--- id: CP-048 slug: diefstal-sessiecookies-bearer-tokens lang: nl title: Diefstal van sessiecookies en bearer-tokens description: Met een gestolen sessiecookie kan iemand zich als medewerker voordoen, zonder wachtwoord of tweede factor. Werking, een echt geval en reflexen. canonical_url: https://startbrain.io/cyberpedia/nl/articles/diefstal-sessiecookies-bearer-tokens/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/diefstal-sessiecookies-bearer-tokens.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Diefstal van sessiecookies en bearer-tokens”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/diefstal-sessiecookies-bearer-tokens/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-023 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/diefstal-sessiecookies-bearer-tokens/ fr: https://startbrain.io/cyberpedia/fr/articles/vol-cookies-session-jetons-porteurs/ en: https://startbrain.io/cyberpedia/en/articles/session-hijacking-cookie-theft-bearer-tokens/ de: https://startbrain.io/cyberpedia/de/articles/diebstahl-sitzungscookies-bearer-token/ es: https://startbrain.io/cyberpedia/es/articles/robo-cookies-sesion-tokens-portador/ it: https://startbrain.io/cyberpedia/it/articles/furto-cookie-sessione-token-bearer/ sources: - "n": 1 title: Steal Web Session Cookie publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Web Session Cookie" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/004/ accessed: "2026-11-03" - "n": 3 title: Session hijacking attack publisher: OWASP url: https://community.owasp.org/attacks/Session_hijacking_attack accessed: "2026-11-03" - "n": 4 title: Steal Application Access Token publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 5 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 6 title: "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud" publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ published: "2022-07-12" accessed: "2026-11-03" - "n": 7 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 8 title: Browser Session Hijacking publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1185/ accessed: "2026-11-03" --- # Diefstal van sessiecookies en bearer-tokens Wanneer een medewerker inlogt op zijn mailbox of een online hulpmiddel, geeft de dienst hem een klein identificatiegegeven mee, meestal een cookie, dat bewijst dat hij al is geauthenticeerd. Als een aanvaller dat gegeven in handen krijgt, kan hij binnenkomen alsof hij het slachtoffer is, zonder diens wachtwoord te kennen [1]. Aan de kant van de medewerker is meestal niets te zien: de sessie loopt door, en het werk ook. Deze fiche legt uit waar de diefstal vandaan komt, wat een aanvaller ermee doet en wat ieder kan doen om het risico te verkleinen. ## In 30 seconden - Waar het gebeurt: op de werkplek (malware), op een nepsite die de echte inlogpagina doorgeeft [1], of in een gecompromitteerde browser [8]. - Wat de aanvaller wil: een al geopende sessie overnemen, berichten lezen en namens het slachtoffer handelen, waarbij sommige tweede factoren worden omzeild [2]. - De reflex: uitloggen bij diensten als u klaar bent, uw sessies intrekken bij twijfel, de browsersessies regelmatig sluiten. - Als het al gebeurd is: waarschuw de IT-helpdesk meteen, want de gestolen sessie blijft bruikbaar zolang ze actief is [2]. ## Directe vragen ### Wat is een sessiecookie? Na een geslaagde aanmelding gebruiken veel webtoepassingen een sessiecookie als bewijs van authenticatie [1]. Het webprotocol onthoudt zelf niet wie wie is van het ene verzoek tot het volgende: de server stuurt de browser daarom een token, dat de browser daarna bij elke uitwisseling toont [3]. ### Wat is een toegangstoken en waarin verschilt het van een cookie? Een toegangstoken dient om geautoriseerde verzoeken te doen namens een gebruiker of een dienst. Het komt veel voor in online toepassingen (SaaS) en clouddiensten [4]. Beide objecten hebben dezelfde zwakte: wie het toont, wordt geaccepteerd als de persoon die het heeft verkregen. NIST SP 800-63B, een versie die sinds 1 augustus 2025 is vervangen door SP 800-63-4, vermeldde ook dat de aanwezigheid van een OAuth-toegangstoken zonder andere signalen niet mag worden uitgelegd als de aanwezigheid van de gebruiker, en dat zo'n token lang na het einde van de authenticatiesessie geldig kan blijven [5]. ### Beschermt mijn tweede factor mij niet? Hij beschermt het inloggen, niet de sessie