Gestolen inloggegevens: waarom infostealers de makkelijkste voordeur zijn

TL;DR

• Een infostealer versleutelt niets en vraagt geen losgeld. Ze kopieert stilletjes opgeslagen wachtwoorden, sessiecookies en VPN-profielen van een toestel en geeft die door.
• Daarmee is een werkende login de goedkoopste ingang. Wie binnenkomt met een geldig account moet niets forceren en ziet er in je logs uit als een collega.
• Multifactorauthenticatie legt de lat hoger, maar een gestolen sessiecookie wandelt er langs. Dekking en sessieduur bepalen wat die tweede factor echt waard is.
• Drie vragen zijn meer waard dan eender welke tool: welke systemen aan het internet aanvaarden nog een wachtwoord alleen, hoelang blijft een sessie geldig, en zou iemand een login vanaf een onbekend toestel opmerken.

Gesprekken over inbreken beginnen bijna altijd bij kwetsbaarheden. In de praktijk start een groot deel van de incidenten met iets veel saaiers: iemand logt in. Het wachtwoord klopte, het account bestond, er werd niets misbruikt. De inloggegevens kwamen van een toestel dat het bedrijf nooit beheerde, vaak maanden voor ze gebruikt werden. Plan je een pentest voor het komende jaar, dan is dit het pad om eerst te begrijpen, want het gaat om de meeste dingen heen die een scanner bekijkt.

Wat een infostealer echt meeneemt

Een infostealer is een klein programma met een opdracht: verzamel alles wat identiteit bewijst en stuur het door. Dat betekent de wachtwoordkluis van elke browser op het toestel, opgeslagen cookies, autofill-gegevens, VPN-profielen, bewaarde remote-desktopverbindingen en soms bestanden die op een wachtwoordlijst lijken. Ze draait enkele seconden en ruimt daarna haar sporen op, dus er is geen versleutelde schijf en geen losgeldbrief die iemand alarmeert.

Het toestel is meestal geen bedrijfslaptop. Het is een privécomputer met een werklogin in de browser, een gezinscomputer waar iemand ooit webmail checkte, of een machine van een externe partner buiten jouw beheer. De besmetting verloopt banaal: een gekraakte toepassing, een nagemaakte installer van een bekende tool, een download uit een zoekadvertentie. Jouw netwerk wordt nooit aangeraakt, en net daarom komt het eerste signaal laat.

Waarom een geldige login sterker is dan een exploit

Een exploit maakt lawaai. Ze laat crashsporen na, ze faalt op een gepatcht systeem en ze moet vaak worden aangepast aan het doelwit. Gestolen inloggegevens hebben geen van die problemen. Ze werken bij de eerste poging, ze produceren een geslaagde aanmelding in plaats van een alarm, en ze geven precies de rechten van de persoon van wie het account is.

Er is een tweede effect dat organisaties onderschatten: mensen hergebruiken. Het wachtwoord van een privétoestel lijkt vaak sterk op dat van het bedrijfsportaal, en de gebruikersnaam is meestal het werkadres. Een set gegevens opent zo verschillende deuren, en de aanvaller heeft er maar een nodig die uitkomt op een systeem met breed zicht.

MFA helpt, en het is niet het hele antwoord

Multifactorauthenticatie is de maatregel met de hoogste waarde tegen hergebruikte wachtwoorden, en die hoort overal te staan voor er budget naar iets anders op deze pagina gaat. Wat ze niet doet, is een sessie beschermen die al geauthenticeerd is. Een sessiecookie die uit een browser gekopieerd wordt, staat voor een aanmelding die de tweede factor al passeerde, dus wie ze afspeelt kan die stap overslaan.

Daardoor verschuiven de nuttige vragen naar sessiebeleid: hoelang blijven tokens geldig, zijn ze gebonden aan een toestel of een netwerk, en wordt een aanmelding vanaf een nieuw toestel behandeld als iets om na te kijken. Het betekent ook dat de MFA-dekking volledig moet zijn. Een oude toepassing of een serviceaccount buiten het beleid volstaat, en dat zijn net de accounts waar niemand naar kijkt.

Wat je dit kwartaal nakijkt

• Lijst elk toegangspunt op dat van het internet bereikbaar is, inclusief VPN, webmail, remote desktop, leveranciersportalen en vergeten testomgevingen, en bevestig dat elk ervan MFA afdwingt.
• Kijk de sessie- en tokenduur na. Een token dat weken geldig blijft, maakt van een eenmalige diefstal langdurige toegang.
• Behandel serviceaccounts en gedeelde logins apart. Ze hebben zelden een tweede factor en vaak meer rechten dan eender welke medewerker.
• Beslis wat een login vanaf een ongewoon toestel of land moet uitlokken, en test of dat signaal echt bij een mens terechtkomt.
• Leg uit waarom een werklogin bewaren in een privébrowser een verschil maakt, en geef mensen een wachtwoordmanager zodat de veilige weg ook de makkelijkste is.

Veelgestelde vragen

Wat is een infostealer?

Een infostealer is malware die inloggegevens en sessiedata van een toestel kopieert en doorstuurt naar een aanvaller. Ze komt meestal binnen via een gekraakte toepassing, een nagemaakte installer of een bijlage, doet haar werk in enkele seconden en ruimt daarna haar sporen op, waardoor de gebruiker vaak niets merkt.

Hoe raken aanvallers aan onze bedrijfswachtwoorden als ons netwerk nooit gehackt is?

Meestal via een toestel dat jij niet beheert: een privélaptop met een opgeslagen bedrijfslogin, een machine van een externe partner, of een wachtwoordkluis in de browser van een privételefoon. De gegevens vertrekken langs die weg, en het eerste signaal in je eigen netwerk is een login die er volstrekt normaal uitziet.

Stopt multifactorauthenticatie gestolen inloggegevens?

MFA stopt het hergebruik van een gewoon wachtwoord en is daarmee de meest waardevolle maatregel hier. Ze stopt geen aanvaller die een geldige sessiecookie heeft buitgemaakt, en ze doet niets voor systemen die er nooit achter zijn gezet. Dekking en sessieduur bepalen hoeveel bescherming je echt overhoudt.

Hoe weten we of onze inloggegevens circuleren?

Publieke datalekzoekdiensten en de logs van je eigen identiteitsprovider zijn het startpunt. Een gestructureerde controle hoort thuis in een bredere externe test: een pentest vertrekt van wat van buitenaf bereikbaar en bruikbaar is, en blootgestelde inloggegevens horen bij dat beeld.

Is dit een technisch probleem of een mensenprobleem?

Allebei, en ze vragen een ander antwoord. Wachtwoorden hergebruiken en software van onofficiële bronnen installeren is gedrag, en daar gaat awareness over. MFA-dekking, sessiebeleid en het opvolgen van logins is configuratie. Wie maar een van beide aanpakt, laat de andere kant open.

Gerelateerde diensten en bronnen

Wil je weten welke van jouw toegangspunten nog een wachtwoord alleen aanvaarden, dan brengt onze pentest in kaart wat van buitenaf bereikbaar is en wat een aanvaller ermee kan. Voor de gedragskant behandelt security awareness wachtwoordhergebruik en onofficiële software op een manier die blijft hangen. Vermoed je dat er al inloggegevens gebruikt worden, dan zet Ben ik gehackt? 10 alarmsignalen en wat je nu moet doen de signalen op een rij, en legt Hoe phishing structureel kan worden opgelost uit welke identiteitsmaatregelen de schade van een gestolen login beperken.