--- id: CP-027 slug: watering-hole-aanval-gecompromitteerde-website lang: nl title: Watering hole-aanval description: Een site die u elke week bezoekt, kan besmet zijn. Hoe een watering hole-aanval werkt, wat u kunt zien en welke gewoonten u beschermen. canonical_url: https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Watering hole-aanval”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-046 schema: G5 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/ fr: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ en: https://startbrain.io/cyberpedia/en/articles/watering-hole-attack-compromised-website/ de: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ es: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ it: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ sources: - "n": 1 title: Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1189/ accessed: "2026-11-03" - "n": 2 title: "Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1608/004/ accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/006/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1203/ accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Watering hole-aanval Bij een watering hole-aanval (in het Nederlands ook wel waterputaanval) neemt de aanvaller geen contact op met het slachtoffer. Hij besmet een site die het slachtoffer al bezoekt: hij plaatst er kwaadaardige code in en wacht tot de bezoekers uit zichzelf komen. Voor een medewerker zit het gevaar in dat vertrouwen. De site is bekend, nuttig voor het werk, en niets wijst erop dat hij is veranderd. Dit artikel beschrijft het mechanisme, wat u kunt opmerken en wat de schade beperkt. ## In 30 seconden - Waar het gebeurt: op een site die door een bepaalde gemeenschap wordt bezocht (overheid, bedrijfstak, regio), tijdens gewoon surfen [1]. - Wat de aanvaller wil: code uitvoeren op de computer van het slachtoffer, wat vaak toegang geeft tot systemen in het interne netwerk [1]. - De reflex: De reflex: houd de browser en de extensies up-to-date en weiger elke "update" die een webpagina aanbiedt, ongeacht de site. - Als het al gebeurd is: breng de IT- of beveiligingsafdeling onmiddellijk op de hoogte, ook als er niets vreemds te zien is. ## Directe vragen ### Wat is een watering hole-aanval? De bronnen beschrijven het geval waarin de site van de aanvaller vaak door een gemeenschap wordt bezocht (overheid, bedrijfstak, regio). Het doel is een gebruiker of een groep gebruikers te compromitteren via een gedeelde interesse. Deze gerichte campagne heet "strategic web compromise" of "watering hole attack" [1]. Ze hoort bij de bredere familie van de "drive-by compromise": het slachtoffer bezoekt een site tijdens gewoon surfen [1]. ### Moet u ergens op klikken om besmet te raken? Niet altijd. De exploitatie richt zich meestal op de browser, en die vraagt na het openen van de pagina vaak geen extra handeling [2]. In andere gevallen moet de gebruiker meewerken door scripts, meldingen of actieve componenten in te schakelen, of door waarschuwingsvensters te negeren [1]. ### Kan een bekende, vertrouwde site echt besmet zijn? Ja, dat is het principe. De aanvaller compromitteert een legitieme site om er kwaadaardige code in te plaatsen [1]. Hij kan ook scriptbestanden wijzigen die aan de site worden geleverd vanaf een online opslagruimte met schrijfrechten voor iedereen, of besmette advertenties kopen bij legitieme advertentienetwerken [1]. ### Is een up-to-date browser genoeg? Nee, maar het verkleint het risico. Het bijwerken van alle browsers en plug-ins kan de exploitatiefase voorkomen [1]. MITRE merkt ook op dat de bescherming tegen exploitatie afhangt van de architectuur en de aangevallen software, en dat sandboxes kunnen worden omzeild [1]. ## In de huid van de aanvaller De aanvaller kiest eerst een plek waar het doelwit tijd doorbrengt: een site die door een sector, een werkterrein of een regio wordt bezocht [2]. Daarna bereidt hij de omgeving voor. De besmette inhoud kan draaien op infrastructuur die hij heeft verworven of al heeft gecompromitteerd [2]. Hij kan ook domeinen kopen die op legitieme domeinen lijken (homoglyfen, opzettelijke typfout, andere extensie) [2]. Vervolgens plaatst hij code in de site: scripts in pagina's of in inhoud die gebruikers kunnen