Kort samengevat: ATO detecteren voordat login voltooit
- Mislukte inloggegevens zijn het verkeerde signaal voor account takeover: aanvallers gebruiken gestolen gegevens die geldig zijn, dus de login gaat schoon door. Het apparaat scheidt de aanvaller van de accounthouder, niet het wachtwoord.
- cside bouwt een fingerprint uit meer dan 100 browsersignalen die cookies en incognito overleeft, correleert die over accounts en levert een oordeel vóór de login-POST vuurt. Amerikaanse ATO-verliezen bereikten 13,5 miljard in 2025, tegenover 11,4 miljard in 2024.
- Als een sessie een nieuwe fingerprint op een bekend account laat zien plus een als VPN geclassificeerde TLS-handshake plus verspreiding over accounts, trigger step-up of blokkeer vóór de authenticatie. Als fingerprint en TLS-patroon met de historie kloppen, laat hem ongestoord door.
Accountovername-fraudedetectie vangt een aanvallerssessie op voordat het loginverzoek voltooid is, op het moment dat een gestolen inloggegeven getest wordt in plaats van nadat het account is leeggehaald. De meest effectieve detectielaag zit in de browser, vóór het authenticatiesysteem: device fingerprinting, TLS handshake fingerprint TLS-netwerkanalyse en correlatie over accounts heen markeren een credential-stuffing-poging terwijl de loginpagina nog aan het laden is. Dit is de browserlaagaanpak achter cside accountovername-detectie.
Het primaire signaal: een nieuw apparaat op een bekend account
De betrouwbaarste indicator van een accountovernamepoging is een apparaat dat het account nog nooit heeft gebruikt. Een mislukte controle van de inloggegevens brengt dit niet aan het licht, want wanneer een aanvaller een gestolen inloggegeven test, is dat gegeven vaak geldig. De gebruikersnaam en het wachtwoord kloppen, dus het authenticatiesysteem heeft geen reden om de login te weigeren op basis van de inloggegevens alleen.
Het apparaat is wat de aanvaller onderscheidt van de accounthouder. De legitieme gebruiker logt in vanaf herkenbare apparaten, op herkenbare tijdstippen, vanuit herkenbare netwerkomstandigheden. De aanvaller logt in vanaf een apparaat dat het account nog nooit heeft gezien.
Een persistente device fingerprint die het wissen van cookies, privénavigatie en VPN-gebruik overleeft, is de betrouwbaarste manier om deze mismatch te detecteren. cside bouwt fingerprints op uit 100+ browsersignalen en behoudt een hoge nauwkeurigheid, zelfs wanneer de gebruiker in incognitomodus zit of cookies wist tussen sessies.
Netwerkcontext versterkt het signaal
Een nieuwe device fingerprint op een bekend account is op zichzelf al een betekenisvol signaal. Een nieuwe device fingerprint in combinatie met een VPN- of proxyverbinding is een ATO-signaal met hoge zekerheid.
cside gebruikt TLS handshake fingerprint TLS-fingerprinting om de TLS-handshake-kenmerken van de verbinding uit te lezen. VPN- en proxydiensten dragen consistente TLS handshake fingerprint-signaturen die verschillen van standaard consumentverbindingen. Wanneer een sessie een nieuwe device fingerprint en een TLS handshake fingerprint TLS-signatuur toont die met een VPN of proxy geassocieerd is, versmalt die combinatie het veld aanzienlijk.
Rate limiting per IP kan deze combinatie niet zien, omdat het alleen het IP-adres ziet. Het IP-adres kan er schoon uitzien terwijl het apparaat erachter dat niet is. Browserlaagsignalen zijn de enige laag die het apparaat en de netwerkkenmerken van een sessie tegelijk kan uitlezen.
Fingerprint-correlatie over accounts heen
Eén aanvaller die een credential-stuffing-campagne draait, test honderden of duizenden combinaties van inloggegevens. Elke test is een aparte loginpoging, vaak tegen een ander account. Afzonderlijk bekeken lijkt elke poging op één mislukte of geslaagde login.
Bekeken over accounts heen is het patroon zichtbaar. Dezelfde device fingerprint duikt op bij veel loginpogingen op verschillende accounts binnen een kort tijdsbestek. Geen enkele legitieme gebruiker test tientallen inloggegevens achter elkaar, dus het patroon wijst op een stuffing-campagne die controles per account niet kunnen detecteren.
Gestolen inloggegevens komen voor in 39% van de datalekken (Verizon Data Breach Investigations Report 2026), dus de voorraad inloggegevens die ATO-aanvallen voedt, wordt voortdurend aangevuld.
De correlatie over accounts heen van cside brengt dit patroon naar boven in de signaalset. Een device fingerprint die binnen een kort voortschrijdend venster op veel accounts opduikt, wordt gemarkeerd, ongeacht of een individuele login is geslaagd.
Detectie voordat de login voltooid is
Browserlaagdetectie heeft een timingvoordeel. De device fingerprint en netwerksignalen worden verzameld wanneer de loginpagina laadt, niet nadat het authenticatieverzoek verwerkt is. Tegen de tijd dat de gebruiker zijn inloggegevens indient, heeft cside zijn signaalset al teruggestuurd naar je backend. Je rules engine kan de device fingerprint, VPN-vlag en correlatie over accounts heen beoordelen voordat het beslist of de authenticatie überhaupt verwerkt wordt.
Dat betekent dat MFA-uitdagingen, step-up-authenticatie of een regelrechte blokkering kunnen worden toegepast voordat er een sessie wordt toegekend. De aanvaller krijgt nooit een antwoord dat bevestigt dat het inloggegeven geldig was. Het detectiepunt ligt eerder in de flow dan enige controle op de authenticatielaag kan reiken.
De kosten van het missen van dat venster blijven stijgen. De Amerikaanse verliezen door accountovername groeiden jaar op jaar:
| Jaar | Amerikaanse verliezen door accountovername |
|---|---|
| 2024 | $11.4B |
| 2025 | $13.5B |
Bron: Javelin Strategy & Research 2026 Identity Fraud Study.
Wat cside teruggeeft voor elke sessie
cside geeft voor elke sessie een real-time device fingerprint en signaalset terug, geleverd aan je backend via een API en een scripttag. De voor ATO relevante signalen omvatten een persistent device-fingerprint-ID, of die fingerprint eerder op dit account is gezien, de TLS handshake fingerprint TLS-signatuur en de bijbehorende VPN- of proxyclassificatie, of de browser in incognitomodus draait, hoeveel verschillende accounts vanaf deze fingerprint zijn gezien binnen het huidige voortschrijdende venster, en of een genoemd automatiseringshulpmiddel zoals Playwright, Puppeteer, OpenAI Operator of Claude for Chrome de sessie aanstuurt.
Je rules engine ontvangt dit allemaal voordat het loginverzoek verwerkt wordt. Een nieuwe fingerprint gecombineerd met een VPN-vlag en een AI-agent-verdict is een combinatie die op zijn minst step-up-authenticatie zou moeten triggeren, ongeacht of de combinatie van inloggegevens geldig is.
cside blokkeert geen logins. Je authenticatielaag neemt die beslissing, geïnformeerd door de signaalset die cside levert. cside levert wat de browser weet, en jouw systeem past de bedrijfscontext toe.
