Reused passwords, codes read out over the phone, accounts of people who left, and administrators nobody counts — in plain language: how each one becomes an intruder with a valid badge, and the single control that closes it. Hergebruikte wachtwoorden, codes die door de telefoon worden voorgelezen, accounts van vertrokken collega's en beheerders die niemand telt — in gewone taal: hoe elk daarvan een indringer met een geldige pas wordt, en welke maatregel het sluit.
A colleague uses the same password for a webshop and for work. The webshop is breached, the list is sold, and within days automated tools try every email-and-password pair against our login page. No exploit, no malware: just the right password on the first attempt. Because the login is valid, it looks exactly like the colleague logging in.
Business impact: one working password is a foothold in mail, files and every application behind the same login. The attacker reads for weeks before acting, and the trail points at our own colleague's account. One single sign-on door with a passkey behind it makes the reused password worthless. Where passwords remain, NIST SP 800-63B-4 (2025) is the benchmark: at least 15 characters if used alone, 8 with MFA, and no forced periodic changes.
Een collega gebruikt hetzelfde wachtwoord voor een webshop als voor het werk. De webshop lekt, de lijst wordt verkocht, en binnen dagen proberen geautomatiseerde tools elke combinatie van e-mailadres en wachtwoord op onze inlogpagina. Geen exploit, geen malware: alleen het juiste wachtwoord bij de eerste poging. Omdat de inlog geldig is, ziet het er precies uit als de collega die inlogt.
Bedrijfsimpact: één werkend wachtwoord is een voet tussen de deur bij mail, bestanden en elke applicatie achter dezelfde inlog. De aanvaller leest weken mee voordat hij handelt, en het spoor wijst naar het account van onze eigen collega. Eén single sign-on-deur met een passkey erachter maakt het hergebruikte wachtwoord waardeloos. Waar wachtwoorden blijven, is NIST SP 800-63B-4 (2025) de maatstaf: minstens 15 tekens als ze alleen staan, 8 met MFA, en geen verplichte periodieke wijziging.
AI-assisted tools clean and rank leaked password lists, predict likely variations a person reused, and mimic human timing to slip past basic rate-limiting, making credential stuffing faster and harder to spot than before.AI-tools ontdoen gelekte wachtwoordlijsten van ruis, voorspellen waarschijnlijke varianten die iemand hergebruikte en bootsen menselijk tempo na om basale snelheidslimieten te omzeilen, waardoor credential stuffing sneller en lastiger te herkennen is dan voorheen.
Browser-based AI agents that log in on someone's behalf using saved passwords multiply the reach of one reused password: a single leak now unlocks every service the agent was told to access.AI-agents in de browser die namens iemand inloggen met opgeslagen wachtwoorden vergroten het bereik van één hergebruikt wachtwoord: één lek ontsluit nu elke dienst waarvoor de agent toegang kreeg.
AI-based risk scoring can catch some stuffing attempts through unusual velocity or location, but the actual fix is passkeys behind single sign-on: with nothing to type, there is nothing left for a leaked list to match.AI-gebaseerde risicoscoring kan sommige stuffingpogingen opvangen via ongebruikelijke snelheid of locatie, maar de echte oplossing is passkeys achter single sign-on: zonder iets om in te typen, is er niets meer waarmee een gelekte lijst kan overeenkomen.
A code by text message feels like security. It is a six-digit number a person can read out loud. A caller who claims to be IT, sounds stressed and knows the colleague's name gets that code in under a minute. Shared mailboxes are worse: five people know the password, nobody owns the phone the code goes to, so the second factor was switched off “temporarily”, years ago.
Business impact: a second factor that can be talked out of someone is not a second factor; it is a delay. The attacker still lands in the account, and the report afterwards will say MFA was enabled. Push prompts get approved by tired users, and a fake page can relay any code and keep the session cookie (adversary-in-the-middle). A passkey or hardware key cannot be read out, approved by mistake or relayed: it only works on our real login page.
Een code per sms voelt als beveiliging. Het is een getal van zes cijfers dat iemand hardop kan voorlezen. Een beller die zegt van IT te zijn, gehaast klinkt en de naam van de collega kent, heeft die code binnen een minuut. Gedeelde mailboxen zijn erger: vijf mensen kennen het wachtwoord, niemand is eigenaar van de telefoon waar de code naartoe gaat, dus de tweede factor is “tijdelijk” uitgezet, jaren geleden.