aanpassen, zoals forumberichten [2]. Hij kan ook scripts toevoegen die de browser van de bezoeker onderzoeken, om te controleren of die kwetsbaar is voordat hij de exploitatie probeert [2]. Een groep wordt beschreven als een groep die code in sites inbouwt om het IP-adres van een bezoeker te controleren en de browser alleen aan te vallen als de bezoeker interessant is [2]. Deze voorbereiding speelt zich grotendeels af buiten het zicht van de aangevallen organisatie, waardoor ze moeilijk te detecteren is [2]. Legitieme webdiensten dienen ook als tussenstation: gecompromitteerde WordPress-sites hebben zo kwaadaardige bestanden gehost die gedownload konden worden [3]. ## Wat u op het scherm ziet De scripts worden automatisch uitgevoerd [1]. Ze zoeken doorgaans naar de versie van de browser en de plug-ins, op zoek naar een kwetsbare versie [1]. In sommige gevallen is een tweede bezoek nodig voordat de exploitatiecode binnenkomt [1]. Toch zijn er enkele zichtbare signalen. Een pagina kan vragen scripts of meldingen in te schakelen, of aanzetten tot het negeren van een waarschuwing [1]. Door in de browsermeldingen op "toestaan" te klikken, kan een gebruiker een site toestemming geven om JavaScript in zijn browser uit te voeren [1]. Sommige campagnes gebruiken valse browserupdates als lokaas: dat is het geval bij SocGholish, verspreid via gecompromitteerde sites waarvan de inhoud zich voordoet als een browserupdate [1]. ## Onder de motorkap Hier volgt een geneutraliseerde illustratie, met een fictief adres op `.invalid`. Ze werkt niet. ```text [Legitieme pagina van een sectorsite] ... gebruikelijke inhoud van de site ... [verborgen element toegevoegd door de aanvaller, grootte nul] [het laadt op de achtergrond een pagina van hxxps://exemple[.]invalid/] ``` De typische keten volgens MITRE ATT&CK telt vier stappen. De gebruiker bezoekt de site die de inhoud van de aanvaller host. Scripts worden uitgevoerd en zoeken naar de versies van browser en plug-ins. Als een kwetsbare versie wordt gevonden, wordt de exploitatiecode geleverd. Als de exploitatie slaagt, krijgt de aanvaller code-uitvoering op de computer, tenzij er andere beveiligingen zijn [1]. Het doel verschilt van een aanval op een server die aan internet blootstaat: hier wordt software op de werkplek misbruikt, wat vaak toegang geeft tot systemen in het interne netwerk [1]. Browsers zijn een veelvoorkomend doelwit van client-side exploitatie, evenals wijdverbreide applicaties van derden in bedrijven, bijvoorbeeld Adobe Reader en Flash [4]. Aan de verdedigingskant noemen de bronnen browsersandboxes, die een deel van de impact verzachten (er bestaan sandbox-ontsnappingen) [1], advertentie- en scriptblokkers, en het uitschakelen van browsermeldingen [1]. Het Britse NCSC voegt toe dat de meeste moderne browsers bekende phishingsites en sites met schadelijke software blokkeren, maar niet altijd op mobiele apparaten [5]. Het adviseert ook alleen ondersteunde en bijgewerkte software te gebruiken en niet met een beheerdersaccount op het web te surfen [5]. ## Incidentanalyses ### Forbes.com, 2014 APT19 voerde in 2014 een watering hole-aanval uit op forbes.com om zijn doelwitten te compromitteren [1]. De bronnen geven geen andere details over deze episode. ### Operatie Dust Storm, exploitatie van CVE-2014-0322 Tijdens operatie Dust Storm gebruikten de aanvallers een watering hole-aanval tegen een populaire softwarereseller. Ze misbruikten een toen nog onbekende kwetsbaarheid in Internet Explorer (zero-day), CVE-2014-0322 [1]. De bron geeft geen datum van de campagne. ### Inlogpagina van een Israëlisch scheepvaartbedrijf, tot november 2021 In campagne C0010 compromitteerden de aanvallers de inlogpagina van een legitiem Israëlisch scheepvaartbedrijf en richtten waarschijnlijk een watering hole in die informatie over bezoekers verzamelde [2]. Deze watering hole wordt beschreven als actief tot minstens november 2021 [1]. ## Bronnen 1. MITRE ATT&CK, “Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1189/ (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1608/004/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1584/006/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1203/ (geraadpleegd op 3 november 2026) 5. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.