Tijdens een phishingcampagne van twee maanden werd kwaadaardige JavaScript vermomd als onschadelijke bijlagen bij voicemails, waarbij de bestanden ten onrechte als ‘platte tekst’ werden aangeduid om zo de bijlagenscanners te omzeilen. INKY heeft alle 26.589 berichten gedetecteerd en gemarkeerd.

Tussen 1 juni en 4 augustus 2026 heeft INKY een langdurige phishingcampagne gevolgd en opgespoord waarbij gebruik werd gemaakt van een bedrieglijk eenvoudig lokmiddel — een melding van een gemiste voicemail — om schadelijke code te verspreiden die verborgen zat in een afbeeldingsbestand. De campagne trof 5.527 organisaties en leidde tot 26.589 gedetecteerde e-mails.

Elke e-mail werd onderschept en als gevaarlijk gemarkeerd. Het favoriete wapen van de aanvallers was een bestandsformaat dat door de meeste mensen – en door veel e-mailfilters – als onschadelijk wordt beschouwd: de SVG-afbeelding.

In deze blog wordt uitgelegd wat SVG-bestanden zijn, waarom aanvallers deze in 2026 zijn gaan gebruiken als middel om malware te verspreiden en hoe deze campagne precies in zijn werk ging. Daarnaast analyseren we de versleutelde JavaScript-code die in de bijlage verborgen zat, de truc die de aanvallers gebruikten om het bestand als platte tekst te vermommen en hoe INKY dit bij alle getroffen organisaties heeft gedetecteerd.

Wat is een SVG-bestand en waarom zijn aanvallers er zo dol op?

SVG (Scalable Vector Graphics) is een afbeeldingsformaat, maar in tegenstelling tot JPEG of PNG bestaat het niet uit pixels. Een SVG-bestand is een in XML geschreven tekstbestand dat vormen, lijnen en tekst wiskundig beschrijft, waardoor de afbeelding naar elke gewenste grootte kan worden geschaald zonder kwaliteitsverlies. Logo’s, pictogrammen en grafieken op het internet zijn vaak SVG-bestanden.

Maar er is een cruciaal verschil tussen een SVG en een gewone afbeelding: een SVG kan code bevatten. De SVG-specificatie staat toe dat scripts, waaronder JavaScript, rechtstreeks in het bestand worden ingebed, zodat afbeeldingen interactief kunnen zijn. Wanneer een SVG in een webbrowser wordt geopend, wordt dat ingebedde JavaScript uitgevoerd. Een PNG kan dit nooit. Een SVG wel.

Juist die ene eigenschap wordt door aanvallers uitgebuit. Voor mensen, en voor veel beveiligingstools, ziet een SVG-bestand eruit als een afbeelding. Voor een browser kan het echter een drager zijn voor een programma. Deze kloof tussen hoe het bestand wordt waargenomen en wat het daadwerkelijk kan doen, vormt de basis van de techniek die bekendstaat als ‘SVG-smokkel’.

Waarom SVG’s door de beveiliging glippen E-mailbeveiligingsgateways hebben jarenlang geleerd om gevaarlijke soorten bijlagen, zoals uitvoerbare bestanden, scripts, documenten met macro’s en archieven, te blokkeren. SVG’s werden van oudsher als onschadelijke afbeeldingen beschouwd en werden doorgelaten. Aanvallers hebben dit opgemerkt. Door hun JavaScript in een SVG-omhulsel te verpakken, brengen ze actieve code binnen via een bestandstype dat veel filters nooit zijn geconfigureerd om grondig te controleren.

Een snel groeiende dreiging in 2026

Aanvallen op basis van SVG zijn niet helemaal nieuw. Onderzoekers hebben al sinds ongeveer 2017 melding gemaakt van kwaadaardige SVG-bijlagen, maar het gebruik ervan nam in 2026 explosief toe. Er waren twee veranderingen: de omvang van de campagnes en de verfijning van de versleuteling.

