Kort samengevat: account-takeover-fraudepreventie
- Het pad: credential-lek (RockYou2024), stuffing, succesvolle login, dan monetisatie via drains, doorverkoop of cadeaubonnen.
- De economie: pre-login is het goedkoopst en met hoogste recall. Post-login herstel is duur en verliesgevend.
- De beslissing: Device-continuïteit is het beslissende signaal. Zelfde device op eerdere onbetwiste logins, sta toe. Nieuw device uit nieuwe geo, verhoog of blokkeer.
Weinig tijd? Bekijk cside accountovername-detectie. Dit dekt alles hieronder in één deployment.
Preventie van accountovernamefraude combineert controlemechanismen over de gehele aanvalsketen: phishingbestendige MFA voor de inlogstap, apparaat- en browserfingerprinting om sessies direct bij aanvang risicogewijs te beoordelen, botdetectie om geautomatiseerde credential stuffing te onderscheppen en gedragsmonitoring na inloggen om afwijkingen te signaleren voordat schade zich opbouwt. Effectieve ATO-beveiliging vereist zowel controles voor het inloggen als doorlopende zichtbaarheid op sessieniveau.
Accountovername vs. accountovername-fraude
Accountovername (ATO) en accountovername-fraude beschrijven twee fasen van dezelfde aanval. Accountovername is het moment waarop een aanvaller ongeautoriseerde toegang krijgt tot het account van een echte gebruiker, of dat nu is door credential harvesting, het kopen van credentials uit een datalek, het kapen van een sessiecookie of het omzeilen van MFA via een proxy. Accountovername-fraude is wat daarna gebeurt: de aanvaller verzilvert de toegang door geld te verplaatsen, loyaliteitspunten leeg te trekken, verzendadressen te wijzigen, fysieke goederen te bestellen, abonnementen over te dragen of accountinhoud door te verkopen.
Het onderscheid is belangrijk voor de verdediging. ATO-preventietools richten zich op het inlogmoment: MFA, device fingerprinting, credential-stuffing-detectie. ATO-fraudepreventietools richten zich op de acties na inloggen: detectie van transactie-afwijkingen, analyse van sessiegedrag, handhaving van uitgavelimieten en chargeback-bewijs. Een volledige stack heeft beide nodig.
Wat is ATO-fraude
Accountovernamefraude, of ATO-fraude, is wanneer een kwaadwillende ongeautoriseerde toegang krijgt tot een echt gebruikersaccount. Eenmaal binnen voert de kwaadwillende schadelijke acties uit, zoals aankopen doen, accountgegevens wijzigen, loyaliteitspunten leegmaken of gevoelige informatie verkopen op het dark web.
Waarom ATO-fraude belangrijk is:
60% van de ondervraagde handelaren in de Merchant Risk Council ervoer accountovernamefraude in 2025. Payments Journal meldt dat ATO-fraude consumenten $15,6 miljard kostte in 2024. Hoewel dat miljardenbedrag niet direct door organisaties zelf werd gedragen, ontdekte adviesbureau Javelin dat 42% van de ATO-slachtoffers ervoor kiest het account te sluiten op het platform waar de overname plaatsvond.
4-stappengids om accountovernamefraude te voorkomen (als bedrijf)
1. MFA (Multi-Factor Authenticatie)
| MFA-type | Beveiliging (1-5) | Opmerkingen |
|---|---|---|
| SMS of e-mail OTP | 2/5 | Kwetsbaar voor SIM-swapping, compromittering van e-mailaccounts en phishing. |
| Pushmelding | 3/5 | Kwetsbaar voor MFA-vermoeidheid, onbedoelde goedkeuring en phishing. |
| Authenticator-app | 3/5 | Kwetsbaar voor realtime phishing / AiTM. Goede balans tussen beveiliging en gebruiksgemak. |
| Passkeys (Biometrie of pincode ontgrendeld op apparaatniveau) |
5/5 | Phishingbestendig |
| Hardware-beveiligingssleutels (Fysieke apparaten die je aansluit om inloggen te verifiëren) |
5/5 | Phishingbestendig; sterkst voor gebruikers met een hoog risico. |
Multi-Factor Authenticatie is een van de eerste maatregelen die elk bedrijf neemt om accountovernamefraude te verminderen. Dit mechanisme voegt een tweede verificatiestap toe bovenop het invoeren van een wachtwoord. Secundaire verificatie via een code die naar het e-mailadres, telefoonnummer of de authenticator-app van de gebruiker wordt gestuurd, zijn veelvoorkomende voorbeelden.
