--- id: CP-038 slug: brute-force-aanval-gpu-asic lang: nl title: Brute-force-aanvallen en rekenkracht description: Hoe een aanvaller duizenden wachtwoorden test, online of op een gestolen database, en wat u als medewerker ziet en kunt doen. canonical_url: https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Brute-force-aanvallen en rekenkracht”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-010 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ en: https://startbrain.io/cyberpedia/en/articles/brute-force-attack-gpu-asic/ de: https://startbrain.io/cyberpedia/de/articles/brute-force-angriff-gpu-asic/ es: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ it: https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/ sources: - "n": 1 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 2 title: "Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/002/ accessed: "2026-11-03" - "n": 3 title: Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 4 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 5 title: "Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/003/ accessed: "2026-11-03" - "n": 6 title: "Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/001/ accessed: "2026-11-03" - "n": 7 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Brute-force-aanvallen en rekenkracht Bij een brute-force-aanval probeert de aanvaller het ene wachtwoord na het andere, tot hij het juiste vindt. De aanval richt zich op accounts waarvan de aanvaller het wachtwoord niet kent, of op vingerafdrukken van wachtwoorden (hashes) die hij heeft bemachtigd [1]. Voor een medewerker geldt: een kort of veelgebruikt wachtwoord valt snel, of de aanval nu de inlogpagina van het bedrijf treft of een gestolen database. ## In 30 seconden - Waar het gebeurt: op een inlogdienst (e-mail, VPN, toegang op afstand), of offline, op hashes van wachtwoorden die al zijn gestolen [1]. - Wat de aanvaller wil: een wachtwoord in leesbare tekst, waarmee hij kan inloggen op alle systemen waartoe het account toegang geeft [2]. - De reflex: een lang en uniek wachtwoord per dienst, bewaard in een wachtwoordmanager, met tweestapsverificatie waar die bestaat [3]. - Als het al gebeurd is: verander het wachtwoord onmiddellijk bij de minste verdenking [3]. ## Directe vragen ### Wat is een brute-force-aanval? Het is een systematische zoektocht, met een zich herhalend mechanisme, naar een onbekend wachtwoord [1]. De aanval verloopt ofwel door een dienst te bevragen die inloggegevens controleert, ofwel offline tegen gegevens die al gestolen zijn, zoals hashes [1]. Cybermalveillance.gouv.fr stelt dat deze aanvallen, uitgevoerd door computers, tienduizenden combinaties per seconde kunnen testen [3]. ### Wat is het verschil tussen een online en een offline aanval? Online loopt de aanvaller via de inlogdienst, die mislukte pogingen kan tellen en kan blokkeren. Offline heeft hij de hashes al en werkt hij meestal op zijn eigen machines, buiten het netwerk van het slachtoffer [2]. ### Is mijn wachtwoord in gevaar als een andere site is gehackt? Ja, als u het hergebruikt. Wanneer een site is gecompromitteerd, worden soms grote aantallen combinaties van gebruikersnaam en wachtwoord gepubliceerd. De aanvaller probeert ze uit op andere accounts, in de verwachting dat mensen privé en op het werk hetzelfde wachtwoord gebruiken [4]. ### Is een vergrendelingsregel voldoende? Nee. Password spraying omzeilt de vergrendeling: de aanvaller probeert één veelgebruikt wachtwoord, of een korte lijst, op veel accounts, om de blokkades te vermijden die een account met veel pogingen zouden treffen [5]. En een te strenge vergrendeling kan alle beoogde accounts blokkeren en de omgeving onbruikbaar maken [1]. ## In de huid van de aanvaller De aanvaller kiest zijn methode op basis van wat hij in handen heeft. Heeft hij niets, dan gokt hij: hij probeert een lijst met veelgebruikte wachtwoorden, met of zonder rekening te houden met het complexiteitsbeleid van het doelwit [6]. Die keuze is riskant voor hem, want ze kan veel mislukte pogingen en vergrendelingen veroorzaken [6]. Met een lijst inloggegevens uit een datalek stapt hij over op credential stuffing [4]. Met één veelgebruikt wachtwoord dat op veel accounts wordt geprobeerd, is het password spraying [5]. Met hashes kraakt hij de wachtwoorden offline, door systematisch te zoeken of met een vooraf berekende tabel, een rainbow table [2]. De beoogde diensten zijn vaak beheerdiensten op gangbare poorten: bijvoorbeeld SSH, RDP, SMB of LDAP [5]. Cloudtoepassingen en e-mail die via internet bereikbaar zijn, zoals Office 365, worden ook aangevallen [6]. Een aanvaller kan ook zijn omgeving aanpassen. Vindt hij het juiste wachtwoord maar houden toegangsregels op basis van locatie hem tegen, dan kan hij van infrastructuur wisselen tot die overeenkomt met de locatie van het slachtoffer [1]. ## Wat u op het scherm ziet Het slachtoffer van een online aanval ziet vooral indirecte effecten: een vergrendelingsregel kan zijn account blokkeren [1]. In de logboeken veroorzaken mislukte SMB-aanmeldingen de Windows-gebeurtenis 4625; LDAP- en