Voorbij de prompt: waarom MFA niet genoeg is om je data te beschermen

By Mirko Peters · 2026-08-28

Welkom terug, securityliefhebbers! Als je net als ik bent, herinner je je waarschijnlijk de collectieve zucht van verlichting die de techwereld slaakte toen multi-factor authentication (MFA) mainstream werd. Jarenlang vertrouwden we op kwetsbare, makkelijk te raden wachtwoorden. MFA zou de magische kogel zijn—het digitale krachtveld dat hackers voor eens en altijd buiten de deur zou houden. We ver

Automatically translated with AI from the original post. Read the English original

Welkom terug, securityliefhebbers! Als je net als ik bent, herinner je je waarschijnlijk de collectieve zucht van verlichting die de techwereld slaakte toen multi-factor authentication (MFA) mainstream werd. Jarenlang vertrouwden we op kwetsbare, makkelijk te raden wachtwoorden. MFA zou de magische kogel zijn—het digitale krachtveld dat hackers voor eens en altijd buiten de deur zou houden. We vertellen onze klanten, vrienden en collega's om het overal aan te zetten. Bankrekeningen, sociale media, werkportalen—als er een inlogscherm is, gooi er wat MFA op en klaar is kees.

Maar de harde waarheid die we vandaag onder ogen moeten zien: MFA is niet genoeg. Sterker nog, het als enige verdedigingslinie gebruiken is een gevaarlijk spel. Cybercriminelen zijn geëvolueerd en de geavanceerde dreigingen die onze netwerken vandaag bedreigen, omzeilen traditionele MFA-prompts alsof ze er niet eens zijn.

In dit bericht gaan we de illusie van absolute veiligheid ontmaskeren, kijken we naar de opvallende kwetsbaarheden in moderne multi-factorsystemen en onderzoeken we wat er echt nodig is om een robuuste verdedigingsstrategie op te bouwen in een wereld waarin wachtwoorden en standaardtokens routinematig worden gecompromitteerd. Of je nu een IT-professional bent die een zakelijke omgeving probeert te beveiligen of gewoon iemand die zijn digitale leven wil afschermen, het begrijpen van deze risico's is geen optie. Laten we erin duiken.

Belangrijkste punten

• MFA is geen waterdichte oplossing. Het kan op zichzelf geen gegevensbeveiliging garanderen.
• Phishingaanvallen kunnen MFA omzeilen door gebruikers te misleiden om hun inloggegevens prijs te geven.
• OAuth-toestemmingsaanvallen maken ongeautoriseerde toegang mogelijk, zelfs nadat MFA is voltooid.
• SIM-swapping kan sms-gebaseerde MFA-codes onderscheppen, waardoor de beveiliging in gevaar komt.
• Session hijacking misbruikt actieve sessies, waardoor aanvallers MFA kunnen omzeilen.
• Problemen met de gebruikerservaring kunnen leiden tot het opgeven van MFA, wat de kwetsbaarheid vergroot.
• Overweeg het gebruik van wachtwoordmanagers om de beveiliging te verbeteren en wachtwoorden effectief te beheren.
• Pas een zero trust-beveiligingsmodel toe om gebruikersidentiteiten continu te verifiëren en toegang te beperken.

MFA-kwetsbaarheden

Phishingaanvallen

Overzicht van phishing

Phishingaanvallen blijven een van de meest voorkomende bedreigingen voor gegevensbeveiliging. Deze aanvallen misleiden je om gevoelige informatie prijs te geven, zoals wachtwoorden of authenticatiecodes. Cybercriminelen gebruiken vaak social engineering-tactieken om je te manipuleren en deze gegevens te laten delen. Ze sturen mogelijk e-mails die legitiem lijken, waarbij je wordt gevraagd op kwaadaardige links te klikken of schadelijke bijlagen te downloaden.

Phishingaanvallen kunnen multi-factor authentication (MFA) omzeilen met technieken zoals adversary-in-the-middle (AiTM)-phishing en tokendiefstal. Deze methoden maken gebruik van zwakke plekken in het authenticatieproces, waardoor ongeautoriseerde toegang mogelijk is zonder dat MFA-uitdagingen worden voltooid. Het aantal van dergelijke aanvallen neemt toe, met een opvallende stijging in het gebruik van deze technieken de afgelopen jaren.