OWASP beschrijft MFA als een sterke verdediging tegen op wachtwoorden gebaseerde aanvallen. Het is effectief tegen eenvoudige overnamepogingen zoals password spraying en inloggen met hergebruikte wachtwoorden. Zelfs als een fraudeur het wachtwoord bemachtigt, is er nog een extra barrière te overwinnen voordat toegang tot het account mogelijk is.
Hoe aanvallers MFA omzeilen:
MFA is geen wondermiddel. Aanvallers worden steeds beter in het inbreken op MFA-beveiligde accounts via:
- Geavanceerde phishing
- SIM-swapping
- Man-in-the-middle (sessiekaping)
Zorg er daarom voor dat inlogflows met hoge waarde worden beschermd door MFA-methoden met een hogere beveiliging.
2. Detecteer signalen van ATO-fraude bij inloggen
Fraudeteams ontdekken ATO-fraude wanneer er iets niet klopt aan het inloggen, het apparaat of de sessie. Volwassen programma's combineren verschillende risicosignalen in plaats van op één enkele regel te vertrouwen. De risicosignalen die wij bij cside gebruiken, kijken bijvoorbeeld naar:
- Onmogelijk reizen: Hetzelfde account lijkt in te loggen vanuit twee locaties die realistisch gezien niet bereikbaar zijn in de tijd tussen de sessies.
- Toegang tot meerdere accounts: Één browser, apparaat of sessie benadert een ongewoon groot aantal accounts, wat kan wijzen op gescripte automatisering.
- Wijzigingen in fingerprint: Een inlog komt van een apparaat, browser of patroon dat niet overeenkomt met het normale gedrag van de gebruiker.
- VPN, proxy of kwaadaardig IP: De sessie verloopt via een proxy, VPN of IP dat al geassocieerd is met risicovolle activiteit. Astrill VPN staat er bijvoorbeeld om bekend dat het vaak door kwaadwillenden wordt gebruikt.
- Inlogpieken: Een apparaat of browser heeft meerdere keren geprobeerd in te loggen voordat toegang werd verkregen.
Deze inloggerelateerde risicosignalen kunnen worden gecombineerd met accountactiegegevens. Voorbeelden van risicovolle combinaties zijn een eerste inlog vanaf een nieuw apparaat gevolgd door een verzoek tot wachtwoordherstel, of een piek van 20 mislukte inlogpogingen gevolgd door een geslaagde inlog vanuit een ander land.
Hoe teams toegang krijgen tot signalen van accountovername:
- Zelf bouwen: Verzamel authenticatielogboeken, sessiegegevens, apparaatcontext en accountwijzigingsgebeurtenissen rechtstreeks vanuit je product en maak interne regels om verdachte patronen te markeren.
- Fingerprinting-leverancier: Voeg een leverancier toe die gespecialiseerd is in risicosignalen op browser- en apparaatniveau. Stuur die signalen door naar je bredere anti-fraudeworkflows.
- Volledig anti-fraudeplatform: Koop een platform dat signaalverzameling, detectielogica en responscontroles al in één aanbod bundelt.
3. Herken tekenen van ATO-pogingen vroegtijdig
Veel fraudetools kijken voornamelijk naar server-side signalen zonder echt in de browser te kijken. Ze missen de helft van het beeld. De beste fraudeteams zoeken naar de voorbereiding vóór de schade: het testen van inloggegevens, gecompromitteerde scripts van derden en tekenen van kwaadaardige automatisering die erop wijzen dat iemand een toegangspad naar het account probeert te vinden.
