Wat is push-bombing en hoe voorkom je het?

Het overnemen van cloudaccounts is een groot probleem geworden. Denk eens aan hoeveel van je werk een gebruikersnaam en wachtwoord vereist: je team logt de hele dag in op allerlei systemen en clouddiensten. Aanvallers azen op die inloggegevens om toegang te krijgen tot je bedrijfsdata, geraffineerde aanvallen op te zetten of vanuit een vertrouwd account phishing te versturen.

Multifactor-authenticatie (MFA) is al jaren een effectieve manier om accountovernames tegen te houden, zelfs als een aanvaller je wachtwoord heeft. Maar juist die effectiviteit heeft aanvallers aangezet tot omwegen. Een daarvan is push-bombing.

Hoe werkt push-bombing?

Zet je MFA aan op een account, dan krijg je bij het inloggen een code of een goedkeuringsverzoek — meestal via een “push”: een sms, een pop-up of een melding in een app. Dat is een normaal, vertrouwd onderdeel van inloggen met MFA.

Bij push-bombing begint de aanvaller met jouw inloggegevens (uit phishing of een groot datalek). Hij probeert vervolgens keer op keer in te loggen, waardoor jij de ene na de andere goedkeuringsmelding op je telefoon krijgt. De meeste mensen zijn argwanend bij één onverwachte melding. Maar word je ermee bestookt, dan is de kans groot dat je uit frustratie of vergissing een keer op “goedkeuren” tikt — en dat is precies de bedoeling.

Push-bombing is dus een vorm van social engineering, ontworpen om je te verwarren, te vermoeien en te verleiden de aanvraag goed te keuren.

Zo bescherm je je bedrijf

Train je medewerkers

Kennis is macht. Een push-bombing-aanval is verwarrend als je niet weet wat er gebeurt. Leg je team vooraf uit wat push-bombing is en wat ze moeten doen als ze MFA-meldingen krijgen die ze niet zelf hebben aangevraagd: nooit goedkeuren. Geef ze ook een manier om zo’n aanval te melden, zodat je IT de andere accounts kan beschermen. Zie hoe vaak securitytraining.

Verminder het aantal apps

Medewerkers gebruiken gemiddeld tientallen clouddiensten per dag — dat zijn een hoop logins, en dus een hoop kansen op een gestolen wachtwoord. Kijk waar je apps kunt samenvoegen. Een platform als Microsoft 365 bundelt veel tools achter één login, wat zowel je veiligheid als je productiviteit ten goede komt. Zie app-moeheid als beveiligingsrisico.

Stap over op phishingbestendige MFA

Je kunt push-bombing helemaal onmogelijk maken door een andere vorm van MFA te gebruiken. Phishingbestendige MFA werkt met een passkey of een fysieke beveiligingssleutel — en daar hoort geen goedkeuringsmelding bij die je per ongeluk kunt aantikken. Het opzetten is iets bewerkelijker, maar het is een stuk veiliger dan MFA via sms of app. Zie passkeys in 2026.

Handhaaf sterke wachtwoorden

Om je te kunnen bestoken, heeft de aanvaller eerst je wachtwoord nodig. Sterke, unieke wachtwoorden (via een wachtwoordmanager) verkleinen de kans dat dat wachtwoord ooit uitlekt. Zie online accounts beschermen.

Gebruik slim toegangsbeheer

Een geavanceerde oplossing voor identiteitsbeheer helpt ook. Die bundelt logins via single sign-on, zodat je team nog maar één login en MFA-melding heeft in plaats van tientallen. Bovendien kun je contextuele regels instellen: logins vanuit onverwachte landen of op ongebruikelijke tijden automatisch blokkeren. Zie de voordelen van conditional access.

Zo pak je het aan

• Leer je team: keur nooit een MFA-verzoek goed dat je niet zelf startte, en meld het.
• Snoei in apps en bundel logins via single sign-on.
• Stap over op phishingbestendige MFA (passkeys of een beveiligingssleutel) voor je belangrijkste accounts.
• Zet contextuele regels in om verdachte logins te blokkeren.

Veelgestelde vragen

Wat is push-bombing precies?

Een aanval waarbij een hacker met jouw inloggegevens keer op keer probeert in te loggen, zodat jij wordt overspoeld met MFA-goedkeuringsmeldingen — in de hoop dat je er uit vermoeidheid of vergissing een goedkeurt.

Betekent dit dat MFA niet werkt?

Nee, MFA blijft heel belangrijk en houdt de meeste aanvallen tegen. Push-bombing is een omweg die inspeelt op de mens. De beste tegenmaatregel is phishingbestendige MFA, zoals passkeys of een beveiligingssleutel.

Wat moet mijn medewerker doen bij onverwachte MFA-meldingen?

Nooit goedkeuren als hij niet zelf aan het inloggen is, en het direct melden bij IT. Dat is het signaal dat iemand zijn wachtwoord heeft en probeert binnen te komen; het wachtwoord moet dan zo snel mogelijk gewijzigd worden.

Hoe voorkom ik push-bombing helemaal?

Door over te stappen op phishingbestendige MFA zonder goedkeuringsmelding, zoals een passkey of fysieke sleutel. Dan is er niets meer om per ongeluk aan te tikken.

Alleen MFA is niet genoeg — je hebt meerdere lagen nodig. We helpen je je inlog- en toegangsbeveiliging te versterken tegen push-bombing en andere aanvallen. Neem contact op voor een vrijblijvend gesprek.