--- id: CP-036 slug: credential-stuffing-hergebruikte-inloggegevens lang: nl title: Credential stuffing description: Wachtwoorden die bij een datalek zijn buitgemaakt, worden door bots op andere diensten geprobeerd. Hoe de aanval werkt en hoe u zich beschermt. canonical_url: https://startbrain.io/cyberpedia/nl/articles/credential-stuffing-hergebruikte-inloggegevens/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/credential-stuffing-hergebruikte-inloggegevens.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Credential stuffing”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/credential-stuffing-hergebruikte-inloggegevens/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-008 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/credential-stuffing-hergebruikte-inloggegevens/ fr: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ en: https://startbrain.io/cyberpedia/en/articles/credential-stuffing-leaked-passwords/ de: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ es: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ it: https://startbrain.io/cyberpedia/it/articles/credential-stuffing-reinserimento-credenziali/ sources: - "n": 1 title: Credential stuffing | OWASP Foundation publisher: OWASP url: https://community.owasp.org/attacks/Credential_stuffing accessed: "2026-11-03" - "n": 2 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 3 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 6 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 7 title: Choosing and Protecting Passwords publisher: CISA url: https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords published: "2009-05-21" accessed: "2026-11-03" - "n": 8 title: Password administration for system owners publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords published: "2018-11-19" accessed: "2026-11-03" --- # Credential stuffing Credential stuffing, in het Frans "réinjection d'identifiants", houdt in dat combinaties van gebruikersnaam en wachtwoord die bij een datalek zijn buitgemaakt, automatisch op andere websites worden geprobeerd. OWASP beschrijft het als het geautomatiseerd invoeren van die combinaties in inlogformulieren, om op frauduleuze wijze toegang tot accounts te krijgen [1]. Een medewerker hoeft geen fout te maken om getroffen te worden: zijn account is niet rechtstreeks aangevallen. Het volstaat dat een wachtwoord dat op een onbelangrijke site wordt gebruikt, ook elders in gebruik is, bijvoorbeeld voor de zakelijke mailbox. ## In 30 seconden - Waar het gebeurt: bij elke dienst met een inlogformulier, waaronder de mailbox, de online toepassingen van het bedrijf en portalen voor eenmalige aanmelding [1][2]. - Wat de aanvaller wil: tussen buitgemaakte combinaties van inloggegevens degene vinden die een echt account openen, in de verwachting dat wachtwoorden hergebruikt worden [1][2]. - De reflex: voor elke dienst een ander wachtwoord, bewaard in een wachtwoordmanager, met tweestapsverificatie waar die bestaat [5][6]. - Als het al gebeurd is: wijzig het betrokken wachtwoord meteen [5]. ## Directe vragen ### Wat is het verschil met brute force? Bij brute force worden meerdere wachtwoorden geprobeerd op een of meer accounts: de aanvaller raadt. Credential stuffing gebruikt combinaties die al bekend zijn uit een datalek, tegen andere sites [1]. OWASP rekent het tot een deelverzameling van brute force, en MITRE maakt er de subtechniek T1110.004 van, onder de techniek "Brute Force" [1][2]. ### Waarom werkt het? Omdat veel mensen hetzelfde wachtwoord en dezelfde gebruikersnaam of hetzelfde e-mailadres hergebruiken. Wanneer die gegevens zijn uitgelekt, kan het voldoende zijn ze op tientallen of honderden andere sites in te voeren om daar accounts te compromitteren [1]. MITRE voegt eraan toe dat hergebruik zowel persoonlijke als zakelijke accounts treft [2]. ### Mijn wachtwoord is lang en complex: ben ik veilig? Nee, als het op meerdere plaatsen wordt gebruikt. Volgens CISA brengt het hergebruiken van een wachtwoord, ook een sterk, accounts evenzeer in gevaar als een zwak wachtwoord [7]. Lengte beschermt tegen raden, niet tegen het hergebruik van een wachtwoord dat al is buitgemaakt. ### Is een hergebruikt wachtwoord