Een goed ATO-programma kijkt niet alleen naar fraude nadat een account al is overgenomen. Het zoekt ook naar tekenen dat een aanvaller probeert een pad naar compromittering te vinden.
- Credential stuffing of inlogtesten: Pieken van herhaalde inlogpogingen, het testen van veel gebruikersnaam-wachtwoordcombinaties of grote hoeveelheden inlogactiviteit over meerdere accounts kunnen er allemaal op wijzen dat een aanvaller probeert een werkende set gestolen inloggegevens te vinden.
- Kwaadaardige bot- of AI-agentactiviteit: Geautomatiseerde scripts of AI-agenten die systematisch gestolen inloggegevens testen op je inlogpagina's, vaak met behulp van stealth-browsers en roterende fingerprints om snelheidslimieten en botdetectie te omzeilen.
- Man-in-the-middle- of onderscheppingsaanvallen: Sommige aanvallers onderscheppen inloggegevens of sessiegegevens tijdens overdracht door zichzelf in het inlogproces in te voegen. Dit kan via een phishingproces, nep-inlogpagina's of andere adversary-in-the-middle-technieken die zijn ontworpen om toegang te stelen voordat de echte gebruiker het merkt.
- Sessiekaping: Wanneer een aanvaller de controle overneemt van een geldige ingelogde sessie door een sessietoken of cookie opnieuw af te spelen. Hierdoor kunnen ze toegang krijgen tot het account zonder het wachtwoord in te voeren of de MFA-stap te herhalen. Dit kan zich manifesteren als een geauthenticeerde sessie die verschijnt zonder de verwachte apparaatcontinuïteit, MFA-stap of normaal gebruikersgedrag.
Zichtbaarheid in de browserruntime om ATO-fraude te voorkomen
Frauduleuze gebruikers, legitieme gebruikers en bots communiceren allemaal met je website via een browser. De browser is zowel een leveringskanaal voor kwaadaardige code naar je gebruikers als een bron van aanwijzingen die op kwaadaardige activiteit wijzen.
- De browser als startpunt voor ATO: Sommige ATO-pogingen beginnen met code die via gecompromitteerde scripts van derden en eerste partijen in de browser van de gebruiker wordt geïnjecteerd. Geïnjecteerde code kan gebruikers omleiden naar een nep-inlogpagina, een echt inlogformulier overlappen met een nep-formulier, of inloggegevens rechtstreeks in de browser afschermen zonder dat de gebruiker of je organisatie het merkt.
- De browser bevat aanwijzingen over ATO-pogingen: Fraudeurs en bots laten signalen achter terwijl ze met je site interageren. De meeste hiervan worden gemist door fraudetools die alleen naar activiteit op netwerkniveau kijken. Signalen op browserniveau kunnen geavanceerdere aanvallen onthullen, waaronder frauduleuze AI-bots die via stealth-browsers of lokaal gehoste automatisering opereren.
Een van onze beveiligingsanalisten schreef een analyse van een ATO-aanvalspad via client-side injectie, gebaseerd op een kwetsbaarheid die we ontdekten op de website van Oracle.
cside combineert zowel fingerprinting als JavaScript-integriteitsmonitoring om teams een duidelijk beeld te geven van verdachte inlogpogingen én signalen van mogelijke aanvallen voordat ze plaatsvinden.
4. Reageer snel op ATO-incidenten
Wanneer een accountovername plaatsvindt, is snelheid cruciaal. OWASP raadt herauthenticatie aan na verdacht gedrag of accountherstelgebeurtenissen. Zorg dat je een standaardprocedure hebt om schade door accountovernames te minimaliseren.
- Toegang onmiddellijk intrekken: Maak actieve sessies ongeldig, trek tokens of cookies in en dwing herauthenticatie af zodat de aanvaller geen gebruik kan blijven maken van een actieve sessie.
- Gebruiker informeren en impact beoordelen: Waarschuw de klant over de verdachte activiteit en controleer vervolgens op wijzigingen in e-mailadres, telefoonnummer, uitbetalingsinstellingen, opgeslagen betaalmethoden of andere gevoelige acties die zijn uitgevoerd nadat toegang was verkregen.