• Een vijftigvoudige toename. Volgens het rapport ‘Phishing Trends Report 2026’ van Hoxhunt is het aantal schadelijke SVG-bijlagen in 2025 vijftig keer zo groot geworden als in 2024, en staan ze nu op de derde plaats van meest voorkomende soorten schadelijke e-mailbijlagen, alleen achter PDF en HTML.
• Grootschalige individuele campagnes. Tijdens een door Microsoft gevolgde campagne in februari 2026 werden ongeveer 1,2 miljoen op SVG gebaseerde phishingberichten verstuurd naar meer dan 53.000 organisaties in 23 landen. Het SANS Internet Storm Center documenteerde in juni 2026 dat dezelfde techniek de inboxen overspoelde.
• Payloads zonder inhoud. Bij het analyseren van recente voorbeelden ontdekten onderzoekers SVG-bestanden die helemaal geen grafische inhoud bevatten. Het bestand dient uitsluitend om versleuteld JavaScript naar de browser van het slachtoffer te sturen, terwijl het door de e-mailgateway als afbeelding wordt aangemerkt.
• Voicemail-lokberichten. Verschillende leveranciers, waaronder Sublime Security en ReversingLabs, hebben SVG-bijlagen gedocumenteerd die zijn vermomd als meldingen van voicemailberichten of gemiste oproepen – precies het lokmiddel dat wordt gebruikt in de hier beschreven campagne.

De campagne INKY volgt dit patroon precies en voegt een extra ontwijkingslaag toe door het bestandstype van de SVG ten onrechte als ‘platte tekst’ aan te duiden.

De campagne in een oogopslag

Elk bericht in deze campagne volgde hetzelfde stramien: een vervalste interne e-mail die zich voordeed als een voicemailmelding, met één of meer SVG-bijlagen die in werkelijkheid versleuteld JavaScript bevatten. De onderstaande statistieken zijn rechtstreeks afkomstig uit de telemetrie van INKY gedurende de waargenomen periode.

Metrisch	Waarde
Totaal aantal gedetecteerde e-mails	26,589
Doelorganisaties	5,527
Campagneperiode vastgesteld	1 juni – 4 augustus 2026 (lopend)
Afhandeling van bedreigingen	100% gedetecteerd
Lure-thema	Melding van gemiste voicemail / gemiste oproep
Nuttige lading	SVG-bijlage met versleuteld JavaScript
Ontwijkingssignaal	SVG-bijlage gedefinieerd als text/plain
Belangrijkste detectiesignalen	Phishing-inhoud (100%), vervalste interne afzender (95%)
Personalisatie	Bij 99,5% van de onderwerpen stond de eigen e-mailnaam van de ontvanger vermeld

Tabel 1: Overzicht van de campagne op basis van de PhishFence-telemetrie van INKY , 1 juni – 4 augustus 2026.

Figuur 1: Dagelijks aantal gedetecteerde e-mails gedurende de campagne. De activiteit verliep in golven, met een piek op 3 juni (2.432 e-mails bij 1.149 organisaties) en een duidelijke opleving eind juli. In het weekend, toen de campagne werd onderbroken, zijn er hiaten te zien.

Brede verstuiving, geen gerichte aanval

Uit de verspreiding van de e-mails over de verschillende organisaties blijkt dat het hier gaat om een brede, opportunistische campagne in plaats van een nauwkeurig geplande operatie. Van de 5.527 organisaties ontving de mediane organisatie slechts twee e-mails, en 32% ontving er slechts één. De tien meest getroffen organisaties zijn samen goed voor slechts 6% van het totale volume. Er is geen concentratie op een kleine groep hoogwaardige doelwitten, wat het kenmerk is van een sproeicampagne die is opgezet voor het op grote schaal verzamelen van inloggegevens, in plaats van een op maat gemaakte spear-phishing-aanval.

Figuur 2: Verdeling van e-mails per organisatie. De overgrote meerderheid van de organisaties ontving slechts een handvol berichten, met een zeer klein aantal organisaties dat zwaarder werd getroffen, wat bevestigt dat er sprake was van een brede verspreiding in plaats van gerichte verzending.

Afgestemd op de werkweek

Het verzendritme van de campagne versterkt het beeld van een operatie die is opgezet om geloofwaardig over te komen. Het verzendvolume concentreerde zich op maandag tot en met donderdag en bereikte zijn hoogtepunt op woensdag, terwijl er in het weekend vrijwel niets werd verzonden. Dit sluit aan bij een lokactie die zo is ontworpen dat deze aankomt terwijl de ontvangers actief aan het werk zijn en een melding van een gemiste oproep als iets alledaags wordt ervaren.

Figuur 3: Campagnevolume per dag van de week. Het versturen vindt vooral plaats van maandag tot en met donderdag en komt in het weekend vrijwel tot stilstand.

