--- id: CP-365 slug: fysieke-beveiliging-toegangspassen-bezoekers lang: nl title: Toegangspassen, bezoekers en brandwerende deuren description: "Een onbekende in technicuskleding, een deur die uit beleefdheid openblijft: zo komt social engineering binnen in het pand en dit kunt u doen." canonical_url: https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Toegangspassen, bezoekers en brandwerende deuren”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-084 schema: G5 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers/ fr: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ en: https://startbrain.io/cyberpedia/en/articles/physical-security-badges-visitors/ de: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ es: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ it: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" - "n": 6 title: SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" --- # Toegangspassen, bezoekers en brandwerende deuren Een inbraak verloopt niet altijd via een bebeeldscherm. Ze kan beginnen bij de ingang van het gebouw, met iemand die lijkt te horen te zijn: technicuskleding, een pakket in de armen, een pas die er goed uitziet. Wat de deur opent, is geen technische kwetsbaarheid, maar het vertrouwen van een medewerker. Dit artikel legt uit hoe deze list werkt en wat iedereen op zijn eigen plek kan doen om een bezoeker te ontvangen zonder een onbekende binnen te laten. De bronnen die hier worden aangehaald gaan vooral over social engineering in het algemeen en over toegang via apparatuur die ter plaatse wordt aangesloten [3]. De ontvangstgewoonten die hieronder staan, zijn verstandige vuistregels die u moet toetsen aan de richtlijnen van uw eigen bedrijf. ## In 30 seconden - Waar het gebeurt: bij de ingang van het pand, bij deuren met toegangscontrole, aan de receptie en op kantoor wanneer een "externe medewerker" alleen rondloopt. - Wat de aanvaller wil: binnenkomen, observeren, een apparaat plaatsen [3] of informatie verzamelen [4] door gebruik te maken van de beleefdheid van medewerkers. - De reflex: laat niemand binnen die u niet kent, controleer het bij de verwachte persoon en breng de onbekende naar de receptie. - Als het al gebeurd is: waarschuw meteen de beveiliging of het securityteam, ook als u nergens zeker van bent. ## Directe vragen ### Waarom spreekt men van social engineering bij een fysieke inbraak? Omdat de werkwijze dezelfde is als bij een valse e-mail: een persoon misleiden. CISA beschrijft de aanvaller die menselijke interactie gebruikt om informatie over een organisatie of haar systemen te verkrijgen [1]. Hij kan "unassuming and respectable" (bescheiden en respectabel) overkomen en zich voordoen als nieuwe medewerker, reparateur of onderzoeker, soms met legitimatie ter ondersteuning [1]. ### Wie kan er aan de deur staan? Bijvoorbeeld externe dienstverleners. MITRE merkt op dat organisaties externe leveranciers vaak uitgebreide toegang geven, waaronder onderaannemers voor infrastructuur zoals verwarming en airconditioning, liften of fysieke beveiliging [2]. Een bezoeker in werkkleding is dus een gewone situatie, en dat maakt de list geloofwaardig. ### Wat zoekt iemand die ongevraagd binnenkomt? Volgens MITRE kan een tegenstander fysiek accessoires, netwerkapparatuur of andere apparaten in een systeem of netwerk brengen om die als toegangsroute te gebruiken [3]. MITRE beschrijft phishing om informatie ook als een poging om mensen gegevens te laten prijsgeven, vaak inloggegevens [4]. Onder de middelen noemt MITRE het gebruik van meerdere berichten die dringend lijken [4]. ### Wat doet u bij een onbekende zonder begeleider? CISA raadt aan op te passen voor ongevraagde telefoontjes, bezoeken of e-mails van mensen die vragen stellen over medewerkers of interne informatie [1]. Zegt de onbekende namens een legitieme organisatie te komen, dan adviseert CISA zijn identiteit rechtstreeks bij die organisatie na te gaan [1]. In de praktijk weigert u beleefd hem door te laten, brengt u hem naar de receptie en waarschuwt u de beveiliging. ### Is een vergeten of verloren pas echt een probleem? De bronnen die hier worden aangehaald behandelen verloren passen niet. Het principe blijft eenvoudig: een pas opent deuren voor wie hem draagt, wie dat ook is. Meld het verlies meteen, zodat de toegang kan worden