Apps met toegang tot Microsoft 365: weet jij welke?

Iedereen logt in met een tweede stap op de telefoon, de wachtwoorden zijn sterk en de laptops zijn bijgewerkt. Toch kan iemand van buitenaf meelezen in jullie mail. Niet via een medewerker, maar via een app die jullie ooit zelf toegang hebben gegeven. Apps met toegang tot Microsoft 365 zijn handig, maar iemand moet weten welke het zijn en wat ze mogen. Dat is geen klus voor de directeur, maar voor je ICT-partner.

Wat er vorige week gebeurde

Op 15 oktober 2026 logde een aanvaller in bij de Microsoft 365-omgevingen van bedrijven via de back-upapp van ConnectWise, voorheen bekend als SkyKick. Hij gebruikte daarvoor een gestolen sleutel van die app zelf. Volgens beveiligingsbedrijf Huntress ging het om zo’n 1.000 inlogpogingen, waarvan er ongeveer 300 slaagden. ConnectWise heeft de toegang van de app uitgeschakeld en meldt dat het geen bewijs heeft gevonden dat back-upgegevens zijn buitgemaakt. Hoe de sleutel is gestolen, is nog niet bekend.

Het opvallende is dat niemand bij de getroffen bedrijven iets fout deed. Er was geen phishingmail en geen zwak wachtwoord. De aanvaller kreeg simpelweg dezelfde rechten als de app, en die rechten waren ruim: volgens onderzoekers mocht de app gebruikers en instellingen in de hele omgeving aanpassen.

Hoe een app toegang krijgt

Vergelijk het met de sleutelbos die je aan de schoonmaakdienst geeft. Handig, want ze kunnen binnen als jij er niet bent. Maar raakt die sleutelbos kwijt, dan staat er niemand aan de deur die het merkt, want er komt iemand binnen met een echte sleutel.

Zo werkt het ook in Microsoft 365. Een back-uptool, een programma voor e-mailhandtekeningen, het CRM, de planningssoftware of een AI-assistent: ze krijgen allemaal een eigen sleutel. Elke keer dat iemand op “Accepteren” klikt bij de melding dat een app toegang wil tot je gegevens, komt er een sleutel bij. Na een paar jaar weet vaak niemand meer welke sleutels er uitstaan. Dat geldt voor een productiebedrijf in de IJsselstreek net zo goed als voor een multinational.

Waarom dit onder de radar blijft

Een tweede inlogstap beschermt mensen, geen apps. MFA (multifactorauthenticatie, de code op je telefoon) zorgt ervoor dat een gestolen wachtwoord alleen niet genoeg is. Een app logt echter in met een eigen sleutel, zonder telefoon en zonder code.

Monitoring kijkt vaak naar mensen. Een medewerker die om drie uur ’s nachts vanuit het buitenland inlogt, valt op. Een app die gegevens ophaalt, doet dat elke nacht al, dus dat valt minder snel op.

Niemand voelt zich eigenaar. De app is ooit door iemand aangezet die misschien al lang ergens anders werkt. Net als bij oude accounts geldt hier: wat niet meer gebruikt wordt, hoort weg.

Vijf vragen voor je ICT-partner

Wil je weten of het bij jullie goed geregeld is? Stel je ICT-partner deze vijf vragen. Een goede MSP heeft de antwoorden zonder lang zoeken paraat:

  1. Welke externe apps hebben toegang tot onze Microsoft 365-omgeving? Die lijst staat in het Entra-beheercentrum onder Bedrijfstoepassingen. Je ICT-partner kan hem in een paar minuten voor je uitdraaien.
  2. Gebruiken we ze allemaal nog? Een app van een proefperiode van twee jaar geleden heeft vaak nog steeds toegang.
  3. Wat mogen ze? Alleen agenda’s lezen is iets anders dan alle mailboxen lezen of gebruikers aanmaken. Hoe minder rechten, hoe kleiner de schade als het misgaat.
  4. Mogen medewerkers zelf toestemming geven? Veel omgevingen staan nog zo ingesteld dat iedereen een app toegang kan geven. Laat een beheerder dat goedkeuren.
  5. Kijkt iemand ook naar wat apps doen? Niet alleen naar inloggen door mensen, maar ook naar ongewone activiteit van apps.

Gebruik je zelf SkyKick of ConnectWise Cloud Backup?

Laat dan nagaan of de app in jullie omgeving is uitgeschakeld en of er sinds 13 oktober nieuwe sleutels aan apps zijn toegevoegd. Dat advies geven onderzoekers van SpecterOps die het incident hebben geanalyseerd. Gebruik je de app niet meer, trek de toestemming dan helemaal in.

Veelgestelde vragen over apps met toegang tot Microsoft 365

Wat betekent het als een app toegang heeft tot Microsoft 365?

Een externe dienst, bijvoorbeeld een back-uptool, een CRM-pakket of een programma voor e-mailhandtekeningen, heeft dan toestemming gekregen om namens jullie organisatie gegevens in Microsoft 365 te lezen of te wijzigen. Die app logt in met een eigen sleutel en heeft daarvoor geen medewerker nodig. Welke gegevens de app mag zien of aanpassen, hangt af van de rechten die bij het toestemming geven zijn gekozen.

Hoe zie ik welke apps toegang hebben tot onze Microsoft 365?

In het Entra-beheercentrum van Microsoft staat onder Bedrijfstoepassingen een overzicht van alle apps die toegang hebben tot je omgeving. Per app zie je welke rechten hij heeft en wanneer hij voor het laatst heeft ingelogd. Heb je geen beheerrechten of weet je niet waar je moet kijken, vraag je ICT-partner dan om dit overzicht. Dat is een klus van een paar minuten.