Extra tips voor een sterkere verdediging tegen ATO:
- Gebruikersrichtlijnen: Dwing vereisten voor wachtwoordcomplexiteit af, blokkeer bekende gecompromitteerde wachtwoorden bij aanmaak en moedig gebruikers aan MFA in te schakelen tijdens onboarding.
- Training van medewerkers: Train supportteams om social engineering-pogingen te herkennen die gericht zijn op accountherstelflows.
- Proactieve monitoring van gelekte inloggegevens: Controleer continu de e-mail- en wachtwoordcombinaties van je gebruikers aan de hand van breachdatabases. Als een inloggegevenspaar in een bekende compromittering verschijnt, forceer dan een reset voordat de aanvaller er gebruik van maakt.
Welke signalen duiden in real time op accountovernamefraude?
Zes signalen dekken de meeste live ATO-pogingen af: onmogelijk reizen, wijziging van de browserfingerpint ten opzichte van de historische baseline van het apparaat, VPN-, proxy- of Tor-exitknooppunt, headless-browseromgeving (gedetecteerd via navigator.webdriver of ontbrekende browser-API-oppervlakken), credential-stuffing-snelheid (herhaalde inlogfouten vanuit dezelfde apparaatfingerpint) en sessiecookie-replay op een apparaat dat de MFA-stap heeft overgeslagen. De fingerprinting-API van cside geeft alle zes als gestructureerde velden terug voor elk inloggebeurtenis.
De sterkste indicator is wanneer meerdere signalen tegelijk verschijnen. Een enkele VPN-verbinding kan een legitieme gebruiker zijn die reist; een VPN gecombineerd met een nieuwe browserfingerpint en een eerdere reeks mislukte inlogpogingen over meerdere accounts is een ATO-signaal met hoge betrouwbaarheid.
Leverancierstools om ATO-fraude te voorkomen
<thead>
<tr>
<th>Type leverancier</th>
<th>Wat het dekt</th>
<th>Het meest geschikt voor</th>
</tr>
</thead>
<tbody>
<tr>
<td>MFA-tools</td>
<td>
Voegt een tweede verificatiestap toe, maar stopt op zichzelf geen sessiediefstal of
op phishing gebaseerde accountovername (ATO).
</td>
<td>
Teams die een fundamentele authenticatielaag nodig hebben.
</td>
</tr>
<tr>
<td>Anti-fraudepakketten</td>
<td>
Dekt meerdere fraudeworkflows in één platform met vooraf gebouwde regels
en modellen.
</td>
<td>
Grotere organisaties die een brede, kant-en-klare oplossing willen.
</td>
</tr>
<tr>
<td>Fingerprinting- / identiteitssignaaltools</td>
<td>
Biedt diepgaande browser-, apparaat- en gedragssignalen die aansluiten op
je fraudestack.
</td>
<td>
Ontwikkelaarsteams die aangepaste regels willen voor inlog- en herstelflows.
</td>
</tr>
<tr>
<td>Botmitigatietools</td>
<td>
Detecteert geautomatiseerd misbruik zoals credential stuffing en gescripte inlogtests.
</td>
<td>
Teams die te maken hebben met grootschalige botgestuurde inlogaanvallen.
</td>
</tr>
</tbody>
</table>
Verwante gidsen
Verdiep je in het cluster:
- de beste oplossingen om account takeover te voorkomen
- hoe cryptosites account takeover-fraude kunnen stoppen
- e-commerce best practices om account takeover-fraude te voorkomen
Zodra ATO echte operationele druk begint te veroorzaken, schaffen de meeste teams een of meer leverancierstools aan. Er is geen gebrek aan producten in deze markt, maar ze lossen verschillende delen van het probleem op: sommige tools proberen ATO kant-en-klaar op te lossen, terwijl andere dieper ingaan op specifieke signalen en je team flexibiliteit geven in de logica en risicoregels.
