Een gehackte mailbox merk je vaak pas als de schade al begonnen is. Een klant meldt een vreemde factuur, collega’s zien mails die jij niet hebt verstuurd, of een medewerker kan ineens niet meer inloggen. Juist dan heb je geen behoefte aan theorie, maar aan een duidelijk stappenplan na gehackte bedrijfsmail waarmee je snel grip krijgt op de situatie.

Bij een zakelijke mailbox draait het niet alleen om e-mail. Vaak hangt er toegang aan vast tot agenda’s, cloudopslag, CRM, boekhoudsoftware en interne communicatie. Daarom is een gecompromitteerde mailbox geen klein incident, maar een serieus bedrijfsrisico. Snel handelen is belangrijk, maar zonder overzicht kan een overhaaste reactie ook nieuwe problemen veroorzaken. De juiste volgorde maakt het verschil.

Stappenplan na gehackte bedrijfsmail: wat je meteen doet

De eerste stap is het account direct blokkeren of de sessies ongeldig maken. Wacht daar niet mee tot je precies weet wat er is gebeurd. Als een aanvaller nog actief is, telt elke minuut. Reset het wachtwoord, meld alle actieve sessies af en trek waar nodig tijdelijke toegang tot gekoppelde systemen in.

Controleer daarna meteen of multifactor-authenticatie nog actief is en of die niet door de aanvaller is aangepast. Bij mailboxhacks zien we vaak dat herstelgegevens, alternatieve e-mailadressen of authenticatie-instellingen zijn gewijzigd. Als je dat mist, kan een aanvaller na een wachtwoordreset gewoon opnieuw binnenkomen.

Beperk vervolgens de verspreiding. Zet mail-forwarding uit, verwijder verdachte regels in de inbox en controleer of er automatische antwoorden of verborgen doorstuurregels zijn ingesteld. Dit zijn klassieke trucs om informatie stilletjes af te vangen of om fraude langer onder de radar te houden.

Is het om een account van een directielid, finance-medewerker of HR-gebruiker gegaan, behandel het incident dan meteen als hoog risico. Die mailboxen bevatten vaak gevoelige data en worden vaker misbruikt voor betaalfraude of identiteitsmisbruik. Dan is snelle technische actie nodig, maar ook direct intern overleg.

Stel vast wat er precies is geraakt

Zodra de mailbox is afgeschermd, begint het echte werk. Je wilt weten of het om alleen e-mail gaat of om bredere accountcompromittering. In veel omgevingen is de mailbox immers gekoppeld aan Microsoft 365, Google Workspace of andere bedrijfsplatformen. Wie toegang heeft tot mail, heeft vaak meer dan dat.

Controleer inloglogs, locaties, tijdstippen en verdachte apparaten. Kijk of er is ingelogd vanuit landen of IP-adressen die niet passen bij normaal gebruik. Let ook op mislukte inlogpogingen vlak voor succesvolle toegang. Dat kan wijzen op password spraying, phishing of misbruik van eerder gelekte wachtwoorden.

Onderzoek vervolgens welke acties zijn uitgevoerd. Zijn er mails verstuurd naar klanten of leveranciers? Zijn er bijlagen geopend of gedownload? Zijn contactlijsten geraadpleegd? Zijn er rechten aangepast of nieuwe gebruikers toegevoegd? Dit bepaalt niet alleen de technische impact, maar ook de communicatieve en juridische gevolgen.

Hier zit meteen een belangrijk verschil tussen een klein en een groot incident. Als een mailbox kort is misbruikt zonder verdere beweging in de omgeving, blijft de schade mogelijk beperkt. Maar als er ook cloudbestanden zijn ingezien, facturen zijn aangepast of interne gesprekken zijn onderschept, moet je breder reageren.

Voorkom financiële en operationele schade

Een gehackte mailbox wordt vaak gebruikt voor factuurfraude, wijziging van betaalgegevens of het onderscheppen van lopende offertes en contracten. Controleer daarom direct recente correspondentie met klanten, leveranciers en financiële contactpersonen. Kijk extra scherp naar gesprekken over betalingen, IBAN-wijzigingen, offertes en goedkeuringen.

Waarschuw intern de afdelingen die risico lopen, zoals finance, sales, administratie en directie. Houd die communicatie kort en praktisch. Bijvoorbeeld dat mails uit een bepaalde periode niet betrouwbaar zijn, dat betaalinstructies extra gecontroleerd moeten worden en dat afwijkende verzoeken altijd telefonisch geverifieerd moeten worden.

Informeer externe contacten als er vanuit de mailbox verdachte berichten zijn verstuurd. Wacht daar niet te lang mee. Hoe sneller klanten en leveranciers weten dat bepaalde mails onbetrouwbaar zijn, hoe kleiner de kans op reputatieschade of financiële schade. Duidelijkheid werkt hier beter dan terughoudendheid.

Beveilig de rest van je omgeving

Een mailboxhack staat zelden volledig op zichzelf. Vaak is het een symptoom van een breder probleem, zoals zwakke wachtwoorden, ontbrekende multifactor-authenticatie, onveilige apparaten of onvoldoende monitoring. Daarom stopt het stappenplan na gehackte bedrijfsmail niet bij dat ene account.

Controleer of hetzelfde wachtwoord elders is gebruikt. Dat gebeurt vaker dan bedrijven denken, zeker bij kleinere organisaties waar gebruiksgemak soms zwaarder weegt dan beleid. Als wachtwoorden zijn hergebruikt op VPN, CRM, remote desktop of beheeraccounts, moet je die keten meteen doorbreken.