Voorbeelden uit de praktijk

Denk aan de volgende technieken die aanvallers gebruiken om MFA te omzeilen:

• Social engineering: Hackers misbruiken menselijke zwakheden door je via phishing-e-mails of telefoontjes te misleiden om authenticatiecodes of inloggegevens prijs te geven.
• MFA-vermoeidheidsaanval: Aanvallers overspoelen je met MFA-verzoeken, waardoor je uit frustratie een verzoek goedkeurt.
• SMS OTP-aanvallen: Technieken zoals SIM-swapping stellen aanvallers in staat sms-gebaseerde eenmalige wachtwoorden te onderscheppen en zo MFA te omzeilen.

De afgelopen jaren is phishing geëvolueerd naar geavanceerde campagnes. AiTM-campagnes plaatsen bijvoorbeeld de phishinginfrastructuur tussen jou en legitieme diensten, waarbij ze zowel je inloggegevens als MFA-tokens onderscheppen. Hierdoor kunnen aanvallers toegang krijgen zonder MFA te activeren. Tokendiefstal houdt in dat authenticatietokens worden gestolen, waarmee ongeautoriseerde toegang wordt verkregen zonder wachtwoorden of MFA-uitdagingen te doorlopen.

OAuth-toestemmingsaanvallen

Hoe OAuth-toestemming werkt

OAuth-toestemmingsaanvallen manipuleren je om machtigingen te verlenen aan kwaadaardige applicaties. Deze aanvallen richten zich op de autorisatielaag in plaats van op het authenticatieproces. Zodra je toestemming hebt verleend, ontvangen aanvallers toegangstokens die los van MFA werken en blijvende toegang tot je accounts bieden.

Risico's van ongeautoriseerde toegang

De risico's van OAuth-toestemmingsaanvallen zijn aanzienlijk. Aanvallers kunnen toegang krijgen tot je gegevens, zelfs nadat MFA is voltooid. Dat betekent dat traditionele beveiligingsmaatregelen zoals MFA niet beschermen tegen ongeautoriseerde toegang zodra toestemming is verleend. Recente trends laten een sterke toename van kwaadaardige bedrijfsapplicaties zien die zich richten op Microsoft 365-clients.

SIM-swapping

Hoe SIM-swapping werkt

SIM-swapping is een techniek waarbij aanvallers de controle over je telefoonnummer krijgen door je mobiele provider te overtuigen je nummer over te zetten naar een nieuwe simkaart. Zo kunnen ze sms-berichten onderscheppen, inclusief berichten met MFA-codes.

Casestudy's

Het aantal SIM-swapping-aanvallen is dramatisch gestegen. De Federal Trade Commission (FTC) meldde een stijging van 400% in SIM-swapping-aanvallen van 2021 naar 2022. Uit een onderzoek van Princeton University uit 2020 bleek dat 80% van de eerste pogingen tot SIM-swapfraude succesvol was, grotendeels door zwakke authenticatiemethoden bij telecomproviders.

In september 2023 werd Ethereum-medeoprichter Vitalik Buterin het doelwit van een SIM-swapping-aanval waarbij hackers zijn Twitter-account kaapten. Ook een medewerker van Kroll werd in augustus 2023 slachtoffer van een SIM-swapping-aanval, wat leidde tot ongeautoriseerde toegang tot gevoelige bedrijfsinformatie.

De gevolgen van SIM-swapping-aanvallen kunnen ernstig zijn:

• Aanvallers kunnen via sms verzonden MFA-codes onderscheppen, waardoor ongeautoriseerde toegang tot accounts mogelijk wordt.
• Toegang tot gevoelige informatie kan leiden tot datalekken en verlies van intellectueel eigendom.
• De FBI meldde bijna 50 miljoen dollar aan verliezen door SIM-swapping-aanvallen.

Sessiekaping

Misbruik van sessiecookies

Sessiekaping ontstaat wanneer aanvallers de controle overnemen over je actieve sessie met een webapplicatie. Ze misbruiken sessiecookies, kleine gegevensbestanden die na je aanmelding op je apparaat worden opgeslagen. Deze cookies zorgen ervoor dat je ingelogd blijft zonder je inloggegevens opnieuw in te voeren. Als aanvallers deze cookies stelen, kunnen ze zich als jou voordoen en ongeautoriseerde toegang tot je accounts krijgen.