- MFA-tools: Voegen een verificatiestap toe via authenticator-apps, e-mail of sms. Ze zijn de eerste verdedigingslinie, maar lossen ATO niet op zichzelf op, omdat aanvallers nog steeds misbruik kunnen maken van gestolen sessies of phishingflows. Populaire MFA-leveranciers zijn Okta en Auth0.
- Anti-fraudepakketten: Deze tools zijn ontworpen om breed te gaan en veel fraudegevallen in één product te dekken. Sommige leveranciers bieden een alles-in-één oplossing voor een segment van fraude (AML, e-commercefraude, chargebackfraude). Ze werken kant-en-klaar, wat ook betekent dat je werkt met vooraf geconfigureerde regels in plaats van de logica af te stemmen op je eigen behoeften. Deze oplossingen zijn bedoeld voor grotere organisaties en worden vaak geleverd met enterprise-prijzen en langere contracten. Leveranciers zijn onder meer Sardine en SEON.
- Fingerprinting-/identiteitssignaaltools: Deze oplossingen gaan diep in op één laag van fraudeintelligentie, zoals fingerprinting of gedragsrisico. Ze zijn gebouwd om aan te sluiten op de rest van je fraudestack, niet om die te vervangen. Dat geeft ontwikkelaarsteams de flexibiliteit om aangepaste logica te bouwen, zoals het combineren van browserfingerprints met interne accountgeschiedenis om inlog- en accountherstelflows te beschermen. Leveranciers in deze categorie zijn cside en Castle.
- Botmitigatietools: Deze tools richten zich op het detecteren van geautomatiseerd misbruik zoals credential stuffing of gescripte accounttests. Ze zijn nuttig, maar lossen doorgaans slechts één deel van het ATO-probleem op. Veel fingerprinting-leveranciers bieden ook botmitigatietools aan, zoals cside en Fingerprint.com.
De rol van fingerprinting bij het voorkomen van ATO-fraude
Fingerprinting speelt een belangrijke rol bij de preventie van accountovername door teams te helpen bepalen of een sessie mogelijk een ongeautoriseerde inlog van een aanvaller is. In plaats van elke geslaagde wachtwoordinvoer hetzelfde te behandelen, helpt het te identificeren wanneer een sessie er riskant uitziet.
- ATO-sessies identificeren: Kijkt naar signalen op netwerk-, browser- en apparaatniveau om te bepalen of een inlogomgeving niet overeenkomt met de verwachte gebruiker.
- Gekoppelde fraudeactiviteit detecteren: Naarmate signalen in de loop van de tijd worden verzameld, worden patronen gedetecteerd die wijzen op het risico van accountovername, zoals verdacht proxygebruik gecombineerd met botautomatisering.
- Slimmere controles ondersteunen: Teams kunnen eerder ingrijpen, bijvoorbeeld door extra verificatie te vereisen of risicovolle acties te pauzeren voordat wordt geëscaleerd naar een volledige respons op een gecompromitteerde gebruiker.
Gerelateerd: overname richt zich op accounts die al bestaan, maar dezelfde fingerprinting-signalen vangen ook fraude stroomopwaarts op, in de fase van accountaanmaak. Als valse nieuwe accounts, misbruik van proefperiodes of multi-accounting bij aanmelding ook een probleem zijn, bekijk dan hoe cside Signup Shield elke registratie omzet in een realtime vertrouwensoordeel.
Waarom cside de beste fingerprinting-oplossing is om ATO-fraude te voorkomen
- Browserspecialisatie: cside is specifiek gebouwd om de browseromgeving te monitoren. Niet aangepast vanuit een WAF. Niet toegevoegd aan een CDN. Niet beperkt tot signalen op netwerkniveau. De browser is waar gebruikers inloggegevens invoeren, waar sessies worden opgebouwd en waar de diepste apparaatsignalen zich bevinden.
