Klonen van NFC- en RFID-toegangsbadges
Een contactloze toegangsbadge kan worden gekopieerd of doorgestuurd zonder dat de houder het merkt. Wat bekend is, wat u ziet en wat u doet.
In 30 seconden
- Waar het gebeurt
- Bij de ingang van de lokalen en overal waar een badge voor een lezer wordt gehouden. De hier geciteerde bronnen noemen geen specifieke plaats voor het kopiëren zelf.
- Wat de aanvaller wil
- Inloggegevens verkrijgen om toegang te krijgen tot systemen, diensten en netwerkbronnen1.
- Als het al gebeurd is
- Meld het verlies of de twijfel direct aan de persoon die verantwoordelijk is voor de beveiliging van de lokalen, die de badge kan intrekken.
- De reflex
- Laat een badge niet onbeheerd liggen, berg hem op als u hem niet gebruikt, en meld elk onbekend apparaat dat is aangesloten op of neergelegd bij een lezer of een netwerk.
Waar gaat het over
Met een toegangsbadge opent u een deur, een tourniquet of een lift zonder iets aan te raken. De badge communiceert op korte afstand met een lezer, en een derde kan die communicatie in principe kopiëren of doorsturen. Dit artikel legt het idee uit voor een medewerker en laat zien wat die zelf kan doen.
Een opmerking over de werkwijze. De hier geciteerde bronnen zijn algemene artikelen over kwaadaardige hardware, het onderscheppen van communicatie en sterke authenticatie, plus een Amerikaanse aanbeveling over toegangskaarten. Geen enkele beschrijft in detail het klonen van 125 kHz-badges, de zwakheden van MIFARE Classic of een openbare demonstratie met Proxmark of Chameleon. Die punten worden hier dus niet beweerd.
Directe vragen
Kan ik zien dat mijn badge is gekopieerd?
De hier geciteerde bronnen zeggen dat niet. Ze beschrijven andere gevallen waarin de aanval verloopt via een tussenpartij tussen twee apparaten2. Het is dus verstandig het zo te zien: het ontbreken van een teken bewijst niets.
Is een recente badge veilig?
De bronnen stellen niet vast dat een bepaald type badge veilig is. NIST publiceert aanbevelingen voor het gebruik van PIV-kaarten, Amerikaanse professionele identiteitskaarten, bij de toegangscontrole tot gebouwen. Ze steunen op een risicogebaseerde strategie om het passende authenticatiemechanisme te kiezen4. De keuze van het mechanisme hangt dus af van het risico van de locatie, niet van één vaste regel.
Wat moet ik doen als ik mijn badge verlies?
Een MITRE-artikel adviseert om smartcards te verwijderen wanneer ze niet worden gebruikt1. Bij een verloren badge kan de organisatie die uitschakelen als u het direct meldt. Dat laatste advies is gezond verstand van de organisatie en komt niet uit een van de geciteerde bronnen.
1In de huid van de aanvaller1 min
De artikelen van MITRE ATT&CK beschrijven aanvallers die zich richten op het authenticatiemiddel in plaats van alleen op het wachtwoord. Het artikel over het onderscheppen van multifactorauthenticatie noemt smartcards en codegeneratoren onder de beoogde mechanismen1. Het vermeldt dat voor een smartcard een keylogger nodig is om het bijbehorende wachtwoord tijdens normaal gebruik te bemachtigen1. Met de ingestoken kaart en dit wachtwoord kan de aanvaller inloggen op een bron door de authenticatie via de geïnfecteerde computer te laten lopen1.
Een verwante logica geldt voor communicatie: zich tussen twee apparaten plaatsen om informatie te verzamelen of in hun plaats te handelen2. Het idee van een realtime relay tussen een badge en een deur op afstand hoort bij deze familie van aanvallen, maar de hier geciteerde bronnen passen het niet toe op toegangsbadges.