geblokkeerd. ## Hoe het werkt Een inbraak via social engineering draait om geloofwaardigheid. CISA legt uit dat de aanvaller, als hij bij één persoon onvoldoende informatie krijgt, een ander in dezelfde organisatie kan benaderen en zich kan beroepen op wat de eerste heeft gezegd om betrouwbaarder over te komen [1]. Een medewerker die zegt "ja, hij wordt verwacht" zonder dat te hebben nagegaan, staat zo voor de rest van het bezoek borg voor de onbekende. CISA stelt dat elk lid van de gemeenschap, collega's inbegrepen, "the first line of defense" (de eerste verdedigingslinie) is voor de veiligheid [5]. NIST rekent fysieke en omgevingsbescherming tot de controlefamilies van zijn catalogus SP 800-53, naast bewustwording en training [6]. Deuren, passen en de opleiding van mensen horen dus bij hetzelfde beveiligingssysteem als wachtwoorden. ## Wat u doet De onderstaande handelingen zijn voorzorgsmaatregelen. Alleen de identiteitscontrole bij de betrokken organisatie wordt door de bronnen die hier worden aangehaald gedragen [1]. - Ontvang de bezoeker aan de receptie, niet in een gang, en begeleid hem van het begin van het bezoek tot aan de uitgang. - Controleer zijn identiteit en pas bij de persoon die hem verwacht, met een nummer dat u al kent, niet met het nummer dat de bezoeker u geeft. - Houd geen deur open voor iemand die u niet kent, ook niet als die dozen draagt. Bied aan hem naar de receptie te brengen. - Leen nooit uw pas uit en laat geen collega of externe medewerker hem in uw plaats gebruiken. - Meld een verloren of vergeten pas onmiddellijk, zonder tot de volgende dag te wachten. - Zet een brandwerende deur nooit open en ontgrendel hem nooit voor uw gemak. Als hij hinder geeft, meld dat dan aan de beveiliging. - Loopt er een onbekende alleen rond, vraag dan beleefd wie hij komt bezoeken en breng hem daarna naar de receptie of waarschuw de beveiliging. ## De valkuilen Drie drijfveren keren terug in verhalen over social engineering. De bronnen die hier worden aangehaald documenteren de eerste twee voor andere kanalen dan de voordeur, maar ze gelden ook aan de receptie. - Gespeelde urgentie. MITRE vermeldt het versturen van meerdere berichten die dringend lijken om het doelwit tot antwoorden te bewegen [4]. Bij de ingang wordt dat: "ik ben te laat, het team wacht op me". - Valse legitimiteit. CISA merkt op dat de aanvaller zich kan voordoen als reparateur en legitimatie kan tonen [1]. Kleding en een pas bewijzen niets zolang de verwachte persoon het niet heeft bevestigd. - Beleefdheid. Die komt in de bronnen die hier worden aangehaald niet ter sprake. Toch zet ze aan om iemand binnen te laten om hem niet te kwetsen. Beleefd weigeren is geen fout. Een andere valkuil zit in wat u niet ziet: een klein apparaat onder een bureau of in een netwerkaansluiting. MITRE noemt als mogelijkheden van zulke apparatuur het passief afluisteren van het netwerk, het wijzigen van verkeer, het injecteren van toetsaanslagen en het toevoegen van draadloze toegangspunten [3]. Een onbekend apparaat of een kabel die er niet hoort te zijn meldt u, u haalt die niet zelf los. ## Echte gevallen ### DarkVishnya, banken aangevallen via een directe verbinding MITRE noemt de groep DarkVishnya, die fysiek apparaten (een Bash Bunny, een Raspberry Pi, netbooks en goedkope laptops) aansloot in de omgeving van de doelorganisatie om toegang te krijgen tot haar lokale netwerk [3]. MITRE verwijst naar een analyse van 6 december 2018 met de titel "DarkVishnya: Banks attacked through direct connection to local network" [3]. De bronnen die hier worden aangehaald vermelden niet hoe de apparaten het pand zijn binnengebracht. MITRE stelt ook dat het openbaar gedocumenteerde gebruik door kwaadwillenden zeldzaam is, terwijl veel pentestteams deze hardware-toevoegingen als eerste toegang gebruiken [3]. ## Bronnen 1. CISA, “Avoiding Social Engineering and Phishing Attacks”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1199/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (geraadpleegd op 3 november 2026) 5. CISA, “Physical Security | Cybersecurity and Infrastructure Security Agency CISA”. https://www.cisa.gov/topics/physical-security (geraadpleegd op 3 november 2026) 6. NIST, “SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC”. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.