---
id: CP-023
slug: tailgating-piggybacking-onbevoegde-toegang
lang: nl
title: "Tailgating en piggybacking: binenkomen zonder pas"
description: Een beleefde onbekende loopt achter u aan naar binnen of met uw toestemming. Wat medewerkers zien, hoe fysieke toegang faalt en welke reflexen helpen.
canonical_url: https://startbrain.io/cyberpedia/nl/articles/tailgating-piggybacking-onbevoegde-toegang/
markdown_url: https://startbrain.io/cyberpedia/nl/articles/tailgating-piggybacking-onbevoegde-toegang.md
publisher: Brain (https://startbrain.io)
license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/)
cite_as: "Brain, “Tailgating en piggybacking: binenkomen zonder pas”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/tailgating-piggybacking-onbevoegde-toegang/ (CC BY 4.0)"
wing: 1
theme: outsmart_social_engineering
reflex: cr-042
schema: G5
updated: "2026-11-03"
translations:
  nl: https://startbrain.io/cyberpedia/nl/articles/tailgating-piggybacking-onbevoegde-toegang/
  fr: https://startbrain.io/cyberpedia/fr/articles/tailgating-piggybacking-intrusion-locaux/
  en: https://startbrain.io/cyberpedia/en/articles/tailgating-piggybacking-physical-intrusion/
  de: https://startbrain.io/cyberpedia/de/articles/tailgating-piggybacking-unbefugter-zutritt/
  es: https://startbrain.io/cyberpedia/es/articles/tailgating-piggybacking-intrusion-fisica/
  it: https://startbrain.io/cyberpedia/it/articles/tailgating-piggybacking-intrusione-locali/
sources:
  - "n": 1
    title: Avoiding Social Engineering and Phishing Attacks | CISA
    publisher: CISA
    url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
    published: "2021-02-01"
    accessed: "2026-11-03"
  - "n": 2
    title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®
    publisher: MITRE ATT&CK
    url: https://attack.mitre.org/techniques/T1200/
    accessed: "2026-11-03"
  - "n": 3
    title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®
    publisher: MITRE ATT&CK
    url: https://attack.mitre.org/techniques/T1091/
    accessed: "2026-11-03"
  - "n": 4
    title: Scattered Spider | CISA
    publisher: CISA
    url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a
    published: "2023-11-16"
    accessed: "2026-11-03"
  - "n": 5
    title: "Phishing attacks: defending your organisation"
    publisher: NCSC (Royaume-Uni)
    url: https://www.ncsc.gov.uk/guidance/phishing
    published: "2018-02-05"
    accessed: "2026-11-03"
---

# Tailgating en piggybacking: binenkomen zonder pas

Tailgating en piggybacking zijn twee manieren om een ruimte binnen te komen zonder daar recht op te hebben. Bij tailgating volgt iemand een medewerker zonder dat die het weet en glipt naar binnen voordat de deur dichtvalt. Bij piggybacking komt de persoon binnen met toestemming van de medewerker, die de deur openhoudt of een pas uitleent omdat het verzoek normaal lijkt.

Beide scenario's vallen onder social engineering: de indringer forceert geen slot, maar rekent op beleefdheid. De hier aangehaalde bronnen beschrijven tailgating zelf niet. Ze beschrijven misleiding door woorden, geleende identiteiten en apparaten die ter plaatse worden aangesloten, dus wat een indringer kan doen als hij eenmaal binnen is. Dit artikel houdt zich aan wat zij zeggen.

## In 30 seconden

- Waar het gebeurt: bij een toegangsdeur, een sluis, op een verdieping of in een ruimte waar men u vraagt de deur open te houden of iemand door te laten.
- Wat de aanvaller wil: binnen zijn om een apparaat te plaatsen, een gegevensdrager aan te sluiten of informatie te krijgen die het netwerk hem niet zou geven.
- De reflex: beleefd weigeren, de persoon naar de receptie verwijzen en de situatie daarna melden.
- Als het al gebeurd is: waarschuw de mensen die binnen uw organisatie verantwoordelijk zijn voor beveiliging, ook als uw twijfel gering is.

## Directe vragen

### Wat is het verschil tussen tailgating en piggybacking?

Bij tailgating glipt iemand achter u naar binnen zonder dat u daarvoor toestemming hebt gegeven. Bij piggybacking hebt u de persoon zelf binnengelaten, bijvoorbeeld door de deur voor hem open te houden. Het resultaat is hetzelfde: iemand is binnengekomen zonder eigen pas.

### Waarom is een beleefde onbekende moeilijk te weigeren?

Omdat de aanvaller steunt op geloofwaardigheid. CISA beschrijft een aanvaller die „unassuming and respectable” kan overkomen, die zich voordoet als nieuwe medewerker, reparateur of onderzoeker en die soms bewijsstukken aanbiedt om die identiteit te staven [1].

### Wat kan een indringer doen als hij binnen is?

Techniek T1200 van MITRE beschrijft het fysiek binnenbrengen van accessoires, netwerkapparatuur of andere apparaten in een systeem of netwerk om toegang te krijgen [2]. MITRE vermeldt dat openbare verwijzingen naar gebruik door aanvallers schaars zijn, maar dat veel geautoriseerde intrusieteams (red teams) de techniek inzetten voor de eerste toegang [2].

### Spelen medewerkers echt een rol bij toegangscontrole?

Ja. Een sluis, een pas of een receptie werkt alleen als iedereen ze gebruikt. De hier aangehaalde bronnen geven geen cijfer voor het aandeel van de gevallen van binnendringen dat via een opengehouden deur verloopt. Wel laten ze zien dat de aanvaller zoekt naar de gesprekspartner die zal antwoorden, en daarna naar een tweede als de eerste niet volstaat [1].

