Account takeover is in 2026 eerder een automatiseringsprobleem dan een wachtwoordprobleem. Aanvallers draaien nu AI-agents binnen echte browsers die challenges oplossen, stealth-browser fingerprints wisselen en hun tactiek aanpassen op basis van hoe je verdediging reageert. Eén enkele regel op het login-endpoint kan dat niet bijbenen. Dit playbook geeft je één operationeel model dat login, herstel, sessie en post-auth omspant, en wijst naar de diepere gidsen voor elk onderdeel.
Het bruikbare kader: stop met het verdedigen van de wachtwoordcontrole en begin de sessie te scoren. Het wachtwoord klopt vaak. Wat niet klopt is de browseromgeving, het netwerkpad, het herstelmoment of de post-auth actie die volgt. cside instrumenteert de browserlaag om device- en echte-IP-signalen vast te leggen, gedrag van AI-agents en stealth-browsers, VPN/proxy-patronen en elke manipulatie van je loginpagina door third-party scripts — het bewijs dat een serverlog alleen niet laat zien.
Het vierfasen ATO-operationele model
Behandel ATO als een levenscyclus, niet als een gebeurtenis. Elke fase krijgt een eigenaar, eigen risicosignalen, een responsactie en een bewaard bewijsspoor. Een zwak signaal in de ene fase moet de lat in de volgende hoger leggen, niet verdwijnen zodra de login slaagt.
| Fase | Primair risico | Signalen om vast te leggen | Respons | Bewijs om te bewaren |
|---|---|---|---|---|
| Login | Credential stuffing, AI-agent bots | Snelheid van pogingen, device-fingerprint, navigator.webdriver, MFA-uitkomst | Throttelen, challengen, blokkeren | Logs van loginpogingen, fingerprint, MFA-uitkomst |
| Herstel | Misbruik van resets, social engineering bij support | Leeftijd reset-token, reset vanaf nieuw device, wijziging e-mail/telefoon | Step-up verificatie, afkoelperiode | Herstelmomenten, device-verschil, kanaalwijzigingen |
| Sessie | Token replay, adversary-in-the-middle | Continuïteit sessie-device, drift IP/ASN, fingerprint-drift | Opnieuw authenticeren, sessie intrekken | Oorsprong sessie, breuken in continuïteit |
| Post-auth | Wijziging uitbetaling/adres, ordersnelheid | Wijziging betaalmethode, aankoop cadeaubonnen, ordersalvo's | Actie vasthouden, handmatige review | Wijzigingsgeschiedenis, beslissing analist |
Waarom het aanvallersprofiel verschoof
Het goedkope deel van ATO werd goedkoper en slimmer. Onderzoek van cside vond dat installaties van playwright-stealth — een van de vele stealth-browser kits die worden gebruikt om fingerprinting te verslaan — ongeveer 10x stegen in de loop van 2025 (cside research report). Dat soort tooling laat een agent zich voordoen als een normale Chrome-sessie terwijl die op grote schaal logins automatiseert.
Deze agents lijken niet op de curl-en-proxy bots van een paar jaar geleden. Ze sturen een echte rendering-engine aan, dus naïeve checks komen erdoor. De verraderlijke tekenen verschuiven naar de runtime: inconsistenties tussen de gedeclareerde en de waargenomen omgeving, automatiseringscontrole-oppervlakken zoals Chrome DevTools Protocol (CDP) Runtime-lekken, gedrag van residentiële proxy's en fingerprint-drift over sessies heen die stabiel zouden moeten zijn. OWASP kadert credential stuffing nog steeds als geautomatiseerde loginpogingen met bekende gebruikersnaam-wachtwoordparen en beveelt gelaagde controles aan — MFA, controles op gelekte wachtwoorden, throtteling en botdetectie (OWASP cheat sheet). De gelaagdheid houdt nog steeds stand; de botdetectielaag is wat opnieuw gebouwd moet worden voor agents.
