Vraag willekeurige medewerkers wat hun wachtwoord is voor de bedrijfssoftware. De kans is groot dat je antwoorden krijgt als: de bedrijfsnaam met een hoofdletter en een getal erachter. De naam van een kind of huisdier. Het woord “welkom” gevolgd door het jaar. Of gewoon: hetzelfde wachtwoord dat ze overal gebruiken.
Dit zijn geen zeldzame uitzonderingen. Dit is de realiteit bij de meeste MKB-bedrijven. En het is de reden waarom gestolen of gekraakte wachtwoorden jaar na jaar bovenaan staan als meest voorkomende oorzaak van bedrijfsinbraken.
In dit artikel leggen wij uit waarom zwakke wachtwoorden zo gevaarlijk zijn, hoe aanvallers ze kraken, sneller dan de meeste mensen denken en wat jij vandaag kunt doen om het risico te elimineren.
Wat maakt een wachtwoord zwak?
Een zwak wachtwoord is elk wachtwoord dat makkelijker te raden of te kraken is dan noodzakelijk. Dat klinkt vaag maar in de praktijk zijn er heel concrete kenmerken.
Te kort. Elk wachtwoord korter dan 12 tekens is in de huidige stand van technologie relatief snel te kraken. Een wachtwoord van 8 tekens kan met moderne hardware in enkele uren worden doorgerekend.
Voorspelbaar patroon. Een hoofdletter vooraan, kleine letters in het midden, een getal en een uitroepteken aan het einde. Dit patroon, Bedrijfsnaam1!, is zo gangbaar dat hacktools er standaard op zijn afgestemd.
Persoonlijke informatie. Namen van kinderen, huisdieren, geboortedata, de naam van het bedrijf, dit soort informatie is voor aanvallers die jouw bedrijf even opzoeken op LinkedIn of de website direct beschikbaar. Wat makkelijk te raden is, is makkelijk te misbruiken.
Woordenboekwoorden. Een enkel woord, ook in een andere taal of met een getal erachter, is kwetsbaar voor een woordenboekaanval waarbij systematisch alle bekende woorden en variaties worden geprobeerd.
Hergebruikt. Een wachtwoord dat op meerdere plekken wordt gebruikt is extra gevaarlijk. Als één platform wordt gehackt en het wachtwoord uitlekt, heeft de aanvaller direct toegang tot alle andere accounts waar hetzelfde wachtwoord wordt gebruikt. We behandelen dit dieper in een apart artikel.
Hoe kraken aanvallers wachtwoorden?
Het beeld van een hacker die handmatig wachtwoorden probeert te raden klopt niet meer met de realiteit. Moderne wachtwoordaanvallen zijn volledig geautomatiseerd en razendsnel.
Brute force, alles proberen
Bij een brute force-aanval probeert geautomatiseerde software systematisch alle mogelijke combinaties van tekens totdat het juiste wachtwoord is gevonden. De snelheid hangt af van de beschikbare rekenkracht.
Om de schaal te illustreren: een wachtwoord van zes tekens dat alleen kleine letters bevat heeft minder dan 309 miljoen mogelijke combinaties. Moderne hardware kan dat in minder dan een seconde doorrekenen. Een wachtwoord van acht tekens met kleine letters, hoofdletters en cijfers heeft ruim 200 biljoen combinaties maar dat is met de juiste hardware nog steeds een kwestie van enkele uren tot dagen.
Elk extra teken en elk extra tekentype vermenigvuldigt de benodigde rekentijd exponentieel. Een wachtwoord van 16 willekeurige tekens met letters, cijfers en symbolen is in de praktijk niet te kraken met brute force.
Woordenboekaanval, slim proberen
Een woordenboekaanval werkt slimmer dan brute force. In plaats van alle combinaties te proberen, gebruikt de software een lijst van bekende woorden, veelgebruikte wachtwoorden, namen en gangbare variaties, inclusief vervangingen zoals @ voor a, 3 voor e en ! voor i.
Wachtwoorden als W3lk0m!, P@ssw0rd en Zomer2024! zijn exact het soort variaties die in elke woordenlijst staan. Ze voelen aan als slim, maar zijn voor aanvallers triviaal.
Credential stuffing, gelekte lijsten gebruiken
Bij credential stuffing gebruikt een aanvaller geen cracktechniek, hij gebruikt gewoon lijsten van eerder gelekte gebruikersnaam-wachtwoord-combinaties. Die lijsten zijn immens: er circuleren databases met miljarden gelekte inloggegevens op het dark web.
