Entra ID. The keys to Microsoft 365. Entra ID. De sleutels van Microsoft 365.

Global Administrator is the master key of Microsoft 365. It reads every mailbox, changes every password, adds new administrators and turns off the logging that would show it happened. Most tenants hand that key to far more people than they think: the IT team, the helpdesk lead, two consultants from the migration project, a service account from 2018. All of them hold it permanently, whether they are using it or not. Attackers know this, so they do not attack the tenant. They phish one of those people.

Example: a helpdesk employee with standing Global Administrator rights approves a fake “Microsoft security update” login on a Monday morning. By lunch the attacker has added their own administrator, set up mailbox forwarding on the CFO and finance team, and created an application that keeps access even after every password is reset. Business impact: total loss of confidentiality over the company's email and files, and a recovery that means rebuilding trust in the entire tenant, not just one account.

Global Administrator is de hoofdsleutel van Microsoft 365. Die leest elke mailbox, wijzigt elk wachtwoord, voegt nieuwe beheerders toe en zet de logging uit die zou laten zien dat het gebeurde. De meeste tenants geven die sleutel aan veel meer mensen dan ze denken: het IT-team, de teamleider van de helpdesk, twee consultants van het migratieproject, een serviceaccount uit 2018. Ze hebben hem allemaal permanent, of ze hem nu gebruiken of niet. Aanvallers weten dat, dus ze vallen de tenant niet aan. Ze phishen één van die mensen.

Voorbeeld: een helpdeskmedewerker met permanente Global Administrator-rechten keurt op maandagochtend een nep-inlog voor een “Microsoft-beveiligingsupdate” goed. Tegen de lunch heeft de aanvaller een eigen beheerder toegevoegd, doorsturen ingesteld op de mailboxen van de CFO en het financeteam, en een applicatie aangemaakt die toegang houdt nadat elk wachtwoord is gereset. Bedrijfsimpact: volledig verlies van vertrouwelijkheid over de e-mail en bestanden van het bedrijf, en een herstel dat neerkomt op het opnieuw opbouwen van vertrouwen in de hele tenant, niet in één account.

Conditional Access is the gate in front of Microsoft 365: it decides, per sign-in, who gets in from where, on which device, and with what proof. Most tenants have a gate. Few have closed it. Legacy authentication — the old protocols used by IMAP, POP and ancient Office clients — cannot do MFA at all, and if it is still allowed, a password is enough. Administrators who are “too busy for MFA prompts” are exempted. Personal phones and home laptops that nobody manages open corporate mail and download SharePoint libraries.

Example: an attacker takes a password leaked from a hobby forum and signs in over legacy IMAP from another continent. Because that protocol cannot ask for a second factor, Entra ID lets it through, and the attacker quietly syncs three years of the sales director's mail. Business impact: the company believes it “has MFA” while the doors that matter still take a password alone. The fix is configuration, not licences: a baseline of policies that block legacy authentication, require MFA for everyone and require a managed device for anything sensitive.

Conditional Access is de poort vóór Microsoft 365: het beslist per aanmelding wie binnenkomt, vanwaar, op welk apparaat en met welk bewijs. De meeste tenants hebben een poort. Weinig hebben hem dichtgedaan. Verouderde authenticatie — de oude protocollen van IMAP, POP en stokoude Office-clients — kan helemaal geen MFA, en als die nog is toegestaan, volstaat een wachtwoord. Beheerders die “te druk zijn voor MFA-prompts” krijgen een uitzondering. Privételefoons en thuislaptops die niemand beheert, openen bedrijfsmail en downloaden SharePoint-bibliotheken.

Voorbeeld: een aanvaller pakt een wachtwoord dat lekte bij een hobbyforum en meldt zich via verouderd IMAP aan vanaf een ander continent. Omdat dat protocol geen tweede factor kan vragen, laat Entra ID het door, en de aanvaller synchroniseert ongemerkt drie jaar mail van de salesdirecteur. Bedrijfsimpact: het bedrijf denkt dat het “MFA heeft”, terwijl de deuren die ertoe doen nog steeds op alleen een wachtwoord opengaan. De oplossing is configuratie, geen licenties: een basisset beleidsregels die verouderde authenticatie blokkeert, MFA voor iedereen eist en een beheerd apparaat vereist voor alles wat gevoelig is.

