Stel: een medewerker gebruikt hetzelfde wachtwoord voor zijn zakelijke e-mail, zijn LinkedIn-account en een webshop waar hij privé wel eens iets bestelt. Klinkt herkenbaar, onderzoek toont aan dat de meerderheid van mensen wachtwoorden hergebruikt op meerdere platforms.
Nu wordt die webshop gehackt. De inloggegevens, inclusief het e-mailadres en het wachtwoord van jouw medewerker, komen op het dark web terecht. De eigenaar van de webshop stuurt een excuusmail. Jouw medewerker leest hem, denkt “jammer” en gaat verder met zijn dag.
Intussen heeft een crimineel al geprobeerd diezelfde combinatie in te voeren op honderden andere platforms. Inclusief jouw bedrijfssystemen. En het werkte.
Dit heet credential stuffing. En het is een van de meest voorkomende manieren waarop bedrijven worden gehackt, niet via geavanceerde techniek, maar via de simpele consequentie van wachtwoorden hergebruiken.
Waarom hergebruiken mensen wachtwoorden?
De reden is begrijpelijk: mensen hebben gemiddeld tientallen online accounts. Elk account een uniek, sterk wachtwoord geven is zonder hulpmiddelen simpelweg niet haalbaar. Het menselijk geheugen is daar niet voor gemaakt.
De oplossing die de meeste mensen kiezen is een compromis: één wachtwoord of een handvol variaties, voor alles. Soms met kleine aanpassingen per platform: een getal erachter, een hoofdletter erbij, een uitroepteken aan het einde.
Die aanpassingen voelen als beveiliging. In de praktijk zijn ze dat nauwelijks. Aanvallers die een basiswachtwoord hebben gevonden, proberen automatisch de meest gangbare variaties, Wachtwoord1, Wachtwoord2, Wachtwoord!, Wachtwoord2024. Dat kost seconden.
Hoe werkt credential stuffing?
Credential stuffing is de geautomatiseerde aanval die wachtwoordhergebruik uitbuit. Het werkt als volgt.
Stap 1: De aanvaller verzamelt gelekte inloggegevens. Op het dark web circuleren miljarden gelekte gebruikersnaam-wachtwoord-combinaties, afkomstig van gehackte platforms over de hele wereld. Van grote diensten als Adobe, LinkedIn en Dropbox tot kleine webshops en forums. Die databases zijn te koop, voor een paar euro per miljoen records.
Stap 2: De aanvaller kiest een doelwit. Dat kan willekeurig zijn, een groot platform met veel gebruikers of gericht op een specifiek bedrijf. Voor een gerichte aanval zoekt de aanvaller eerst op welke platforms medewerkers van dat bedrijf accounts hebben.
Stap 3: Geautomatiseerde inlogpogingen. Gespecialiseerde software probeert de gelekte combinaties automatisch uit op het doelwit. Duizenden pogingen per minuut, verdeeld over meerdere IP-adressen om detectie te omzeilen. Een succespercentage van één procent klinkt laag maar op een lijst van een miljoen combinaties betekent dat tienduizend succesvolle inlogpogingen.
Stap 4: Toegang verkregen. De aanvaller is binnen. Afhankelijk van welk account is gecompromitteerd, heeft hij nu toegang tot e-mail, bedrijfssoftware, klantgegevens of financiële systemen. Vanaf dat moment bepaalt hij wat er vervolgens gebeurt.
Waarom is dit zo gevaarlijk voor bedrijven?
Bij een privépersoon is de schade van credential stuffing al vervelend. Bij een bedrijf zijn de gevolgen potentieel veel ernstiger en de verantwoordelijkheid groter.
Één gecompromitteerd account is vaak voldoende. In een bedrijfsomgeving zijn accounts met elkaar verbonden. Toegang tot het e-mailaccount van een medewerker geeft vaak ook inzicht in interne communicatie, klantgegevens en systeemtoegang. Eén correct wachtwoord opent meerdere deuren.
Medewerkers gebruiken zakelijke e-mailadressen voor privé-accounts. Dit is een onderschat risico. Als een medewerker zijn zakelijke e-mailadres gebruikt om zich te registreren bij een externe dienst, een nieuwsbrief, een webshop, een forum en die dienst wordt gehackt, komt het zakelijke e-mailadres met het bijbehorende wachtwoord op straat te liggen. Als dat wachtwoord ook zakelijk wordt gebruikt, is de toegang direct gecompromitteerd.