2Wat u op het scherm ziet1 min
Bij een badge is er meestal geen scherm. De bronnen beschrijven bij toegevoegde hardware tekenen aan de kant van netwerk en werkplek: een nieuw extern apparaat dat het systeem herkent, gevolgd door processen die in dezelfde sessie starten, of een nieuwe netwerkinterface die een adres krijgt3. Deze tekenen zijn voor de IT-teams, die ze in de logbestanden zoeken3.
Voor een medewerker is het bruikbare signaal vaak fysiek. Een onbekend kastje of een kleine computer, aangesloten op een wandaansluiting: het artikel over toegevoegde hardware spreekt van apparaten die fysiek zijn aangesloten op de omgeving van de organisatie3. Zo'n voorwerp meldt u, u koppelt het niet zelf los.
3Onder de motorkapIT-teams1 min
Het MITRE-artikel over toegevoegde hardware stelt dat accessoires, netwerkhardware of andere apparaten fysiek in een systeem of netwerk kunnen worden gebracht om er toegang toe te krijgen3. Het voegt toe dat openbare verwijzingen naar gebruik door kwaadwillenden zeldzaam zijn, terwijl veel geautoriseerde intrusieteams ze inzetten voor de eerste toegang3. Tot de genoemde mogelijkheden horen passief meeluisteren op het netwerk, het wijzigen van verkeer, het injecteren van toetsaanslagen en het toevoegen van draadloze toegangspunten3.
Het artikel over de aanvaller in het midden beschrijft het principe van de relay: een apparaat dwingen te communiceren via een systeem dat de aanvaller beheert, om informatie te verzamelen of te handelen2. Het noemt ook downgrade-aanvallen, die een zwakkere of verouderde versie van een protocol of versleutelingsalgoritme afdwingen2. Voor de versleuteling van verkeer adviseert hetzelfde artikel erop toe te zien dat al het bekabelde en draadloze verkeer goed is versleuteld2. De parallel met oude of onversleutelde badges is een analogie van de schrijver: die wordt door deze bronnen niet vastgesteld.
Aan de verdedigingskant adviseert het artikel over toegevoegde hardware onbekende apparaten en accessoires te blokkeren via de configuratie van de werkplekken en de netwerktoegang te controleren met apparaatcertificaten en de norm 802.1x3. De aanbeveling van NIST, gepubliceerd in juni 2018, gaat over de keuze van authenticatiemechanismen voor PIV-kaarten bij toegang tot gebouwen, naargelang het risico4.
4IncidentanalysesEchte gevallen1 min
DarkVishnya, banken aangevallen via een directe verbinding (verwijzing van 6 december 2018)
Het MITRE-artikel over toegevoegde hardware noemt de groep DarkVishnya. Die sloot fysiek een Bash Bunny, een Raspberry Pi, netbooks en goedkope laptops aan op de omgeving van de beoogde organisatie, om toegang te krijgen tot het lokale netwerk3. De referentiepublicatie, van S. Golovanov, heet “DarkVishnya: Banks attacked through direct connection to local network” en is gedateerd 6 december 20183.
Dit geval gaat niet over een gekloonde badge. Het laat zien dat iemand die in de lokalen aanwezig is, of erin heeft kunnen komen, goedkope hardware kan plaatsen die toegang geeft tot het interne netwerk3. Dat is een reden te meer om te letten op wie binnenkomt en wat er wordt aangesloten.
De hier geciteerde bronnen bevatten geen gedateerde demonstratie van het klonen van een HID Prox-badge, noch van een NFC-relay tegen betaalkaarten of sleutels. Dit artikel presenteert er dus geen.
Fiche
- Identificatie
- CP-086
- Vleugel
- 1. Aanvallen en technieken
- Brain-competentie
- Apparaten beveiligen (secure_devices)
- Brain-reflex
- cr-053
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 4 bronnen gecontroleerd op 3 november 2026
Bronnen4 bronnen
- MITRE ATT&CK, “Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1111/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1557/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026)
- NIST, “SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC”, 29 juni 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Klonen van NFC- en RFID-toegangsbadges”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp086_nl_2026,
author = {Brain},
title = {Klonen van NFC- en RFID-toegangsbadges},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/klonen-toegangsbadges-nfc-rfid/},
note = {CC BY 4.0}
}