Stelling: Het gebruik van wachtwoorden is een verouderde beveiligingstechniek die zijn langste tijd heeft gehad

Gepubliceerd op 29 juli 2021 om 07:00

Iedere seconde vinden er ergens ter wereld wel nieuwe pogingen plaats van cybercriminelen om websites, diensten, bedrijven of consumenten te hacken. Niet geheel onverwachts is er dus ook een toenemende kans op gelekte wachtwoorden, waardoor cybercriminelen eenvoudig toegang tot bedrijfsgegevens krijgen, aldus Beyond Identity, een leverancier van wachtwoordloze oplossingen voor identiteitsbeheer. Vorige maand meldde CyberNews dat er een bestand met de naam 'RockYou2021.txt' op een populair hackersforum is gezet. Daarbij gaat het om een verzameling van 8,4 miljard wereldwijd gelekte wachtwoorden. Ook in Nederland is het lekken van wachtwoorden schering en inslag.

Het wachtwoord

Wachtwoorden zijn al een geruime tijd in omloop als beveiligingsmaatregel, maar helaas blijkt deze maatregel niet meer te werken. Volgens het ‘Verizon Data Breach Incident Report’ liggen gestolen wachtwoorden ten grondslag aan 81% van alle hacks. Volgens een onderzoek door Google geeft minstens 65% van alle respondenten toe hetzelfde wachtwoord te gebruiken voor verschillende, zo niet alle accounts. De combinatie van het gebruik van zwakke wachtwoorden en steeds slimmere hackers, zorgt voor een vergrote kans op gelekte wachtwoorden en hacks.

Hoe je het ook wendt of keert, wachtwoorden zijn en blijven een beveiligingsrisico. Hoe meer werknemers en dus meer wachtwoorden je organisatie heeft, des te groter de kans op onveilige en gelekte wachtwoorden. Het gebruik van wachtwoorden is een verouderde beveiligingstechniek die zijn langste tijd heeft gehad.

Toch kun je werknemers het gebruik van zwakke wachtwoorden niet verwijten. Zij worden geacht om wachtwoorden te onthouden voor tientallen gebruikersaccounts. In de loop der jaren zijn er een aantal wachtwoordalternatieven ontwikkeld. Common Access Cards (CAC), smartcards en biometrie gezien, maar nog steeds worden er wachtwoorden als back-up voor deze methoden gebruikt. Zolang organisaties wachtwoorden inzetten, blijven ze kwetsbaar voor wachtwoord-gebaseerde bedreigingen, zoals phishing-aanvallen of SIM-swaps.

Vooruitstrevende organisaties gebruiken al passwordless oplossingen of MindYourPass, maar nog lang niet iedereen is daarop overgestapt. Totdat dit moment is aangebroken, is het verstandig de volgende maatregelen toe te passen:

  • Google Password Checkup

Gebruikt je organisatie Google voor het beheer van zakelijke e-mail? Dan heb je ook toegang tot de password manager van Google. En daarvan maakt Password Checkup deel uit. Password Checkup zet de aanmeldingsgegevens van gebruikers af tegen een database van bekende datalekken en een aantal onderdelen van het dark web die actief door Google worden gemonitord. Alle activiteit vindt daarbij plaats op het lokale apparaat, zodat de resultaten van deze controles nergens anders kunnen worden ingezien of opgeslagen. Als gebruikers zich aanmelden met onveilige gebruikersnamen en wachtwoorden, krijgen zij automatisch een waarschuwing op het scherm te zien. Password Checkup biedt echter geen mogelijkheden voor bedrijfsbreed beheer. Je zult werknemers dus moeten vragen om zelf hun verantwoordelijkheid te nemen voor de beveiliging van hun Google-accounts.

  • Databases met informatie over datalekken

Een andere optie is om de aanmeldingsgegevens van je werknemers af te zetten tegen een database met informatie over beveiligingslekken. De beroemdste hiervan is Have I Been Pwned. Kleine organisaties kunnen handmatig e-mailadressen invoeren. Grotere bedrijven doen er goed aan om gebruik te maken van de API (een betaalde functie) voor het controleren van grote aantallen aanmeldingsgegevens. Elke organisatie kan gratis gebruikmaken van de zoekfunctie voor domeinen en meldingsfunctie van Have I Been Pwned.

  • Tools voor monitoring op wachtwoordlekken

Er zijn diverse betaalde, gratis of freemium tools beschikbaar waarmee bedrijven kunnen nagaan of hun e-mailadressen betrokken waren bij bekende datalekken. Veel van deze tools, zoals LastPass, bieden deze mogelijkheid als aanvulling op password management-diensten. De tool van LastPass zet bijvoorbeeld een lijst met e-mailadressen af tegen een database met informatie over datalekken. Je krijgt ook een lijst te zien van websites die door datalekken werden getroffen nadat je je wachtwoord voor het laatst hebt gewijzigd. Deze lijst heeft de titel “Compromised” en geeft aan dat je aanmeldingsgegevens mogelijk betrokken waren bij een datalek, hoewel dat niet per definitie het geval hoeft te zijn.

