Brute force aanval
Wat is een brute force aanval?
Een brute force aanval is een poging om toegang te krijgen door systematisch wachtwoorden te proberen. Een brute force aanval op je inlogpagina gebeurt automatisch, vaak met duizenden pogingen per keer, en raakt meestal veel sites tegelijk.
Het werkt vooral goed tegen zwakke of voorspelbare wachtwoorden. De aanvaller hoeft niet te weten wie de beheerder is. Hij probeert bekende gebruikersnamen met veelgebruikte wachtwoorden en wacht tot er één werkt.
Welke varianten komen voor?
Er bestaan verschillende vormen, met hetzelfde principe:
- Klassiek raden: systematisch proberen van combinaties, of een lijst met veelgebruikte wachtwoorden.
- Credential stuffing: inloggegevens die bij een eerder datalek zijn gestolen, worden op andere sites uitgeprobeerd. Wie hetzelfde wachtwoord hergebruikt, is extra kwetsbaar.
- Password spraying: één veelgebruikt wachtwoord wordt bij veel verschillende accounts geprobeerd. Per account zijn er dan weinig pogingen, waardoor de aanval minder opvalt.
Welke maatregelen remmen een aanval af?
Meerdere lagen werken samen:
- Inlogbeperking: na een aantal mislukte pogingen wordt inloggen tijdelijk geblokkeerd of vertraagd.
- Blokkades: adressen die te veel pogingen doen, worden geweerd. Een aanvaller kan andere adressen gebruiken, dus dit is op zichzelf niet genoeg.
- Tweestapsverificatie: een geraden wachtwoord is dan niet genoeg om binnen te komen.
- Sterke, unieke wachtwoorden: lange wachtwoorden die je niet op meerdere plekken gebruikt.
Let op de nadelen. Een te strenge blokkade kan jezelf of een collega buitensluiten. Test daarom of je herstelroute werkt. Lees meer over een sterk wachtwoord en tweestapsverificatie.
Hoe merk je dat je wordt aangevallen?
Veel mislukte inlogpogingen in je logbestanden of meldingen van je CMS en beveiligingstools zijn een duidelijk signaal. Let vooral op veel pogingen van één of enkele adressen tegelijk.
Een aanval is zelden meteen schadelijk, maar wijst wel op een zwakke plek. Meer over botdetectie lees je in het artikel over CAPTCHA’s.
Veelgestelde vragen
Ben ik veilig met een lang wachtwoord?
Een lang, uniek wachtwoord maakt een brute force aanval veel lastiger, omdat het aantal combinaties enorm wordt. Toch is het verstandig om ook andere maatregelen te nemen, zoals inlogbeperking en tweestapsverificatie. Een lang wachtwoord kan ook gelekt zijn via een andere site.
Waarom kom ik zelf niet meer binnen na te veel pogingen?
Dat komt meestal door een blokkade die je site of hoster heeft ingesteld. Die beschermt tegen aanvallen, maar kan ook jezelf tijdelijk buitensluiten. Wacht tot de blokkade is verlopen, of vraag je hoster om hulp als je zeker weet dat je de juiste gegevens gebruikt.
Kan een brute force aanval mijn site onbereikbaar maken?
Dat is zelden het gevolg. Het grootste risico is dat iemand inlogt, niet dat de site wegvalt. Bij zeer veel tegelijk kan de server wel zwaarder belast worden. Voor het onbereikbaar maken van een site wordt eerder een DDoS-aanval gebruikt.