de enige toegangsweg? Nee. OWASP wijst erop dat gegevens uit een datalek ook dienen om wachtwoorden te resetten, vooral bij bedrijfsaccounts: beveiligingsvragen, hersteladressen of andere persoonlijke gegevens in het lek maken dan overname mogelijk, ook zonder hergebruik [1]. ### Kan een overgenomen account ook voor iets anders dienen? Ja. Met een geldig account kan iemand het netwerk binnenkomen zonder schadelijke software, waardoor de aanwezigheid van de aanvaller moeilijker op te merken is [4]. ## In de huid van de aanvaller De aanvaller begint met het verzamelen van inloggegevens: het lek van een site, phishing of een site waar wachtwoorden worden gedumpt [1]. Hij heeft geen wrok tegen een bepaald persoon nodig. CISA merkt op dat een aanval vaak niet op een specifiek account gericht is, maar op de toegang die het geeft om een bredere aanval uit te voeren [7]. Vervolgens geeft hij die combinaties aan geautomatiseerde tools, die ze op talloze sites proberen: sociale netwerken, webwinkels, webtoepassingen [1]. Een geslaagde inlogpoging laat hem weten dat hij geldige inloggegevens heeft [1]. Dan moet hij er nog gebruik van maken. OWASP noemt vier mogelijke vervolgstappen: accounts leegmaken of er aankopen mee doen, gevoelige informatie lezen (kaartnummers, privéberichten, documenten), phishingberichten of spam vanaf het account versturen, en de geldige inloggegevens doorverkopen aan andere aanvallers [1]. MITRE benadrukt dat deze methode veel mislukte aanmeldingen en vergrendelde accounts kan veroorzaken, afhankelijk van het beleid van de getroffen organisatie [2]. Verdedigers kunnen van hun kant riskante inlogverzoeken blokkeren, zoals verzoeken via anonimiseringsdiensten of proxy's [2]. ## Wat u op het scherm ziet Het slachtoffer ziet zelden de aanval zelf. Het ziet de gevolgen, en die verschillen naargelang wat de aanvaller met het account besloten heeft te doen. - Een bericht van de dienst over een aanmelding vanaf een onbekend apparaat. De CNIL beschrijft dit geval: de site waarschuwt per sms of e-mail, en de persoon kan de toegang toestaan of weigeren [6]. - Een vergrendeld account na veel mislukte aanmeldingen. MITRE noemt zulke vergrendelingen als mogelijk gevolg [2]. - Aankopen, berichten of documenten waar de accounthouder niets mee te maken heeft, want dat zijn de gebruiksvormen die OWASP beschrijft [1]. - Een e-mail voor het resetten van een wachtwoord die u niet hebt aangevraagd. Cybermalveillance.gouv.fr legt uit waarom de mailbox een doelwit is: daar komen de resetlinks van andere accounts binnen, en wie de mailbox kraakt, kan de functie "wachtwoord vergeten" gebruiken om bijvoorbeeld een bankrekening over te nemen [5]. Geen van deze situaties bewijst op zichzelf credential stuffing. Ze zijn allemaal een reden om het wachtwoord te wijzigen en de IT-afdeling te waarschuwen als het om een zakelijk account gaat. ## Onder de motorkap OWASP illustreert het mechanisme met een schema: de database van een site, acme.com, wordt gecompromitteerd. De aanvaller probeert die inloggegevens op drie andere sites. Hij stelt vast dat een gebruiker, "spongebob", zijn wachtwoord op twee sites hergebruikt en een gebruikster, "sally", het op één site hergebruikt: drie accounts worden geopend [1]. De doelwitten beperken zich niet tot consumentensites. MITRE noemt beheerdiensten op gangbare poorten (SSH, RDP, SMB, LDAP, databases), maar ook eenmalige aanmelding, cloudtoepassingen op basis van gefedereerde protocollen en blootgestelde mailsystemen zoals Office 365 [2]. Voor detectie beschrijft MITRE typische signalen: veel mislukte pogingen met verschillende combinaties vanaf hetzelfde IP-adres in korte tijd, of mislukte pogingen op cloudtoepassingen met combinaties uit domeinen die niets met elkaar te maken hebben [2]. Nog een technisch punt: als een aanvaller het juiste wachtwoord kent maar tegen een toegangsregel op basis van locatie aanloopt, kan hij van infrastructuur wisselen om overeen te komen met de locatie van het slachtoffer en de regel zo omzeilen [3]. De maatregelen aan de kant van de organisatie volgens MITRE: accounts vergrendelen na een aantal mislukte pogingen (een te strenge regel kan legitieme accounts