Onderzoek ook het apparaat van de getroffen gebruiker. Als de mailbox is overgenomen via een phishingmail, hoeft er geen malware actief te zijn. Maar als een toestel is besmet met een infostealer of remote access tool, heeft een wachtwoordreset weinig waarde. Dan moet je eerst het apparaat isoleren, onderzoeken en zo nodig opnieuw opbouwen.

Bekijk daarnaast of er andere accounts tekenen van misbruik vertonen. Aanvallers testen na een succesvolle mailboxhack regelmatig of ze lateraal kunnen bewegen. Ze zoeken naar gedeelde mailboxen, gedeelde wachtwoorden, gevoelige documenten en accounts met hogere rechten. Wie alleen het zichtbare probleem oplost, kan de tweede klap missen.

Vergeet de meldplicht en documentatie niet

Niet elk incident is automatisch meldplichtig, maar je moet het wel beoordelen. Als er persoonsgegevens zijn ingezien, buitgemaakt of verstuurd, kan sprake zijn van een datalek. Dan telt niet alleen wat zeker vaststaat, maar ook wat redelijkerwijs aannemelijk is op basis van logs en technische analyse.

Leg daarom vanaf het begin vast wat er is gebeurd, wanneer het is ontdekt, welke accounts betrokken zijn, welke maatregelen zijn genomen en welke impact bekend is. Dat helpt bij intern besluitvormen, communicatie met betrokkenen en eventuele verplichtingen richting toezichthouders of klanten.

Deze fase vraagt nuance. Soms lijkt de impact klein, maar blijkt later dat een aanvaller wekenlang heeft meegelezen. Soms zijn er wel verdachte logins, maar geen harde aanwijzingen voor datadiefstal. Juist daarom is technische onderbouwing belangrijk. Geen aannames, maar feiten en een duidelijk incidentdossier.

Herstel pas als je zeker weet dat de deur dicht is

Na een incident is de neiging groot om zo snel mogelijk terug naar normaal te gaan. Begrijpelijk, want de operatie moet door. Toch is te vroeg herstellen een bekende fout. Als doorstuurregels, sessies, besmette apparaten of zwakke toegangspaden blijven bestaan, begint het probleem gewoon opnieuw.

Herstel daarom stap voor stap. Eerst de toegang beveiligen, daarna de betrokken systemen controleren, vervolgens communicatie opschonen en pas daarna normale werking hervatten. Laat gebruikers niet alleen opnieuw inloggen, maar controleer ook mailboxregels, delegaties, gekoppelde apps en herstelopties.

Kijk bovendien naar bredere hardeningmaatregelen. Denk aan verplichte multifactor-authenticatie, conditional access, blokkeren van legacy-authenticatie, alerts op verdachte logins en extra bescherming voor directie- en finance-accounts. Niet elke organisatie heeft dezelfde risico’s, maar basismaatregelen horen niet optioneel te zijn.

Wat veel bedrijven onderschatten

De technische hack zelf krijgt meestal alle aandacht. Toch zit de grootste schade vaak in de dagen erna. Een onduidelijke interne boodschap, te late waarschuwing aan klanten, geen controle op betaalverkeer of een half uitgevoerd herstel zorgt ervoor dat een incident onnodig groter wordt.

Ook onderschat: mailboxen bevatten context. Een aanvaller die wekenlang meeleest, begrijpt processen, relaties en betaalafspraken. Daardoor worden fraudemails geloofwaardiger. Het risico zit dan niet meer alleen in toegang, maar in vertrouwen. Dat vraagt om een reactie die technisch én operationeel klopt.

Voor mkb-bedrijven is dat extra relevant. Daar zijn processen vaak minder formeel, communiceren teams direct en worden uitzonderingen sneller geaccepteerd. Dat werkt efficiënt in rustige periodes, maar maakt social engineering tijdens een incident juist makkelijker.

Maak van een incident een verbeterpunt

Wie een mailboxincident alleen oplost en daarna doorgaat alsof er niets is gebeurd, laat waarde liggen. Dit is het moment om je e-mailbeveiliging, toegangsbeheer en incidentrespons kritisch tegen het licht te houden. Niet met dikke rapporten waar niemand naar kijkt, maar met concrete verbeteringen die direct risico verlagen.

Denk aan training voor medewerkers die verdachte mails sneller moeten herkennen, duidelijke verificatiestappen bij betaalverzoeken en periodieke controle op mailboxregels en accountbeveiliging. Als je samenwerkt met een vaste IT-partner, zorg dan dat ook rollen, escalaties en responstijden vooraf helder zijn. In een echt incident wil je geen discussie over wie wat oppakt.

Een partij als Letech wordt vaak pas ingeschakeld als de druk al hoog is. Begrijpelijk, maar liever zie je problemen eerder. Goede voorbereiding verkort stilstand, beperkt schade en geeft rust op het moment dat snelheid nodig is.

Een gehackte bedrijfsmail is vervelend, maar vooral een test van je organisatie. Niet of je ooit geraakt wordt, maar hoe snel en gecontroleerd je reageert als het gebeurt. Wie dan een helder proces volgt, houdt niet alleen de schade kleiner, maar herstelt ook het vertrouwen van medewerkers, klanten en partners.