Kort samengevat: vier-laags ATO oplossingsstack
- Kopers evalueren routinematig WAF, MFA, fingerprinting in de browser en gedragsanalyse als concurrerende alternatieven. Dat zijn ze niet: ze dekken verschillende delen van het aanvalsoppervlak, en geen enkele leverancier dekt alle vier de lagen goed.
- Javelin rapporteerde 13,5 miljard aan Amerikaanse ATO-verliezen in 2025 over 6 miljoen slachtoffers ondanks brede MFA-adoptie. cside biedt 1.000 API-calls per maand gratis zonder kaart, en een self-serve Business-plan van 99 dollar per maand voordat een Enterprise-gesprek nodig is.
- Als MFA en WAF al draaien, is de ontbrekende laag bijna altijd browser-device intelligence plus gedragsanalyse. Als je fraudeteam niet kan bevestigen of de fingerprint incognito en VPN overleeft, is dat de openingsvraag voor de shortlist.
Accountovername-oplossingen zijn softwaretools die ongeautoriseerde toegang tot bestaande gebruikersaccounts detecteren en blokkeren. De categorie omvat vier lagen: botbeheer op netwerkniveau (WAF- en CDN-tools), versterking van de authenticatie (MFA-platforms), device-intelligence op browserniveau (fingerprinting-tools) en gedragsanalyse. Elke laag vangt een andere deelverzameling van aanvalstypen, dus de meest effectieve implementaties combineren er minstens twee. Weten wat elke laag doet, en waar die tekortschiet, is de voorwaarde om een samenhangende shortlist op te stellen.
Waarom de markt voor ATO-oplossingen versnipperd is
Javelin Strategy & Research 2026 meldde $13.5 miljard aan verliezen door accountovername in 2025, waarbij zes miljoen slachtoffers vielen, ondanks de brede adoptie van MFA op consumenten- en enterpriseplatforms. Dat cijfer beschrijft een markt waarin de breedst ingezette controls geen gelijke tred houden met de capaciteiten van aanvallers.
Geen enkele leverancier dekt alle vier de lagen goed af. Tools die zijn gebouwd voor filtering op netwerkniveau zijn niet ontworpen om browsersignalen te lezen. Tools die zijn gebouwd voor authenticatie zijn niet ontworpen om sessiegedrag na het inloggen te beoordelen. En de browserlaag, waar de duidelijkste signalen van een frauduleuze inlogpoging leven, blijft vaak onaangepakt in verouderde fraudestacks die zijn gebouwd voordat detectie op browserniveau commercieel toegankelijk was.
Het resultaat is een versnipperde markt waarin kopers tools uit verschillende lagen vaak als concurrerende alternatieven beoordelen, terwijl het in de praktijk aanvullende controls zijn die verschillende delen van het aanvalsoppervlak afdekken.
Categorie 1: botbeheer op WAF- en CDN-niveau
WAF- en CDN-tools filteren verkeer aan de rand van het netwerk. Ze vergelijken binnenkomende verzoeken met IP-reputatiedatabases, passen rate limits toe om credential-stuffing-campagnes te vertragen of te stoppen, en blokkeren verzoekpatronen die aan bekende automatiseringstools zijn gekoppeld. Grote CDN-aanbieders en network-edge-platforms vallen in deze categorie.
Deze controls zijn snel te implementeren, vereisen geen wijzigingen aan de applicatiecode en neutraliseren grootschalige aanvallen die op bekende kwaadaardige infrastructuur leunen. Voor DDoS-mitigatie en het blokkeren van bots op grote schaal zijn ze de juiste tool.
De structurele zwakte is dat een WAF niet in de browsersessie kan kijken. Residentiële proxynetwerken verslaan IP-gebaseerde filtering door verzoeken te verdelen over duizenden echte consumenten-IP-adressen, zodat geen enkel afzonderlijk IP een rate limit activeert. Een AI-agent die op menselijke snelheid binnen een echte browser opereert, produceert geen afwijkend verzoekpatroon op de netwerklaag. Session-hijacking-aanvallen, waarbij de aanvaller een gestolen geauthenticeerd sessietoken opnieuw afspeelt, komen er schoon uitziend bij de server aan.
WAF-controls zijn een noodzakelijke eerste laag, maar ze zijn niet voldoende tegen credential stuffing in 2026. De Amerikaanse verliezen door accountovername zijn jaar na jaar gestegen:
| Jaar | Amerikaanse verliezen door accountovername |
|---|---|
| 2024 | ~$11.4 miljard |
| 2025 | $13.5 miljard |
Bron: Javelin Strategy & Research 2026 Identity Fraud Study.
Categorie 2: MFA- en authenticatieplatforms
MFA-platforms voegen bij het inloggen een tweede verificatiestap toe waaraan een gestolen wachtwoord alleen niet kan voldoen. Duo, Okta en Microsoft Authenticator zijn voorbeelden in deze categorie. Voor de meeste organisaties is MFA de authenticatiecontrol met de grootste impact: een credential-stuffing-campagne die een geldige gebruikersnaam en wachtwoord heeft bemachtigd, kan het inloggen nog steeds niet voltooien zonder de tweede factor.
De faalscenario's zijn goed gedocumenteerd. Bij SIM-swap-aanvallen worden eenmalige sms-wachtwoorden omgeleid naar een apparaat onder controle van de aanvaller door de mobiele provider van het slachtoffer met social engineering te bespelen. Push notification fatigue-aanvallen sturen herhaaldelijk MFA-prompts totdat een legitieme gebruiker er een goedkeurt. Beide zijn te misbruiken zonder het onderliggende authenticatiemechanisme te verslaan.
