Passwords & identity. Who can get in, and who can do anything. Wachtwoorden & identiteit. Wie kan er binnen, en wie mag alles.

A colleague uses the same password for a webshop and for work. The webshop is breached, the list is sold, and within days automated tools try every email-and-password pair against our login page. No exploit, no malware: just the right password on the first attempt. Because the login is valid, it looks exactly like the colleague logging in.

Business impact: one working password is a foothold in mail, files and every application behind the same login. The attacker reads for weeks before acting, and the trail points at our own colleague's account. A single door (single sign-on) with a passkey behind it makes the reused password worthless: there is nothing left to reuse.

Een collega gebruikt hetzelfde wachtwoord voor een webshop als voor het werk. De webshop lekt, de lijst wordt verkocht, en binnen dagen proberen geautomatiseerde tools elke combinatie van e-mailadres en wachtwoord op onze inlogpagina. Geen exploit, geen malware: alleen het juiste wachtwoord bij de eerste poging. Omdat de inlog geldig is, ziet het er precies uit als de collega die inlogt.

Bedrijfsimpact: één werkend wachtwoord is een voet tussen de deur bij mail, bestanden en elke applicatie achter dezelfde inlog. De aanvaller leest weken mee voordat hij handelt, en het spoor wijst naar het account van onze eigen collega. Eén deur (single sign-on) met een passkey erachter maakt het hergebruikte wachtwoord waardeloos: er is niets meer om te hergebruiken.

A code by text message feels like security. It is a six-digit number a person can read out loud. A caller who claims to be IT, sounds stressed and knows the colleague's name gets that code in under a minute. Shared mailboxes are worse: five people know the password, nobody owns the phone the code goes to, so the second factor was switched off “temporarily”, years ago.

Business impact: a second factor that can be talked out of someone is not a second factor; it is a delay. The attacker still lands in the account, and the report afterwards will say MFA was enabled. A passkey or hardware key cannot be read out over the phone and only works on our real login page, which ends the helpdesk trick.

Een code per sms voelt als beveiliging. Het is een getal van zes cijfers dat iemand hardop kan voorlezen. Een beller die zegt van IT te zijn, gehaast klinkt en de naam van de collega kent, heeft die code binnen een minuut. Gedeelde mailboxen zijn erger: vijf mensen kennen het wachtwoord, niemand is eigenaar van de telefoon waar de code naartoe gaat, dus de tweede factor is “tijdelijk” uitgezet, jaren geleden.

Bedrijfsimpact: een tweede factor die iemand uit zijn hoofd te praten is, is geen tweede factor; het is uitstel. De aanvaller komt alsnog in het account, en het rapport achteraf zal zeggen dat MFA aanstond. Een passkey of hardwaresleutel kun je niet voorlezen door de telefoon en werkt alleen op onze echte inlogpagina; daarmee is de helpdesktruc voorbij.

HR closes the file on the last working day. IT hears about it in a monthly export, or never. Meanwhile the leaver's login to the CRM, the cloud console, the payroll tool and three SaaS products keeps working. Contractors are worse: nobody was ever their manager. Some of these accounts are still logging in, from a new employer's laptop, with the best of intentions. Others are for sale.

Business impact: every orphaned account is a valid identity nobody is watching, in systems that hold customer data. Auditors ask for the leaver list first, because that is where the gap always shows. A joiner-mover-leaver process driven by HR's system, not by e-mail, closes every door on day one without anyone having to remember.

HR sluit het dossier op de laatste werkdag. IT hoort het in een maandelijkse export, of nooit. Ondertussen blijft de inlog van de vertrekker op het CRM, de cloudconsole, het salarissysteem en drie SaaS-producten gewoon werken. Bij externen is het erger: niemand was ooit hun manager. Sommige van die accounts loggen nog in, vanaf de laptop van een nieuwe werkgever, met de beste bedoelingen. Andere staan te koop.

Bedrijfsimpact: elk weesaccount is een geldige identiteit waar niemand naar kijkt, in systemen vol klantgegevens. Auditors vragen als eerste om de vertrekkerslijst, omdat daar het gat altijd zichtbaar wordt. Een in-, door- en uitstroomproces dat door het HR-systeem wordt aangestuurd, niet door e-mail, sluit elke deur op dag één zonder dat iemand eraan hoeft te denken.

Administrator rights are handed out to fix a problem and never taken back. The project ended, the person changed roles, the supplier's engineer went home; the rights stayed. Each of those accounts can read every mailbox, change every setting and delete every backup, every hour of every day, whether or not the owner is working. The attacker from step 01 does not need to climb. They just need to land on one of them.

Business impact: the blast radius of any incident is the number of accounts that can do anything, multiplied by the time they can do it. Rights granted for the hour they are needed (just-in-time), and a quarterly review in which a manager has to say “yes, still” for each name, shrink both numbers. The list of who can do anything should fit on one page, and someone should have read it this quarter.

Beheerdersrechten worden uitgedeeld om een probleem op te lossen en nooit ingetrokken. Het project is klaar, de collega heeft een andere rol, de engineer van de leverancier is naar huis; de rechten bleven. Elk van die accounts kan elke mailbox lezen, elke instelling wijzigen en elke back-up wissen, elk uur van elke dag, of de eigenaar nu aan het werk is of niet. De aanvaller uit stap 01 hoeft niet te klimmen. Hij hoeft alleen op één van hen te landen.

Bedrijfsimpact: de schade van elk incident is het aantal accounts dat alles mag, maal de tijd dat ze dat mogen. Rechten die alleen worden verleend voor het uur dat ze nodig zijn (just-in-time), en een kwartaalreview waarin een manager per naam “ja, nog steeds” moet zeggen, verkleinen beide getallen. De lijst van wie alles mag hoort op één pagina te passen, en iemand hoort hem dit kwartaal gelezen te hebben.