Dit zijn enkele veelgebruikte methoden waarmee aanvallers sessies kapen:

• Sessietokens (cookies) stelen nadat de gebruiker is geauthenticeerd.
• Adversary-in-the-middle (AitM)-proxyaanvallen gebruiken met tools zoals Evilginx om inloggegevens en MFA-codes in realtime te onderscheppen.
• Infostealer-malware inzetten om sessiecookies van slachtofferapparaten te extraheren.
• Cookiediefstal via malware of phishing.
• Netwerksniffing op onbeveiligde wifi om sessiegegevens te onderscheppen.
• Cross-site scripting (XSS)-aanvallen om cookies te stelen.
• TCP-sessiekaping door sequentienummers te voorspellen.

Met deze technieken kunnen aanvallers zowel wachtwoorden als MFA-verzoeken omzeilen. Zodra ze je sessiecookie hebben, kunnen ze toegang krijgen tot je account zonder je wachtwoord of MFA-code nodig te hebben.

Impact op de effectiviteit van MFA

De effectiviteit van MFA neemt sterk af zodra aanvallers je sessie succesvol kapen. Ze kunnen zich als jou voordoen en acties uitvoeren alsof ze jou zijn, terwijl ze de MFA-controles omzeilen. Als een aanvaller bijvoorbeeld je sessiecookie steelt, kan hij of zij inloggen op je account zonder je wachtwoord of MFA-code in te voeren.

Om jezelf te beschermen, gebruik je de optie "Ingelogd blijven" niet op onbetrouwbare apparaten. Vermoed je dat je account is gecompromitteerd, dan forceer je meteen het afmelden van alle sessies. Die actie kan helpen de risico's van sessiekaping te beperken.

Beperkingen van multifactorauthenticatie

Gebruikerservaring versus beveiliging

Balans tussen gemak en veiligheid

Bij het gebruik van multifactorauthenticatie (MFA) loop je vaak tegen een dilemma aan. MFA verhoogt de beveiliging, maar maakt de gebruikerservaring ook ingewikkelder. Veel gebruikers vinden het instellen en herstellen ingewikkeld en verwarrend. Die complexiteit kan leiden tot frustratie en uiteindelijk tot het volledig opgeven van MFA. In de praktijk laten gebruikers MFA vaak links liggen vanwege een slechte gebruikerservaring, bijvoorbeeld door factoren zoals:

• Complexiteit: MFA instellen kost tijd en is verwarrend, zeker voor wie niet zo technisch is.
• Gemak: Herhaalde authenticatieverzoeken kunnen frustrerend zijn en leiden tot een lagere adoptie.
• Gebrek aan begeleiding: Onvoldoende instructies maken dat je moeite hebt om de MFA-stappen af te ronden.
• Weerstand bij gebruikers: De algehele last van MFA kan ertoe leiden dat je het afwijst of opgeeft.

Deze knelpunten in de bruikbaarheid dragen rechtstreeks bij aan frustratie bij gebruikers en het opgeven van MFA-systemen.

Naleving door gebruikers

Gebruikerscompliance speelt een cruciale rol bij de effectiviteit van MFA. Als je MFA weigert omdat het als lastig of omslachtig wordt ervaren, stel je jezelf en je organisatie bloot aan risico's. Slechte compliance kan leiden tot:

• MFA helemaal omzeilen.
• Verzet tegen de uitrol, waardoor systemen kwetsbaar worden voor op wachtwoorden gebaseerde aanvallen.
• Onderbenutting of onjuiste configuratie van MFA, waardoor de beschermende werking afneemt.

Technologische tekortkomingen

Onveilige kanalen

MFA is afhankelijk van verschillende communicatiekanalen, maar niet al die kanalen zijn veilig. Zo kan het gebruik van sms voor authenticatie je beveiliging aanzienlijk verzwakken. Als aanvallers je telefoonnummer in handen krijgen, kunnen ze sms-berichten onderscheppen, inclusief MFA-codes. Alleen op wachtwoorden vertrouwen betekent dat aanvallers zonder extra barrières toegang krijgen tot accounts zodra inloggegevens zijn gelekt.