Bedrijfsimpact: een tweede factor die iemand uit zijn hoofd te praten is, is geen tweede factor; het is uitstel. De aanvaller komt alsnog in het account, en het rapport achteraf zal zeggen dat MFA aanstond. Pushmeldingen worden door vermoeide gebruikers goedgekeurd, en een nagemaakte pagina kan elke code doorspelen en het sessiecookie houden (adversary-in-the-middle). Een passkey of hardwaresleutel valt niet voor te lezen, per ongeluk goed te keuren of door te spelen: hij werkt alleen op onze echte inlogpagina.
Voice-cloning and text-generation tools let an attacker sound exactly like a stressed colleague or a convincing IT caller within seconds, making the phone-based trick that reads out a code far more convincing than before.Stemklonen en tekstgeneratie laten een aanvaller binnen seconden precies klinken als een gehaaste collega of een overtuigende IT-medewerker, waardoor de telefoontruc om een code te laten voorlezen veel geloofwaardiger wordt dan voorheen.
Helpdesk staff who use AI chat tools to speed up password or MFA resets can be talked into skipping verification steps by a caller who feeds them the same convincing pretext the AI would also fall for.Helpdeskmedewerkers die AI-chattools gebruiken om wachtwoord- of MFA-resets te versnellen, kunnen door een beller worden overgehaald verificatiestappen over te slaan met hetzelfde overtuigende verhaal waar de AI zelf ook intrapt.
AI can flag unusual patterns in helpdesk reset requests, such as timing or repeated attempts, but passkeys and hardware keys are the actual fix: nothing about them can be read out over a phone call.AI kan ongebruikelijke patronen in helpdeskresetverzoeken signaleren, zoals tijdstip of herhaalde pogingen, maar passkeys en hardwaresleutels zijn de echte oplossing: daar valt niets van voor te lezen door de telefoon.
HR closes the file on the last working day. IT hears about it in a monthly export, or never. Meanwhile the leaver's login to the CRM, the cloud console, the payroll tool and three SaaS products keeps working. Contractors are worse: nobody was ever their manager. Some of these accounts are still logging in, from a new employer's laptop, with the best of intentions. Others are for sale.
Business impact: every orphaned account is a valid identity nobody is watching, in systems that hold customer data. Auditors ask for the leaver list first, because that is where the gap always shows. A joiner-mover-leaver process driven by HR's system, not by e-mail, closes every door on day one without anyone having to remember.
HR sluit het dossier op de laatste werkdag. IT hoort het in een maandelijkse export, of nooit. Ondertussen blijft de inlog van de vertrekker op het CRM, de cloudconsole, het salarissysteem en drie SaaS-producten gewoon werken. Bij externen is het erger: niemand was ooit hun manager. Sommige van die accounts loggen nog in, vanaf de laptop van een nieuwe werkgever, met de beste bedoelingen. Andere staan te koop.
Bedrijfsimpact: elk weesaccount is een geldige identiteit waar niemand naar kijkt, in systemen vol klantgegevens. Auditors vragen als eerste om de vertrekkerslijst, omdat daar het gat altijd zichtbaar wordt. Een in-, door- en uitstroomproces dat door het HR-systeem wordt aangestuurd, niet door e-mail, sluit elke deur op dag één zonder dat iemand eraan hoeft te denken.
AI-assisted searching of public profiles quickly flags who recently left a company, but actually using their account still needs a working credential or another foothold, which AI does not hand an attacker for free.AI-ondersteund zoeken in openbare profielen laat snel zien wie een bedrijf recent heeft verlaten, maar het account daadwerkelijk gebruiken vraagt nog steeds werkende inloggegevens of een andere ingang, die AI een aanvaller niet gratis geeft.
A leaver's OAuth grant to a personal AI assistant or copilot integration often survives account deactivation, so the AI tool keeps pulling company data on a schedule long after nobody remembers it was ever connected.De OAuth-toestemming van een vertrekker aan een persoonlijke AI-assistent of copilot-integratie overleeft vaak de deactivering van het account, waardoor de AI-tool volgens schema bedrijfsdata blijft ophalen lang nadat iedereen is vergeten dat hij ooit gekoppeld was.