## In de huid van de aanvaller

De indringer kiest een voorwendsel dat zijn aanwezigheid verklaart. CISA noemt de nieuwe medewerker, de persoon die een reparatie uitvoert en de onderzoeker [1]. Hij kan ook stap voor stap te werk gaan: als hij van de ene persoon te weinig informatie krijgt, benadert hij een ander in dezelfde organisatie en gebruikt hij wat de eerste heeft gezegd om geloofwaardiger over te komen [1]. Een receptie, een bewaker of een collega die langsloopt kan zo, zonder het te weten, borg staan voor de volgende.

Het doel verschilt. Het kan gaan om het plaatsen van hardware: MITRE noemt hulpmiddelen zoals de Bash Bunny of de Raspberry Pi en goedkope laptops, die de groep DarkVishnya op het lokale netwerk van de organisatie aansloot [2]. Het kan ook gaan om het plaatsen van een verwisselbare gegevensdrager, een geval dat hieronder wordt uitgewerkt [3].

## Wat u op het scherm ziet

In dit soort scenario is er geen verdacht scherm: de situatie zelf telt. De volgende illustratie is verzonnen en geeft geen enkel echt geval weer.

```text
Illustratie (fictieve scène, geen echt geval)
[Een onbekende, vriendelijke persoon met volle armen komt achter u aan
 bij een deur met pasjeslezer en vraagt of u hem wilt laten passeren.]
[Hij legt uit dat hij verwacht wordt of dat hij zijn pas is vergeten.]
```

Wat de medewerker eerst opmerkt, is gewone beleefdheid. De bruikbare signalen zitten elders: de persoon kan niet bewijzen wie hij is, heeft geen interne contactpersoon om te noemen of dringt aan. CISA raadt aan wantrouwig te zijn tegenover ongevraagde bezoeken, telefoontjes of e-mails van mensen die belangstelling tonen voor medewerkers of interne informatie, en de identiteit van iemand die zich op een organisatie beroept rechtstreeks bij die organisatie na te gaan [1]. In de praktijk vertrouwt u niet op de contactgegevens die de persoon zelf geeft.

De eerste reflex is beleefd weigeren en de persoon naar de receptie verwijzen. Het NCSC raadt aan belangrijke verzoeken die per e-mail binnenkomen via een tweede communicatiemiddel te controleren, waaronder bevestiging in persoon [5]. Toegepast op de deur komt die logica hierop neer: een persoon die zegt verwacht te worden, kan door zijn interne contactpersoon worden aangekondigd.

Daarna volgt het melden. Het NCSC beschrijft een cultuur waarin gebruikers pogingen melden, ook die waarin ze zijn getrapt, zodat de organisatie weet welke aanvallen er lopen [5]. CISA vraagt de bevoegde mensen binnen de organisatie, onder wie netwerkbeheerders, te waarschuwen als u denkt gevoelige informatie te hebben prijsgegeven, zodat zij letten op ongebruikelijke activiteit [1].

## Onder de motorkap

Toegangscontrole bestaat uit meerdere lagen: sluis, pas, receptie. Elke laag is te omzeilen als een bevoegd persoon de weg vrijmaakt. De hier aangehaalde bronnen werken deze mechanismen niet uit. Wel noemen ze de verdediging die telt zodra een indringer binnen de muren is.

MITRE raadt regels voor netwerktoegangscontrole aan, zoals apparaatcertificaten en de norm 802.1x, en het beperken van DHCP tot geregistreerde apparaten, zodat een onbekend apparaat niet met vertrouwde systemen kan communiceren [2]. MITRE raadt ook aan onbekende apparaten en accessoires te blokkeren via de configuratie van werkstations en een monitoringagent (software) [2].

Over verwisselbare gegevensdragers legt MITRE uit dat een mobiele telefoon die via USB wordt aangesloten, ook via sommige oplaadkabels, een computer kan besmetten, vooral als de functie Autorun aanstaat [3]. MITRE adviseert het gebruik van USB-apparaten en verwisselbare gegevensdragers in een netwerk te beperken [3].

## Incidentanalyses

### Scattered Spider, gezamenlijk advies van 16 november 2023, bijgewerkt op 29 juli 2025

Dit advies is gepubliceerd door de FBI, CISA en verschillende partneragentschappen, waaronder het Britse NCSC [4]. Het beschrijft een criminele groep die zich richt op grote bedrijven en hun uitbestede IT-helpdesks [4]. Het geval betreft geen fysiek binnendringen: het gaat om misleiding per telefoon en sms. Toch toont het dezelfde drijfveer als tailgating, namelijk het zich voordoen als een vertrouwde identiteit. De groep deed zich voor als IT- of supportpersoneel om inloggegevens te bemachtigen of om hulpmiddelen voor toegang op afstand te laten starten [4]. De update van juli 2025 voegt toe dat leden zich ook voordeden als medewerkers om een wachtwoordreset te krijgen [4].

### FIN7 en de per post verstuurde USB-sticks

MITRE meldt dat FIN7-actoren per post USB-sticks naar mogelijke slachtoffers stuurden. Ze bevatten malware die diverse achterdeuren installeert, soms voor ransomware-aanvallen [3]. Sommige sticks gedroegen zich als een virtueel toetsenbord [3]. De bron geeft geen datum voor dit geval. Het laat zien dat een fysiek apparaat kan aankomen zonder dat een indringer binnenkomt.

## Bronnen

1. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)
2. MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026)
3. MITRE ATT&CK, “Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1091/ (geraadpleegd op 3 november 2026)
4. CISA, “Scattered Spider | CISA”, 16 november 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (geraadpleegd op 3 november 2026)
5. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026)

---

Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/tailgating-piggybacking-onbevoegde-toegang/
U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.