- Detectie van AI-agentbots: De nieuwe golf van ATO-bots zijn geen eenvoudige scripts. Het zijn AI-gestuurde agenten die stealth-browsers gebruiken en menselijk browsegedrag nabootsen. cside detecteert ze via snelheidscontroles, inconsistenties in de apparaat- of browseromgeving en gedragspatronen. De meeste traditionele botmitigatietools hebben zich nog niet aangepast aan het tijdperk van AI-agentfraude.
- Client-side zichtbaarheid: Een gemanipuleerd script van een derde partij op je inlogpagina kan inloggegevens stelen voordat je server het verzoek ziet. Een supply chain-injectie kan sessietokens exfiltreren terwijl je WAF niets ongewoons rapporteert. cside monitort alles wat in de browser wordt uitgevoerd en markeert wanneer iets gegevens exfiltreert die het niet mag aanraken.
- Voor ontwikkelaarsteams: Je krijgt ruwe signalen via API (IP, geolocatie, VPN/proxygebruik, botdetectie, browsermanipulatie en veel meer) om in te pluggen in welke fraudelogica je team ook gebruikt.
Hoe aanvallers accountovernamefraude uitvoeren
- Credential stuffing: Aanvallers nemen gebruikersnaam-wachtwoordparen die zijn gelekt bij eerdere datalekken en testen deze op grote schaal op andere platforms met behulp van geautomatiseerde tools. Omdat twee op de drie Amerikanen wachtwoorden hergebruiken, compromitteert één enkel lek tientallen accounts.
- Phishing: Nep-inlogpagina's, e-mails of berichten die gebruikers verleiden hun inloggegevens rechtstreeks in te voeren in een door de aanvaller beheerd formulier.
- Adversary-in-the-middle (AiTM) phishing: Een geavanceerdere variant waarbij de phishingpagina fungeert als een realtime proxy naar de legitieme site. De gebruiker logt normaal in terwijl de aanvaller de geauthenticeerde sessiecookie onderschept.
- SIM-swapping: De aanvaller overtuigt een mobiele provider om het telefoonnummer van het slachtoffer over te zetten naar een nieuwe simkaart, waardoor sms-gebaseerde MFA-codes en wachtwoordherstellinks worden onderschept.
- Social engineering via supportkanalen: Aanvallers bellen of chatten met klantenservice, doen zich voor als de accounthouder en overtuigen medewerkers om inloggegevens te resetten of MFA uit te schakelen.
- Sessiekaping via kwaadaardige scripts: Gecompromitteerde of geïnjecteerde JavaScript van derden die op een legitieme website wordt uitgevoerd, exfiltreert sessiecookies of -tokens rechtstreeks vanuit de browser van de gebruiker. De aanvaller speelt de gestolen sessie opnieuw af zonder ooit het wachtwoord van de gebruiker nodig te hebben.
- Malware: Malware die op het apparaat van een gebruiker is geïnstalleerd (zoals een browserextensie) verzamelt wachtwoorden, sessiecookies en authenticatietokens.
- Brute force: Geautomatiseerde tools raden systematisch wachtwoorden door elke mogelijke combinatie te proberen of een woordenboek van veelgebruikte wachtwoorden te doorlopen.
ATO-fraude wordt versterkt door kwaadaardige AI-bots
ATO-fraude zal erger worden naarmate kwaadaardige AI-bots automatisering goedkoper, sneller en moeilijker te herkennen maken.
- Cloudflare meldde dat "user action"-agenten in 2025 meer dan 15 keer zo veel voorkwamen. Deze categorie bots vertegenwoordigt agenten die namens een gebruikersverzoek acties uitvoeren op een website.
- Installaties van playwright-stealth (een van de vele stealth-browserkits) namen gedurende 2025 met een factor 10 toe, volgens een rapport van cside.
Traditionele botdetectie- en fingerprinting-tools hebben zich nog niet aangepast aan deze AI-bots die CAPTCHA's kunnen oplossen, menselijk browsegedrag kunnen nabootsen en autonoom door stealth-browserprofielen kunnen roteren. Stealth-browserkits onderdrukken ook de eigenschap navigator.webdriver en spoofen ontbrekende browser-API-oppervlakken, dezelfde omgevingsindicatoren die een browserfingerprint-controle zou opvangen bij een standaard headless-sessie.
cside is gebouwd voor deze nieuwere golf van misbruik en geeft teams zichtbaarheid in stealth-browsers, AI-agentbots en client-side signalen die niet zichtbaar zijn in traditionele botdetectieworkflows.
