Cyberpediadoor Brain
NLDEENESFRIT

Brute-force-aanvallen en rekenkracht

Hoe een aanvaller duizenden wachtwoorden test, online of op een gestolen database, en wat u als medewerker ziet en kunt doen.

In 30 seconden

Waar het gebeurt
Op een inlogdienst (e-mail, VPN, toegang op afstand), of offline, op hashes van wachtwoorden die al zijn gestolen1.
Wat de aanvaller wil
Een wachtwoord in leesbare tekst, waarmee hij kan inloggen op alle systemen waartoe het account toegang geeft2.
De reflex
Een lang en uniek wachtwoord per dienst, bewaard in een wachtwoordmanager, met tweestapsverificatie waar die bestaat3.
Als het al gebeurd is
Verander het wachtwoord onmiddellijk bij de minste verdenking3.

Waar gaat het over

Bij een brute-force-aanval probeert de aanvaller het ene wachtwoord na het andere, tot hij het juiste vindt. De aanval richt zich op accounts waarvan de aanvaller het wachtwoord niet kent, of op vingerafdrukken van wachtwoorden (hashes) die hij heeft bemachtigd1.

Voor een medewerker geldt: een kort of veelgebruikt wachtwoord valt snel, of de aanval nu de inlogpagina van het bedrijf treft of een gestolen database.

Directe vragen

Wat is een brute-force-aanval?

Het is een systematische zoektocht, met een zich herhalend mechanisme, naar een onbekend wachtwoord1. De aanval verloopt ofwel door een dienst te bevragen die inloggegevens controleert, ofwel offline tegen gegevens die al gestolen zijn, zoals hashes1. Cybermalveillance.gouv.fr stelt dat deze aanvallen, uitgevoerd door computers, tienduizenden combinaties per seconde kunnen testen3.

Wat is het verschil tussen een online en een offline aanval?

Online loopt de aanvaller via de inlogdienst, die mislukte pogingen kan tellen en kan blokkeren. Offline heeft hij de hashes al en werkt hij meestal op zijn eigen machines, buiten het netwerk van het slachtoffer2.

Is mijn wachtwoord in gevaar als een andere site is gehackt?

Ja, als u het hergebruikt. Wanneer een site is gecompromitteerd, worden soms grote aantallen combinaties van gebruikersnaam en wachtwoord gepubliceerd. De aanvaller probeert ze uit op andere accounts, in de verwachting dat mensen privé en op het werk hetzelfde wachtwoord gebruiken4.

Is een vergrendelingsregel voldoende?

Nee. Password spraying omzeilt de vergrendeling: de aanvaller probeert één veelgebruikt wachtwoord, of een korte lijst, op veel accounts, om de blokkades te vermijden die een account met veel pogingen zouden treffen5. En een te strenge vergrendeling kan alle beoogde accounts blokkeren en de omgeving onbruikbaar maken1.

1In de huid van de aanvaller1 min

De aanvaller kiest zijn methode op basis van wat hij in handen heeft. Heeft hij niets, dan gokt hij: hij probeert een lijst met veelgebruikte wachtwoorden, met of zonder rekening te houden met het complexiteitsbeleid van het doelwit6. Die keuze is riskant voor hem, want ze kan veel mislukte pogingen en vergrendelingen veroorzaken6.

Met een lijst inloggegevens uit een datalek stapt hij over op credential stuffing4. Met één veelgebruikt wachtwoord dat op veel accounts wordt geprobeerd, is het password spraying5. Met hashes kraakt hij de wachtwoorden offline, door systematisch te zoeken of met een vooraf berekende tabel, een rainbow table2.

De beoogde diensten zijn vaak beheerdiensten op gangbare poorten: bijvoorbeeld SSH, RDP, SMB of LDAP5. Cloudtoepassingen en e-mail die via internet bereikbaar zijn, zoals Office 365, worden ook aangevallen6.

Een aanvaller kan ook zijn omgeving aanpassen. Vindt hij het juiste wachtwoord maar houden toegangsregels op basis van locatie hem tegen, dan kan hij van infrastructuur wisselen tot die overeenkomt met de locatie van het slachtoffer1.

2Wat u op het scherm ziet1 min

Het slachtoffer van een online aanval ziet vooral indirecte effecten: een vergrendelingsregel kan zijn account blokkeren1. In de logboeken veroorzaken mislukte SMB-aanmeldingen de Windows-gebeurtenis 4625; LDAP- en Kerberos-pogingen leveren die minder vaak op6.

Het klassieke signaal voor beveiligingsteams is een groot aantal mislukte pogingen gevolgd door een geslaagde, vanaf een verdachte gebruiker, machine of tijdstip1. Password spraying herkent men aan pogingen die in korte tijd over veel accounts verspreid zijn1.

Een ander teken: verzoeken om tweestapsverificatie goed te keuren die u niet zelf hebt gestart. CISA beschrijft de techniek van "MFA bombing" of "MFA fatigue", waarbij de aanvaller verzoeken naar het apparaat van het slachtoffer blijft sturen tot die ze accepteert7.

