Vier op de vijf ransomware-aanvallen beginnen vandaag de dag op dezelfde manier: met iemands identiteit, niet met hun servers. Die ene statistiek, gerapporteerd door The Manila Times, vat een verschuiving samen die al jaren aan de gang is maar nu onmogelijk te negeren valt. Aanvallers haasten zich niet langer om een ongepatchte server of een zero-day-exploit te vinden. Ze loggen simpelweg in, met inloggegevens die zijn verkregen via phishing, gekocht of uitgelekt, en lopen via de voordeur naar binnen als elke andere geautoriseerde gebruiker.

Deze verschuiving is belangrijk omdat het verandert wat 'beveiliging' werkelijk betekent voor de meeste organisaties en individuen. Een firewall kan niemand tegenhouden die een geldige gebruikersnaam en wachtwoord heeft. Een gepatchte server helpt niet als de aanvaller die nooit hoefde te misbruiken. Op inloggegevens gebaseerde ransomware-aanvallen hebben het slagveld verplaatst van netwerkinfrastructuur naar menselijke identiteit, en dat betekent dat de verdedigingslinies die er het meest toe doen ook zijn veranderd.

Waarom identiteit, niet infrastructuur, het nieuwe instappunt voor ransomware is

Jarenlang draaide de verdedigingsstrategie tegen ransomware om infrastructuur: patch je servers, segmenteer je netwerk, monitor op inbraken. Die verdedigingsmaatregelen zijn nog steeds van belang, maar ze pakken een dreigingsmodel aan dat steeds meer achterhaald is. Wanneer vier op de vijf aanvallen beginnen met een login in plaats van een inbraak, verandert de rekensom. Aanvallers hebben ontdekt dat inloggegevens goedkoper, sneller en veel minder snel alarm slaan dan een technische exploit.

Phishingkits, credential-stuffing-tools en infostealer-malware hebben het verzamelen van inloggegevens tot een makkelijke en lucratieve business gemaakt. Combineer dat met het enorme aantal wachtwoorden dat hergebruikt wordt voor zowel privé- als zakelijke accounts, en aanvallers beschikken over een constante stroom werkende inloggegevens zonder ooit een firewall aan te raken. Eenmaal binnen zien ze er niet uit als indringers. Ze zien eruit als medewerkers, contractors of beheerders die hun werk doen, en dat is precies wat deze aanpak zo effectief maakt.

Hoe gestolen inloggegevens traditionele beveiligingsverdedigingen omzeilen

Traditionele beveiligingstools zijn gebouwd om afwijkingen te detecteren: ongebruikelijke verkeerspatronen, ongeautoriseerde toegangspogingen, malwaresignaturen. Een geldige login met echte inloggegevens laat de meeste van die alarmbellen niet afgaan. Endpointdetectiesystemen, inbraakpreventietools en zelfs goed geconfigureerde firewalls zijn ontworpen om aanvallers tegen te houden die iets proberen te breken. Ze zijn veel minder effectief tegen iemand die gewoon een sleutel gebruikt die hem is overhandigd, ook al is die sleutel gestolen.

Dit is een van de redenen waarom ransomware-operaties zo snel gaan zodra ze toegang hebben. Berichtgeving over de Spirals-ransomwareoperatie liet zien dat aanvallers een volledige slachtofferomgeving in minder dan 24 uur na eerste toegang versleutelden. Wanneer de toegang geen misbruik van een kwetsbaarheid vereist, gaan er meer tijd en middelen rechtstreeks naar de schadefase. Hetzelfde patroon is te zien bij aanvallen die verband houden met CVE-2026-0257, een authenticatiebypasslek in Palo Alto-firewalls dat door Qilin-ransomware actoren wordt misbruikt, waarbij gecompromitteerde authenticatie, niet brute-force hacking, de aanvallers de voet tussen de deur gaf.