AI can flag accounts with no activity linked to an active HR record and score the risk of leftover app connections, but HR-driven joiner-mover-leaver automation is what actually closes the account the same day.AI kan accounts signaleren zonder activiteit gekoppeld aan een actief HR-dossier en het risico van achtergebleven app-koppelingen inschatten, maar automatisering van in-, door- en uitstroom vanuit HR sluit het account daadwerkelijk dezelfde dag.
Administrator rights are handed out to fix a problem and never taken back. The project ended, the person changed roles, the supplier's engineer went home; the rights stayed. Each of those accounts can read every mailbox, change every setting and delete every backup, every hour of every day, whether or not the owner is working. The attacker from step 01 does not need to climb. They just need to land on one of them.
Business impact: the blast radius of any incident is the number of accounts that can do anything, multiplied by the time they can do it. Rights granted just-in-time, for the hour they are needed, and a quarterly review in which a manager has to say “yes, still” for each name, shrink both numbers. The list of who can do anything should fit on one page, and someone should have read it this quarter.
Beheerdersrechten worden uitgedeeld om een probleem op te lossen en nooit ingetrokken. Het project is klaar, de collega heeft een andere rol, de engineer van de leverancier is naar huis; de rechten bleven. Elk van die accounts kan elke mailbox lezen, elke instelling wijzigen en elke back-up wissen, elk uur van elke dag, of de eigenaar nu aan het werk is of niet. De aanvaller uit stap 01 hoeft niet te klimmen. Hij hoeft alleen op één van hen te landen.
Bedrijfsimpact: de schade van elk incident is het aantal accounts dat alles mag, maal de tijd dat ze dat mogen. Rechten die just-in-time worden verleend, voor het uur dat ze nodig zijn, en een kwartaalreview waarin een manager per naam “ja, nog steeds” moet zeggen, verkleinen beide getallen. De lijst van wie alles mag hoort op één pagina te passen, en iemand hoort hem dit kwartaal gelezen te hebben.
Once inside on any account, automated privilege-mapping tools quickly show which of the many standing administrators is easiest to become, but landing that first account still takes a real foothold, not just AI.Eenmaal binnen op een willekeurig account tonen geautomatiseerde tools voor rechtenanalyse snel welke van de vele permanente beheerders het makkelijkst te worden is, maar dat eerste account veroveren vraagt nog steeds een echte ingang, niet alleen AI.
An automation script or AI agent quietly running with standing admin rights for efficiency becomes an unmonitored super-user itself, and a document or input that manipulates it can trigger admin-level actions no human decided on.Een automatiseringsscript of AI-agent die stilletjes met permanente beheerrechten draait voor de efficiëntie wordt zelf een ongecontroleerde superuser, en een document of invoer die hem manipuleert kan beheerhandelingen triggeren die geen mens heeft besloten.
AI can flag administrators who never actually use their standing rights, giving reviewers a shorter, better-targeted list to check each quarter, but just-in-time elevation is what shrinks the list of who can act at all.AI kan beheerders signaleren die hun permanente rechten nooit echt gebruiken, wat reviewers een kortere, gerichtere lijst geeft om elk kwartaal te controleren, maar just-in-time-activering verkleint pas echt de lijst van wie überhaupt kan handelen.