Hoe cside je website beschermt tegen accountovernamefraude
cside is een webbeveiliging-platform dat je gevoelige flows beschermt tegen frauduleus misbruik. Onze browser-laagintelligentie geeft je realtime zichtbaarheid in accountovernamessignalen zodat je frauduleuze sessies kunt blokkeren voordat ze schade aanrichten.
- Browserfingerprinting: Verzamelt het volledige spectrum van apparaat- en netwerksignalen (IP, geolocatie, VPN/proxydetectie, browserversie, besturingssysteem, schermresolutie en nog veel meer signalen) om een unieke identifier te bouwen voor elk apparaat dat je site bezoekt.
- Detectie van kwaadaardige AI-bots: cside detecteert headless browsers en de nieuwe generatie AI-gestuurde agenten die menselijk browsegedrag nabootsen.
- Monitoring van scripts van derden: Volgt elk script dat in de browser wordt uitgevoerd, inclusief tags van derden, en detecteert wanneer een script inloggegevens, sessietokens of gevoelige gegevens begint te exfiltreren naar ongeautoriseerde domeinen.
- Developer-first integratie: Ruwe signalen via API voor aangepaste frauderegels, plus door experts samengestelde signaalgroeperingen die direct inzetbaar zijn.
Om aan de slag te gaan, meld je aan of boek een demo.
Bekende accountovername-fraude-incidenten (2022 tot 2025)
De onderstaande openbaarmakingen zijn de gevallen die het vaakst worden aangehaald bij het scopen van ATO-fraudecontroles. Elk betrof credential-diefstal, sessiekaping of MFA-bypass op schaal, gevolgd door monetisation voor de detectie.
- Uber (september 2022). Een aanvaller phishte de credentials van een Uber-contractor en gebruikte vervolgens MFA-fatigue push-spam om toegang te krijgen. Van daaruit werd lateraal bewogen naar interne Slack-, GSuite-, AWS- en financiële-tool-accounts. Publieke post-mortem door Uber security.
- Snowflake-klantbreuken (mei tot juni 2024). Aanvallers gebruikten credentials uit eerdere infostealer-infecties om in te loggen op Snowflake-tenants waar klanten geen MFA hadden afgedwongen. Bevestigde slachtoffers zijn Ticketmaster, Santander en AT&T; ongeveer 165 Snowflake-klantinstanties getroffen.
- Salesloft / Drift OAuth-compromis (augustus 2025). Aanvallers kregen toegang tot Drift OAuth-tokens die door ~700 geïntegreerde apps werden gebruikt en gebruikten de tokens om door te schakelen naar CRM- en support-desk-data van klanten. Salesforce, Cloudflare, Palo Alto Networks en anderen bevestigden downstream-impact.
- Change Healthcare (februari 2024). ALPHV/BlackCat-operators gebruikten een gecompromitteerde set legitieme credentials op een Citrix-portaal zonder MFA om in het healthcare-claims-netwerk te breken; 100M+ Amerikaanse patiëntendossiers blootgesteld en $22M losgeld betaald.
- MGM Resorts (september 2023). Een social-engineering-oproep naar de help desk overtuigde personeel om een SSO-wachtwoord te resetten, wat account-toegang mogelijk maakte die leidde tot volledige netwerkcompromis. Geschatte omzet-impact van $100M.
- T-Mobile (januari 2023). API-misbruik met behulp van geverifieerde tokens om 37M klantrecords op te sommen; ATO van een klein aantal automatiseringsaccounts was voldoende voor de bredere exfiltratie.
Elk bovenstaand geval begon met een login die er normaal uitzag voor de identity provider. Wat de succesvolle verdediging onderscheidde van de succesvolle breach was continue sessie- en device-level monitoring na login, niet de login-controle zelf.