blokkeren), meervoudige authenticatie verplichten, accounts waarvan bekend is dat ze in lekken voorkomen proactief resetten [2]. OWASP noemt meervoudige authenticatie de belangrijkste tegenmaatregel [1]. ## Wat u doet - Een ander wachtwoord per dienst. Zo is bij diefstal alleen de betrokken dienst kwetsbaar [5]. De CNIL vraagt om een eigen, uniek wachtwoord voor elk gevoelig account (bank, mailbox, sociaal netwerk) om kettingreacties van hacks te voorkomen [6]. - Een wachtwoordmanager, die in uw plaats lange en allemaal verschillende wachtwoorden onthoudt [6]. Cybermalveillance.gouv.fr noemt KeePassXC, door de ANSSI gecertificeerd in versie 2.7.9 [5]. Het hoofdwachtwoord van de manager moet zelf sterk zijn [7]. - Tweestapsverificatie wanneer de dienst die aanbiedt: naast het wachtwoord zorgt een bevestiging met code, app, sleutel of biometrie ervoor dat alleen u een nieuw apparaat toestaat [5]. - Meteen wijzigen bij de minste verdenking, of zodra u hoort dat een bedrijf waar u een account hebt, gehackt is, zonder af te wachten of dat klopt [5]. - Een bijzonder sterk wachtwoord voor de mailbox, omdat daarmee de reset van veel andere accounts openstaat [5]. De Britse NCSC stelt bovendien, in een nieuwsbericht van 23 april 2026, dat passkeys een veiligere en eenvoudigere manier van inloggen zijn en de standaardoptie voor particulieren zouden moeten zijn [8]. ## De valkuilen - Denken dat een "onbelangrijk" account niet telt. Een wachtwoord dat op een nevensite is buitgemaakt, wordt elders geprobeerd [1]. - Eén goed wachtwoord onthouden en dat ongewijzigd overal gebruiken. Dat is hergebruik [7]. - Wachtwoorden bewaren op een geeltje, in de mailbox, in een onbeveiligd bestand of in de telefoon [5]. - Wachtwoorden opslaan in de browser van een gedeelde computer [6]. ## Incidentanalyses OWASP verzamelt datalekken waarvan de analyse er volgens hem op wijst dat ze het gevolg zijn van credential stuffing. Hier volgen er vier, zoals hij ze meldt [1]. ### Sony, 2011 Een analist stelt vast dat van de gebruikers die zowel in de gegevens van Sony als in die van het eerder dat jaar voorgevallen Gawker-lek voorkwamen, twee derde op beide systemen hetzelfde wachtwoord had [1]. ### Yahoo, 2012 OWASP citeert Troy Hunt, die de lekken van Sony en Yahoo met elkaar in verband brengt via een gemeenschappelijk punt: de wachtwoorden [1]. ### Dropbox, 2012 Dropbox liet weten dat de gebruikersnamen en wachtwoorden die in de pers werden genoemd, bij andere diensten waren buitgemaakt en niet bij Dropbox zelf. Aanvallers hadden ze vervolgens op sites over het hele internet geprobeerd, waaronder Dropbox [1]. ### JPMorgan Chase, 2014 De gegevens uit het lek bevatten combinaties van wachtwoorden en adressen van deelnemers die waren ingeschreven op de site Corporate Challenge, een platform voor jaarlijkse liefdadigheidsloopwedstrijden dat door een externe dienstverlener werd beheerd en openstond voor medewerkers van de bank en van andere bedrijven. OWASP preciseert dat dit lek uit een aparte bron kwam: aanvallers richtten zich op een externe site voor wedstrijden om er inloggegevens uit te halen die tegen JPMC konden worden gebruikt [1]. ## Bronnen 1. OWASP, “Credential stuffing | OWASP Foundation”. https://community.owasp.org/attacks/Credential_stuffing (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/004/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/ (geraadpleegd op 3 november 2026) 5. Cybermalveillance.gouv.fr, “Pourquoi et comment bien gérer ses mots de passe ?”, 23 november 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (geraadpleegd op 3 november 2026) 6. CNIL, “Les conseils de la CNIL pour un bon mot de passe”, 26 januari 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (geraadpleegd op 3 november 2026) 7. CISA, “Choosing and Protecting Passwords”, 21 mei 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (geraadpleegd op 3 november 2026) 8. NCSC (Royaume-Uni), “Password administration for system owners”, 19 november 2018. https://www.ncsc.gov.uk/collection/passwords (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/credential-stuffing-hergebruikte-inloggegevens/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.