Kerberos-pogingen leveren die minder vaak op [6]. Het klassieke signaal voor beveiligingsteams is een groot aantal mislukte pogingen gevolgd door een geslaagde, vanaf een verdachte gebruiker, machine of tijdstip [1]. Password spraying herkent men aan pogingen die in korte tijd over veel accounts verspreid zijn [1]. Een ander teken: verzoeken om tweestapsverificatie goed te keuren die u niet zelf hebt gestart. CISA beschrijft de techniek van "MFA bombing" of "MFA fatigue", waarbij de aanvaller verzoeken naar het apparaat van het slachtoffer blijft sturen tot die ze accepteert [7]. Na een offline aanval is het zichtbare teken een plotselinge, geldige aanmelding vanaf een account waarvan de hashes waren gestolen [2]. ## Onder de motorkap Een wachtwoord wordt normaal niet in leesbare tekst opgeslagen, maar als hash. De aangehaalde pagina is de herziening SP 800-63-3 van NIST, sinds 1 augustus 2025 vervangen door SP 800-63-4 [8]. Die herziening vroeg om wachtwoorden te voorzien van een salt en daarna te hashen met een geschikte sleutelafleidingsfunctie [8]. Zo'n functie neemt het wachtwoord, een salt en een kostenfactor als invoer en levert de hash op [8]. De salt moet minstens 32 bits lang zijn en willekeurig gekozen worden om botsingen tussen opgeslagen hashes te beperken [8]. Het doel van dit ontwerp is elke poging van de aanvaller duur te maken, en dus de hele aanval kostbaar, zelfs onbetaalbaar [8]. Bij PBKDF2 is de kostenfactor een aantal iteraties: hoe hoger, hoe langer het berekenen van de hash duurt, en NIST raadde een aantal iteraties aan zo hoog als de server toelaat, doorgaans minstens 10 000 [8]. NIST raadde ook een geheugenintensieve functie aan, die de kosten van een aanval verhoogt [8]. Ook de beschikbare rekenkracht bepaalt die kosten. NIST merkte op dat aanvallers vele miljarden hashes per seconde kunnen berekenen zonder beperking van de snelheid, waardoor wachtwoorden nodig waren die vele ordes van grootte complexer zijn dan wachtwoorden die alleen online aanvallen hoeven te doorstaan [8]. De gelezen bronnen beschrijven de rol van grafische processors (GPU's) en ASIC-chips niet in detail. MITRE noemt alleen, onder de tekenen van het kraken van hashes, het gebruik van hulpmiddelen als John the Ripper of Hashcat met een hoge processorbelasting of een beroep op de GPU [2]. Online eiste die herziening een maximum van 100 opeenvolgende mislukte pogingen per account, en stelde ze voor de wachttijd te verlengen naarmate dat maximum nadert (van 30 seconden tot een uur) of een CAPTCHA te vragen [8]. Voor wachtwoorden stelde ze een minimum van 8 tekens vast en vroeg ze wachtwoorden te weigeren die op een lijst van gecompromitteerde waarden staan [8]. Cybermalveillance.gouv.fr beveelt minstens 12 tekens aan, met hoofdletters, kleine letters, cijfers en speciale tekens [3]. ## Incidentanalyses ### Februari 2024: het CISA-advies over de groep APT29 Op 26 februari 2024 publiceert CISA het advies AA24-057A samen met het Britse NCSC en partners. Het beschrijft de methoden van de groep APT29, ook Midnight Blizzard genoemd, die deze diensten vrijwel zeker tot de SVR rekenen, de Russische inlichtingendienst [7]. De beschreven methoden zijn in de afgelopen 12 maanden waargenomen [7]. Eerdere campagnes slaagden er via brute force en password spraying in toegang te krijgen tot serviceaccounts [7]. Die accounts hebben geen menselijke gebruiker, zijn dus slecht te beschermen met tweestapsverificatie, en hebben vaak veel rechten [7]. De groep richtte zich ook op slapende accounts van voormalige medewerkers [7]. Ze gebruikte residentiële proxy's, zodat haar verbindingen op die van gewone gebruikers leken [7]. ### 2016: een aanval op het Oekraïense elektriciteitsnet Bij de aanval van 2016 op het Oekraïense elektriciteitsnet gebruikte Sandworm Team een script om RPC-authenticatie te proberen tegen meerdere machines [1]. ### 2025: wisaanvallen in Polen Tijdens de aanvallen van 2025 in Polen, die bedoeld waren om gegevens te wissen, probeerden de aanvallers wachtwoorden van gebruikers te kraken [2]. ### April 2026: een rapport over een door AI ondersteunde inbraak in Mexico MITRE noemt een inbraak in de infrastructuur van de Mexicaanse overheid, gedocumenteerd in april 2026. De aanvaller liet daarbij Claude Code SSH-aanmeldingen met brute force proberen [1] en wachtwoordhashes uit databases van de getroffen organisaties kraken [2]. ## Bronnen 1. MITRE ATT&CK, “Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/ (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/002/ (geraadpleegd op 3 november 2026) 3. Cybermalveillance.gouv.fr, “Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance”, 23 november 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/004/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/003/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/001/ (geraadpleegd op 3 november 2026) 7. CISA, “SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA”, 26 februari 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (geraadpleegd op 3 november 2026) 8. NIST, “NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.