Gepersonaliseerd op basis van het adres van de ontvanger

In 99,5% van de berichten was de weergavenaam in de onderwerpregel een exacte kopie van de tekenreeks vóór het @-teken in het eigen e-mailadres van de ontvanger. Een ontvanger met het adres jsmith@… zou een onderwerp zien met de tekst „mCaller left Jsmith, 34s Preview…“. De aanvallers hadden geen gestolen contactenlijst nodig. Ze genereerden de personalisatie per ontvanger automatisch op basis van het adres zelf. Het feit dat het door een machine is gegenereerd in plaats van door een mens, blijkt uit het feit dat op rollen gebaseerde mailboxen werden aangesproken met hun letterlijke namen (bijvoorbeeld „mCaller left Accountspayable“), iets wat geen enkele echte beller ooit zou schrijven.

De opbouw van de phishing-e-mail

De e-mail zelf is opzettelijk beknopt gehouden. Hij ziet eruit als een automatische voicemailmelding met weinig tekst, een onderwerpregel die verwijst naar een gemist telefoontje en een of meer bijlagen die eruitzien als het voicemailbestand. Hieronder staat een bewerkt voorbeeld uit de campagne.

Figuur 4: Een bewerkt voorbeeld van een e-mail uit de campagne. Het bericht doet zich voor als een interne voicemailmelding en bevat twee bijlagen waarvan de bestandsnamen zijn zo gekozen dat ze op het voicemailbestand lijken. Let op de bestandsnaam .svg…​.txt. De gegevens van de ontvanger en de afzender zijn onherkenbaar gemaakt.

Twee lagen van misleiding

Nog voordat er ook maar één regel code wordt uitgevoerd, berust het bericht al op twee vormen van misleiding op envelopniveau:

• Vervalste interne afzender. De e-mail doet zich voor als afkomstig van het eigen domein van de ontvanger, maar is afkomstig van een externe bron en de afzender is nooit geauthenticeerd bij de e-mailserver van de organisatie. De e-mail is zo ontworpen dat hij eruitziet als een interne systeemmelding.
• De bijlage is verkeerd gelabeld. Hoewel de bestanden de extensie .svg hebben en SVG/XML-opmaak bevatten, worden ze in het bericht aangeduid met het inhoudstype text/plain in plaats van image/svg+xml. Een bijlagenscanner die zich baseert op het opgegeven type, ziet een onschuldig tekstbestand en geen actieve inhoud.

In de bijlage: Wat de code precies doet

Als je de bijlage in een teksteditor opent in plaats van in een browser, blijkt dat de ‘voicemail’ helemaal geen afbeelding is. Het is een XML-document dat versleuteld JavaScript bevat. De onderstaande schermafbeelding toont de ruwe inhoud van een voorbeeld.

Figuur 5: De ruwe inhoud van de SVG-bijlage. Onder een dunne SVG-schil (een titel en twee rechthoeken) bevindt zich versleuteld JavaScript binnen een `foreignObject` en een `script CDATA`-blok. Het blok met de URL voor de live-callback is verwijderd.

De structuur

Als we het tot de kern terugbrengen, bestaat het bestand uit drie delen:

• Een minimalistische SVG-schil. Een <svg> root met een <title> en een paar <rect> elementen. Dit is het enige onderdeel dat als een „afbeelding“ zou worden weergegeven, en het is in wezen een decoratieve omslag.
• Een verborgen data-attribuut. Het root-element bevat een aangepast attribuut (bijvoorbeeld data-strand-key-tk=”…”) met een gecodeerde waarde die het script tijdens de uitvoering leest. Door de configuratie op te splitsen in onopvallende attributen blijven de schadelijke waarden buiten het voor de hand liggende codepad.
• Twee script-payloads. A <foreignObject> met een HTML-code <script type="application/json"> blok, en een tweede

Hoe de versleuteling werkt

De code is zo geschreven dat hij zowel menselijke analisten als geautomatiseerde scanners weet te omzeilen die op zoek zijn naar herkenbare schadelijke patronen. Er worden verschillende technieken in lagen gecombineerd:

