Wat is password spraying en waarom merk je het niet?

De meeste aanvallen op wachtwoorden zijn luidruchtig — password spraying is dat niet. Iemand probeert honderden wachtwoorden op één account, het account gaat op slot en de gebruiker belt de helpdesk. Vervelend, maar je merkt het.

Password spraying werkt precies andersom, en dat is de reden dat het zo effectief is. In plaats van veel wachtwoorden op één account, probeert de aanvaller één veelgebruikt wachtwoord op héél veel accounts. Per account is dat één mislukte poging. Geen accountvergrendeling, geen belletje naar de helpdesk, geen alarm.

In dit artikel leggen we uit hoe password spraying werkt, waarom het bij het MKB zo vaak lukt, hoe je het in je logboeken herkent en welke maatregelen het écht stoppen.

Wat is password spraying?

Bij password spraying gebruikt een aanvaller een lijst met e-mailadressen van je organisatie — vaak samengesteld uit LinkedIn, je eigen website en eerdere datalekken — en probeert daar één wachtwoord op. Bijvoorbeeld Welkom2026! of de bedrijfsnaam met een jaartal erachter.

Werkt dat bij niemand, dan wacht hij een paar uur of dagen en probeert het volgende wachtwoord. Zo blijft hij onder elke drempel: onder het aantal pogingen dat een account vergrendelt, en onder de aantallen waar detectie op afgaat.

Het rekensommetje is simpel. Bij honderd medewerkers hoeft er maar één iemand een voorspelbaar wachtwoord te hebben. En dat is er bijna altijd — zeker bij accounts die bij indiensttreding een standaardwachtwoord kregen dat nooit is gewijzigd.

Hoe verschilt het van andere wachtwoordaanvallen?

Brute force

Bij brute force gaat een aanvaller op één account alle mogelijke combinaties af. Dat is snel te blokkeren: na een handvol mislukte pogingen gaat het account op slot. Password spraying loopt daar juist omheen door het aantal pogingen per account laag te houden.

Credential stuffing

Bij credential stuffing gebruikt de aanvaller échte combinaties van gebruikersnaam en wachtwoord uit eerdere lekken, en probeert die bij andere diensten. Dat werkt bij iedereen die wachtwoorden hergebruikt. Password spraying heeft geen gelekte gegevens nodig — alleen een lijst met accounts en een beetje mensenkennis.

Waarom spraying zo stil is

Eén mislukte aanmelding per account is volstrekt normaal. Iedereen typt weleens verkeerd. Pas als je over álle accounts heen kijkt, zie je het patroon: tientallen accounts, één mislukte poging elk, binnen een kort tijdvenster, vaak vanaf hetzelfde netwerk of via dezelfde verouderde inlogmethode. Wie alleen per gebruiker kijkt, ziet niets.

Waar mikken aanvallers op?

Password spraying is vooral gericht op inlogpagina’s die van buitenaf bereikbaar zijn en waar geen tweede factor voor nodig is:

• Verouderde aanmeldprotocollen in e-mailomgevingen. Oude protocollen ondersteunen geen MFA, dus een geldig wachtwoord is meteen toegang. Microsoft heeft dit inmiddels grotendeels uitgezet, maar in gegroeide omgevingen staan er soms nog uitzonderingen open.
• VPN- en remote-desktoptoegang zonder tweede factor.
• Webportalen van leveranciers, boekhoudpakketten en beheerconsoles — vaak vergeten omdat ze buiten de eigen omgeving vallen.
• Serviceaccounts zonder persoon erachter. Die hebben vaak een oud, statisch wachtwoord, ruime rechten en geen MFA.

Hoe herken je het?

De signalen zitten in je aanmeldlogboek, niet bij de gebruiker. Let op:

• Veel accounts met precies één of twee mislukte aanmeldingen binnen hetzelfde tijdvenster.
• Mislukte pogingen op accounts die niet bestaan — teken dat iemand een lijst afwerkt.
• Aanmeldingen vanuit landen of netwerken waar je niet werkt, of vanaf bekende VPN- en hostingproviders.
• Pogingen via verouderde aanmeldmethodes.
• Ineens één geslaagde aanmelding tussen alle mislukte pogingen door. Dat is het moment dat telt.

Om dit te kunnen zien moet je logboeken bewaren én er iets mee doen. Hoe je dat praktisch inricht staat in event logging: best practices en waarom continue monitoring nodig is.

Wat het écht stopt

Multifactorauthenticatie, overal

Dit is verreweg de belangrijkste maatregel. Een geraden wachtwoord levert dan niets op. Zet MFA aan op alles wat van buitenaf bereikbaar is, inclusief VPN en beheerportalen, en kies waar het kan voor een authenticator-app of passkeys in plaats van sms. Zie welke MFA is het veiligst.

Let er wel op dat een geraden wachtwoord dan alsnog een stroom pushmeldingen kan opleveren. Iemand die het zat is en op “goedkeuren” tikt, laat de aanvaller binnen — zie wat is push bombing. Nummerkoppeling in de app lost dit op.