Waar programma's lekken
Een loginverdediging kan vlekkeloos zijn terwijl het account toch wordt overgenomen. De lekken clusteren zich op drie plekken:
- Herstelflows — wachtwoordreset en het verwijderen van een onthouden device zijn vaak zwakker dan login, en ze geven de aanvaller duurzame toegang.
- Sessiecontinuïteit — een opnieuw afgespeelde cookie of een adversary-in-the-middle proxy geeft een geauthenticeerde sessie zonder wachtwoord en zonder verse MFA-stap.
- Post-auth acties met hoge waarde — wijzigingen van uitbetalingen, aanpassingen aan opgeslagen kaarten en aankopen van cadeaubonnen zijn waar een stille overname in verlies omslaat.
Scoor deze als hun eigen oppervlakken. NIST SP 800-63B behandelt weerbaarheid tegen geautomatiseerde aanvallen als onderdeel van het ontwerp van authenticators en sessies, wat botmitigatie, phishingbestendige MFA en sessie-risicosignalen in dezelfde controlestack plaatst (NIST SP 800-63B).
Het 90-dagen uitrolplan
Je hoeft niet alle vier de fasen tegelijk uit te rollen. Bepaal de volgorde op basis van waar het verlies het eerst neerslaat.
- Instrumenteer voordat je afdwingt. Rol signaalvastlegging op de browserlaag uit in observe-only modus over login, herstel en checkout zodat je een basislijn hebt van normale devices en netwerken per account.
- Verstevig login. Vereis phishingbestendige MFA voor accounts met hoge waarde, blokkeer bekende gelekte wachtwoorden bij registratie en reset, en voeg detectie van AI-agents en stealth-browsers toe aan het login-endpoint.
- Vergrendel herstel. Behandel resets als fraude-oppervlakken: step-up verificatie bij resets vanaf een nieuw device, afkoelperiodes na wijzigingen van e-mail of telefoon, en review door een analist bij herstel via support.
- Draag risico mee de sessie in. Authenticeer opnieuw wanneer de continuïteit van het sessie-device breekt of er fingerprint-drift midden in de sessie verschijnt, en trek de sessie in plaats van te waarschuwen bij bevestigde replay.
- Stel post-auth acties achter een poort. Houd wijzigingen van uitbetaling, adres en betaalmethode achter de sessie-risicoscore, en vereis een verse challenge voor de risicovolste daarvan.
- Sluit de lus met support. Bekijk wekelijks samen met het supportteam de false positives, want hun wachtrij is waar te veel blokkeren zich het eerst laat zien.
Hoe het cluster in elkaar past
Deze post is de hub. Elke fase heeft een diepere gids, en de juiste zet is om die te lezen die past bij het lek dat je aan het dichten bent.
| Als je het volgende nodig hebt… | Lees |
|---|---|
| Een ATO-programma op bedrijfsniveau vanaf nul opzetten | Hoe je accountovername-fraude voorkomt |
| Een overname betrappen vóór de checkout met behulp van sessiedrift | Detecteer accountovername voordat die gebeurt |
| De automatisering stoppen die stuffing-campagnes voedt | Credential stuffing: hoe je het detecteert en stopt |
Waar cside in het model zit
cside is de signaalbron op de browserlaag waarop het model draait. Het legt device- en echte-IP-context vast, gedrag van AI-agents en stealth-browsers, VPN/proxy-patronen en runtime-manipulatie van scripts, en levert die signalen vervolgens via een API zodat je fraudelogica sessies kan scoren over alle vier de fasen heen. Omdat het de runtime in de gaten houdt, ziet het een gemanipuleerd third-party script dat inloggegevens van je loginpagina skimt — een aanval die een WAF en een serverlog volledig missen. Stuur één gedeelde sessie-risicoscore door login, herstel, sessie en post-auth in plaats van losse regels op elk onderdeel te schroeven.
Verder lezen over cside
- Hoe je accountovername-fraude voorkomt
- Detecteer accountovername voordat die gebeurt
- Credential stuffing: hoe je het detecteert en stopt
- cside AI Agent Detection