Gebrek aan standaardisatie

Het ontbreken van standaardisatie bij MFA-implementaties leidt tot versnipperde aanpakken op verschillende platforms. Deze inconsistentie tast de betrouwbaarheid van MFA aan. Sectoren zoals IoT en e-diensten werken bijvoorbeeld met uiteenlopende MFA-protocollen, wat kwetsbaarheden kan veroorzaken.

Deze beperkingen laten zien waar organisaties tegenaan lopen bij het invoeren van MFA. Inzicht in deze problemen is essentieel om je beveiligingspositie te verbeteren.

Alternatieven voor MFA

In het huidige digitale landschap kun je kwetsbaar zijn als je uitsluitend vertrouwt op multifactorauthenticatie (MFA). Overweeg daarom aanvullende beveiligingsmaatregelen die je bescherming versterken. Dit zijn enkele effectieve opties:

Wachtwoordmanagers

Voordelen van wachtwoordmanagers

Wachtwoordmanagers maken je online beveiliging eenvoudiger. Ze slaan je wachtwoorden versleuteld op, zodat je voor elk account eenvoudig unieke, complexe wachtwoorden kunt gebruiken. Dit verkleint het risico op diefstal van inloggegevens en hergebruik van wachtwoorden.

Hoe ze de beveiliging versterken

Met een wachtwoordmanager genereer je automatisch sterke wachtwoorden. Je hoeft dan niet meer meerdere wachtwoorden te onthouden en kunt je richten op beveiliging in plaats van op het onthouden ervan. Veel wachtwoordmanagers bieden daarnaast functies zoals het delen van wachtwoorden en waarschuwingen bij datalekken, wat je identiteitsbeveiliging verder versterkt.

Biometrische authenticatie

Soorten biometrische methoden

Biometrische authenticatie gebruikt unieke fysieke kenmerken om je identiteit te verifiëren. Veelgebruikte methoden zijn onder andere:

• Vingerafdrukscan
• Handpalmscan
• Retina- en irisscan
• Spraakherkenning
• Ademanalyse
• DNA-vergelijking
• Aderscan
• Ganganalyse

Deze methoden worden breed toegepast in sectoren zoals de zorg en de maakindustrie, vooral waar gedeelde apparaten veel voorkomen.

Voor- en nadelen van biometrische beveiliging

Biometrische authenticatie heeft verschillende voordelen:

1. Sterke beveiliging en een lager risico op identiteitsdiefstal.
2. Gemak: je hoeft geen wachtwoorden meer te onthouden.
3. Betere gebruikerservaring: snelle toegang tot apparaten of diensten.

Er zijn echter ook nadelen:

Biometrische methoden versterken de beveiliging, maar roepen ook vragen op over gegevensprivacy en mogelijke datalekken.

Zero Trust-beveiligingsmodel

Principes van Zero Trust

Het Zero Trust-beveiligingsmodel gaat uit van het principe "vertrouw nooit, verifieer altijd". Deze aanpak vereist strikte authenticatie en autorisatie voor elk toegangsverzoek. Belangrijke principes zijn:

• Ga nooit impliciet uit van vertrouwen bij toegang tot het netwerk.
• Gebruik meerdere beschermingsmaatregelen, zoals versleuteling.
• Beperk de toegang tot gegevens strikt tot wat nodig is.

Zero Trust implementeren in organisaties

Organisaties kunnen Zero Trust implementeren door voortdurend de identiteit van gebruikers te verifiëren en de toegang te beperken tot goedgekeurde gebruikers en resources. Dit model legt de nadruk op op identiteit gebaseerde authenticatie en autorisatie voor alle verbindingen. Door gedrag van gebruikers en de status van apparaten te monitoren, kunnen organisaties toegang dynamisch autoriseren, zodat ze minder afhankelijk zijn van MFA als enige beveiligingsmaatregel.

MFA heeft aanzienlijke kwetsbaarheden en beperkingen waar je rekening mee moet houden. Aanvallers kunnen nepinlogpagina's gebruiken om inloggegevens te stelen, waardoor de effectiviteit van MFA wordt ondermijnd. Daarnaast heeft 61% van de organisaties rootgebruikers zonder MFA, wat de risico's laat zien van het uitsluitend vertrouwen op deze methode.

