardige script verzamelt gegevens zodra de sessie start, stuurt ingevoerde informatie door naar een command-and-control (C2)-server en geeft die ook door richting de echte Google-authenticatie. Daardoor oogt het geheel voor het slachtoffer “normaal” terwijl de aanvaller actief meeluistert en overdraagt.
Van valse uitnodiging naar echte inlog: stap voor stap
Talos beschrijft een keten die doorgaans uit de volgende onderdelen bestaat:
- Een spear-phishing e-mail die een evenement uitnodigt dat inhoudelijk geloofwaardig is (geopolitieke of beleidscontext).
- Een registratielink die bij hoveren een ogenschijnlijk legitieme Google Forms-URL toont.
- Een nepregistratieomgeving die de gebruiker uiteindelijk naar de gespoofde Google-login leidt.
- Realtimedoorsturing tussen de AitM-proxy en de echte Google-authenticatie, inclusief verificatiestappen.
In een subset van de gevallen voegen aanvallers ook QR-code phishing toe. Daarmee wordt de aanval niet alleen naar e-mailontvangers “uitgerold”, maar ook naar mensen die de papieren/visuele eventmaterialen tegenkomen.
Waarom valse event invites zo overtuigend zijn
De aanvallers gebruiken thema’s die aansluiten op publieke eventinformatie en imiteren bekende instellingen. Talos noemt dat de campagne functioneert met een herbruikbaar sjabloon: de e-mails delen dezelfde structuur en stijl, terwijl de onderwerpkeuze en persoonlijke “flattery” per doelgroep worden bijgesteld.
Daardoor ontstaat een mix van herkenbaarheid en gerichtheid. Voor ontvangers voelt de e-mail niet als willekeurige spam, maar als een uitnodiging die specifiek voor hen is bedoeld.
Een vaste opbouw van de spear-phishing berichten
Talos geeft aan dat de e-mails grofweg drie delen bevatten:
- Context inleiding: een gepolijste maar soms overdreven beschrijving van de geopolitieke/policy-setting.
- Persoonlijke trigger: een onderdeel dat de ontvanger prijst of bevestigt om engagement af te dwingen.
- Praktische logistiek: topic, datum, locatie en registratie-instructies.
De consistentie in taalstructuur wijst volgens Talos op massaproductie via een herbruikbare prompt-template, in plaats van volledig maatwerk per slachtoffer.
QR-code phishing (quishing) vergroot de impact
Naast e-mail maakte de campagne gebruik van quishing: aanvallers manipuleerden legitieme eventposters door de QR-codes te vervangen met kwaadaardige varianten. Wie de poster scant om zich “voor het evenement” aan te melden, wordt naar dezelfde soort AitM-registratieketen geleid.
Dit breidt het aanvalsvlak uit: niet alleen mailboxen zijn doelwit, maar ook secundaire slachtoffers die fysieke of digitale postercontent tegenkomen.
Hoe werkt de AitM-proxy met Google-authenticatie?
De phishingomgeving bouwt een technische brug tussen het slachtoffer en Google. In het kwaadaardige script wordt vóórdat er een WebSocket-verbinding wordt opgezet, informatie verzameld over het apparaat en de browser.
Talos noemt onder andere: locale, user agent, schermafmetingen en of het om een mobiel apparaat gaat. Die context wordt doorgegeven aan het C2-systeem via requests met een “start”-achtige naam (zoals google_login_start).
Wanneer het slachtoffer het wachtwoord invult, stuurt de pagina de account-ID, het wachtwoord en browserinformatie door richting het aanvallersdomein via een tweede request (zoals google_login_check). Van daaruit wordt het naar de echte Google-authenticatie gespoeld, terwijl de aanvaller tegelijk de tussenstap benut.
Gericht op Chineessprekende gebruikers
Volgens Talos ondersteunen de gespoofde Google-loginpanelen vooral Simplified Chinese (zh-CN), Traditional Chinese (zh-TW) en Engels. De regio-/taalkeuze lijkt gebaseerd op browserinformatie zoals navigator.languages. Dat wijst op targeting op Chinese taalgebruikers.
Daarnaast beschrijft Talos dat de aanvallers de interactie slim opsplitsen: “one-shot” uploads via POST worden gecombineerd met laaglatency updates via WebSocket. Daardoor blijft de ervaring vloeiend en wordt de kans kleiner dat slachtoffers iets verdachts opmerken.
AI-assist die leidt tot sneller overtuigende lures
Talos beoordeelt de campagne als waarschijnlijk door AI-assisted content generation gevoed. Het doel is niet zozeer om “technische exploitcode” te verbeteren, maar om snel overtuigende, doelgroepspecifieke lures te maken binnen één consistent social engineering framework.
Dat verklaart waarom de structuur in veel berichten vrijwel gelijk is, terwijl de inhoud inhoudelijk aansluit op uiteenlopende thema’s. Met AI kunnen aanvallers ook sneller varianten testen en opschalen.
Wat kun je doen om dit soort aanvallen te herkennen en te stoppen?
Omdat de aanval draait om een geloofwaardige registratieflow en een gespoofde login, is het belangrijk om verder te kijken dan alleen “lijkt het op een Google-form?”. Leg die verantwoordelijkheid niet bij medewerkers alleen; combineer training met technische maatregelen.
Praktische signalen voor medewerkers
- Toont een event-uitnodiging te mooi “persoonlijk” taalgebruik of overdreven context? Dat kan een signaal zijn.
- Klopt de afzender/instelling niet helemaal (bijv. net andere domeinnaam of onlogische sender)? Controleer dat.
- Word je gevraagd om je Google-account in te loggen om een registratie af te ronden? Wees extra alert.
Technische maatregelen die helpen
- Beperk account takeover: kijk naar een sterke MFA-aanpak die niet alleen op codegebaseerde uitdagingen leunt, maar rekening houdt met AitM-scenario’s.
- Versterk web- en sessionbescherming: monitor en blokkeer verdacht gedrag rondom loginpagina’s en ongebruikelijke redirects naar nepregistraties.
- Train op incident-gedrag: laat medewerkers weten dat ze bij twijfel niet moeten inloggen via links, maar de organisatie-website of contactpersoon moeten gebruiken.
Wil je breder inzicht in hoe je van losse signalen naar actie gaat, dan helpt dit artikel: van losse alerts naar actie.
Verwante risico’s en context
Dit soort aanvallen sluit aan bij een bredere trend waarin oplichting steeds meer gebruikmaakt van overtuigende content, legitimiteit en real-time interactie. Ook zijn er incidenten beschreven waarin AI of geautomatiseerde technieken een rol spelen bij het omzeilen van autorisatie of het manipuleren van authenticatieflows.
Als je wilt zien hoe aanvallers AI-gegenereerde of AI-gestuurde inhoud kunnen inzetten binnen aanvallen, lees dan ook: AI-modellen omzeilen autorisatie: incidenten.
Conclusie
De campagne UAT-11985 laat zien dat AitM phishing via valse event veel verder gaat dan een simpele nep-link. Door registratieteksten te verpakken als geloofwaardige uitnodigingen, QR-code phishing toe te passen en in realtime door te sturen tussen een proxy en Google, kunnen aanvallers Google-credentials en MFA-gerelateerde stappen effectief misbruiken.
Voor organisaties is de boodschap helder: combineer herkenning (training en procedures) met technische controles rond loginflows en verdachte registratiepagina’s. Daarmee verlaag je de kans dat een “normale” eventuitnodiging verandert in een volledige account takeover.
Bron: https://thehackernews.com/2026/10/uat-11985-uses-fake-event-invites-to.html