Na een offline aanval is het zichtbare teken een plotselinge, geldige aanmelding vanaf een account waarvan de hashes waren gestolen2.

3Onder de motorkapIT-teams2 min

Een wachtwoord wordt normaal niet in leesbare tekst opgeslagen, maar als hash. De aangehaalde pagina is de herziening SP 800-63-3 van NIST, sinds 1 augustus 2025 vervangen door SP 800-63-48. Die herziening vroeg om wachtwoorden te voorzien van een salt en daarna te hashen met een geschikte sleutelafleidingsfunctie8. Zo'n functie neemt het wachtwoord, een salt en een kostenfactor als invoer en levert de hash op8. De salt moet minstens 32 bits lang zijn en willekeurig gekozen worden om botsingen tussen opgeslagen hashes te beperken8.

Het doel van dit ontwerp is elke poging van de aanvaller duur te maken, en dus de hele aanval kostbaar, zelfs onbetaalbaar8. Bij PBKDF2 is de kostenfactor een aantal iteraties: hoe hoger, hoe langer het berekenen van de hash duurt, en NIST raadde een aantal iteraties aan zo hoog als de server toelaat, doorgaans minstens 10 0008. NIST raadde ook een geheugenintensieve functie aan, die de kosten van een aanval verhoogt8.

Ook de beschikbare rekenkracht bepaalt die kosten. NIST merkte op dat aanvallers vele miljarden hashes per seconde kunnen berekenen zonder beperking van de snelheid, waardoor wachtwoorden nodig waren die vele ordes van grootte complexer zijn dan wachtwoorden die alleen online aanvallen hoeven te doorstaan8. De gelezen bronnen beschrijven de rol van grafische processors (GPU's) en ASIC-chips niet in detail. MITRE noemt alleen, onder de tekenen van het kraken van hashes, het gebruik van hulpmiddelen als John the Ripper of Hashcat met een hoge processorbelasting of een beroep op de GPU2.

Online eiste die herziening een maximum van 100 opeenvolgende mislukte pogingen per account, en stelde ze voor de wachttijd te verlengen naarmate dat maximum nadert (van 30 seconden tot een uur) of een CAPTCHA te vragen8. Voor wachtwoorden stelde ze een minimum van 8 tekens vast en vroeg ze wachtwoorden te weigeren die op een lijst van gecompromitteerde waarden staan8. Cybermalveillance.gouv.fr beveelt minstens 12 tekens aan, met hoofdletters, kleine letters, cijfers en speciale tekens3.

4IncidentanalysesEchte gevallen1 min

Februari 2024: het CISA-advies over de groep APT29

Op 26 februari 2024 publiceert CISA het advies AA24-057A samen met het Britse NCSC en partners. Het beschrijft de methoden van de groep APT29, ook Midnight Blizzard genoemd, die deze diensten vrijwel zeker tot de SVR rekenen, de Russische inlichtingendienst7. De beschreven methoden zijn in de afgelopen 12 maanden waargenomen7.

Eerdere campagnes slaagden er via brute force en password spraying in toegang te krijgen tot serviceaccounts7. Die accounts hebben geen menselijke gebruiker, zijn dus slecht te beschermen met tweestapsverificatie, en hebben vaak veel rechten7. De groep richtte zich ook op slapende accounts van voormalige medewerkers7. Ze gebruikte residentiële proxy's, zodat haar verbindingen op die van gewone gebruikers leken7.

2016: een aanval op het Oekraïense elektriciteitsnet

Bij de aanval van 2016 op het Oekraïense elektriciteitsnet gebruikte Sandworm Team een script om RPC-authenticatie te proberen tegen meerdere machines1.

2025: wisaanvallen in Polen

Tijdens de aanvallen van 2025 in Polen, die bedoeld waren om gegevens te wissen, probeerden de aanvallers wachtwoorden van gebruikers te kraken2.

April 2026: een rapport over een door AI ondersteunde inbraak in Mexico

MITRE noemt een inbraak in de infrastructuur van de Mexicaanse overheid, gedocumenteerd in april 2026. De aanvaller liet daarbij Claude Code SSH-aanmeldingen met brute force proberen1 en wachtwoordhashes uit databases van de getroffen organisaties kraken2.

Fiche

Identificatie
CP-038
Vleugel
1. Aanvallen en technieken
Brain-competentie
Wachtwoorden beheersen (master_passwords)
Brain-reflex
cr-010
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
  1. MITRE ATT&CK, “Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/002/ (geraadpleegd op 3 november 2026)
  3. Cybermalveillance.gouv.fr, “Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance”, 23 november 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/004/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/003/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/001/ (geraadpleegd op 3 november 2026)
  7. CISA, “SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA”, 26 februari 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (geraadpleegd op 3 november 2026)
  8. NIST, “NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Brute-force-aanvallen en rekenkracht”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/

BibTeX 
@misc{brain_cp038_nl_2026,
  author = {Brain},
  title = {Brute-force-aanvallen en rekenkracht},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0