Aanvallen zijn moeilijk te detecteren. Credential stuffing maakt gebruik van geldige inloggegevens. Voor beveiligingssystemen ziet een succesvolle aanval er hetzelfde uit als een gewone inlogsessie, van het juiste e-mailadres, met het juiste wachtwoord. Zonder aanvullende detectiemaatregelen merk je het niet.
De AVG maakt de gevolgen groter. Als via een gecompromitteerd account klantgegevens zijn ingezien of gestolen, geldt de meldplicht bij de Autoriteit Persoonsgegevens, binnen 72 uur. De omstandigheid dat het lek bij een derde partij is begonnen, ontslaat jou als bedrijf niet van die verplichting.
Hoe groot is het probleem in de praktijk?
Om de omvang concreet te maken: de database van HaveIBeenPwned, een publieke dienst die bijhoudt welke e-mailadressen voorkomen in bekende datalekken, bevat inmiddels meer dan twaalf miljard gelekte records. Twaalf miljard.
De kans dat één of meer e-mailadressen van jouw medewerkers in minstens één datalek voorkomen is statistisch gezien zeer groot, zeker als het bedrijf al een paar jaar bestaat en medewerkers zakelijke adressen ook privé gebruiken.
Dat betekent niet dat een aanval onvermijdelijk is. Het betekent wel dat wachtwoordhergebruik een reëel en urgent risico is, geen theoretische kwetsbaarheid.
De oplossing: unieke wachtwoorden voor elk account
De enige effectieve maatregel tegen credential stuffing is consequent unieke wachtwoorden gebruiken voor elk account. Als een wachtwoord uitlekt bij platform A, heeft dat dan geen enkel effect op platform B, C of D.
In theorie is dit simpel. In de praktijk is het zonder hulpmiddelen niet vol te houden, zeker niet in een bedrijfsomgeving met tientallen of honderden accounts verspreid over meerdere medewerkers.
Een zakelijke wachtwoord manager lost dit probleem volledig op.
De wachtwoord manager genereert automatisch een uniek, sterk wachtwoord voor elk account. Medewerkers hoeven die wachtwoorden niet te kennen of te onthouden, de manager vult ze automatisch in. Het enige wat een medewerker onthoudt, is één sterk hoofdwachtwoord voor de manager zelf.
Het resultaat: elk account heeft een uniek wachtwoord van 20+ willekeurige tekens. Credential stuffing heeft geen effect meer, een uitgelekt wachtwoord van platform A werkt nergens anders.
Lees meer over onze zakelijke wachtwoord manager voor MKB →
Tweestapsverificatie als aanvullende maatregel
Naast unieke wachtwoorden is tweestapsverificatie, ook wel 2FA of MFA, de meest effectieve aanvullende maatregel tegen credential stuffing.
Bij tweestapsverificatie is een wachtwoord alleen niet voldoende om in te loggen. De medewerker moet ook een tweede verificatiestap uitvoeren, een code uit een authenticator-app, een sms-code of een fysieke sleutel. Zelfs als een aanvaller het juiste wachtwoord heeft, komt hij niet verder zonder die tweede stap.
Tweestapsverificatie is inmiddels beschikbaar bij vrijwel alle zakelijke platforms. Toch wordt het bij veel MKB-bedrijven niet consequent gebruikt, vaak omdat de instelling ervan als omslachtig wordt ervaren. Een zakelijke wachtwoord manager integreert met 2FA en maakt het beheer ervan eenvoudig.
Controleer vandaag nog of jouw gegevens zijn uitgelekt
Via HaveIBeenPwned.com kun je gratis controleren of een e-mailadres voorkomt in bekende datalekken. Vul een zakelijk e-mailadres in of laat ons dit voor meerdere adressen tegelijk doen.
Komt een adres voor in een datalek? Wijzig dan direct het wachtwoord van alle accounts waar dat adres als gebruikersnaam is gebruikt en zorg dat je daarna unieke wachtwoorden gebruikt.
Bij Orange Warriors bieden wij als aparte dienst ook actieve monitoring aan van gelekte zakelijke inloggegevens. Zodra een e-mailadres of wachtwoord van jouw bedrijf opduikt in een nieuw datalek, ontvang je direct een melding zodat je kunt handelen voordat een aanvaller dat doet. Lees meer over onze dienst Gelekte Wachtwoorden →