| Control | Closes | In one line |
|---|---|---|
| Single sign-on | Reuse (01), Leavers (03) | Every application behind the one company login. One place to switch an account off, one place to watch. |
| Passkeys | Reuse (01), Weak factor (02) | A login bound to the device and to our real website. Nothing to reuse, nothing to read out. NIST SP 800-63B-4 asks services to offer a phishing-resistant option at AAL2 and accepts synced passkeys there. |
| No SMS, no shared logins | Weak factor (02) | Text-message codes retired. Shared mailboxes become shared access from personal accounts, never a shared password. |
| Joiner-mover-leaver | Leavers (03) | HR's system creates, changes and closes accounts automatically. Last working day means last working login. |
| Service accounts | Leavers (03) | Every non-human account, AI agents included, has a named owner, a purpose and an expiry date; unknown owner means switched off (see IAM). |
| Just-in-time admin | Standing rights (04) | Administrator rights are requested, approved and expire after hours, not years. |
| Access review | Standing rights (04) | Every quarter each manager confirms or removes every right their people hold. Silence means removal. |
| Conditional access | All four | Logins from unknown devices, impossible locations or unmanaged laptops are blocked or challenged, whatever the password. |
| Maatregel | Sluit | In één zin |
|---|---|---|
| Single sign-on | Hergebruik (01), Vertrekkers (03) | Elke applicatie achter de ene bedrijfsinlog. Eén plek om een account uit te zetten, één plek om te kijken. |
| Passkeys | Hergebruik (01), Zwakke factor (02) | Een inlog gebonden aan het apparaat en aan onze echte website. Niets om te hergebruiken, niets om voor te lezen. NIST SP 800-63B-4 vraagt diensten een phishingbestendige optie te bieden op AAL2 en accepteert daar gesynchroniseerde passkeys. |
| Geen sms, geen gedeelde inlogs | Zwakke factor (02) | Sms-codes afgeschaft. Gedeelde mailboxen worden gedeelde toegang vanuit persoonlijke accounts, nooit een gedeeld wachtwoord. |
| In-, door- en uitstroom | Vertrekkers (03) | Het HR-systeem maakt, wijzigt en sluit accounts automatisch. Laatste werkdag is laatste inlog. |
| Serviceaccounts | Vertrekkers (03) | Elk niet-menselijk account, AI-agents inbegrepen, heeft een eigenaar met naam, een doel en een einddatum; onbekende eigenaar betekent uit (zie IAM). |
| Just-in-time beheer | Permanente rechten (04) | Beheerdersrechten worden aangevraagd, goedgekeurd en verlopen na uren, niet na jaren. |
| Toegangsreview | Permanente rechten (04) | Elk kwartaal bevestigt of verwijdert elke manager elk recht van zijn mensen. Geen antwoord betekent verwijderen. |
| Voorwaardelijke toegang | Alle vier | Inloggen vanaf onbekende apparaten, onmogelijke locaties of onbeheerde laptops wordt geblokkeerd of extra gecontroleerd, wat het wachtwoord ook is. |
Every organisation has leaked passwords in circulation and leavers who were never fully removed. Attackers try both every day.Elke organisatie heeft gelekte wachtwoorden in omloop en vertrekkers die nooit volledig zijn afgesloten. Aanvallers proberen beide elke dag.
Takeover of mail and applications, fraud in a colleague's name, and a personal-data breach: notify the Autoriteit Persoonsgegevens within 72 hours (GDPR Art. 33).Overname van mail en applicaties, fraude op naam van een collega, en een datalek: meld het binnen 72 uur bij de Autoriteit Persoonsgegevens (AVG art. 33).
With SSO, passkeys and HR-driven offboarding, a leaked password or code no longer works. Helpdesk resets, stolen session tokens and standing admin rights remain, to review each quarter.Met SSO, passkeys en uitstroom vanuit HR werkt een gelekt wachtwoord of een code niet meer. Helpdeskresets, gestolen sessietokens en permanente beheerrechten blijven, om elk kwartaal te herzien.
Identity is shared: IT owns the door, HR owns who is supposed to be inside. Neither can close the gap alone.Identiteit is gedeeld: IT is eigenaar van de deur, HR van wie er binnen hoort te zijn. Geen van beide kan het gat alleen sluiten.
% of logins through SSO with a passkey · accounts still active more than 24 hours after the leaving date · number of standing administrator accounts · % of rights confirmed in the last quarterly review.% inlogs via SSO met een passkey · accounts die meer dan 24 uur na de vertrekdatum nog actief zijn · aantal permanente beheerdersaccounts · % rechten bevestigd in de laatste kwartaalreview.
