Credential stuffing

De aanvaller begint met het verzamelen van inloggegevens: het lek van een site, phishing of een site waar wachtwoorden worden gedumpt¹. Hij heeft geen wrok tegen een bepaald persoon nodig. CISA merkt op dat een aanval vaak niet op een specifiek account gericht is, maar op de toegang die het geeft om een bredere aanval uit te voeren⁷.

Vervolgens geeft hij die combinaties aan geautomatiseerde tools, die ze op talloze sites proberen: sociale netwerken, webwinkels, webtoepassingen¹. Een geslaagde inlogpoging laat hem weten dat hij geldige inloggegevens heeft¹.

Dan moet hij er nog gebruik van maken. OWASP noemt vier mogelijke vervolgstappen: accounts leegmaken of er aankopen mee doen, gevoelige informatie lezen (kaartnummers, privéberichten, documenten), phishingberichten of spam vanaf het account versturen, en de geldige inloggegevens doorverkopen aan andere aanvallers¹.

MITRE benadrukt dat deze methode veel mislukte aanmeldingen en vergrendelde accounts kan veroorzaken, afhankelijk van het beleid van de getroffen organisatie². Verdedigers kunnen van hun kant riskante inlogverzoeken blokkeren, zoals verzoeken via anonimiseringsdiensten of proxy's².

Het slachtoffer ziet zelden de aanval zelf. Het ziet de gevolgen, en die verschillen naargelang wat de aanvaller met het account besloten heeft te doen.

• Een bericht van de dienst over een aanmelding vanaf een onbekend apparaat. De CNIL beschrijft dit geval: de site waarschuwt per sms of e-mail, en de persoon kan de toegang toestaan of weigeren⁶.
• Een vergrendeld account na veel mislukte aanmeldingen. MITRE noemt zulke vergrendelingen als mogelijk gevolg².
• Aankopen, berichten of documenten waar de accounthouder niets mee te maken heeft, want dat zijn de gebruiksvormen die OWASP beschrijft¹.
• Een e-mail voor het resetten van een wachtwoord die u niet hebt aangevraagd. Cybermalveillance.gouv.fr legt uit waarom de mailbox een doelwit is: daar komen de resetlinks van andere accounts binnen, en wie de mailbox kraakt, kan de functie "wachtwoord vergeten" gebruiken om bijvoorbeeld een bankrekening over te nemen⁵.

Geen van deze situaties bewijst op zichzelf credential stuffing. Ze zijn allemaal een reden om het wachtwoord te wijzigen en de IT-afdeling te waarschuwen als het om een zakelijk account gaat.

OWASP illustreert het mechanisme met een schema: de database van een site, acme.com, wordt gecompromitteerd. De aanvaller probeert die inloggegevens op drie andere sites. Hij stelt vast dat een gebruiker, "spongebob", zijn wachtwoord op twee sites hergebruikt en een gebruikster, "sally", het op één site hergebruikt: drie accounts worden geopend¹.

De doelwitten beperken zich niet tot consumentensites. MITRE noemt beheerdiensten op gangbare poorten (SSH, RDP, SMB, LDAP, databases), maar ook eenmalige aanmelding, cloudtoepassingen op basis van gefedereerde protocollen en blootgestelde mailsystemen zoals Office 365². Voor detectie beschrijft MITRE typische signalen: veel mislukte pogingen met verschillende combinaties vanaf hetzelfde IP-adres in korte tijd, of mislukte pogingen op cloudtoepassingen met combinaties uit domeinen die niets met elkaar te maken hebben².

Nog een technisch punt: als een aanvaller het juiste wachtwoord kent maar tegen een toegangsregel op basis van locatie aanloopt, kan hij van infrastructuur wisselen om overeen te komen met de locatie van het slachtoffer en de regel zo omzeilen³.

De maatregelen aan de kant van de organisatie volgens MITRE: accounts vergrendelen na een aantal mislukte pogingen (een te strenge regel kan legitieme accounts blokkeren), meervoudige authenticatie verplichten, accounts waarvan bekend is dat ze in lekken voorkomen proactief resetten². OWASP noemt meervoudige authenticatie de belangrijkste tegenmaatregel¹.

• Een ander wachtwoord per dienst. Zo is bij diefstal alleen de betrokken dienst kwetsbaar⁵. De CNIL vraagt om een eigen, uniek wachtwoord voor elk gevoelig account (bank, mailbox, sociaal netwerk) om kettingreacties van hacks te voorkomen⁶.
• Een wachtwoordmanager, die in uw plaats lange en allemaal verschillende wachtwoorden onthoudt⁶. Cybermalveillance.gouv.fr noemt KeePassXC, door de ANSSI gecertificeerd in versie 2.7.9⁵. Het hoofdwachtwoord van de manager moet zelf sterk zijn⁷.
• Tweestapsverificatie wanneer de dienst die aanbiedt: naast het wachtwoord zorgt een bevestiging met code, app, sleutel of biometrie ervoor dat alleen u een nieuw apparaat toestaat⁵.
• Meteen wijzigen bij de minste verdenking, of zodra u hoort dat een bedrijf waar u een account hebt, gehackt is, zonder af te wachten of dat klopt⁵.
• Een bijzonder sterk wachtwoord voor de mailbox, omdat daarmee de reset van veel andere accounts openstaat⁵.

De Britse NCSC stelt bovendien, in een nieuwsbericht van 23 april 2026, dat passkeys een veiligere en eenvoudigere manier van inloggen zijn en de standaardoptie voor particulieren zouden moeten zijn⁸.

• Denken dat een "onbelangrijk" account niet telt. Een wachtwoord dat op een nevensite is buitgemaakt, wordt elders geprobeerd¹.
• Eén goed wachtwoord onthouden en dat ongewijzigd overal gebruiken. Dat is hergebruik⁷.
• Wachtwoorden bewaren op een geeltje, in de mailbox, in een onbeveiligd bestand of in de telefoon⁵.
• Wachtwoorden opslaan in de browser van een gedeelde computer⁶.

OWASP verzamelt datalekken waarvan de analyse er volgens hem op wijst dat ze het gevolg zijn van credential stuffing. Hier volgen er vier, zoals hij ze meldt¹.

Sony, 2011

Een analist stelt vast dat van de gebruikers die zowel in de gegevens van Sony als in die van het eerder dat jaar voorgevallen Gawker-lek voorkwamen, twee derde op beide systemen hetzelfde wachtwoord had¹.

Yahoo, 2012

OWASP citeert Troy Hunt, die de lekken van Sony en Yahoo met elkaar in verband brengt via een gemeenschappelijk punt: de wachtwoorden¹.

Dropbox, 2012

Dropbox liet weten dat de gebruikersnamen en wachtwoorden die in de pers werden genoemd, bij andere diensten waren buitgemaakt en niet bij Dropbox zelf. Aanvallers hadden ze vervolgens op sites over het hele internet geprobeerd, waaronder Dropbox¹.

JPMorgan Chase, 2014

De gegevens uit het lek bevatten combinaties van wachtwoorden en adressen van deelnemers die waren ingeschreven op de site Corporate Challenge, een platform voor jaarlijkse liefdadigheidsloopwedstrijden dat door een externe dienstverlener werd beheerd en openstond voor medewerkers van de bank en van andere bedrijven. OWASP preciseert dat dit lek uit een aparte bron kwam: aanvallers richtten zich op een externe site voor wedstrijden om er inloggegevens uit te halen die tegen JPMC konden worden gebruikt¹.