Wake up call: Wachtwoorden nog altijd een probleem

Privé-mailadressen en wachtwoorden van Nederlandse ministers en zakelijke credentials van militairen, diplomaten, medewerkers van een kerncentrale en banken. Personeelsleden van vrijwel alle overheidsorganisaties en vitale dienstenaanbieders komen voor in de gelekte dataset ‘Compilation of Many Breaches’, kortweg COMB. Deze is samengesteld uit de gegevens van meerdere hacks uit voorgaande jaren. (Lees dit nieuwsverhaal van Computable voor meer details.)

Risico’s

Deskundigen verschillen van mening over het risiconiveau van dit COMB-datalek. Volgens Remco Geerts, business unit manager security bij de Belgische it-dienstverlener Cegeka, weten we al heel lang dat wachtwoorden lekken. ‘Dat gebeurt al meer dan twintig jaar. Het is natuurlijk wel nieuw dat ze nu massaal beschikbaar zijn.’ Zijn collega Bart van den Branden, head of product management security, vult aan: ‘Het feit dat niet alleen Nederlandse bedrijven, maar ook overheden zo sterk vertegenwoordigd zijn in die dataset vind ik absoluut een zorgwekkende trend. Zeker als je ziet wat voor kritische infrastructuur of systemen daar dan achter kunnen zitten. Het zou een wake-up call moeten zijn: dit is nog altijd een probleem, die wachtwoorden.’ Geerts: ‘De vraag is ook waarom we nog steeds zo afhankelijk zijn van die wachtwoorden. Waarom gebruiken we die nog steeds? Waarom is dat nog steeds zo’n kwetsbaar deel?’

"Het zou een wake-up call moeten zijn: dit is nog altijd een probleem, die wachtwoorden". Remco Geerts, Business Unit Manager Cyber Security & Networking 

Ronald Prins (ex-Fox It, oprichter Hunt & Hackett) relativeert het risiconiveau van dit COMB-datalek: ‘In de praktijk heb ik nooit gezien dat deze mail-wachtwoord combinaties zijn misbruikt om daarmee in bedrijfssystemen in te loggen. Bedrijven kunnen afdwingen dat wachtwoorden worden veranderd en dat doen ze ook. Neem bijvoorbeeld die negenduizend medewerkers van Shell in de COMB-database. Zodra Shell ziet dat ze in een datalek zitten, dwingen ze mensen onmiddellijk hun wachtwoord te veranderen.’

Bij bedrijven waar Prins voor werkte was zo´n lijst nooit het infectiepunt. Maar de mailadressen kunnen wel om een andere reden waardevol zijn voor kwaadwillenden, zegt hij. Hackers kunnen een voordehandliggend wachtwoord nemen, bijvoorbeeld ´Welkom2026!´ en dat razendsnel op alle mailadressen van een organisatie uitproberen. Er is altijd wel iemand die zo´n zwak wachtwoord gebruikt.’

Pim Takkenberg, general Manager Benelux van cybersecurity-dienstverlener Northwave, bevestigt dat deze modus operandi gebruikt wordt. ‘Dat zagen we inderdaad wel gebeuren bij organisaties die slachtoffer werden, want dat kon je als hacker in het verleden natuurlijk vrij uitgebreid doen, met eindeloos veel pogingen. Maar tegenwoordig krijg je na drie of na vijf keer een account lockout. Dus dat is intussen ook maar beperkt bruikbaar. Los van het feit dat je natuurlijk ook nog kunt monitoren of het bij één gebruiker gebeurt, of bij meerdere.’

Geerts en Van den Branden zien in de eerste plaats risico´s op phishing. Ongeveer negentig procent van alle succesvolle cyberaanvallen begint via e-mail, stellen de Cegeka-experts. Van den Branden: ‘Aanvallers gebruiken ai om aanvallen te versnellen, ook op die ministeries en kritieke infrastructuur die allemaal in de COMB-database zitten. Met ai kun je dus supergericht en heel snel een heel groot aanvalsoppervlak bereiken. En dat kon hiervoor niet. Dat varieert van één bericht wat je aan 10.000 gebruikers stuurt tot zeer gerichte phishing e-mails die met ai gegenereerd worden.’ Geerts vult aan: ´Vroeger kostte het veel tijd om een overtuigende phishingmail voor één specifieke persoon te maken. Je moest uitzoeken wat iemand doet, voor welke organisatie hij werkt en met wie hij samenwerkt. AI kan een groot deel van dat werk automatiseren. Dat maakt het risico voor overheden en vitale infrastructuur groter. Dit soort organisaties hebben veel medewerkers, veel leveranciers en veel externe relaties. Juist daar zijn veel aanknopingspunten aanwezig om een phishingaanval geloofwaardig te maken.´