De aanvaller probeert die combinaties geautomatiseerd op tientallen andere platforms. Als jouw medewerker hetzelfde wachtwoord gebruikt als bij een platform dat ooit is gehackt, wat statisch gezien vrijwel zeker is, heeft de aanvaller direct toegang.
Social engineering, vragen naar het antwoord
Niet elke aanval is technisch. Bij social engineering worden medewerkers via telefoon, e-mail of social media gemanipuleerd om hun wachtwoord te delen of in te voeren op een nep-inlogpagina. De techniek is eenvoudig maar effectief, zeker als de aanvaller informatie over het bedrijf heeft verzameld om geloofwaardig over te komen.
Wat zijn de gevolgen voor jouw bedrijf?
Een gekraakt wachtwoord is niet het einde, het is het begin. Het is de sleutel die toegang geeft tot wat er daarna komt.
Toegang tot bedrijfssystemen. Afhankelijk van welk account is gecompromitteerd, kan een aanvaller toegang krijgen tot klantgegevens, financiële informatie, e-mailcorrespondentie of interne systemen. Met die toegang kan hij data stelen, wijzigen of versleutelen.
Ransomware. Eén gecompromitteerd account is vaak voldoende om ransomware te installeren op het bedrijfsnetwerk. De aanvaller versleutelt alle bestanden en eist betaling voor de sleutel. Nederlandse mkb-bedrijven betalen gemiddeld tienduizenden euro’s losgeld, als ze al betalen.
Datalekken met meldplicht. Als via het gecompromitteerde account klant- of personeelsgegevens zijn gestolen of ingezien, geldt de AVG-meldplicht. Binnen 72 uur melding maken bij de Autoriteit Persoonsgegevens, ook als je zelf het slachtoffer bent.
Fraude en financiële schade. Toegang tot een e-mailaccount of een financieel systeem kan worden misbruikt voor frauduleuze betalingen, het wijzigen van factuurgegevens of het omleiden van betalingen.
Reputatieschade. Als klant- of leveranciersgegevens uitlekken via een gecompromitteerd account, is de reputatieschade moeilijk te herstellen, zeker als blijkt dat het incident voorkomen had kunnen worden met basismaatregelen.
Welke wachtwoorden zijn gevaarlijk? de meest voorkomende voorbeelden
Elk jaar publiceren beveiligingsbedrijven lijsten van de meest gebruikte wachtwoorden ter wereld. De top tien verandert nauwelijks van jaar tot jaar. Wachtwoorden als 123456, wachtwoord, qwerty en welkom01 staan er altijd in.
Maar ook wachtwoorden die mensen als “slim” beschouwen zijn aantoonbaar zwak:
- Bedrijfsnaam + getal + uitroepteken:
Janssen2024! - Seizoen + jaar:
Zomer2024,Winter2023! - Naam + geboortejaar:
Lisa1987,Thomas1991 - Toetsenbordpatronen:
Qwerty123!,Azerty1! - Standaard wachtwoorden die nooit zijn gewijzigd:
Admin,Welkom1,Changeme
Als jij of een medewerker een van deze patronen herkent in een bestaand wachtwoord, wijzig het dan vandaag nog.
Wat maakt een wachtwoord sterk?
Een sterk wachtwoord heeft drie eigenschappen: het is lang, willekeurig en uniek.
Lang, minimaal 16 tekens. Elke extra teken maakt kraken exponentieel moeilijker.
Willekeurig, geen herkenbare woorden, namen of patronen. Een reeks willekeurige tekens is sterker dan een slim bedacht woord met vervangingen.
Uniek, elk account heeft een eigen wachtwoord. Hergebruik is de grootste enkelvoudige risicofactor.
Het probleem: een wachtwoord dat aan al deze eisen voldoet, is voor mensen onmogelijk te onthouden. Zeker niet als elk account een eigen wachtwoord heeft. Dat is precies waarom een wachtwoord manager geen luxe is maar een noodzaak.
Een wachtwoord manager genereert automatisch sterke, willekeurige wachtwoorden voor elk account en onthoudt ze voor je. Jij hoeft maar één sterk hoofdwachtwoord te onthouden, de rest regelt de manager. Lees meer over onze zakelijke wachtwoord manager →