Een wachtwoordbeleid dat past bij 2026

Het oude recept — acht tekens, een hoofdletter, een cijfer, elke negentig dagen wisselen — leverde vooral Zomer2026! op. Precies het wachtwoord waar een spraying-aanval mee begint. De huidige richtlijnen van onder meer NIST en het NCSC gaan een andere kant op:

• Lengte boven complexiteit. Een wachtwoordzin van vier willekeurige woorden is sterker en beter te onthouden dan acht tekens met leestekens.
• Niet meer verplicht periodiek wisselen. Gedwongen wisselen leidt tot voorspelbare variaties. Wissel wel direct bij een vermoeden van misbruik.
• Blokkeer bekende slechte wachtwoorden. Een verbodenwoordenlijst met bedrijfsnaam, plaatsnaam, seizoenen en gangbare keuzes haalt de makkelijkste doelwitten eruit.
• Uniek per account. Haalbaar zodra je een wachtwoordmanager uitrolt. Voor gedeelde accounts: wachtwoorden veilig delen in je team.

Slimme vergrendeling en voorwaardelijke toegang

Standaard-vergrendeling na een aantal pogingen helpt niet tegen spraying, en kan zelfs tegen je werken: een aanvaller kan er bewust accounts mee blokkeren. Slimme vergrendeling die bekende apparaten en locaties meeweegt, werkt beter. Met voorwaardelijke toegang ga je nog een stap verder: aanmelden alleen vanuit verwachte landen, vanaf beheerde apparaten, met extra controle bij afwijkend gedrag.

Zet dicht wat niet open hoeft

Schakel verouderde aanmeldprotocollen uit. Geef serviceaccounts een lang, uniek wachtwoord, beperk hun rechten en laat ze alleen inloggen waar dat nodig is. Ruim accounts van vertrokken medewerkers direct op — zie de checklist digitale offboarding.

Hoe dat er in de praktijk uitziet

Een groothandel met veertig medewerkers ziet in het aanmeldlogboek over een periode van drie dagen ruim tweehonderd mislukte aanmeldingen. Verspreid over 38 accounts, telkens één of twee per account, allemaal vanaf wisselende IP-adressen uit hetzelfde hostingnetwerk.

Niemand had iets gemerkt: geen enkel account was vergrendeld. Bij controle blijkt één aanmelding wél geslaagd — een magazijnaccount met het wachtwoord dat bij indiensttreding was ingesteld en nooit gewijzigd. Er was met dat account nog niets gedaan, maar de toegang was er.

Wat er daarna gebeurde: wachtwoord gewijzigd, sessies ingetrokken, MFA afgedwongen op alle accounts inclusief de magazijnwerkplekken, oude aanmeldprotocollen uit, en een melding ingericht die afgaat bij meer dan tien mislukte aanmeldingen over verschillende accounts binnen een uur. Kosten: een middag werk.

Zo pak je het aan

1. Breng in kaart wat van buitenaf bereikbaar is. E-mail, VPN, remote desktop, portalen van leveranciers.
2. Zet MFA aan op alles uit die lijst. Zonder uitzonderingen, ook voor beheerders.
3. Schakel verouderde aanmeldprotocollen uit en controleer of er nog uitzonderingen openstaan.
4. Herzie je wachtwoordbeleid. Lengte boven complexiteit, verbodenwoordenlijst, geen verplichte periodieke wissel.
5. Pak serviceaccounts en standaardwachtwoorden aan. Dit is waar spraying meestal succes heeft.
6. Richt een melding in op mislukte aanmeldingen verspreid over meerdere accounts.
7. Controleer maandelijks. Vijf minuten in het aanmeldlogboek zegt vaak meer dan een dik rapport.

Veelgestelde vragen

Wat kan een aanvaller doen met één geraden wachtwoord?

Meer dan je denkt. Met de inloggegevens van één medewerker komt hij in de mailbox, en daarmee bij gevoelige bedrijfsgegevens, offertes en facturen. Vanaf daar volgt vaak factuurfraude of een tweede ronde phishing naar collega’s en klanten. Zwakke wachtwoorden op accounts met ruime rechten — beheerders, serviceaccounts — leveren meteen veel meer op. Raken er persoonsgegevens van klanten of medewerkers bij betrokken, dan is het bovendien een datalek dat je moet beoordelen en mogelijk moet melden.

Zijn kleine bedrijven ook doelwit?

Ja, en juist vaak. Password spraying is geautomatiseerd en kost de aanvaller nauwelijks moeite; er wordt niet gekeken naar bedrijfsgrootte. Kleinere organisaties hebben bovendien vaker gaten in MFA en oudere accounts die niemand meer beheert. Zie waarom het MKB vaker wordt aangevallen.

Is accountvergrendeling na drie pogingen niet genoeg?

Nee. Spraying blijft bewust onder die grens. Strakke vergrendeling levert vooral helpdeskwerk op en geeft aanvallers de mogelijkheid om accounts opzettelijk te blokkeren. Slimme vergrendeling plus MFA werkt beter.

Hoe weet ik of een poging is geslaagd?

Zoek in je aanmeldlogboek naar geslaagde aanmeldingen vanaf hetzelfde IP-adres of in hetzelfde tijdvenster als de mislukte pogingen. Vind je die, behandel het account dan als gecompromitteerd: wachtwoord wijzigen, sessies intrekken, doorstuurregels en gekoppelde apps controleren. De volledige route staat in wat te doen als een account is gehackt.

Helpt een wachtwoordmanager hiertegen?

Indirect, maar sterk. Een wachtwoordmanager maakt lange, willekeurige wachtwoorden die niet op een raadlijst staan, en zorgt dat niemand nog een variatie op de bedrijfsnaam gebruikt. Daarmee valt de belangrijkste voedingsbodem voor spraying weg.

Wil je weten of er bij jullie op dit moment op accounts wordt gejaagd? We lezen de aanmeldlogboeken uit, zetten MFA volledig door en richten meldingen in die wél afgaan. Bel 030-7115791 of mail info@okayict.nl.