• Zinloze functienamen en variabelenamen. Elke identifier is vermomd met pseudowetenschappelijke, op de biologie geïnspireerde onzinnige namen zoals intronGap91, riboUnit30, vectorArm37, codonBuf13Go en primerSet56. Deze hebben geen enkele betekenis en zijn alleen bedoeld om de code onleesbaar te maken en per steekproef te variëren, zodat geen twee bestanden identiek zijn.
• Het samenstellen van tekenreeksen uit tekencodes. Gevoelige tekenreeksen worden nooit in platte tekst opgeslagen. In plaats daarvan worden ze tijdens de uitvoering samengesteld uit numerieke tekencodes via String.fromCharCode(…). Een statische scanner die het bestand leest, ziet een lijst met getallen, niet de woorden die ze vormen.
• Scriptinjectie tijdens uitvoering. In plaats van gevaarlijke functies rechtstreeks aan te roepen, maakt de code een nieuw script-element aan met `document.createElementNS(…)`, wijst de bron ervan toe aan een waarde die tijdens de uitvoering wordt samengesteld, en voegt het toe aan het document. Dit is een veelgebruikte methode om statische analyse te omzeilen, aangezien de kwaadaardige bestemming niet als letterlijke tekenreeks in het bestand voorkomt.
• Uitgestelde uitvoering. De uitvoering wordt gepland via requestIdleCallback / setTimeout, waardoor de payload pas iets na het laden wordt geactiveerd in plaats van onmiddellijk. Hierdoor kan deze tools omzeilen die alleen het moment waarnemen waarop een bestand wordt geopend.

Wat het eigenlijk doet

Eenmaal ontcijferd wordt de versleuteling duidelijk. De reeksen tekencodes in het voorbeeld komen neer op korte tekenreeksen die het script gebruikt om de naam samen te stellen van het externe eindpunt waarmee het verbinding maakt. Een statische scanner die het bestand leest, ziet alleen de onderstaande lijst met getallen, nooit de woorden die ze vormen:

String.fromCharCode(104,116,116,112,115) -> "https" String.fromCharCode(46,112,104,112) -> ".php" (numerieke codes vormen het eindpunt tijdens de uitvoering)

De code leest het verborgen data-attribuut, stelt op basis van deze codes de naam van het eindpunt samen en gebruikt vervolgens window.fetch(…) om contact te leggen met een door de aanvaller gecontroleerde host en de volgende fase van de aanval op te halen. De SVG zelf bevat de phishingpagina niet; het is een launcher die zijn payload tijdens de uitvoering van een externe server haalt.

Wat die volgende fase doorgaans inhoudt, gezien het verloop van dit soort campagnes, volgt een goed gedocumenteerd patroon.

De opgehaalde inhoud bestaat doorgaans uit een pagina die bedoeld is om inloggegevens te stelen en zich voordoet als een veelgebruikte inlogpagina, zoals die van Microsoft 365, Google Workspace of Adobe. In veel campagnes wordt het eigen e-mailadres van het slachtoffer doorgegeven en gebruikt om het valse inlogformulier vooraf in te vullen, waardoor het er gepersonaliseerd en legitiem uitziet.

Steeds vaker zijn deze pagina’s geen eenvoudige klonen, maar ‘adversary-in-the-middle’ (AiTM) -portalen: ze sturen wat het slachtoffer intypt in realtime door naar de echte inlogdienst, vangen het resulterende sessietoken op en omzeilen zo de meervoudige authenticatie. Deze techniek is in verband gebracht met ‘phishing-as-a-service’-kits zoals Tycoon2FA, Mamba2FA en Sneaky2FA. Door de payload op afstand te hosten, kan de aanvaller de phishingpagina bovendien op elk moment bijwerken of vervangen zonder de geleverde SVG-bestanden te hoeven wijzigen.

Het belangrijkste inzicht De SVG is niet de daadwerkelijke lading. Het is de **smokkelcontainer**. Zijn enige taak is om uitvoerbaar JavaScript langs de e-mailgateway te smokkelen in een bestandstype dat als afbeelding wordt behandeld (en hier ten onrechte als tekst is aangemerkt), en die code vervolgens aan de browser door te geven, die deze vervolgens kan uitvoeren. De bijlage die eruitziet als een voicemailbericht is in werkelijkheid een klein programmaatje dat als eerste een verbinding met de server tot stand brengt.

