Cyberpediadoor Brain
NLDEENESFRIT

Watering hole-aanval

Een site die u elke week bezoekt, kan besmet zijn. Hoe een watering hole-aanval werkt, wat u kunt zien en welke gewoonten u beschermen.

In 30 seconden

Waar het gebeurt
Op een site die door een bepaalde gemeenschap wordt bezocht (overheid, bedrijfstak, regio), tijdens gewoon surfen1.
Wat de aanvaller wil
Code uitvoeren op de computer van het slachtoffer, wat vaak toegang geeft tot systemen in het interne netwerk1.
De reflex
De reflex: houd de browser en de extensies up-to-date en weiger elke "update" die een webpagina aanbiedt, ongeacht de site.
Als het al gebeurd is
Breng de IT- of beveiligingsafdeling onmiddellijk op de hoogte, ook als er niets vreemds te zien is.

Waar gaat het over

Bij een watering hole-aanval (in het Nederlands ook wel waterputaanval) neemt de aanvaller geen contact op met het slachtoffer. Hij besmet een site die het slachtoffer al bezoekt: hij plaatst er kwaadaardige code in en wacht tot de bezoekers uit zichzelf komen.

Voor een medewerker zit het gevaar in dat vertrouwen. De site is bekend, nuttig voor het werk, en niets wijst erop dat hij is veranderd. Dit artikel beschrijft het mechanisme, wat u kunt opmerken en wat de schade beperkt.

Directe vragen

Wat is een watering hole-aanval?

De bronnen beschrijven het geval waarin de site van de aanvaller vaak door een gemeenschap wordt bezocht (overheid, bedrijfstak, regio). Het doel is een gebruiker of een groep gebruikers te compromitteren via een gedeelde interesse. Deze gerichte campagne heet "strategic web compromise" of "watering hole attack"1. Ze hoort bij de bredere familie van de "drive-by compromise": het slachtoffer bezoekt een site tijdens gewoon surfen1.

Moet u ergens op klikken om besmet te raken?

Niet altijd. De exploitatie richt zich meestal op de browser, en die vraagt na het openen van de pagina vaak geen extra handeling2. In andere gevallen moet de gebruiker meewerken door scripts, meldingen of actieve componenten in te schakelen, of door waarschuwingsvensters te negeren1.

Kan een bekende, vertrouwde site echt besmet zijn?

Ja, dat is het principe. De aanvaller compromitteert een legitieme site om er kwaadaardige code in te plaatsen1. Hij kan ook scriptbestanden wijzigen die aan de site worden geleverd vanaf een online opslagruimte met schrijfrechten voor iedereen, of besmette advertenties kopen bij legitieme advertentienetwerken1.

Is een up-to-date browser genoeg?

Nee, maar het verkleint het risico. Het bijwerken van alle browsers en plug-ins kan de exploitatiefase voorkomen1. MITRE merkt ook op dat de bescherming tegen exploitatie afhangt van de architectuur en de aangevallen software, en dat sandboxes kunnen worden omzeild1.

1In de huid van de aanvaller1 min

De aanvaller kiest eerst een plek waar het doelwit tijd doorbrengt: een site die door een sector, een werkterrein of een regio wordt bezocht2. Daarna bereidt hij de omgeving voor. De besmette inhoud kan draaien op infrastructuur die hij heeft verworven of al heeft gecompromitteerd2. Hij kan ook domeinen kopen die op legitieme domeinen lijken (homoglyfen, opzettelijke typfout, andere extensie)2.

Vervolgens plaatst hij code in de site: scripts in pagina's of in inhoud die gebruikers kunnen aanpassen, zoals forumberichten2. Hij kan ook scripts toevoegen die de browser van de bezoeker onderzoeken, om te controleren of die kwetsbaar is voordat hij de exploitatie probeert2. Een groep wordt beschreven als een groep die code in sites inbouwt om het IP-adres van een bezoeker te controleren en de browser alleen aan te vallen als de bezoeker interessant is2.

Deze voorbereiding speelt zich grotendeels af buiten het zicht van de aangevallen organisatie, waardoor ze moeilijk te detecteren is2. Legitieme webdiensten dienen ook als tussenstation: gecompromitteerde WordPress-sites hebben zo kwaadaardige bestanden gehost die gedownload konden worden3.