"COMB wordt gebruikt om modellen te trainen op typische wachtwoorden" 
 Bart van den Branden, Head of Product Management  

Patronen herkennen 

Aanvallers kunnen volgens deskundigen de COMB-data ook gebruiken om ai-modellen te trainen om patronen te herkennen en nieuwe wachtwoorden te voorspellen. Van den Branden: ‘Aan de ene kant kun je met de data brute force en credential stuffing doen en zien wat je zo kunt hacken. Maar aan de andere kant kun je je ook afvragen wat het volgende password zou zijn dat er gebruikt wordt of wat de typische wachtwoorden zijn die gebruikt worden? Daar is vorig jaar nog onderzoek naar gedaan, waarbij COMB een van de datasets was die werden gebruikt om modellen te trainen.’

Onderzoekers van de Miami-universiteit stellen in een wetenschappelijk artikel voor de IEEE (pdf) dat deep learning-tools in combinatie met COMB een extra cyberveiligheidsdreiging vormen. ‘Generative adversarial networks (GAN’s), een type deep learning-netwerk, zijn ontworpen om realistische data te genereren, zoals wachtwoorden. De effectiviteit van deze netwerken neemt toe met de hoeveelheid beschikbare trainingsdata; meer data leidt tot nauwkeurigere generatie van realistische wachtwoorden. PassGAN bijvoorbeeld, een GAN-model dat speciaal is ontwikkeld voor het genereren van wachtwoorden, heeft opmerkelijke effectiviteit aangetoond. […] Door zijn enorme omvang zou COMB het vermogen van het model om nauwkeurige wachtwoorden te genereren aanzienlijk kunnen verbeteren. Het resulterende risico is tweeledig: ten eerste kunnen de door de GAN gegenereerde wachtwoorden worden ingezet bij aanvallen zoals credential stuffing; ten tweede kunnen ze […] worden ingevoerd in wachtwoordkrakers zoals HashCat, waardoor de nauwkeurigheid van de kraker en de kans op gecompromitteerde accounts toenemen. Dit scenario illustreert hoe de aggregatie van data uit datalekken kan leiden tot geavanceerde vooruitgang in cyberaanvallen door de toepassing van machine learning-technieken.’

Remco Geerts: ´Eigenlijk is COMB vooral interessant omdat het een enorme dataset van menselijk gedrag bevat. Je ziet hoe mensen wachtwoorden kiezen, hoe ze variaties maken en welke patronen daarin terugkomen. Dat is precies het soort informatie waar AI-modellen goed in zijn: het herkennen van patronen op grote schaal. Als je voldoende data hebt, kun je niet alleen voorspellen welk wachtwoord iemand mogelijk gebruikt, maar ook welke accounts, gebruikers of organisaties de grootste kans bieden op misbruik. Daarmee verschuift de focus van zoveel mogelijk slachtoffers benaderen naar het vooraf identificeren van de meest kansrijke doelwitten. Dat maakt aanvallen niet alleen efficiënter, maar ook gerichter.´

Over de risico’s van PassGAN zijn de meningen verdeeld, maar duidelijk is wel dat er is inmiddels een actieve ai-wapenwedloop gaande is tussen cybercriminelen en verdedigers. Beide partijen zetten daarbij patroonherkenning in. Geerts: ‘Als ik in jouw huis inbreek dan ga ik waarschijnlijk in alle kamers op zoek naar geld en naar sieraden en trek ik overal laatjes open. Nou, dat is geen gebruikelijk gedrag in jouw woning. Dat is in een bedrijfsnetwerk hetzelfde. Dus als je gedrag ziet voorbijkomen van gebruikers die je misschien wel kent, maar wat afwijkt van normaal gedrag, dan moet je daarop reageren en onderzoeken. En daarmee voorkom je gewoon zo´n Odido-situatie of alle andere voorbeelden die we de laatste tijd voorbij hebben zien komen.’