Inviting an outsider into Teams or a SharePoint site takes one click and creates a guest account in Entra ID. Removing it takes a decision nobody is assigned to make. So the list grows: the design agency from the rebrand, the auditors from two firms ago, a consultant who now works for a competitor and still logs in with a personal address. Guests keep every Team, channel and folder they were ever added to, and their home organisation — not you — controls how well their account is protected.

Example: a tenant review finds 1,400 guest accounts, 600 of which have not signed in for over a year, and one that still sits in the “Board – Confidential” Team from the 2021 strategy project. Business impact: board material, contracts and personnel files readable by people you no longer have a contract with, through accounts whose passwords you cannot enforce. A guest lifecycle — invite with an owner and an expiry date, review every quarter, remove on silence — turns an unknown into a managed list.

Een buitenstaander uitnodigen in Teams of een SharePoint-site kost één klik en maakt een gastaccount aan in Entra ID. Het verwijderen kost een beslissing die aan niemand is toegewezen. Dus groeit de lijst: het ontwerpbureau van de rebranding, de auditors van twee kantoren geleden, een consultant die nu bij een concurrent werkt en nog inlogt met een privéadres. Gasten houden elk Team, kanaal en elke map waaraan ze ooit zijn toegevoegd, en hun eigen organisatie — niet u — bepaalt hoe goed hun account beschermd is.

Voorbeeld: een tenantreview vindt 1.400 gastaccounts, waarvan 600 al meer dan een jaar niet zijn ingelogd, en één die nog in het Team “Directie – Vertrouwelijk” zit van het strategieproject uit 2021. Bedrijfsimpact: bestuursstukken, contracten en personeelsdossiers leesbaar voor mensen met wie u geen contract meer hebt, via accounts waarvan u het wachtwoordbeleid niet kunt afdwingen. Een gastlevenscyclus — uitnodigen met een eigenaar en een einddatum, elk kwartaal beoordelen, verwijderen bij stilte — maakt van een onbekende een beheerde lijst.

Most companies did not move to the cloud; they connected to it. Entra Connect synchronises the on-premises Active Directory with Entra ID, so one login works everywhere. That convenience has a price: the sync server holds credentials powerful enough to change cloud accounts, and it lives on the same network as every other server. Whoever owns the on-premises domain — the classic outcome of a ransomware intrusion — can use it to reset cloud passwords, take over synced administrators or push their own account into the tenant. The opposite direction works too.

Example: during a ransomware incident the responders find that the attackers reached the Entra Connect server on day two, extracted its credentials, and had been reading Microsoft 365 mail for a week before the encryption started. The company rebuilt its servers from backup and was still compromised, because the tenant was never treated as part of the breach. Business impact: a breach in either world becomes a breach of both. The sync server must be treated as a tier-0 asset: isolated, hardened, accessible to almost nobody, and its cloud accounts excluded from synchronisation so that no on-premises password ever unlocks a Global Administrator.

De meeste bedrijven zijn niet naar de cloud verhuisd; ze hebben zich ermee verbonden. Entra Connect synchroniseert de on-premises Active Directory met Entra ID, zodat één inlog overal werkt. Dat gemak heeft een prijs: de syncserver heeft inloggegevens die krachtig genoeg zijn om cloudaccounts te wijzigen, en hij staat in hetzelfde netwerk als elke andere server. Wie het on-premises domein bezit — de klassieke uitkomst van een ransomware-inbraak — kan daarmee cloudwachtwoorden resetten, gesynchroniseerde beheerders overnemen of een eigen account in de tenant duwen. De omgekeerde richting werkt ook.

Voorbeeld: tijdens een ransomware-incident ontdekken de hulpverleners dat de aanvallers op dag twee de Entra Connect-server bereikten, de inloggegevens eruit haalden en al een week Microsoft 365-mail meelazen voordat de versleuteling begon. Het bedrijf herstelde zijn servers vanaf back-up en was nog steeds gecompromitteerd, omdat de tenant nooit als onderdeel van de inbraak was behandeld. Bedrijfsimpact: een inbraak in de ene wereld wordt een inbraak in beide. De syncserver moet worden behandeld als tier-0-systeem: geïsoleerd, gehard, voor bijna niemand bereikbaar, en met cloudbeheerders die buiten de synchronisatie blijven zodat geen enkel on-premises wachtwoord ooit een Global Administrator ontsluit.