Multi-factor authenticatie beschermt tegen phishing door aanvallers te blokkeren die alleen een wachtwoord hebben gestolen. Zelfs als een gebruiker zijn inloggegevens invoert op een nepsite, heeft de aanvaller zonder de tweede factor geen toegang. Toch is niet elke MFA-methode even sterk: sommige vormen zijn kwetsbaar voor geavanceerde aanvallen. Dit artikel beantwoordt de meest gestelde vragen over MFA, phishingbestendigheid en wat je als MKB-organisatie concreet kunt doen.
Welke aanvalstechnieken omzeilen MFA toch?
Aanvallers omzeilen multi-factor authenticatie vooral via drie technieken: Adversary-in-the-Middle-aanvallen (AiTM), MFA-vermoeidheidsaanvallen (ook wel MFA fatigue genoemd) en SIM-swapping. Bij deze methoden hoeven aanvallers het wachtwoord niet te raden. Ze onderscheppen de authenticatiesessie of manipuleren de gebruiker zodat die zelf toegang verleent.
De meest voorkomende technieken zijn:
- AiTM-phishing: Een neppaginaserver staat tussen de gebruiker en de echte dienst in en onderschept zowel het wachtwoord als het sessietoken na een geslaagde MFA-verificatie.
- MFA fatigue: De aanvaller stuurt tientallen pushmeldingen naar de telefoon van het slachtoffer totdat die uit frustratie op “goedkeuren” tikt.
- SIM-swapping: De aanvaller overtuigt de telecomprovider om het telefoonnummer van het slachtoffer over te zetten naar een sim die hij beheert, waarna hij sms-codes ontvangt.
- Session hijacking: Na een geslaagde aanmelding steelt de aanvaller de sessiecookie, waardoor hij ingelogd blijft zonder opnieuw te authenticeren.
Wat deze aanvallen gemeen hebben: ze richten zich niet op het kraken van het wachtwoord, maar op het omzeilen van de verificatiestap zelf. Traditionele MFA-methoden zoals sms-codes en eenvoudige pushberichten bieden hier onvoldoende bescherming tegen.
| Afspraak maken |
Welke MFA-methoden zijn het meest bestand tegen phishing?
De meest phishingbestendige MFA-methoden zijn FIDO2-beveiligingssleutels en passkeys, gevolgd door certificaatgebaseerde authenticatie. Deze methoden koppelen de verificatie cryptografisch aan het exacte domein van de legitieme website. Een nepsite kan de verificatie simpelweg niet nabootsen, omdat de sleutel nooit het juiste antwoord geeft op een ander domein.
FIDO2-beveiligingssleutels en passkeys
Een FIDO2-sleutel is een fysiek apparaatje dat je in een USB-poort steekt of via NFC koppelt. Bij het inloggen controleert het apparaat automatisch of het domein overeenkomt met de registratie. Is de gebruiker op een phishingsite terechtgekomen, dan weigert de sleutel simpelweg te reageren. Passkeys werken op hetzelfde cryptografische principe, maar zijn ingebouwd in het apparaat zelf (smartphone of laptop) en worden ontgrendeld via biometrie of pincode.
Authenticator-apps met nummerkoppeling
Authenticator-apps die een nummerkoppeling vereisen, zijn een stap beter dan gewone pushberichten. De gebruiker moet een getal dat op het inlogscherm staat invoeren in de app voordat hij goedkeurt. Dit maakt geautomatiseerde MFA-fatigue-aanvallen aanzienlijk moeilijker, al bieden ze geen bescherming tegen AiTM-aanvallen waarbij de aanvaller de sessie onderschept na goedkeuring.
Hoe werkt een AiTM-phishingaanval op MFA precies?
Bij een AiTM-aanval (Adversary-in-the-Middle) plaatst de aanvaller een proxyserver tussen de gebruiker en de echte inlogpagina. De gebruiker ziet een overtuigende kopie van de echte site, voert zijn inloggegevens in en voltooit de MFA-verificatie. De aanvaller onderschept vervolgens het sessietoken dat de echte server teruggeeft, en gebruikt dat token om zelf ingelogd te blijven.
Het proces stap voor stap:
- De gebruiker ontvangt een phishingmail met een link naar een nepsite die er identiek uitziet aan de echte inlogpagina.
- De nepsite stuurt alle ingevoerde gegevens door naar de echte server en fungeert als tussenpersoon.
- De echte server vraagt om MFA-verificatie. De gebruiker voltooit dit op zijn eigen apparaat.
- De echte server geeft een sessietoken terug. De aanvaller onderschept dit token.
- Met het gestolen sessietoken logt de aanvaller in op de echte dienst, zonder zelf MFA te hoeven doorlopen.
Dit is waarom sms-codes en standaard pushberichten niet beschermen tegen AiTM-aanvallen. De gebruiker heeft de verificatie correct uitgevoerd, maar de aanvaller heeft de resulterende sessie overgenomen. Alleen methoden die de authenticatie cryptografisch binden aan het exacte domein, zoals FIDO2, maken deze aanvalsvorm onmogelijk.