Compilaties van breaches  
De ene compilatie bouwt op de vorige. Na COMB zijn er al weer veel grotere compilaties opgedoken: nog meer trainingsdata. Ook al zijn de wachtwoorden niet toegankelijk via een openbare zoekmachine. 
-   RockYou2021 (2021) — 8,4 miljard plaintext-wachtwoorden, bouwt voort op eerdere compilaties inclusief COMB-data.
- Mother of All Breaches / MOAB (januari 2024) — 26 miljard records. Cybernews omschreef het als “most likely the largest compilation of multiple breaches,” COMB inbegrepen. Bronnen: Twitter, Adobe, Canva, LinkedIn, Dropbox.
- RockYou2024 (4 juli 2024) — bijna 10 miljard plaintext-wachtwoorden. Bouwt op RockYou2021, aangevuld met 1,5 miljard nieuwe wachtwoorden uit 2021–2024 via minstens 4.000 afzonderlijke datalekken.

Een lijst van alle breaches is te vinden bij Privacy Rights Clearinghouse.     

Meerdere lagen

Welke maatregelen zijn nodig om de risico’s van wachtwoord-lekken te beperken? De Cegeka-experts adviseren een gelaagde beveiliging. Wachtwoorden alleen voldoen niet meer. Het implementeren van multifactor-authenticatie (mfa) en passkeys (die werken met cryptografische sleutels of biometrie) wordt noodzaak. En minstens zo belangrijk is segmentatie van netwerken om te voorkomen dat aanvallers zich makkelijk verplaatsen als ze eenmaal binnen zijn.

Hoewel segmentatie de drempel voor aanvallers aanzienlijk verhoogt, benadrukken de deskundigen dat het onderdeel moet zijn van een breder pakket aan maatregelen, waaronder detectie en respons om afwijkend gedrag binnen die gesegmenteerde zones te kunnen signaleren.

Veerkrachtig

Pim Takkenberg denkt dat systemen veiliger moeten worden zonder het voor gebruikers moeilijker te maken. ´Ik denk dat je continu je faciliteiten moet gaan scannen, dat je sneller je patch management op orde moet gaan brengen. En dat security operation centers ook veel sneller en veel vaker geautomatiseerd moeten inveniëren. Alles gaat gewoon veel sneller en er zullen meer aanvalspogingen zijn. Je zult je erop moeten gaan aanpassen. Bedrijven moeten resilient, veerkrachtig worden. Dus eigenlijk zorgen dat als het mis gaat, het niet meteen catastrofaal is, maar dat het alleen op een onderdeel effect heeft, zodat je dat gewoon kunt overleven.´

"Tachtig procent van computerwerk gaat geautomatiseerd worden door AI-agents" 
Remco Geerts, Business Unit Manager.  

Prins ziet ook het continue monitoren van het netwerk, als de beste vorm van beveiliging. ´Goede detectie is beter dan steeds meer sloten op de deur. Het gaat erom verdachte patronen te herkennen. Dat constant te monitoren. Het steeds verder beveiligen van systemen heeft geen zin. Hoe meer je systemen beveiligt, hoe ingewikkelder je het maakt, hoe meer mensen de onbeveiligde alternatieven gaan gebruiken´.

Remco Geerts: ‘Mijn verwachting is dat tachtig procent van computer gebaseerd werk geautomatiseerd gaat worden door ai-agents. En dat betekent dus dat we daar kwetsbaar worden. Waar kunnen die agents allemaal bij, welke data, dat wordt een heel belangrijk aandachtspunt. We krijgen nu al veel vragen van klanten. Wat betekent dat voor ons? Hoe kunnen we ons daartegen verdedigen. Dus het leeft enorm. Waar we in het verleden veel breaches zagen ontstaan omdat er fouten zaten in applicatieontwikkeling, is het nu eigenlijk feitelijk hetzelfde, want een ai-agent moet ook gebouwd worden. En het is nog steeds een kwestie van veilig ontwerpen en veilig ontwikkelen.´