Geautomatiseerde aanvallen op je online accounts betekenden vroeger een eenzame hacker die een script tegen een inlogpagina draaide en op het beste hoopte. Dat model is veranderd. AI-bots die inloggegevens stelen opereren nu op een schaal en snelheid die oudere detectiemethoden nauwelijks kunnen bijbenen: ze testen gestolen gebruikersnamen en wachtwoorden in minuten op duizenden sites, passen zich aan wanneer ze geblokkeerd worden en oogsten stilletjes alle lekken die ze onderweg tegenkomen. Het onrustbarende is dat je misschien niet eens weet dat je inloggegevens in een openbare database staan, in een open-sourcecoderepository liggen of op dit moment worden misbruikt in een prompt-injectiepoging, tenzij je actief controleert.

Hoe AI-bots inloggegevens verzamelen

De mechanismen achter het stelen van inloggegevens zijn niet zozeer veranderd als wel de automatisering erachter. Bots vertrouwen nog steeds op gestolen gegevens, of het nu gaat om een partij uitgelekte wachtwoorden van een oude datalek, inloggegevens die zijn geschraapt van verkeerd geconfigureerde databases, of secrets die per ongeluk zijn geüpload naar openbare coderepositories. Wat nu anders is, is hoe efficiënt AI-gestuurde tools die ruwe data kunnen verwerken, kruisverwijzingen kunnen maken naar inlogportals en hun aanpak direct kunnen aanpassen wanneer een site terugduwt met snelheidslimieten of CAPTCHA's.

Dit is onderdeel van een breder patroon dat beveiligingsonderzoekers het afgelopen jaar hebben gevolgd. Wekelijkse incidentoverzichten lieten zien dat Instagram, Spotify en wachtwoordkluizen in één week werden getroffen, wat illustreert dat credential stuffing-campagnes zelden op één platform mikken. Aanvallers verspreiden gestolen inloglijsten tegelijkertijd over tientallen diensten, in de hoop dat wachtwoordhergebruik ergens loont. Ook berichtgeving over hotel-Wi-Fi-aanvallen en een Zimbra-zero-day in dezelfde week laat zien hoe divers de toegangspunten voor het stelen van inloggegevens zijn geworden, van onbeveiligde netwerken tot ongepatchte e-mailservers.

De drie belangrijkste blootstellingspunten die je gegevens in gevaar brengen

Blootstelling van inloggegevens komt doorgaans uit een handvol terugkerende bronnen. Ten eerste zijn er openbare databases, vaak het gevolg van een bedrijf dat een server niet goed beveiligt, waardoor gebruikersnamen, e-mailadressen en wachtwoorden in het volle zicht liggen voor iedereen (inclusief geautomatiseerde scrapers). Ten tweede zijn open-sourcecoderepositories een hardnekkig probleem. Ontwikkelaars committen af en toe API-sleutels, tokens of hardgecodeerde wachtwoorden naar openbare repositories, en bots zijn specifiek gebouwd om voortdurend naar zulke fouten te scannen.

Ten derde, en steeds relevanter, is prompt-injectie. Nu steeds meer mensen en bedrijven met AI-chatbots en -assistenten werken, vinden aanvallers manieren om deze tools te manipuleren tot het prijsgeven van gevoelige informatie of zelfs het doorsturen van gebruikers naar valse inlogpagina's. Deze tactiek vereist helemaal geen inbraak in een database. Hij buit het vertrouwen uit dat gebruikers stellen in AI-gegenereerde antwoorden, wat hem moeilijker te herkennen maakt dan een traditionele phishingmail.

Elk van deze blootstellingspunten werkt onafhankelijk, en precies daarom moet monitoring op meerdere fronten plaatsvinden in plaats van te vertrouwen op één enkele waarborg.

Tools zoals Have I Been Pwned om lekken te monitoren

Het goede nieuws is dat je geen gespecialiseerde beveiligingstraining nodig hebt om te controleren of jouw inloggegevens ergens zijn opgedoken waar ze niet horen. Have I Been Pwned onderhoudt een continu geüpdatete bibliotheek van bekende datalekken en info-stealer-dumps, waarmee iedereen zijn e-mailadres kan doorzoeken en kan zien of het in een bekend lek is verschenen. Het is gratis, breed vertrouwd en een van de eenvoudigste eerste stappen om je werkelijke blootstelling te begrijpen in plaats van te gissen.

Naast deze ene tool kunnen wachtwoordmanagers met ingebouwde lekbewaking automatisch hergebruikte of gecompromitteerde wachtwoorden signaleren, en sommige browsers bieden nu standaardwaarschuwingen wanneer een opgeslagen wachtwoord overeenkomt met een bekende gelekte set. Deze tools regelmatig gebruiken, in plaats van als eenmalige controle, is van belang omdat er voortdurend nieuwe lekken en uitlekken opduiken. Wat vandaag schoon is, is het volgende maand misschien niet meer.

Praktische stappen om je accounts nu te vergrendelen

Zodra je weet waar je staat, zijn de oplossingen eenvoudig, ook al vereisen ze enige discipline. Begin met het volledig elimineren van wachtwoordhergebruik. Als één dienst wordt gecompromitteerd, geven hergebruikte inloggegevens aanvallers de sleutel tot elk ander account dat aan datzelfde wachtwoord is gekoppeld. Een wachtwoordmanager maakt het genereren en opslaan van unieke, complexe wachtwoorden pijnloos.

Schakel overal waar het wordt aangeboden multi-factorauthenticatie in en geef daarbij de voorkeur aan app-gebaseerde authenticators boven sms-codes waar mogelijk. Wees voorzichtig met AI-chatbots en -assistenten, vooral wanneer ze links of instructies met inloggen genereren; controleer onafhankelijk in plaats van blind door te klikken. Behandel ten slotte elke code die je schrijft of openbaar deelt met dezelfde nauwkeurigheid als een wachtwoord, aangezien blootgestelde secrets in repositories een van de stillere maar gestage bronnen van inloggegevenslekken blijven.

Wat dit voor jou betekent

AI-bots die inloggegevens stelen is geen verre, abstracte dreiging. Het is een uitbreiding van aanvallen die al mainstreamplatforms en alledaagse gebruikers hebben getroffen. De verschuiving naar automatisering betekent dat deze campagnes sneller bewegen en meer terrein bestrijken dan voorheen, maar de verdedigingsmiddelen die voor individuen beschikbaar zijn – unieke wachtwoorden, multi-factorauthenticatie en regelmatige lekcontrole – blijven er effectief tegen. De organisaties die spionagegerelateerde digitale operaties volgen, inclusief onderzoekers die een door China gesteunde spionagecampagne gericht op journalisten en activisten blootlegden, wijzen consequent op dezelfde basisprincipes: ken je blootstelling en dicht de gaten voordat iemand anders ze vindt.

Actiepunten

Controleer vandaag nog je e-mailadressen op Have I Been Pwned en herhaal de controle regelmatig in plaats van het als een eenmalige taak te zien. Gebruik een wachtwoordmanager als je dat nog niet doet, en zet hem in om hergebruikte wachtwoorden op al je accounts te elimineren. Schakel multi-factorauthenticatie in voor elk account dat dit ondersteunt. Blijf sceptisch over inloglinks of instructies die via AI-chatbots worden aangeleverd en controleer ze onafhankelijk. Samengenomen zorgen deze gewoonten er niet voor dat je onzichtbaar bent voor geautomatiseerde aanvalspogingen op inloggegevens, maar ze maken je wel een veel minder lonend doelwit.