die daarop volgt. MITRE geeft aan dat deze techniek sommige protocollen voor multifactorauthenticatie omzeilt, omdat de sessie al is geauthenticeerd [2]. Microsoft preciseert dat het geen zwakte van multifactorauthenticatie is: de gestolen cookie authenticeert de aanvaller, ongeacht de inlogmethode van de gebruiker [6]. ### Hoe lang blijft een gestolen cookie bruikbaar? Cookies blijven vaak lang geldig, ook als de toepassing niet actief wordt gebruikt [1]. De aanvaller kan een cookie gebruiken zolang het actief is [2]. OWASP merkt ook op dat een time-out bij inactiviteit een aanvaller die de sessie heeft overgenomen niet beperkt: hij kan activiteit genereren om de sessie open te houden [7]. ## In de huid van de aanvaller De aanvaller zoekt een herbruikbaar element in plaats van een geheim dat hij moet raden. Cookies staan op de schijf, in het geheugen van de browser en in het netwerkverkeer naar externe systemen. Andere toepassingen op de werkplek kunnen ook authenticatiecookies in het geheugen bewaren, bijvoorbeeld toepassingen die verbinding maken met clouddiensten [1]. Zodra de aanvaller de cookie heeft, importeert hij die in een browser die hij zelf beheert. Hij gebruikt de site dan als de gebruiker, zolang de sessie actief is. Hij kan gevoelige informatie inzien, e-mails lezen of alles doen wat het account van het slachtoffer mag [2]. Bij het toegangstoken is phishing een beschreven route: de aanvaller registreert een valse toepassing en stuurt een link om het slachtoffer toegang te laten verlenen. Zodra het token is verleend, kan de toepassing een mogelijk langdurige toegang tot het account krijgen [4]. Toegangstokens hebben soms een beperkte levensduur, maar de aanvaller kan ook een vernieuwingstoken stelen, dat hem nieuwe toegangstokens geeft zonder dat hij de gebruiker iets vraagt [4]. ## Wat u op het scherm ziet De medewerker ziet niets: aan de kant van de beheerder kunnen wel meldingen bestaan (zie verderop). Bij een nepsite die als relais dient (verderop beschreven) lijkt de pagina sprekend op de echte: het enige zichtbare verschil is het adres [6]. Nadat het wachtwoord is ingevoerd, wordt het slachtoffer doorgestuurd naar de echte pagina, en gaat de aanval op de achtergrond verder [6]. Hier volgt een geneutraliseerde illustratie van het adres van een relaissite. Het is voor dit voorbeeld verzonnen. ```text Illustration (adresse fictive, neutralisée) : hxxps://login[.]exemple-connexion[.]invalid/ [page identique à la vraie page de connexion, seule l'adresse diffère] ``` Er zijn enkele indirecte signalen. Als de aanvaller inlogt terwijl het slachtoffer werkt, kunnen aan de kant van de beheerder meldingen over "onmogelijke verplaatsing" verschijnen [6]. Onbekende regels in de inbox zijn een ander signaal: in het verderop beschreven geval maakte de aanvaller er een aan, zodat het slachtoffer de antwoorden van zijn doelwit niet zou zien [6]. ## Onder de motorkap De hier geciteerde bronnen beschrijven drie manieren van diefstal. - De stealer-malware: kwaadaardige software richt zich op de cookies van de browsers op de werkplek [1]. Sommige haalt de sessiecookie eruit en stuurt die naar de server van de aanvaller [1]. - De nepsite als relais: bij de zogeheten adversary-in-the-middle-aanval plaatst de aanvaller een proxyserver tussen de gebruiker en de beoogde site. Zo onderschept hij het wachtwoord en de sessiecookie [6]. Vrije tools als Evilginx2, Modlishka en Muraena automatiseren dit proces [6]. - De gecompromitteerde browser: een aanvaller kan software in een browser injecteren om de cookies, HTTP-sessies en clientcertificaten van de gebruiker over te nemen, en daarmee een geauthenticeerd intranet binnen te gaan [8]. Deze techniek kan ook tweefactorauthenticatie omzeilen [8]. Ze kan bijzondere rechten op de werkplek vereisen [8]. Waarom werkt het opnieuw afspelen? De cookie is het bewijs van de aanmelding: de server controleert het wachtwoord niet op elke pagina opnieuw [6]. NIST SP 800-63B laat andere methoden toe om het apparaat veilig te identificeren, waaronder mutual TLS en token binding [5]. OWASP raadt aan de sessie-identificator te koppelen aan andere eigenschappen van de client, zoals het IP-adres of de User-Agent. Het erkent echter dat een bekwame aanvaller deze controle kan omzeilen, bijvoorbeeld door hetzelfde netwerk als het slachtoffer te delen of de User-Agent te kopiëren [7]. Wat