2Wat u op het scherm ziet1 min

De scripts worden automatisch uitgevoerd1. Ze zoeken doorgaans naar de versie van de browser en de plug-ins, op zoek naar een kwetsbare versie1. In sommige gevallen is een tweede bezoek nodig voordat de exploitatiecode binnenkomt1.

Toch zijn er enkele zichtbare signalen. Een pagina kan vragen scripts of meldingen in te schakelen, of aanzetten tot het negeren van een waarschuwing1. Door in de browsermeldingen op "toestaan" te klikken, kan een gebruiker een site toestemming geven om JavaScript in zijn browser uit te voeren1. Sommige campagnes gebruiken valse browserupdates als lokaas: dat is het geval bij SocGholish, verspreid via gecompromitteerde sites waarvan de inhoud zich voordoet als een browserupdate1.

3Onder de motorkapIT-teams1 min

Hier volgt een geneutraliseerde illustratie, met een fictief adres op .invalid. Ze werkt niet.

Fragment
[Legitieme pagina van een sectorsite]
  ... gebruikelijke inhoud van de site ...
  [verborgen element toegevoegd door de aanvaller, grootte nul]
  [het laadt op de achtergrond een pagina van hxxps://exemple[.]invalid/]

De typische keten volgens MITRE ATT&CK telt vier stappen. De gebruiker bezoekt de site die de inhoud van de aanvaller host. Scripts worden uitgevoerd en zoeken naar de versies van browser en plug-ins. Als een kwetsbare versie wordt gevonden, wordt de exploitatiecode geleverd. Als de exploitatie slaagt, krijgt de aanvaller code-uitvoering op de computer, tenzij er andere beveiligingen zijn1.

Het doel verschilt van een aanval op een server die aan internet blootstaat: hier wordt software op de werkplek misbruikt, wat vaak toegang geeft tot systemen in het interne netwerk1. Browsers zijn een veelvoorkomend doelwit van client-side exploitatie, evenals wijdverbreide applicaties van derden in bedrijven, bijvoorbeeld Adobe Reader en Flash4.

Aan de verdedigingskant noemen de bronnen browsersandboxes, die een deel van de impact verzachten (er bestaan sandbox-ontsnappingen)1, advertentie- en scriptblokkers, en het uitschakelen van browsermeldingen1. Het Britse NCSC voegt toe dat de meeste moderne browsers bekende phishingsites en sites met schadelijke software blokkeren, maar niet altijd op mobiele apparaten5. Het adviseert ook alleen ondersteunde en bijgewerkte software te gebruiken en niet met een beheerdersaccount op het web te surfen5.

4IncidentanalysesEchte gevallen1 min

Forbes.com, 2014

APT19 voerde in 2014 een watering hole-aanval uit op forbes.com om zijn doelwitten te compromitteren1. De bronnen geven geen andere details over deze episode.

Operatie Dust Storm, exploitatie van CVE-2014-0322

Tijdens operatie Dust Storm gebruikten de aanvallers een watering hole-aanval tegen een populaire softwarereseller. Ze misbruikten een toen nog onbekende kwetsbaarheid in Internet Explorer (zero-day), CVE-2014-03221. De bron geeft geen datum van de campagne.

Inlogpagina van een Israëlisch scheepvaartbedrijf, tot november 2021

In campagne C0010 compromitteerden de aanvallers de inlogpagina van een legitiem Israëlisch scheepvaartbedrijf en richtten waarschijnlijk een watering hole in die informatie over bezoekers verzamelde2. Deze watering hole wordt beschreven als actief tot minstens november 20211.

Fiche

Identificatie
CP-027
Vleugel
1. Aanvallen en technieken
Brain-competentie
Social engineering doorzien (outsmart_social_engineering)
Brain-reflex
cr-046
Schema
G5 · Beslisboom voor de reflex
Talen
de, en, es, fr, it, nl
Bronnen
5 bronnen gecontroleerd op 3 november 2026
Bronnen5 bronnen
  1. MITRE ATT&CK, “Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1189/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1608/004/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1584/006/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1203/ (geraadpleegd op 3 november 2026)
  5. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Watering hole-aanval”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/

BibTeX 
@misc{brain_cp027_nl_2026,
  author = {Brain},
  title = {Watering hole-aanval},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0