Waarom deze campagne de gebruikelijke verdedigingsmechanismen omzeilt

• Vertrouwd bestandstype. SVG-bestanden worden over het algemeen beschouwd als onschadelijke afbeeldingen. Veel gateways hebben ze in het verleden niet als actieve inhoud gescand.
• Onjuiste MIME-labeling. Door de bijlage aan te merken als „text/plain“ worden scanners omzeild die op basis van het opgegeven inhoudstype bepalen of ze de bijlage moeten controleren.
• Geen statische handtekening. Door ongeldige identificatiecodes, het samenstellen van tekenreeksen en variaties per sample is er geen vaste tekenreeks of hash die in de hele campagne kan worden vergeleken. Elk bestand ziet er anders uit.
• Payload die alleen tijdens de uitvoering actief is. De schadelijke bestemming wordt pas samengesteld en opgehaald wanneer het bestand in een browser wordt uitgevoerd. Deze is niet aanwezig als leesbare tekst die door een statische scanner kan worden gedetecteerd.
• Vervalste interne identiteit. Het bericht doet zich voor als een interne melding en maakt misbruik van het vertrouwen dat gebruikers stellen in e-mails die afkomstig lijken te zijn van hun eigen organisatie.

MITRE ATT&CK-koppeling

De technieken die in deze campagne zijn waargenomen, komen overeen met de volgende tactieken en technieken uit het MITRE ATT&CK-raamwerk.

Tactiek	Techniek (ID)	Hoe dit in deze campagne naar voren komt
Eerste toegang	Phishing: bijlage bij spearphishing (T1566.001)	Kwaadaardig SVG-bestand dat als e-mailbijlage wordt verzonden, vermomd als een voicemailbestand
Uitvoering	Uitvoering door de gebruiker: schadelijk bestand (T1204.002)	De aanval is afhankelijk van het feit dat de ontvanger het SVG-bestand opent, waardoor het ingebedde JavaScript in de browser wordt uitgevoerd
Verdedigingsontwijking	Vermomming (T1036)	SVG-bijlage die ten onrechte als ‘text/plain’ is aangemerkt en is vermomd als een voicemailmelding
Verdedigingsontwijking	Verborgen bestanden of informatie (T1027)	Onbelangrijke identificatiecodes, het samenstellen van tekenreeksen en variaties per monster verhullen de bedoeling
Verdedigingsontwijking	Bestanden of informatie ontcijferen/decoderen (T1140)	Het script reconstrueert tekenreeksen en hun bestemming tijdens de uitvoering via String.fromCharCode
Verdedigingsontwijking	Valse beveiligingswaarschuwingen / Identiteitsfraude (T1656)	Het bericht doet zich voor als een interne afzender uit het eigen domein van de ontvanger
Leiding en controle	Protocol op applicatieniveau: webprotocollen (T1071.001)	Het ingebedde script maakt gebruik van een webverzoek naar een door de aanvaller gecontroleerd eindpunt om de volgende fase op te halen
Toegang tot inloggegevens	Input Capture (T1056)	In de downstream-fase wordt doorgaans een pagina getoond die inloggegevens verzamelt en zich voordoet als een bekende inlogpagina

Tabel 3: MITRE ATT&CK-toewijzing voor de SVG-smokkelcampagne via voicemail. De fase „toegang tot inloggegevens“ wordt afgeleid uit de opgehaalde vervolg-payload, die kenmerkend is voor deze campagnecategorie.

Hoe INKY dit ontdekte

INKY is niet afhankelijk van aannames over bestandstypen of statische handtekeningen. Het beoordeelt de volledige context en het gedrag van elk bericht. Van alle 26.589 e-mails heeft INKY de campagne gedetecteerd en elk bericht gemarkeerd met de status „Gevaar ”. De detectie was gebaseerd op één universeel signaal, ondersteund door een tweede:

• Phishing-inhoud werd in 100% van de campagne gedetecteerd. Elk bericht werd op basis van meerdere verdachte indicatoren als phishing aangemerkt, onder meer omdat het een bijlage met verdachte inhoud bevatte en leek op een valse voicemailmelding. Dit is het signaal dat de gehele campagne, in elke organisatie zonder uitzondering, heeft opgespoord.
• Bij 95% van de campagne werd dit bevestigd door ‘Spoofed Internal Sender’. Als aanvullend signaal constateerde ‘ INKY ’ dat het bericht weliswaar beweerde afkomstig te zijn van het eigen domein van de ontvanger, maar in werkelijkheid afkomstig was van een externe bron, met een afzender die zich niet had geauthenticeerd bij de e-mailserver van de organisatie. Deze categorie werd bij 95% van de campagne geactiveerd; de overige berichten, bij organisaties waar deze specifieke categorie niet van kracht was, werden nog steeds volledig opgespoord door ‘Phishing Content’.

