Accountovername en datalekken

Module 1: Waarom jij een doelwit bent · Leestijd: 10 minuten

Leerdoel: Na deze les kun je uitleggen hoe gestolen inloggegevens worden hergebruikt en wat er met gelekte gegevens gebeurt.
Kernbegrippen: accountovername, credential stuffing, infostealer, sessiecookie, datalek, persoonsgegevens, combolijst

Inloggen in plaats van inbreken

De makkelijkste manier om in een systeem te komen, is niet een lek zoeken maar gewoon inloggen. Wie jouw e-mailadres en wachtwoord heeft, hoeft niets te hacken. Hij is voor het systeem gewoon jij. Dat heet een accountovername: iemand anders neemt een account over en gebruikt het alsof hij de eigenaar is.

Voor een klein bedrijf is de mailbox het belangrijkste account. Wie je mailbox heeft, kan:

• via "wachtwoord vergeten" de wachtwoorden van bijna al je andere accounts opnieuw instellen;
• je mail meelezen en precies op het goede moment een nepfactuur sturen (les 1.2);
• namens jou mail versturen aan klanten, die je vertrouwen;
• een doorstuurregel instellen, zodat hij ongemerkt een kopie van alle mail blijft krijgen, ook nadat je je wachtwoord hebt gewijzigd (les 2.5).

Maar hoe komt een aanvaller aan je wachtwoord? Er zijn drie hoofdroutes: je vult het zelf in op een nepsite (phishing, module 3), het lekt uit bij een andere dienst en je hebt het daar ook gebruikt, of schadelijke software op je computer steelt het. De laatste twee behandelen we hier.

Credential stuffing: één lek, overal geprobeerd

Websites worden regelmatig gehackt. Bij zo'n lek komen vaak de e-mailadressen en wachtwoorden van gebruikers op straat, soms leesbaar, soms in een vorm die met rekenkracht terug te rekenen is. Die gegevens worden verzameld, samengevoegd en verhandeld in enorme lijsten van e-mailadressen met wachtwoorden: combolijsten.

Met zo'n lijst doet een aanvaller credential stuffing: hij probeert elk paar van e-mailadres en wachtwoord automatisch uit op andere diensten. OWASP, een bekende open organisatie voor webbeveiliging, beschrijft het als het geautomatiseerd invoeren van gestolen inloggegevens om toegang tot accounts te krijgen. Het werkt om één reden: mensen gebruiken hetzelfde wachtwoord op meerdere plekken.

Een voorbeeld. Petra van Bakkerij Example heeft jaren geleden een account aangemaakt bij een webwinkel voor bakbenodigdheden, met info@example.com en het wachtwoord dat ze toen overal gebruikte. Die webwinkel wordt gehackt. Een jaar later staat haar combinatie in een combolijst. Een programma probeert hem in één nacht uit op:

Petra merkt niets: ze heeft geen phishingmail gezien en niets aangeklikt. De lessen hieruit: een uniek wachtwoord per dienst voorkomt dat één lek zich verspreidt (les 2.1 en 2.2), en tweestapsverificatie houdt een aanvaller tegen die wel het goede wachtwoord heeft (les 2.3). Je kunt zelf op https://haveibeenpwned.com kijken of je e-mailadres in een bekend lek voorkomt.

Een veelgemaakte fout is een "systeem" om wachtwoorden te variëren: Bakkerij2025! voor de mail en Bakkerij2025!boekhouding voor de boekhouding. Programma's die combolijsten gebruiken, proberen zulke voor de hand liggende varianten ook.

Infostealers: het wachtwoord rechtstreeks van je computer

Een infostealer is schadelijke software die gegevens van je computer verzamelt en naar de aanvaller stuurt. Microsoft beschrijft dat infostealers onder andere opgeslagen gebruikersnamen en wachtwoorden, sessiecookies, automatisch ingevulde formuliergegevens en creditcardgegevens uit browsers halen. Je krijgt zo'n programma bijvoorbeeld via een nepdownload ("gratis versie van een duur programma"), een bijlage, een nepadvertentie of een site die vraagt een commando te kopiëren en te plakken "om een probleem op te lossen".

Een infostealer werkt vaak in een paar minuten en verdwijnt dan weer. De buit, een zogeheten log met alle gegevens van die ene computer, wordt verkocht. Soms jaren later wordt hij gebruikt.

Waarom een sessiecookie zo gevaarlijk is

Als je inlogt op een website, met wachtwoord en tweestapsverificatie, krijgt je browser een sessiecookie: een klein bestandje dat bij elk volgend verzoek laat zien dat je al bent ingelogd. Daardoor hoef je niet bij elke klik opnieuw je code in te voeren.

Wie dat cookie steelt, kan het in zijn eigen browser zetten en is dan ook ingelogd. Hij heeft je wachtwoord en je tweede factor niet nodig, want het inloggen is al gebeurd. MITRE ATT&CK, een openbare kennisbank van aanvalstechnieken, zegt het letterlijk: sessiecookies kunnen worden gebruikt om sommige vormen van meerfactorauthenticatie te omzeilen.

