T20260724.0001 — Inlogpogingen account Gerko Complete

Status: Complete
Priority: L1- Incident hoog
Category: ISO / HR / CRM Ticket
Type: Incident

Queue: CRM / HR / ISO (intern)
SLA: 7x8
Issue type: –
Source: –

Klant: TSV-GROEP BV (1032LB8)
Contact: David Hammel
Contract: TSV-GROEP BV (1032LB8) - 7x8 (HW + SW + MUT)
Asset (CI): –
Toegewezen aan: Marc Blankestijn

Aangemaakt: 2026-07-24 10:52
Due date: 2026-07-25 18:52
Resolved: 2026-09-09 14:15
Completed: 2026-09-09 14:15
Laatste activiteit: 2026-09-09 14:15

Beschrijving

Zie ook Entra en Defender voor goskam@tsv-groep.nl (dus NIET adm_). Er zijn drie pogingen gedaan vanaf onbetrouwbaar IP adres met password spraying: Ik heb alle sessies uitgelogd en Gerko geeft aan dat hij niets heeft gedaan (is vrij). Moet verder worden onderzocht, ook omdat ik zie dat al eerder dit is waargenomen, maar is geaccpteerd als veilig: Dit incident is tevens reden om nu echt zo snel mogelijk ALLE laptops en smartphones correct te onboarden en daarna op ALLE accounts conditional access af te dwingen (op basis van vertrouwde device). Dit kan niet langer wachten.

Verloop

2026-07-24 10:52 Systeemnotities Systeem

Workflow Rule "[TPS-Ticket] Level 1 Incident Teams Notificatie" fired.

When a ticket is: Created And the following conditions are met: Priority in list "L1- Incident hoog" Then execute the following actions: Send notification e-mail ([TPS-Tickets] L1 Notification Teams) to Teams email notifier (2bd0cb44.tsv-groep.nl@emea.teams.ms) Initiated by David Hammel
2026-07-24 10:52 Systeemnotities Systeem

Workflow Rule "[TPS-Incident] L0/L1 aangemaakt melding naar AM" fired.

When a ticket is: Created And the following conditions are met: Priority in list "L0- Incident kritiek or L1- Incident hoog" Then execute the following actions: Send notification e-mail ([TPS-incident] Melding naar AM) to egunther@tsv-groep.nl; Account Manager (flunstroo@tsv-groep.nl) Post to selected Microsoft Teams Channels Initiated by David Hammel
2026-07-24 11:21 Time-entries Marc Blankestijn 2.85 uur

We zijn door Defender Alerts genotificieerd van niet valide inlogpogingen op het account van Gerko. Alle Risky sign-ins nagelopen en deze zijn allemaal mislukt. Alle inlogprogingen zijn via een spray attack geprobeerd op de applicatie Office 365 Exchage Online. Eerst zijn de inlogpogingen afgeslagen door een fout wachtwoord. Echter is er de laatste drie inlogpogingen geprobeerd in te loggen waar het wachtwoord wél correct ingevoerd. Request ID's: dedfa86b-f19d-41d2-9788-958645ff6d00 b6160053-2565-4510-9514-26fcde150600 3d8a4b77-442d-4c87-b07a-302004962900 Echter door de vele foutieve inlogpogingen is het account in een locked state terecht gekomen, waardoor authenticeren niet meer is gelukt. Alle inlogprogingen zijn via een spray attack geprobeerd op de applicatie Office 365 Exchage Online. op het account is een nieuwe wachtwoord ingesteld. In overleg met David besloten om het account dicht te zetten (block new sign-ins). Dit omdat Gerko op vakantie is en geen actieve toegang nodig heeft op dit moment. Vervolgstappen is dat iedereen genotificeerd is via teams én via e-mail dat aanstaande maandag een verplichte wachtwoord wijziging gaat plaatsvinden. Er dienen nog twee laptops ingeschreven te worden. Die van Frank en van Ralf. Erik is spontaan tussendoor gedaan omdat de ruimte onstond in de planning en dus al volledig onboarded.
2026-07-24 14:10 Time-entries Marc Blankestijn 0.43 uur