  • Beveiligingsconsultants en externe leveranciers

Als jij en je team over onvoldoende tijd en middelen beschikken om e-mailadressen af te zetten tegen databases of gebruik te maken van andere tools, kan het een goed idee zijn om deze onontbeerlijke controle uit te besteden. Sommige consultants en leveranciers zullen tools met je aanmeldproces integreren die proactief wachtwoorden blokkeren als die op basis van eerdere datalekken zwak blijken te zijn.

  • Betrek het personeel bij het proces

Bij uitstek de beste manier om het hergebruik van wachtwoorden te voorkomen en beveiligingsincidenten tot een minimum te beperken is om af te stappen van wachtwoorden. Als dat geen directe optie voor je is, is de op een na beste maatregel om over wachtwoorden te praten met de eindgebruikers zelf. Prent hen de noodzaak in van onberispelijke wachtwoordhygiëne. Dat is geen overbodige luxe, want 45% van alle werknemers ziet het hergebruik van wachtwoorden niet eens als een serieus probleem. Moedig je teams aan om op websites zoals Have I Been Pwned te controleren of hun e-mailadressen en wachtwoorden (zowel zakelijk als privé) zijn gelekt. Op die manier kunnen ze zich een goed idee vormen van de ernst van het probleem. Draagvlak voor wachtwoordhygiëne creëren bij het personeel is van cruciaal belang voor de netwerkbeveiliging als er gebruik wordt gemaakt van deelbare aanmeldingsgegevens.

Stelling

Het gebruik van wachtwoorden is een verouderde beveiligingstechniek die zijn langste tijd heeft gehad

Bekijk resultaten

Bron: haveibeenpwned.com, google.com, mindyourpass.io, beyondidentity.com, govexec.com, cybernews.com, dutchcowboys.nl | Jeroen de Hooge

Meer info over cybercrime

Tips of verdachte activiteiten gezien? Meld het hier.

Cybercrime gerelateerde berichten

Recordhoogte aanvallen op thuiswerksystemen: serieuze bedreiging voor het MKB

Tussen januari 2020 en juni 2021 waren er wereldwijd meer dan 71 miljard aanvallen gericht op RDP-(remote desktop protocol) systemen. Dat blijkt uit het nieuwste ESET-onderzoek ‘RANSOMWARE: A look at the criminal art of malicious code, pressure, and manipulation’. De meeste detecties per dag werden gezien in de eerste helft van 2021. Omdat RDP-aanvallen plaatsvinden door middel van een ‘normale’ inlogpoging worden veel aanvallen niet gedetecteerd. Dit maakt het aannemelijk dat het daadwerkelijke probleem nog veel groter is. Dave Maasland, CEO van ESET Nederland, noemt de dreiging serieus en meent dat actie ondernemen de enige weg vooruit is.

Lees meer »

"Een burn-out is een groot probleem binnen incidentrespons-teams"

VMware heeft tijdens Black Hat USA 2021 zijn zevende, jaarlijkse Global Incident Response Threat Report gepresenteerd. Dit rapport analyseert hoe aanvallers de realiteit manipuleren en zo het moderne dreigingslandschap veranderen. Het rapport constateerde een drastische toename van destructieve aanvallen, waarbij aanvallers geavanceerde technieken gebruiken om meer gerichte, geavanceerde aanvallen uit te voeren die de digitale realiteit vervormen – via business communications compromise (BCC) of door manipulatie van tijd.

Lees meer »

Vier keer zoveel supplychainaanvallen verwacht als in 2020

De European Union Agency For Cybersecurity (ENISA) waarschuwt voor fors meer zogeheten supplychainaanvallen in 2021. Dit type aanval raakt via één grote softwareleverancier alle aangesloten bedrijven, wat grote impact kan hebben. ENISA voorziet dat de hacks geavanceerder worden en geeft tips om dit type aanval tegen te gaan.

Lees meer »

Stelling: Het gebruik van wachtwoorden is een verouderde beveiligingstechniek die zijn langste tijd heeft gehad

Iedere seconde vinden er ergens ter wereld wel nieuwe pogingen plaats van cybercriminelen om websites, diensten, bedrijven of consumenten te hacken. Niet geheel onverwachts is er dus ook een toenemende kans op gelekte wachtwoorden, waardoor cybercriminelen eenvoudig toegang tot bedrijfsgegevens krijgen, aldus Beyond Identity, een leverancier van wachtwoordloze oplossingen voor identiteitsbeheer. Vorige maand meldde CyberNews dat er een bestand met de naam 'RockYou2021.txt' op een populair hackersforum is gezet. Daarbij gaat het om een verzameling van 8,4 miljard wereldwijd gelekte wachtwoorden. Ook in Nederland is het lekken van wachtwoorden schering en inslag.

Lees meer »