Een ransomware-aanval in augustus 2026 toont aan dat aanvallers nog steeds toegang krijgen via accounts zonder multi-factor authenticatie, ondanks MFA-implementaties elders.
Op 4 augustus 2026 begon een Akira ransomware-affiliate met het sprayen van wachtwoorden tegen een SonicWall SSL VPN. Na ongeveer zeven minuten was een poging succesvol: de gebruikte inloggegevens waren geldig en het VPN-account was niet beschermd met multi-factor authenticatie (MFA). Twee uur later kreeg de aanvaller via RDP toegang tot de domeincontroller en begon met het inventariseren van Active Directory. Hoewel de ransomware uiteindelijk niet werd uitgerold, had de aanvaller al wel inloggegevens en bestanden van gedeelde netwerkschijven buitgemaakt.
Deze aanval illustreert een nog steeds veelvoorkomend probleem in 2026: organisaties vereisen MFA vaak voor Microsoft 365 en andere SaaS-applicaties, maar laten bepaalde toegangspaden enkel met een wachtwoord beveiligd. Dit gat in de beveiliging wordt regelmatig door aanvallers benut. Zodra zij beschikken over geldige accounts, kunnen zij zich via dezelfde authenticatiemechanismen als legitieme gebruikers en beheerders bewegen binnen het netwerk. Kunstmatige intelligentie versnelt en vergroot deze activiteiten, maar de onderliggende tactieken blijven hetzelfde: identiteiten compromitteren, wachtwoorden hergebruiken, privileges escaleren en legitieme toegang misbruiken.
Onderzoek van Mandiant’s ransomware-onderzoeken laat zien dat in 21% van de incidenten in 2025 waarbij de toegangsmethode bekend was, aanvallers gebruikmaakten van gecompromitteerde legitieme inloggegevens, vaak via RDP of VPN. RDP werd ook veelvuldig ingezet voor laterale bewegingen binnen het netwerk, in ongeveer 85% van de onderzochte ransomware-gevallen.
Sterke authenticatie beperkt wat een aanvaller met een gestolen wachtwoord kan doen, maar het is belangrijk om blootgestelde of risicovolle inloggegevens vroegtijdig te identificeren. Wachtwoordhergebruik, zwakke wachtwoorden en eerder gelekte credentials verhogen de kans dat een aanvaller een werkend wachtwoord vindt. Regelmatige wachtwoordaudits zijn daarom een nuttig onderdeel van Active Directory-beveiliging. Met tools zoals Specops Password Auditor kunnen organisaties kwetsbaarheden in wachtwoorden opsporen en rapporteren, zodat zwakke punten aangepakt kunnen worden voordat ze misbruikt worden.
Een ander aandachtspunt is dat MFA in de cloud, bijvoorbeeld voor Microsoft 365 en SaaS-applicaties, niet automatisch geldt voor alle systemen die dezelfde gebruikersidentiteit gebruiken. Een gebruiker kan MFA nodig hebben om in te loggen op een SaaS-applicatie via de corporate identity provider, terwijl dezelfde account elders nog steeds alleen met een wachtwoord toegang verleent. Dit leidt tot een gefragmenteerde authenticatieomgeving met beveiligingslacunes die aanvallers kunnen exploiteren. VPN-toegang vormt eveneens een risico, zoals de Akira-aanval aantoonde, waar een aanvaller met brute force of gestolen credentials toegang kreeg via een VPN-account zonder MFA.