De meer fundamentele beperking is de reikwijdte. MFA beschermt de authenticatiestap. Zodra een aanvaller een geldig geauthenticeerd sessietoken in handen heeft, of dat nu via cookiediefstal, een man-in-the-middle-proxy of een session-replay-aanval is, heeft MFA zijn functie al vervuld. Het biedt geen bescherming voor wat er gebeurt nadat het inloggen is voltooid.
Hier wordt de browserlaag essentieel.
Categorie 3: device-intelligence op browserniveau
Device-intelligence op browserniveau dicht het gat tussen authenticatie en sessiebeveiliging. Het werkt aan de clientzijde en verzamelt signalen binnen de browser tijdens de sessie, voordat het inlogverzoek wordt afgevuurd.
Het mechanisme bouwt een stabiele device-fingerprint op uit meer dan 250 browsersignalen: onder meer canvas-render-output, lettertypemetrieken, WebGL-gedrag, audiocontext en timingkenmerken. Omdat de fingerprint wordt afgeleid van de onderliggende hardware- en softwareomgeving van het apparaat in plaats van uit opgeslagen identifiers zoals cookies, blijft die stabiel in de incognitomodus, bij VPN-verbindingen en bij het wissen van cookies.
De belangrijkste use case is het vergelijken van apparaathistorie. Een bekend account dat wordt benaderd vanaf een niet-herkende device-fingerprint is een signaal met hoog risico, ongeacht of de inloggegevens kloppen. Cross-account-correlatie is een tweede mogelijkheid: wanneer één device-fingerprint in een kort tijdsbestek over veel accounts opduikt, identificeert dat patroon credential stuffing op een manier die serverzijdige controls per account niet kunnen.
TLS handshake fingerprint TLS-fingerprinting voegt netwerkcontext toe en markeert VPN- en proxyverbindingen die niet stroken met de inloghistorie van een account als een onafhankelijk signaal bovenop de apparaatidentiteit.
De benchmark die er voor kopers toe doet, is de stabiliteit van de fingerprint onder vijandige omstandigheden. cside, dat in deze categorie valt, houdt fingerprints stabiel met hoge nauwkeurigheid in scenario's met incognito, VPN en het wissen van cookies.
Zie hoe device-intelligence op browserniveau in de praktijk werkt op de cside-fingerprintingpagina.
Categorie 4: gedragsanalyse
Gedragsanalyse werkt op de sessielaag en beoordeelt de textuur van de gebruikersinteractie in plaats van de identiteit van het apparaat of de inhoud van het verzoek. Menselijke sessies dragen natuurlijke onregelmatigheid: de timing van toetsaanslagen varieert, cursorpaden krommen en schieten door, en kliks landen dicht bij maar niet precies op berekende coördinaten. Geautomatiseerde sessies, of het nu scripted bots of AI-agents zijn, produceren andere patronen.
Deze categorie is in 2026 belangrijker geworden door de opkomst van AI-agent-tooling. Frameworks zoals Playwright, Puppeteer en Selenium sturen al jaren browserautomatisering aan. AI-agents zoals OpenAI Operator en Claude for Chrome kunnen nu binnen echte Chromium-browserinstanties op menselijke interactiesnelheden opereren, en hun device-fingerprints zijn steeds moeilijker te onderscheiden van echte gebruikers. Gedragssignalen, met name variatie in timing en cursor-entropie, blijven het duidelijkste onderscheid.
Gedragsanalyse vangt aanvallen die elke andere controle doorstaan: correcte inloggegevens, een bekend ogende device-fingerprint en een schoon IP. Het is de diepste beschikbare detectielaag.
cside verweeft gedragsanalyse in zijn sessiescoring, naast device-fingerprinting en de beoordeling van netwerkcontext, in één client-side script dat een realtime oordeel teruggeeft dat geautomatiseerde en AI-agent-sessies markeert.
Hoe je een shortlist opstelt
De nuttigste evaluatievraag is welke laag je momenteel mist, en hoe de juiste tool voor die laag eruitziet. Vraag elke leverancier voordat je een shortlist opstelt:
Op welke laag werkt deze tool eigenlijk? Sommige leveranciers beschrijven een product alsof het meerdere lagen omvat; het verhelderen van de primaire werklaag voorkomt verwarring bij de evaluatie.
Overleeft de device-fingerprint incognito en VPN-rotatie? Een fingerprint die is afgeleid van hardware- en browseromgevingskenmerken doet dat; een die is afgeleid van opslag-identifiers niet.
Kan die AI-agents detecteren die in echte browsersessies draaien? Het blokkeren van bekende headless-omgevingen is niet genoeg. Het detecteren van agents die binnen echte Chromium-instanties opereren, vereist gedragsanalyse.
Is er een selfservice-proefversie? Een proof of concept op je eigen productieverkeer draaien vóór enige commerciële verplichting is een betekenisvol onderscheid in een categorie waarin veel leveranciers de evaluatie achter een verkoopproces afschermen.
Geeft die een risicoscore per sessie terug of past die alleen statische regels toe? Een API-oordeel per sessie voedt je fraudebeslissingsengine en maakt evenredige reacties mogelijk, zoals step-up-authenticatie. Statisch blokkeren op CDN-niveau doet dat niet.
Pas deze criteria toe op de cside-fingerprintingpagina.
Verder lezen
Voor meer over hoe de detectiemechanismen werken, zie de cside-gids voor het detecteren van credential stuffing en de gids voor het voorkomen van accountovername. De use case accountovername laat zien hoe deze signalen samenkomen in een realtime oordeel.