de duur betreft noemt OWASP gebruikelijke time-outs bij inactiviteit van 2 tot 5 minuten voor toepassingen met hoge waarde en van 15 tot 30 minuten voor toepassingen met laag risico. Voor een kantoormedewerker die de hele dag met een toepassing werkt, noemt het een absolute time-out van 4 tot 8 uur [7]. NIST SP 800-63B, sinds 1 augustus 2025 vervangen door SP 800-63-4, vroeg dat sessiegeheimen bij uitloggen worden gewist of ongeldig gemaakt [5]. ## Incidentanalyses ### Phishingcampagne met een nepsite als relais tegen Microsoft 365 (gedocumenteerd op 12 juli 2022) Op 12 juli 2022 publiceert Microsoft de analyse van een grootschalige campagne. Volgens zijn gegevens probeerde die sinds september 2021 meer dan 10.000 organisaties te treffen [6]. De aanvallers gebruikten relaissites om wachtwoorden te stelen en de sessie van het slachtoffer te kapen, ook als multifactorauthenticatie was ingeschakeld [6]. In een van de waargenomen golven kondigde een e-mail met een HTML-bijlage een voicemailbericht aan. De bijlage toonde een valse downloadbalk en stuurde daarna door naar een relaissite die met Evilginx2 was gebouwd en de inlogpagina van de organisatie overnam [6]. Het slachtoffer voerde zijn inloggegevens in, werd doorgestuurd naar de echte pagina office.com, en de aanvaller werd intussen namens hem geauthenticeerd [6]. Het vervolg was gericht op betalingsfraude. Volgens Microsoft duurde het soms maar vijf minuten tussen de diefstal en het begin van de fraude. De aanvaller gebruikte de gestolen cookie om de online mailbox binnen te gaan, soms met een cookie die al de vermelding van multifactorauthenticatie droeg [6]. Daarna zocht hij naar gesprekken over betalingen, verwijderde hij de eerste phishingmail en maakte hij een inboxregel die de antwoorden van zijn doelwit archiveerde en als gelezen markeerde, zodat het slachtoffer niets zou merken [6]. Ten slotte verwijderde hij zijn eigen antwoorden uit de mappen Verzonden items en Verwijderde items [6]. Microsoft beveelt phishingbestendige authenticatie aan (FIDO 2.0 of certificaten) en beleid voor voorwaardelijke toegang, dat elke poging om een gestolen cookie te gebruiken beoordeelt [6]. ## Wat u doet Deze handelingen komen uit de hier geciteerde bronnen. Ze verkorten de duur of de reikwijdte van een gestolen sessie, maar garanderen niet dat een sessie niet gestolen wordt. - Log expliciet uit bij diensten als u klaar bent. OWASP geeft aan dat het sluiten van de browser het uitloggen niet betrouwbaar afdwingt en raadt expliciet uitloggen aan, met time-outs aan de serverkant [7]. - Trek uw sessies in als er twijfel is (geïnfecteerde werkplek, verdachte inlogpagina). De hier geciteerde bronnen beschrijven de werkwijze niet: de IT-helpdesk van het bedrijf geeft de procedure. - Sluit de in de browser geopende sessies regelmatig. MITRE raadt aan alle browsersessies regelmatig te sluiten [8]. - Controleer het adres voordat u uw wachtwoord invoert: het adres is het enige zichtbare verschil tussen een nepsite als relais en de echte [6]. - Meld elke twijfel meteen aan de IT-helpdesk: zolang de sessie actief is, kan de aanvaller ze gebruiken [2]. Aan de kant van het bedrijf noemt MITRE het instellen van browsers om persistente cookies regelmatig te verwijderen [2]. ## Bronnen 1. MITRE ATT&CK, “Steal Web Session Cookie”. https://attack.mitre.org/techniques/T1539/ (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Use Alternate Authentication Material: Web Session Cookie”. https://attack.mitre.org/techniques/T1550/004/ (geraadpleegd op 3 november 2026) 3. OWASP, “Session hijacking attack”. https://community.owasp.org/attacks/Session_hijacking_attack (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Steal Application Access Token”. https://attack.mitre.org/techniques/T1528/ (geraadpleegd op 3 november 2026) 5. NIST, “NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (geraadpleegd op 3 november 2026) 6. Microsoft, “From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud”, 12 juli 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (geraadpleegd op 3 november 2026) 7. OWASP, “Session Management - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “Browser Session Hijacking”. https://attack.mitre.org/techniques/T1185/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/diefstal-sessiecookies-bearer-tokens/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.