Cyberpediadoor Brain
NLDEENESFRIT

Honeypots en honeytokens: vallen om indringers te betrappen

Nepserver, vals document, valse toegangssleutel: wat beveiligingslokazen zijn en wat u als medewerker moet doen als u er een tegenkomt.

In 30 seconden

Waar het voorkomt
Op systemen, bestanden of accounts die het beveiligingsteam bewust heeft geplaatst, zonder dat medewerkers er iets mee hoeven te doen.
Wat de aanvaller wil
Wachtwoorden, sleutels of toegangstokens vinden. Het lokaas biedt precies dat, maar leidt nergens heen.
De reflex
Raak een lokaas niet aan, installeer er nooit zelf een en meld elk alarmbericht of verdacht bestand bij de beveiliging.
Als het al gebeurd is
Waarschuw de beveiliging meteen en vermeld wat er is geopend en wanneer.

Waar gaat het over

Een honeypot is een lokaas. De NIST-woordenlijst definieert het als een systeem (bijvoorbeeld een webserver) of een onderdeel van een systeem (bijvoorbeeld een bestand op een server) dat is ontworpen om aantrekkelijk te zijn voor hackers en indringers, « like honey is attractive to bears »1. In deze fiche verwijst "honeytoken" naar hetzelfde idee op kleinere schaal: een gegeven zonder echt gebruik, zoals een valse inlogcode of een valse toegangssleutel, dat is neergelegd waar een indringer het zal vinden. De hier aangehaalde bronnen definiëren deze term niet.

Voor een medewerker blijven deze vallen meestal onzichtbaar. Ze dienen de beveiliging van het bedrijf, dat ze installeert en in de gaten houdt. Deze fiche legt het principe uit, wat van ieder wordt verwacht als er een lokaas op zijn weg komt, en welke gebreken deze voorzieningen nutteloos of gevaarlijk maken.

Directe vragen

Waar dient een lokaas voor?

Het dient om een inbraak op te sporen. Het Britse NCSC wijst erop dat het eerste doel van cyberbeveiliging is aanvallen te voorkomen2. Dat is niet altijd mogelijk2. De taak van een Security Operations Centre (SOC) is de schade te beperken door aanvallen op te sporen en af te handelen die de preventieve maatregelen omzeilen2. Een lokaas is één detectiemiddel naast andere: het komt bovenop de beschermingen die blokkeren en vervangt ze niet.

Waarom trapt een indringer erin?

Omdat hij precies zoekt wat het lokaas nabootst. MITRE beschrijft tegenstanders die lokale bestandssystemen en netwerkshares doorzoeken op bestanden met slecht beschermde inloggegevens3. Het kan gaan om bestanden die gebruikers hebben gemaakt om hun wachtwoorden te noteren, om configuratiebestanden met wachtwoorden of om broncode met ingebouwde wachtwoorden3. Diezelfde tegenstanders kunnen bestanden en mappen opsommen om te bepalen wat ze daarna doen4. Een vals wachtwoordbestand, op de juiste plek neergezet, lijkt een vondst.

Kan een medewerker per ongeluk een lokaas activeren?

Dat kan, en deze fiche kan niet zeggen hoe vaak: de hier aangehaalde bronnen documenteren het niet. De regel is dus eenvoudig. Een bestand, account of share dat niets met uw werk te maken heeft, opent u niet uit nieuwsgierigheid. Hebt u het toch geopend, vertel het dan aan de beveiliging in plaats van het te verzwijgen.

Moet een medewerker thuis of op zijn werkplek een lokaas installeren?

Nee. Een slecht geplaatst lokaas kan een probleem veroorzaken in plaats van oplossen. De keuze van locatie, isolatie en bewaking ligt bij het beveiligingsteam.

1Hoe het werkt1 min

Er bestaan drie hoofdfamilies van lokazen, die deze fiche onderscheidt op basis van de voorbeelden in de NIST-woordenlijst1 en de MITRE-pagina's35.

  • De nepserver of het nepsysteem: dit is de honeypot in de zin van NIST, een systeem dat aantrekkelijk is voor de indringer1.
  • Het valse document of het valse bestand: een bron die op een server is geplaatst en die NIST ook onder de definitie van honeypot rekent1.
  • Het valse token of de valse toegangssleutel: een applicatietoken dient om geautoriseerde verzoeken te doen namens een gebruiker of een dienst en komt veel voor in cloud- en containerapplicaties5. Een tegenstander die zulke tokens steelt, kan bij gegevens en handelen met de rechten van de betrokken accounts5. Een nep-token zou, volgens de redenering van deze fiche, dezelfde begeerte wekken.

