Een agent opent een e-mail waarin hem wordt gevraagd zijn HR-toegang opnieuw te valideren. De link leidt naar een pagina die identiek is aan MaBoxRH, inclusief het logo van de groep. Behalve dat het domein in de adresbalk niets bekends weergeeft. Dit scenario raakt rechtstreeks de gebruikers van GTm Extranet La Poste, en de convergentie die sinds 2024 is ingezet tussen MaBoxRH, GTm Extranet en het slimme Portaal heeft de inlogpaden vermenigvuldigd.
Resultaat: de gebruikelijke referentiepunten zijn vervaagd, en phishingcampagnes maken precies gebruik van deze verwarring.
Werkstation en vergrendelde sessie: de basis vóór het wachtwoord
De beveiliging van een extranet beperkt zich niet tot het wachtwoord. Op GTm Extranet is de computer die wordt gebruikt om in te loggen de eerste schakel die moet worden gecontroleerd. Een gedeelde computer zonder automatische sessievergrendeling, een browser die inloggegevens opslaat in een niet-beveiligd profiel, een besturingssysteem waarvan de beveiligingsupdates al weken achterlopen, dit alles creëert kwetsbaarheden nog voordat het wachtwoord wordt ingevoerd.
Concreet controleren we drie punten vóór elke inlog:
- De computer is een professioneel terminal waarvan het besturingssysteem en de browser up-to-date zijn (beveiligingspatches corrigeren regelmatig kwetsbaarheden die door phishingkits worden uitgebuit).
- De gebruikerssessie is vergrendeld zodra men de computer verlaat, zelfs voor enkele minuten, wat voorkomt dat een derde toegang krijgt tot een open gebleven GTm-sessie.
- De ingebouwde wachtwoordbeheerder van de browser is uitgeschakeld of beschermd met een hoofdwachtwoord, om te voorkomen dat fysieke toegang tot de computer directe toegang geeft tot de HR-gegevens.
Een gids over de authenticatie op gtm extranet La Poste beschrijft ook de valse inlogsites en de gebruikelijke oplichtingstechnieken op dit platform.
Het beveiligen van de werkplek verkleint het aanvalsvlak nog voordat we het over het wachtwoord hebben. De CNIL integreert deze maatregelen bovendien in een globale benadering van gegevensbescherming, niet als geïsoleerde acties.
Multifactorauthenticatie op GTm Extranet: wat het beschermt en wat niet
Multifactorauthenticatie (MFA) voegt een extra verificatielaag toe na het wachtwoord: een tijdelijke code die per sms wordt ontvangen of door een applicatie wordt gegenereerd. Men zou denken dat dit voldoende is om elke poging tot fraude te blokkeren. In de praktijk is het echter niet zo eenvoudig.
Een goed gebouwde valse inlogpagina kan zowel het wachtwoord als de MFA-code in realtime vastleggen. De gebruiker voert zijn inloggegevens in op de valse site, de hacker verzendt deze onmiddellijk naar het echte portaal, haalt de gevraagde MFA-code op en logt in voordat deze verloopt. Dit type aanval, dat “realtime phishing” wordt genoemd, maakt de tweede factor ineffectief als het domein niet vooraf is gecontroleerd.
De MFA blijft een relevante beveiligingsmaatregel, maar maakt deel uit van een breder systeem. Het ontslaat nooit van de verplichting om de URL te controleren vóór enige invoer. Op GTm Extranet is een interne aanbeveling die sinds 2024 wordt verspreid duidelijk: nooit toegang krijgen tot GTm via een zoekmachine. Men gaat via een opgeslagen favoriet of via het intranet van de groep.
Controleer het domein in drie seconden
Voordat men iets invoert, kijkt men naar de adresbalk van de browser. Het domein moet exact overeenkomen met dat van het officiële portaal. Eén extra teken, een ongebruikelijke streepje, een andere extensie: sluit het tabblad. Een geldig HTTPS-certificaat (groen slotje) garandeert de legitimiteit van de site niet, aangezien SSL-certificaten gratis toegankelijk zijn, ook voor frauduleuze sites.
Incidentresponsprocedure na invoer op een valse site
Een phishingpoging herkennen is één ding. Weten hoe te reageren nadat men zijn inloggegevens op een verdachte pagina heeft ingevoerd, is iets anders. We bereiden deze procedure voor voordat een incident zich voordoet, niet erna.
Hier is de volgorde die men moet volgen als men vermoedt dat men zijn GTm Extranet-inloggegevens op een frauduleuze site heeft ingevoerd:
- De huidige sessie onmiddellijk onderbreken en niet op andere links op dezelfde pagina klikken.
- Inloggen op het officiële portaal (via een gecontroleerde favoriet) en het wachtwoord zonder uitstel wijzigen.
- De IT-afdeling of de interne ondersteuning van de groep La Poste waarschuwen, zodat zij verdachte inlogpogingen op het account kunnen volgen.
- Het frauduleuze bericht (e-mail, sms) bewaren zonder het te verwijderen: het zal als bewijs dienen voor de melding.
- De recente activiteiten van het HR-account controleren om ongebruikelijke toegang of wijzigingen op te sporen.
Deze logica van incidentvoorbereiding sluit aan bij de aanbevelingen die de CNIL in 2024 heeft gepubliceerd: het beheer van een compromittering wordt gepland vóór de fraude, niet in de haast.
Georganiseerde melding: wie te waarschuwen en via welk kanaal
Een valse site of een phishing-e-mail melden is niet alleen het verwijderen ervan uit de inbox. Om de melding nuttig te maken, moet deze via het juiste kanaal worden doorgegeven.
Intern is de eerste reflex om de IT-ondersteuning van de groep te contacteren. Afhankelijk van de structuren is er een speciaal formulier of een meldadres beschikbaar. Het doel: de beveiligingsdienst in staat stellen om het frauduleuze domein voor alle gebruikers te blokkeren en te controleren of andere accounts zijn doelwit zijn geweest.
Extern maakt het officiële platform Pharos (melding van illegale online inhoud) het mogelijk om een phishing-site te melden. De reacties variëren wat betreft de verwerkingstijden, maar de melding voedt een database die de blokkering door browsers en internetproviders versnelt.
Vermijd terugkerende valkuilen met betrekking tot zoekmachines
Gesponsorde pagina’s die GTm Extranet imiteren, kunnen bovenaan de zoekresultaten verschijnen. Zoeken naar “GTm Extranet La Poste” in een zoekmachine is de meest voorkomende aanvalsvector. Toegang moet altijd plaatsvinden via een handmatig opgeslagen link of vanaf het intranet van de groep.
Een robuust wachtwoord, een geactiveerde tweede factor en een up-to-date computer zijn nutteloos als men deze op de verkeerde pagina invoert. De beveiliging van de toegang tot GTm Extranet is gebaseerd op een reeks eenvoudige controles die systematisch worden toegepast, zonder uitzondering voor “snelle” inlogpogingen tussen twee vergaderingen.