Wat helpt tegen infostealers en gestolen cookies:

• geen software van onbekende bronnen installeren, en niet werken met een beheerdersaccount, zodat installeren niet zomaar lukt (les 5.2);
• je besturingssysteem en browser bijwerken (les 5.1);
• na een besmetting eerst de computer schoonmaken of opnieuw installeren, daarna vanaf een schoon apparaat wachtwoorden wijzigen en alle sessies intrekken, zodat gestolen cookies ongeldig worden (les 2.5 en 3.5);
• phishingbestendige inlogmethoden zoals passkeys, die het stelen van inloggegevens via nepsites onmogelijk maken (les 2.4).

Wat een datalek is

Tot nu toe ging het over je eigen accounts. Maar als een aanvaller in je mailbox, je boekhouding of je webwinkel zit, ziet hij ook gegevens van anderen: klanten, medewerkers, leden. Dan is er sprake van een datalek.

De AVG definieert persoonsgegevens als alle informatie over een geïdentificeerde of identificeerbare persoon: een naam, een mailadres, een telefoonnummer, een adres, maar ook een klantnummer dat je aan een persoon kunt koppelen. Een datalek (in de AVG: een inbreuk in verband met persoonsgegevens, artikel 4 punt 12) is een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens.

Een datalek hoeft geen hack te zijn. Ook dit kan een datalek zijn:

• een mail met een klantenlijst naar de verkeerde ontvanger;
• een gestolen of verloren laptop zonder versleuteling;
• een deellink naar een map met cv's die openbaar op internet staat;
• een overgenomen mailbox waarin facturen met namen en adressen staan;
• bestanden die door ransomware zijn versleuteld en waarvan je geen back-up hebt (vernietiging en verlies).

Bij een datalek horen plichten: je legt elk datalek vast in een datalekregister, je meldt het binnen 72 uur bij de Autoriteit Persoonsgegevens tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert, en bij een hoog risico informeer je ook de mensen zelf. Hoe dat precies werkt, leer je in les 8.2. Voor nu is het belangrijk dat je een accountovername niet alleen ziet als "ons probleem": vaak raakt het ook de mensen van wie je gegevens hebt.

Wat er met gelekte gegevens gebeurt

Gelekte gegevens verdwijnen niet. Ze worden gekopieerd, samengevoegd en doorverkocht. Daardoor heeft een lek gevolgen die lang doorwerken:

• Hergebruik: wachtwoorden belanden in combolijsten voor credential stuffing.
• Betere phishing: met je naam, je klanten en je laatste bestelling maakt een oplichter een overtuigende mail. Een klant die de week na een lek bij jouw webwinkel een "betaalherinnering" van jou krijgt, betaalt sneller.
• Identiteitsfraude: met genoeg gegevens over een persoon kan een oplichter accounts openen of zich voordoen als die persoon.
• Afpersing: "betaal, of we vertellen je klanten dat hun gegevens bij jou zijn gelekt" (les 1.3).

Daarom is minder bewaren ook een beveiligingsmaatregel. Gegevens die je niet hebt, kunnen ook niet lekken.

Samenvatting

• Bij een accountovername logt een aanvaller gewoon in; de mailbox is het belangrijkste account, omdat je er andere wachtwoorden mee herstelt.
• Credential stuffing probeert gelekte combinaties van e-mailadres en wachtwoord uit combolijsten automatisch op andere diensten; unieke wachtwoorden en 2FA houden het tegen.
• Infostealers stelen wachtwoorden en sessiecookies uit de browser; met een gestolen cookie kan een aanvaller sommige 2FA omzeilen, dus trek na een besmetting alle sessies in.
• Een datalek is elke inbreuk op de beveiliging van persoonsgegevens, ook een verkeerd verstuurde mail of een verloren laptop.
• Gelekte gegevens worden hergebruikt voor nieuwe aanvallen; minder bewaren is minder risico.

Quiz

Opdracht

Opdracht A1.4: Eén lek, welke accounts lopen gevaar? Je krijgt een overzicht van de accounts van een klein bedrijf: welk wachtwoord (aangeduid als W1, W2 enzovoort, nooit een echt wachtwoord) bij welke dienst hoort, en of tweestapsverificatie aan staat. Daarna lekt één dienst uit. Geef aan welke accounts direct gevaar lopen, in welke volgorde je ze aanpakt en of er sprake is van een datalek. Het programma kijkt na en legt uit.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 3.7: Veilige wachtwoorden en wat je doet bij een gelekt wachtwoord
• WebOké handleiding 3.6: Actieve sessies bekijken en uitloggen
• Have I Been Pwned (zelf controleren of je e-mailadres in een bekend lek staat): https://haveibeenpwned.com
• OWASP, Credential stuffing (Engels): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (Engels): https://attack.mitre.org/techniques/T1539/
• AVG (Verordening (EU) 2016/679), officiële tekst: https://eur-lex.europa.eu/eli/reg/2016/679/oj