Het alarmprincipe berust op gebruik: het lokaas heeft geen functie in het dagelijkse werk, dus elk contact ermee verdient onderzoek. De hier aangehaalde bronnen beschrijven niet hoe commerciële tools technisch werken, en deze fiche doet dat evenmin.

Dezelfde redenering geldt voor accounts. MITRE merkt op dat cloudaccounts, die een organisatie aanmaakt voor haar gebruikers, diensten of beheer, doelwitten zijn6. Een tegenstander kan ze aanvallen met brute kracht of phishing6. Een nepaccount zou op dit terrein als lokaas kunnen dienen, volgens de redenering van deze fiche.

2Wat u doet1 min
  • U blijft af van wat u niet aangaat. Een bestand met de naam "wachtwoorden" in een gedeelde map die u nooit gebruikt, is geen buitenkansje.
  • U kopieert, test of deelt geen inloggegevens, sleutels of tokens die u toevallig vindt.
  • U meldt elk onverwacht alarmbericht en elk verdacht bestand of account bij de beveiliging, met naam, locatie en tijdstip.
  • U installeert zelf geen lokaas, niet op een werkplek en niet in een cloudomgeving.
  • U bewaart uw eigen wachtwoorden niet in een bestand: MITRE noemt dit soort bestanden juist onder de bestanden waarnaar tegenstanders zoeken3.
3De valkuilen2 min

Het lokaas dat te makkelijk te herkennen is

Een grof vals document met een te doorzichtige naam houdt niemand voor de gek. De hier aangehaalde bronnen zeggen niet hoe een geloofwaardig lokaas lukt: het punt wordt hier alleen gesignaleerd, zonder technische aanwijzing.

Het genegeerde alarm

Detecteren heeft geen zin als niemand reageert. Het NCSC beschrijft het SOC als een geheel dat detecteert en reageert2. De gids behandelt zowel detectie als incidentrespons2.

Het slecht geïsoleerde lokaas

De hier aangehaalde bronnen behandelen de isolatie van een lokaas ten opzichte van de rest van het netwerk niet. MITRE raadt wel in algemene zin aan het aanvalsoppervlak te verkleinen door overbodige software, functies en diensten te verwijderen8, en dat geldt ook voor een vergeten lokaas.

Persoonsgegevens die zonder kader worden verzameld

Als een lokaas vastlegt wat iemand doet, kunnen de regels over persoonsgegevens van toepassing zijn. De AVG vraagt in artikel 5 dat ze rechtmatig, behoorlijk en transparant worden verwerkt7. Ze moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld7. Ze moeten ook beperkt blijven tot wat noodzakelijk is7. De AVG eist ook passende beveiliging van de verwerking7. Een bewakingsmiddel zonder duidelijk doel en zonder informatie aan de betrokkenen wijkt van deze beginselen af.

Het cloudaccount als doelwit

Een cloudaccount dat met interne systemen is gesynchroniseerd, kan de weg naar het bedrijf zelf openen: MITRE preciseert dat gefedereerde of gesynchroniseerde accounts kunnen toelaten om zowel op interne systemen als in de cloud te handelen6. De fiche leidt daaruit af dat een nepaccount van dit type moet worden afgeschermd als een gevoelig account.

Fiche

Identificatie
CP-235
Vleugel
3. Protocollen en verdediging
Brain-competentie
Veilig surfen (browse_safely)
Brain-reflex
cr-078
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
  1. NIST, “honeypot - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/honeypot (geraadpleegd op 3 november 2026)
  2. NCSC (Royaume-Uni), “Building a Security Operations Centre (SOC)”, 23 mei 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1552/001/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1083/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1528/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (geraadpleegd op 3 november 2026)
  7. CNIL, “CHAPITRE II - Principes”. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1042/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Honeypots en honeytokens: vallen om indringers te betrappen”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/honeypot-honeytoken-canarytokens-lokvogels/

BibTeX 
@misc{brain_cp235_nl_2026,
  author = {Brain},
  title = {Honeypots en honeytokens: vallen om indringers te betrappen},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/honeypot-honeytoken-canarytokens-lokvogels/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0