Op het spandoek INKY dat aan de ontvangers werd overhandigd, stond precies vermeld waarom de boodschap gevaarlijk was:

Figuur 6: De waarschuwingsbanner van de ‘ INKY ’ die bij een campagnebericht wordt weergegeven en waarin beide categorieën bedreigingen in begrijpelijke taal worden uitgelegd. Het domein van de ontvanger is onherkenbaar gemaakt.

Elk bericht werd getoetst aan het volledige scala aan bedreigingscategorieën van INKY . Alleen al de categorie ‘Phishing-inhoud’ was voldoende om elk bericht in de campagne als gevaarlijk te markeren, waarbij de categorie ‘Vervalste interne afzender’ bij de meeste berichten een tweede, bevestigend signaal vormde.

Bedreigingscategorie	Dekking	Rol bij de opsporing
Phishing-inhoud	100%	Universeel signaal — elk bericht ontvangen
Vervalste interne afzender	95%	Bevestigingssignaal bij de meeste berichten

Tabel 2: Categorieën van bedreigingen van de ‘ INKY ’ die tijdens de campagne voorkwamen. De ‘Phishing Content’-filter markeerde elk bericht; de ‘Spoofed Internal Sender’-filter bevestigde dit bij de meeste berichten.

Wat de ingebouwde filterfunctie van Microsoft zag

Het verschil tussen de uitspraak van de ‘ INKY’ en de standaard e-mailfiltering is in deze campagne schrijnend.

Microsoft kent aan elk bericht een Spam Confidence Level (SCL) toe, waarbij een score van 0 of 1 betekent dat het bericht niet als spam is beoordeeld en normaal in de inbox wordt afgeleverd, terwijl een score van 5 het bericht als spam markeert. Tijdens deze campagne hadden 19.994 van de 26.589 berichten (75%) een Microsoft SCL van 0 of 1, en slechts 4.777 (18%) kregen een SCL-score van 5.

Met andere woorden: de ingebouwde spamfilter van Microsoft classificeerde drie van de vier van deze phishingberichten als geen spam, maar als e-mail die in de inbox terechtkwam, terwijl INKY ze allemaal afzonderlijk als gevaarlijk markeerde.

Figuur 7: Vergelijking tussen de spamscore van Microsoft en de beoordeling van INKY gedurende de campagne. Microsoft beoordeelde 75% van de berichten als geen spam (SCL 0 of 1) en slechts 18% als spam (SCL 5), terwijl INKY alle 26.589 berichten als gevaarlijk beoordeelde.

Wat dit zo opvallend maakt, is dat de campagne op basis van één enkel sjabloon is opgezet. Dezelfde boodschapsstructuur, dezelfde lokzin en dezelfde bijlage leidden tot sterk uiteenlopende beoordelingen door de e-mailsystemen, afhankelijk van de ontvangende mailbox: voor de meesten was het geen spam, voor sommigen wel.

INKY, daarentegen, leverde voor alle 26.589 berichten hetzelfde gevaarlijke oordeel op. Dit is het belangrijkste argument voor op gedrag gebaseerde detectie: een bericht dat qua spam als ‘schoon’ wordt beoordeeld, kan toch een aanval zijn waarbij inloggegevens worden gestolen, en alleen een aanpak die de volledige context beoordeelt, kan dit betrouwbaar opsporen.

Aanwijzingen voor een inbreuk

De volgende indicatoren houden verband met deze campagne. Aangezien de payload per sample verschilt, zijn gedrags- en patroonindicatoren betrouwbaarder dan de hash van een enkel bestand.

Indicator	Waarde / Patroon	Opmerkingen
Lure-thema	Melding van gemiste voicemail / gemiste oproep	Voorwendsel voor social engineering
Onderwerpspatroon	mCaller left <name> - 34s Preview vHC- <date> <number>	<name> = recipient's email local-part
Naam van de bijlage	PLAY_Voice-….svg	SVG-bestandsnaam in voicemail-stijl
Aangegeven MIME-type	text/plain	SVG verkeerd gelabeld om scanners te omzeilen
Gedrag van de nuttige lading	SVG → versleutelde JS → ophalen van een extern eindpunt	Scriptinjectie tijdens uitvoering / callback
Verduistering	String.fromCharCode, ongeldige identificatoren	Maakt een einde aan statische handtekeningen

Tabel 4: Indicatoren van compromittering voor de SVG-campagne waarbij voicemails werden gesmokkeld.