Er is géén inlogpoging geweest op de VPN accounts op ons datacenter (secure.tsv-cloud.net) of kantoor (globalprotect.tsv-groep.nl). Uit voorzorg wél de domain accounts uitgeschakeld op beide omgevingen tot nader order.
2026-07-24 14:37 Time-entries Marc Blankestijn 0.13 uur

Ook de smartlock iets strakker ingesteld. Dit was 10 inlogpogingen, en dan word het account voor 60 seconden geblokkeerd. Dit is nu ingesteld op 5 inlogpogingen en blokkeringsperiode voor 300 seconden
2026-07-27 09:00 Time-entries Marc Blankestijn 1.00 uur

E-mail verzonden met de tips voor een wachtwoordzin. Dit om iedereen handvaten te geven om een langer wachtwoord te genereren. E-mail context ook in de knowledge base gezet. https://ww16.autotask.net/Autotask/AutotaskExtend/ExecuteCommand.aspx?Code=OpenKBArticle&ID=556 Aangekondigd dat alle accounts om 13:00u het vlaggetje krijgen dat bij een eerstvolgende inlogpoging het wachtwoord gewijzigd dient te worden.

intern binnen de Microsoft omgeving is het niet mogelijk om de default policy aan te passen.
2026-07-27 11:10 Time-entries Marc Blankestijn 0.33 uur

Accounts ingesteld met @{ForceChangePasswordNextSignIn=$true}
2026-07-27 14:15 Time-entries Marc Blankestijn 0.25 uur

Jessica geholpen met het opnieuw instellen van het wachtwoord.
2026-07-28 08:30 Time-entries Marc Blankestijn 2.00 uur

Richard, André, Alex, Melvin en Ralf geholpen met het opnieuw instellen van het wachtwoord.
2026-07-28 10:29 Time-entries Marc Blankestijn 0.02 uur

Rapport van alle wachtwoord wijzigingen: Zain, Bill, en Ron (Array) moeten nog wijzigen. DisplayName LastPasswordChangeDateTime ----------- -------------------------- Frank Lunstroo 7/27/2026 12:22:26 PM David Hammel 7/28/2026 7:48:25 AM Alex Veldkamp 7/28/2026 9:54:59 AM Gerko Oskam 7/24/2026 12:59:41 PM Ralf Luhrmann 7/28/2026 7:35:13 AM Andre Kik 7/28/2026 9:13:37 AM Marc Blankestijn 7/27/2026 7:53:23 AM Jessica Veraar 7/27/2026 9:23:39 PM Zain Jawad Kazem 8/27/2025 3:17:10 PM Richard Evers 7/28/2026 8:53:52 AM Bill Syed 9/18/2025 12:31:03 PM Jeroen Waldram 7/27/2026 12:06:23 PM Erik Günther 7/27/2026 12:11:03 PM Ron Elling (TSV) 7/1/2024 12:46:42 PM Melvin van der Aar 7/28/2026 9:28:10 AM Marc Blankestijn ADMIN 8/26/2025 3:21:06 PM David Hammel ADMIN 8/29/2025 2:15:50 PM Gerko Oskam ADMIN 9/4/2025 9:53:28 AM Break-Glass Adminaccount 1 12/19/2025 12:25:32 PM Alex Veldkamp ADMIN 1/14/2026 3:40:19 PM
2026-07-30 08:48 Time-entries Marc Blankestijn 0.03 uur

Alleen Bill dient zijn wachtwoord nog te wijzigen. Als Gerko terug is van vakantie gaan we hem ook begeleiden met het veranderen van het wachtwoord.
2026-08-11 12:00 Time-entries Marc Blankestijn 2.75 uur

Gerko zijn wachtwoord is gewijzigd. Zijn laptop had moeite met het opnieuw aanmelden doordat deze non-compliant is gemarkeerd. Deze authenticatie kwam niet meer terug. hierop besloten om zijn laptop nogmaals opnieuw in te spoelen.
2026-09-09 14:14 Time-entries David Hammel 0.02 uur

Verder onderzoek, oa gesprek met Gerko, heeft niets opgeleverd. Onduidelijk hoe zijn account gegevens uiteindelijk zijn 'resolved' - vermoedelijk was de password spraying de enige manier om te guessen naar het WW. Alle WW zijn inmiddels ook gereset (niet alleen Gerko) naar een moeilijker te raden wachtwoord zin.

