Bibliotheek
Gelekte credentials zijn een van de meest effectieve aanvalsvectoren. Of ze nu afkomstig zijn uit een datalek, een phishingmail of een brute-force aanval op een zwak beveiligde API, het eindresultaat is meestal hetzelfde: directe toegang tot interne systemen. De hack op de TU Eindhoven liet dit zien, waar aanvallers via het VPN-systeem en drie eerder gelekte accounts zonder actieve tweestapsverificatie binnenkwamen. Organisaties onderschatten niet alleen dat inloggegevens lekken, maar ook hoe ver een aanvaller komt zodra hij binnen is. Het gevaar zit daarom niet alleen in het lek zelf, maar in alles wat een aanvaller daarna ongezien kan doen.
Gelekte inloggegevens zijn relatief eenvoudig te verkrijgen. Dagelijks worden miljoenen credentials gedeeld of verhandeld via dark web marktplaatsen en Telegram-kanalen. Belangrijke bronnen zijn massale datalekken bij grote platformen, credential harvesting via phishingkits zoals Evilginx2 of Modlishka, infostealer-malware zoals RedLine, Raccoon en Vidar, credential stuffing en brute-force met tools als OpenBullet en Hydra, en exposures bij leveranciers en partners. Uit onderzoek blijkt dat er op enig moment meer dan 24 miljard unieke credentials beschikbaar zijn, waarvan een aanzienlijk deel nog geldig is. Doordat veel mensen wachtwoorden hergebruiken, blijft een enkel gelekt wachtwoord vaak jarenlang bruikbaar op meerdere diensten.
Met een geldig account omzeilt een aanvaller veel traditionele verdediging, zoals firewalls, IP-filtering en SIEM-regels die vooral op ongeautoriseerde pogingen letten. Hij authenticeert via legitieme kanalen als VPN, OWA of SaaS, beweegt lateraal via RDP, SMB of PsExec, escaleert rechten via lokale adminrechten of misconfiguraties, behoudt persistentie via scheduled tasks of cloudtokens en exfiltreert data via vertrouwde kanalen als OneDrive of e-mail. Juist omdat de toegang er legitiem uitziet, ontbreekt vaak het alarmsignaal dat bij een geforceerde inbraak wel zou afgaan.
Een goede pentest hoort altijd een fase te bevatten waarin gelekte credentials als scenario worden meegenomen. Bij DeepBlue start de ethical hacker dan met reeds gecompromitteerde toegang en evalueren we toegangsrechten en privilege boundaries, interne en microsegmentatie, de detectie- en loggingcapaciteit van SIEM en SOC, misbruik van single sign-on en federated identity, en credential reuse tussen cloud en on-prem. Zo'n test maakt niet alleen zichtbaar of een aanvaller binnenkomt, maar vooral hoe ver hij komt en waar de verdediging het laat afweten. Dit onderbouwt investeringen in Zero Trust, scherpt Identity and Access Management en MFA aan en versterkt response playbooks bij verdachte geauthenticeerde toegang.
Gelekte credentials vormen een structureel risico en zijn het startpunt van een groot deel van alle gerichte aanvallen. De vraag is niet of uw organisatie ermee te maken krijgt, maar hoe goed u voorbereid bent. Testen vanaf het moment van toegang valideert uw detectiecapaciteit, privilege boundaries en netwerkarchitectuur op een manier die geen andere vorm van pentesten biedt. Door uit te gaan van het scenario dat toegang al is gelekt, test u uw weerbaarheid op de manier waarop echte aanvallen tegenwoordig beginnen.
Wilt u weten hoe dit binnen uw eigen omgeving speelt? Neem contact op met de specialisten van DeepBlue Security & Intelligence via info@deepbluesecurity.nl of +31 (0) 70 290 6 290.
Bespreek een securityvraagstuk, actueel risico of complexe IT- of OT-omgeving met een van onze senior specialisten. Het eerste gesprek richt zich op de technische context, operationele randvoorwaarden en de meest passende vervolgstappen.
Kan het niet wachten?
Bel ons op +31 (0) 70 290 6 290
of stuur een email naar info@deepbluesecurity.nl