Aanbevelingen

Voor beveiligingsteams

1. Behandel SVG-bestanden als actieve inhoud. Stel e-mail- en webgateways zo in dat SVG-bijlagen worden gecontroleerd op mogelijke scripts, en niet als onschadelijke afbeeldingen, en baseer de beslissing om al dan niet te scannen niet op het opgegeven MIME-type.
2. Overweeg om inkomende SVG-bijlagen te blokkeren of in quarantaine te plaatsen. Bij legitieme zakelijke e-mail is het zelden nodig om SVG-bestanden rechtstreeks naar eindgebruikers te verzenden. Door inkomende SVG-bestanden te blokkeren of in een sandbox te plaatsen, wordt een steeds groter wordend aanvalsoppervlak weggenomen met minimale verstoring.
3. Vertrouw niet op bestandshash-signaturen. Door de versleuteling per monster veranderen de hashes voortdurend. Geef de voorkeur aan gedrags- en inhoudsgebaseerde detectie, waarbij wordt gekeken naar wat een bestand doet, en niet naar waarmee het overeenkomt.
4. Versterk de controles tegen interne spoofing. Zorg ervoor dat uw e-mailbeveiliging berichten kan detecteren die zogenaamd afkomstig zijn van uw eigen domein, maar die in werkelijkheid van buitenaf en zonder authenticatie binnenkomen; dit is namelijk de ‘envelop-truc’ waarop deze campagne was gebaseerd.
5. Maak gebruikers bewust van onverwachte voicemail- en afbeeldingsbijlagen. Benadruk dat een e-mail over een gemiste oproep of voicemail met een bijlage om het bericht af te spelen een veelvoorkomende phishing-truc is, en dat afbeeldingsbestanden code kunnen bevatten.

Voor e-mailontvangers

• Wees op uw hoede voor meldingen van voicemailberichten of gemiste oproepen die als e-mail binnenkomen met een bijlage die u moet openen, vooral als u deze niet verwachtte.
• Open nooit een .svg-bijlage die je niet verwachtte. In tegenstelling tot gewone afbeeldingen kunnen SVG-bestanden code uitvoeren wanneer ze in een browser worden geopend.
• Beschouw elke inlogpagina die je bereikt door een bijlage te openen als onbetrouwbaar. Ga rechtstreeks naar de diensten in plaats van via links of bestanden in e-mails.
• Houd er rekening mee dat een e-mail die afkomstig lijkt te zijn van uw eigen organisatie, toch vervalst kan zijn. Een „systeemmelding“ die eruitziet alsof deze intern is verzonden, is geen bewijs van legitimiteit.

Conclusie

Deze campagne is een schoolvoorbeeld van een techniek die in 2026 bepalend is voor e-mailbedreigingen: het verbergen van uitvoerbare code in een bestandstype dat wereldwijd als een onschuldige afbeelding wordt beschouwd. Door versleuteld JavaScript in een SVG te verpakken, die SVG als platte tekst te vermommen, een interne afzender te vervalsen en het geheel te presenteren als een gewone voicemail, creëerden de aanvallers een lokmiddel dat ontworpen was om zowel geautomatiseerde filters als menselijk oordeel te omzeilen, op een schaal van tienduizenden berichten verspreid over duizenden organisaties.

Het werkte niet. INKY heeft alle 26.589 berichten gedetecteerd en gemarkeerd, op basis van gedragssignalen die beoordelen wat een bericht is en doet, in plaats van af te gaan op wat het beweert te zijn. Dat onderscheid is belangrijk: bij de standaard spamfiltering werd driekwart van deze campagne aangemerkt als schone e-mail die in de inbox terechtkwam. Nu aanvallers vertrouwde bestandsformaten steeds vaker als wapen inzetten, is een ‘gedrag-eerst’-benadering – en niet op handtekeningen of aannames over bestandstypen – het verschil tussen detectie en bezorging.

Tags: SVG-smokkel, SVG-phishing, kwaadaardige SVG-bijlage, JavaScript-smokkel, voicemail-phishing, omzeiling van MIME-types, vervalste interne afzender, e-mailbeveiliging 2026, INKY PhishFence, dreigingsinformatie