Volledige record uit Autotask

{
  "apiVendorID": null,
  "assignedResourceID": 29682886,
  "assignedResourceRoleID": 29683475,
  "billingCodeID": null,
  "changeApprovalBoard": null,
  "changeApprovalStatus": null,
  "changeApprovalType": null,
  "changeInfoField1": "",
  "changeInfoField2": "",
  "changeInfoField3": "",
  "changeInfoField4": "",
  "changeInfoField5": "",
  "companyID": 436,
  "companyLocationID": 263,
  "completedByResourceID": 29682885,
  "completedDate": "2026-09-09T14:15:53.137Z",
  "configurationItemID": null,
  "contactID": 30683913,
  "contractID": 29683887,
  "contractServiceBundleID": null,
  "contractServiceID": null,
  "createDate": "2026-07-24T10:52:31.953Z",
  "createdByContactID": null,
  "creatorResourceID": 29682885,
  "creatorType": 1,
  "currentServiceThermometerRating": null,
  "description": "Zie ook Entra en Defender voor goskam@tsv-groep.nl (dus NIET adm_).\n\nEr zijn drie pogingen gedaan vanaf onbetrouwbaar IP adres met password spraying:\n\n\nIk heb alle sessies uitgelogd en Gerko geeft aan dat hij niets heeft gedaan (is vrij).\n\nMoet verder worden onderzocht, ook omdat ik zie dat al eerder dit is waargenomen, maar is geaccpteerd als veilig:\n\n\n\nDit incident is tevens reden om nu echt zo snel mogelijk ALLE laptops en smartphones correct te onboarden en daarna op ALLE accounts conditional access af te dwingen (op basis van vertrouwde device). Dit kan niet langer wachten.",
  "dueDateTime": "2026-07-25T18:52:00.000Z",
  "estimatedHours": null,
  "externalID": "",
  "firstResponseAssignedResourceID": 29682886,
  "firstResponseDateTime": "2026-09-09T14:14:00.000Z",
  "firstResponseDueDateTime": "2026-07-24T18:52:31.953Z",
  "firstResponseInitiatingResourceID": 29682885,
  "hoursToBeScheduled": null,
  "id": 43406,
  "impersonatorCreatorResourceID": null,
  "isAssignedToComanaged": false,
  "isVisibleToComanaged": false,
  "issueType": null,
  "lastActivityDate": "2026-09-09T14:15:53.183Z",
  "lastActivityPersonType": 1,
  "lastActivityResourceID": 29682885,
  "lastCustomerNotificationDateTime": null,
  "lastCustomerVisibleActivityDateTime": "2026-09-09T14:15:53.137Z",
  "lastTrackedModificationDateTime": "2026-09-09T14:15:53.183Z",
  "monitorID": null,
  "monitorTypeID": null,
  "opportunityID": null,
  "organizationalLevelAssociationID": null,
  "previousServiceThermometerRating": null,
  "priority": 1,
  "problemTicketId": null,
  "projectID": null,
  "purchaseOrderNumber": "",
  "queueID": 29683490,
  "resolution": "",
  "resolutionPlanDateTime": "2026-09-09T14:15:00.000Z",
  "resolutionPlanDueDateTime": null,
  "resolvedDateTime": "2026-09-09T14:15:00.000Z",
  "resolvedDueDateTime": "2026-07-25T18:52:31.953Z",
  "rmaStatus": null,
  "rmaType": null,
  "rmmAlertID": null,
  "serviceLevelAgreementHasBeenMet": null,
  "serviceLevelAgreementID": 9,
  "serviceLevelAgreementPausedNextEventHours": null,
  "serviceThermometerTemperature": null,
  "source": null,
  "status": 5,
  "subIssueType": null,
  "ticketCategory": 121,
  "ticketNumber": "T20260724.0001",
  "ticketType": 2,
  "title": "Inlogpogingen account Gerko",
  "userDefinedFields": []
}