Multi-factor authenticatie en wachtwoordmanagers als eerste verdedigingslinie

Aangezien gestolen inloggegevens het voornaamste instappunt vormen, zijn de meest effectieve verdedigingen diegene die een gestolen wachtwoord op zichzelf minder bruikbaar maken. Multi-factor authenticatie (MFA) is het duidelijkste voorbeeld. Zelfs als een wachtwoord via phishing of een datalek is gecompromitteerd, vereist MFA een tweede verificatiestap, zoals een code uit een authenticator-app of een hardware-sleutel, voordat toegang wordt verleend. Het elimineert het risico niet volledig, maar het sluit wel de makkelijkste route af voor aanvallers die alleen op inloggegevens vertrouwen.

Wachtwoordmanagers pakken een verwant probleem aan: wachtwoordhergebruik. Wanneer mensen hetzelfde wachtwoord voor meerdere accounts gebruiken, kan één uitgelekt inloggegeven meerdere losstaande systemen ontsluiten. Een wachtwoordmanager maakt het praktisch haalbaar om voor elk account een uniek, complex wachtwoord te gebruiken, wat de schadeomvang beperkt wanneer één set inloggegevens wordt blootgelegd. Beide tools zijn niet ingewikkeld om in te stellen en richten zich rechtstreeks op de zwakte waarvan op inloggegevens gebaseerde ransomware-aanvallen misbruik maken.

Waar VPN’s passen in de bescherming van beheerder- en gevoelige accounttoegang

VPN’s zijn geen wondermiddel tegen diefstal van inloggegevens, maar ze spelen een specifieke en nuttige rol, met name voor beheerders en iedereen die op afstand gevoelige systemen benadert. Een VPN versleutelt de verbinding tussen een gebruiker en het netwerk waartoe hij toegang zoekt, wat helpt voorkomen dat inloggegevens onderweg worden onderschept, vooral op onbeveiligde of openbare netwerken. Voor beheerders op afstand die kritieke infrastructuur beheren, voegt het combineren van VPN-toegang met MFA een zinvolle extra barrière toe voor aanvallers die alleen over een gestolen wachtwoord beschikken.

Het is belangrijk duidelijk te zijn over wat een VPN niet doet: het zal niet voorkomen dat iemand met geldige, gestolen inloggegevens inlogt via een legitiem toegangspunt. Daarom moet het gebruik van een VPN worden gezien als één laag naast andere, samen met MFA, wachtwoordhygiëne en toegangsmonitoring, en niet als een opzichzelfstaande oplossing.

Wat dit voor jou betekent

Als je gevoelige accounts beheert, zakelijk of privé, is de boodschap helder: je wachtwoord alleen is niet langer voldoende, en dat is het waarschijnlijk al een tijdje niet meer. Op inloggegevens gebaseerde ransomware-aanvallen slagen omdat ze misbruik maken van voorspelbare menselijke gewoontes: hergebruikte wachtwoorden, onbeschermde logins en accounts zonder tweede verificatiestap. Die gaten dichten vereist geen budget van een groot bedrijf of technische expertise. Het vraagt om consistente gewoontes die worden toegepast op elk account dat ertoe doet.

Concrete actiepunten

  • Schakel multi-factor authenticatie in op elk account dat dit ondersteunt, te beginnen met e-mail, financiële diensten en alle beheerderstoegang.
  • Gebruik een wachtwoordmanager om unieke wachtwoorden te genereren en op te slaan, zodat het risico wordt uitgesloten dat hergebruikte inloggegevens over meerdere accounts worden misbruikt.
  • Combineer VPN-gebruik met MFA voor beheerderstoegang op afstand, vooral wanneer systemen via openbare of onbetrouwbare netwerken worden beheerd.
  • Behandel wachtwoordhygiëne als een doorlopende gewoonte, niet als een eenmalige instelling, aangezien er regelmatig nieuwe accounts en diensten bijkomen.

Ransomwaregroepen hebben hun strategie aangepast omdat die werkt. Het goede nieuws is dat de tegenmaatregelen – MFA, wachtwoordmanagers en gelaagde toegangscontroles – goed bekend en voor bijna iedereen binnen handbereik zijn. De verschuiving van inbreken naar inloggen betekent dat de verantwoordelijkheid voor verdediging ook is verschoven, en nu evenzeer bij de hygiëne van individuele identiteiten ligt als bij netwerkbeveiligingsteams.