Beschermt MFA ook tegen misbruik van een app?

Nee. MFA, de extra inlogstap met bijvoorbeeld een code op je telefoon, beschermt de accounts van mensen. Een app logt in met een eigen sleutel en krijgt geen code-verzoek. Wordt die sleutel gestolen, zoals bij het ConnectWise-incident in oktober 2026, dan komt een aanvaller binnen zonder dat MFA hem tegenhoudt. Daarom is het belangrijk om te weten welke apps er zijn en wat ze mogen.

Wat is er gebeurd bij ConnectWise en SkyKick?

Op 15 oktober 2026 gebruikte een aanvaller een gestolen sleutel van de ConnectWise Cloud Backup-app, voorheen SkyKick, om in te loggen bij Microsoft 365-omgevingen van bedrijven. Volgens Huntress waren er zo’n 1.000 inlogpogingen, waarvan ongeveer 300 slaagden. ConnectWise heeft de app uitgeschakeld en meldt dat het geen bewijs heeft gevonden dat back-upgegevens zijn buitgemaakt.

Wat moet ik doen als we SkyKick of ConnectWise Cloud Backup gebruiken?

Controleer of de app in jullie omgeving is uitgeschakeld, kijk of er sinds 13 oktober 2026 nieuwe sleutels aan apps zijn toegevoegd en bekijk de inloggegevens van de app. Gebruik je de dienst niet meer, trek de toestemming dan volledig in. Laat dit bij twijfel door je ICT-partner nalopen, want een aanvaller kan rechten aan andere apps hebben toegevoegd.

Kunnen medewerkers zelf apps toegang geven tot Microsoft 365?

In veel omgevingen wel, want dat is de standaardinstelling. Een medewerker die op “Accepteren” klikt, geeft een app dan toegang tot zijn eigen gegevens. Je kunt dit in het Entra-beheercentrum zo instellen dat een beheerder elke nieuwe app eerst moet goedkeuren. Medewerkers kunnen dan nog steeds om een app vragen, maar er komt geen sleutel bij zonder dat iemand het ziet.

Hoe vaak moet ik de lijst met apps controleren?

Een goede vuistregel is één keer per kwartaal, en daarnaast altijd wanneer je stopt met een dienst of een leverancier. Koppel het aan iets wat toch al gebeurt, zoals het kwartaaloverleg met je ICT-partner. Zo groeit de lijst met vergeten sleutels niet ongemerkt aan.

Dit hoort bij het werk van je MSP

Als MSP (managed service provider, oftewel je externe ICT-afdeling) beheren wij de Microsoft 365-omgevingen van onze klanten. Dan hoort het ook bij ons werk om te weten welke apps daar een sleutel hebben. Een directeur heeft wel wat beters te doen dan zelf door beheerschermen te klikken op zoek naar vergeten koppelingen.

In de praktijk komt het neer op vier dingen. Bijhouden welke apps toegang hebben en waarom. Opruimen wat niet meer gebruikt wordt. Instellen dat een beheerder nieuwe apps eerst goedkeurt. En opletten als een app zich ineens anders gedraagt dan normaal.

We zijn er ook eerlijk over: als ICT-dienstverlener gebruiken wij zelf tools met toegang tot de omgevingen van onze klanten. De app uit dit incident is juist zo’n tool die veel ICT-dienstverleners gebruiken. Daarom kijken we net zo kritisch naar onze eigen sleutels als naar die van anderen. Die discipline hoort ook bij onze ISO 27001-certificering.

Dit soort incidenten laat zien dat goede beveiliging niet ophoudt bij wachtwoorden en MFA. Het hoort bij de eerste pijler uit ons artikel over cybersecurity in drie pijlers: preventie, en dus weten wie er allemaal een sleutel heeft. Meer over hoe wij dat aanpakken lees je op de pagina over ICT-beveiliging en continuïteit.

Weet je niet zeker of iemand dit bij jullie in de gaten houdt? Dan kijken wij graag een keer met je mee.

Neem contact op of plan een vrijblijvend gesprek.

Onze filosofie: ICT Zonder Gedoe

GOsensit behartigt alle ICT-belangen van haar opdrachtgevers. Op strategisch niveau maken we afspraken over het ICT-beleid. Op tactisch niveau richten we samen de processen in die zorgen voor een vloeiende uitvoering. Ook op operationeel niveau zorgen we voor professionele kennis en gebruiken we geautomatiseerde systemen ten behoeve van support, incidentmanagement, projectmanagement, assetmanagement, CRM, proactief beheer, documentatiesystemen enzovoorts. We doen dat tegen een vast bedrag per maand zodat jouw ICT-kosten voorspelbaar zijn. Bovendien hebben we er zo beide baat bij dat jouw ICT-omgeving probleemloos werkt, want het oplossen van ICT-problemen is voor onze rekening.

Wij noemen dat ICT zonder gedoe. Ben je benieuwd hoe ICT zonder gedoe jouw bedrijf kan helpen? Vragen staat vrij!

Microsoft NCE

Harmonisatie domeintarieven en nieuwe leverancier

Klantcase OCTA Adviseurs en GOsensit

Klantcase: OCTA Adviseurs & GOsensit

Klantcase United Petfood Nederland Alu BV en GOsensit

Klantcase: United Petfood Nederland Alu BV & GOsensit

Office manager (16-24 uur)