“Weak or unmanaged identities (reused passwords, phishable second factors, orphaned and over-privileged accounts) allow account takeover, fraud and a personal-data breach.”“Zwakke of onbeheerde identiteiten (hergebruikte wachtwoorden, phishbare tweede factoren, wees- en overgeprivilegieerde accounts) maken accountovername, fraude en een datalek mogelijk.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Access control and multi-factor authentication are named measures. Management approves the policy and must be able to show it applies to everyone, including administrators and suppliers. | Ask how the supplier's staff authenticate to your systems and how their leavers lose that access. Put a 24-hour removal duty in the contract. | A takeover that touches many users or customer data can count as a significant incident if it meets the thresholds: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | For financial entities: strong authentication and identity and access management are explicit ICT risk requirements. Privileged access must be limited, logged and reviewed. | ICT third parties must show how their access to your environment is granted, reviewed and revoked. Your audit rights exist to check exactly this. | If the takeover disrupts a critical function or exposes client data, it can count as a major ICT incident: initial notification within 4 hours of classifying it (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. |
| SOC 2 | Logical access is the largest control area: provisioning, deprovisioning, MFA and periodic access reviews are tested one by one. Every late removal is printed as an exception. | Read the access-review and termination exceptions first. Many late removals means their leavers may still be inside your data. | Auditors pull the leaver list and the administrator list for the period. The takeover becomes a deviation and customers ask for your remediation. |
| ISAE 3402 | Access controls appear only where they affect financial reporting. Wider identity hygiene can be out of scope entirely. | Check whether user access management is a control objective at all. If not, the report is silent on this risk. | If the affected accounts touched in-scope processes, expect a deviation in the next report. ISAE 3402 creates no duty to notify user auditors; ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Toegangsbeheer en meervoudige authenticatie zijn benoemde maatregelen. Het bestuur keurt het beleid goed en moet kunnen aantonen dat het voor iedereen geldt, ook voor beheerders en leveranciers. | Vraag hoe medewerkers van de leverancier zich aanmelden bij uw systemen en hoe hun vertrekkers die toegang verliezen. Leg een verwijderplicht binnen 24 uur vast in het contract. | Een overname die veel gebruikers of klantgegevens raakt, kan als significant incident gelden als die de drempels haalt: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindrapport binnen een maand. |
| DORA | Voor financiële instellingen: sterke authenticatie en identiteits- en toegangsbeheer zijn expliciete ICT-risico-eisen. Bevoorrechte toegang moet beperkt, gelogd en herzien worden. | ICT-derden moeten laten zien hoe hun toegang tot uw omgeving wordt verleend, herzien en ingetrokken. Uw auditrechten bestaan om precies dit te controleren. | Verstoort de overname een kritieke functie of legt zij klantgegevens bloot, dan kan het als ernstig ICT-incident gelden: eerste melding binnen 4 uur na classificatie (uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur, eindrapport binnen een maand. |
| SOC 2 | Logische toegang is het grootste controlegebied: aanmaken, afsluiten, MFA en periodieke toegangsreviews worden één voor één getest. Elke te late verwijdering staat als afwijking in het rapport. | Lees eerst de afwijkingen bij toegangsreviews en uitdiensttreding. Veel te late verwijderingen betekent dat hun vertrekkers nog in uw data kunnen zitten. | Auditors vragen de vertrekkerslijst en de beheerderslijst over de periode op. De overname wordt een afwijking en klanten vragen om uw herstelmaatregelen. |
| ISAE 3402 | Toegangsbeheersing komt alleen voor waar zij de financiële verslaggeving raakt. Bredere identiteitshygiëne kan volledig buiten scope vallen. | Controleer of gebruikerstoegangsbeheer überhaupt een beheersdoelstelling is. Zo niet, dan zegt het rapport niets over dit risico. | Raakten de getroffen accounts processen binnen scope, verwacht dan een afwijking in het volgende rapport. ISAE 3402 schept geen plicht om de auditors van klanten te informeren; vraag in het contract om tussentijdse melding. |
Checked against: NIST SP 800-63B-4 (final, July 2025), Microsoft Threat Intelligence on Tycoon2FA (Mar 2026), NIS2 Art. 23, DORA and GDPR Art. 33 reporting clocks · September 2026.
Gecontroleerd tegen: NIST SP 800-63B-4 (definitief, juli 2025), Microsoft Threat Intelligence over Tycoon2FA (mrt 2026), meldtermijnen NIS2 art. 23, DORA en AVG art. 33 · september 2026.