Wat is het verschil tussen MFA en phishing-resistant authenticatie?
MFA is de overkoepelende term voor elke inlogmethode waarbij je meer dan één factor gebruikt. Phishing-resistant authenticatie is een specifieke categorie van MFA waarbij de verificatie cryptografisch gebonden is aan het legitieme domein, zodat een aanvaller de verificatie niet kan onderscheppen of hergebruiken op een andere site.
Niet alle MFA is dus phishingbestendig. Het verschil zit in de technische werking:
- Standaard MFA (sms, eenvoudige pushberichten, TOTP-codes): De gebruiker bewijst zijn identiteit, maar de verificatiecode of goedkeuring is niet gebonden aan een specifieke website. Een aanvaller kan de code of sessie onderscheppen en elders gebruiken.
- Phishing-resistant MFA (FIDO2, passkeys, certificaatgebaseerd): De verificatie is cryptografisch gekoppeld aan het exacte domein. Een nepsite ontvangt nooit een geldig antwoord, omdat de sleutel het domein herkent als onjuist.
Voor organisaties die vallen onder de NIS2-richtlijn en de aankomende Cyberbeveiligingswet geldt dat phishing-resistant authenticatie steeds vaker wordt gezien als de minimumstandaard voor toegang tot kritieke systemen.
Wanneer is MFA alleen niet voldoende als beveiligingsmaatregel?
MFA alleen is niet voldoende wanneer aanvallers sessietokens stelen via AiTM-aanvallen, wanneer gebruikers worden gemanipuleerd via social engineering, of wanneer systemen na een geslaagde inlog niet verder worden gemonitord. MFA beveiligt de voordeur, maar als een aanvaller eenmaal binnen is, heeft hij vrij spel als er geen aanvullende maatregelen zijn.
Situaties waarin MFA onvoldoende bescherming biedt:
- Na inlog: Zodra een aanvaller een sessietoken heeft gestolen, is hij al voorbij de MFA-controle. Zonder sessiemonitoring of anomaliedetectie valt dit niet op.
- Insider threats: Een medewerker die zelf toegang heeft, omzeilt MFA per definitie. Toegangsbeheer en het principe van minimale rechten zijn dan essentieel.
- Kwetsbare endpoints: Als het apparaat van de gebruiker al gecompromitteerd is door malware, kan een aanvaller inlogpogingen onderscheppen nog vóór MFA wordt gecontroleerd.
- Zwakke herstelprocessen: Accountherstel via e-mail of sms kan MFA volledig omzeilen als die kanalen ook zijn gecompromitteerd.
MFA is een essentiële beveiligingslaag, maar geen op zichzelf staande oplossing. Een volledige security baseline combineert sterke authenticatie met monitoring, toegangsbeheer, patchbeleid en bewustwording bij medewerkers.
| Afspraak maken |
Hoe implementeer je phishingbestendige MFA in een MKB-omgeving?
Phishingbestendige MFA implementeer je in een MKB-omgeving door te beginnen met een inventarisatie van de meest kritieke accounts en systemen, vervolgens FIDO2-sleutels of passkeys uit te rollen voor die accounts, en parallel de bewustwording bij medewerkers te verhogen. Je hoeft niet alles tegelijk te doen: prioriteer toegang tot e-mail, financiële systemen en cloudomgevingen.
Een praktisch stappenplan voor MKB-organisaties:
- Breng kritieke accounts in kaart: Welke accounts geven toegang tot gevoelige data, financiën of klantinformatie? Begin daar.
- Kies de juiste methode: FIDO2-sleutels zijn de sterkste keuze voor accounts met hoog risico. Authenticator-apps met nummerkoppeling zijn een goede tweede keuze voor bredere uitrol.
- Schakel sms-verificatie uit: Vervang sms-codes door een authenticator-app of hardwaresleutel. Sms is de zwakste MFA-methode en kwetsbaar voor SIM-swapping.
- Stel conditionele toegang in: Configureer beleid dat verdachte inlogpogingen (onbekend apparaat, onbekende locatie) automatisch blokkeert of extra verificatie vereist.
- Train medewerkers: Leg uit wat phishing is, hoe MFA-fatigue-aanvallen werken en waarom ze nooit zomaar een pushbericht mogen goedkeuren dat ze niet verwachten.
- Monitor en evalueer: Houd inlogpogingen bij en stel alerts in voor afwijkend gedrag.
Voor veel MKB-bedrijven is de uitdaging niet de technologie zelf, maar het bepalen waar te beginnen en hoe de uitrol te beheren zonder een grote IT-afdeling. Als managed IT-partner voor het MKB helpt TCA bij het inrichten van phishingbestendige authenticatie als onderdeel van een bredere beveiligingsstrategie, inclusief beleid, techniek en begeleiding van medewerkers.
Wil je weten hoe jouw organisatie er nu voor staat op het gebied van MFA en toegangsbeveiliging? Maak een afspraak voor een vrijblijvende securitycheck en ontvang binnen 48 uur een persoonlijk rapport met concrete aanbevelingen.