Machine identity breaches vereisen andere incidentrespons dan menselijke accounts, met uitdagingen in detectie, eigenaarschap en containment.
De respons op gecompromitteerde machine identities vraagt om een andere aanpak dan bij menselijke accounts. Waar een Security Operations Center (SOC) bij een verdachte inlogpoging vaak direct contact zoekt met de gebruiker, is dat bij service accounts, API-sleutels of OAuth-tokens niet mogelijk. Deze machine identities worden vaak vergeten en hun verkeer valt buiten de normale monitoring, waardoor incidenten langer onopgemerkt blijven.
Volgens onderzoek van CyberArk zijn er ongeveer 82 machine identities voor elke menselijke identiteit. Slechts een klein deel is beschermd met multi-factor authenticatie en veel hebben meer toegangsrechten dan noodzakelijk. Eigenaarschap is een groot probleem: bij een gecompromitteerd menselijk account is snel duidelijk wie verantwoordelijk is, maar bij een service account kan het uren duren om te achterhalen welk team het heeft aangemaakt, en soms eindigt het spoor bij een vertrokken externe partij.
Containment is ook complexer. Het blokkeren van een gebruiker kost die persoon hooguit een middag, maar het intrekken van credentials die cruciaal zijn voor een klantgerichte service kan leiden tot uitval, iets wat analisten liever vermijden zonder goedkeuring van hogerhand. Ondertussen kan de aanvaller ongemerkt doorgaan. Detectie is lastig omdat aanvallers met geldige tokens dezelfde endpoints benaderen als de legitieme integraties, soms zelfs binnen normale werktijden. Regels voor onmogelijke reizen zijn hier niet toepasbaar.
Recente incidenten illustreren deze problematiek. Bij het Thanksgiving 2023 security incident van Cloudflare gebruikten aanvallers toegangstokens en service account credentials die waren gestolen tijdens een eerdere Okta-breach. Ondanks grootschalige credentialrotatie werden vier credentials over het hoofd gezien omdat men dacht dat ze niet meer in gebruik waren. De uiteindelijke alert kwam pas meer dan een week na de eerste toegang, toen een service account aan een beheerdersgroep werd toegevoegd.
Microsofts aanpak van de Midnight Blizzard aanval draaide om een legacy testaccount zonder MFA en een oude OAuth-app met verhoogde rechten, die aanvallers gebruikten om toegang te krijgen tot bedrijfs-e-mailaccounts.
Een voorbeeld dat goed illustreert wat er op het spel staat, is de aanval op Drift in augustus 2025. Aanvallers wisten OAuth-tokens te bemachtigen die de chatbot van Salesloft gebruikte om met Salesforce te communiceren. Gedurende tien dagen haalden zij klantgegevens uit meerdere Salesforce-omgevingen. Volgens het team van Google Threat Intelligence, dat de campagne nauwgezet volgde, waren aanvallers vooral uit op credentials. Na het stelen van data zochten zij naar AWS-sleutels en wachtwoorden om toegang te krijgen tot andere bedrijven.