Om je gegevens te beschermen, kies je best voor een proactieve aanpak met meerdere beveiligingslagen. Overweeg het volgende:

• Op rollen gebaseerde toegangsbeheer om de blootstelling van gegevens te beperken.
• Naleving van regelgeving zoals HIPAA en GDPR voor sterke authenticatie.
• Continue monitoring van aanmeldingsactiviteit om verdacht gedrag op te sporen.

Door je beveiligingsmaatregelen te diversifiëren, bescherm je je gevoelige informatie beter.

Veelgestelde vragen

Wat is MFA?

MFA, of Multi-Factor Authentication, voegt extra beveiliging toe door twee of meer verificatiemethoden te vereisen. Die methoden kunnen iets zijn dat je weet (zoals een wachtwoord), iets dat je hebt (zoals een telefoon) of iets dat je bent (zoals een vingerafdruk).

Hoe omzeilt phishing MFA?

Bij phishing-aanvallen word je misleid om je inloggegevens of MFA-codes prijs te geven. Aanvallers kunnen technieken gebruiken zoals adversary-in-the-middle-phishing om zowel je wachtwoord als je MFA-token te onderscheppen. Zo krijgen ze toegang tot je accounts zonder MFA te moeten doorlopen.

Wat is een OAuth consent-aanval?

Bij een OAuth consent-aanval manipuleren aanvallers je zodat je machtigingen verleent aan kwaadaardige applicaties. Zodra je toestemming geeft, krijgen ze toegangstokens waarmee ze je gegevens kunnen benaderen zonder MFA te moeten doorlopen.

Waarom is SIM swapping gevaarlijk?

Bij SIM swapping nemen aanvallers de controle over je telefoonnummer over. Ze kunnen sms-berichten onderscheppen, inclusief MFA-codes, waardoor ze MFA kunnen omzeilen en zonder dat je het merkt toegang krijgen tot je accounts.

Hoe werkt session hijacking?

Session hijacking vindt plaats wanneer aanvallers je sessiecookies stelen nadat je bent aangemeld. Ze kunnen zich als jou voordoen en toegang krijgen tot je accounts zonder je wachtwoord of MFA-code nodig te hebben, waardoor de effectiviteit van MFA ondermijnd wordt.

Wat zijn alternatieven voor MFA?

Alternatieven voor MFA zijn onder andere het gebruik van wachtwoordmanagers, biometrische authenticatie en een zero trust-beveiligingsmodel. Met deze methoden versterk je je beveiligingspositie en verminder je de afhankelijkheid van alleen MFA.

Kan ik voor mijn beveiliging alleen op wachtwoorden vertrouwen?

Nee, alleen op wachtwoorden vertrouwen is riskant. Wachtwoorden kunnen worden gestolen of geraden. Extra beveiligingsmaatregelen, zoals MFA of wachtwoordmanagers, verbeteren je bescherming tegen ongeautoriseerde toegang aanzienlijk.

Hoe verbeter ik mijn beveiligingspositie?

Om je beveiliging te versterken, kun je het best sterke, unieke wachtwoorden gebruiken, MFA inschakelen waar dat mogelijk is en je accounts regelmatig controleren op verdachte activiteit. Een beveiligingsaanpak met meerdere lagen is essentieel om je gegevens te beschermen.

Conclusie

Zoals we in dit artikel hebben besproken, is multi-factor authentication behandelen als een onfeilbare wondermiddel een gevaarlijke vergissing. Tussen geavanceerde AiTM-phishingcampagnes, meedogenloze SIM swapping, session hijacking en gluipende OAuth consent-misbruik hebben aanvallers talloze manieren gevonden om de standaard multi-factor-poortwachters te passeren. MFA blijft een essentieel hulpmiddel in je beveiligingsarsenaal, maar het is slechts één laag in een veel groter geheel. Om je digitale assets echt te beschermen, moet je een defense-in-depth-mentaliteit omarmen, sterke authenticatiemethoden combineren met goede wachtwoordmanagers en overschakelen naar een zero-trust-architectuur.

Wil je nog dieper ingaan op hoe moderne identity-exploits in zz'n werk gaan, en meer specifiek op hoe kwaadwillenden applicatiemachtigingen gebruiken om langdurige toegang te behouden, dan moet je zeker de bijbehorende podcastaflevering bekijken. Voor de volledige uitleg ga je naar Stop OAuth Consent Attacks in Microsoft Entra ID. Blijf veilig en blijf je aannames in twijfel trekken, en tot de volgende aflevering!