Een medewerker logt om acht uur ’s ochtends in, tikt zijn wachtwoord in, veegt de zoveelste pushmelding weg zonder er goed naar te kijken en gaat door met zijn dag. Precies op dat moment slaat een aanvaller toe. Niet door die pushmelding te kraken, maar door het sessietoken te stelen dat na de geslaagde aanmelding is aangemaakt. De MFA stap is al voltooid, de deur staat open, en een klassiek verificatiesysteem merkt daar helemaal niets van. Dit scenario speelt zich dagelijks af bij organisaties die nog leunen op een statisch MFA beleid, een systeem dat iedereen bij elke aanmelding exact dezelfde vraag stelt, ongeacht of die poging volkomen normaal is of compleet uit de toon valt.
Een vast MFA protocol is voorspelbaar, ook voor aanvallers. Adaptive MFA, ook wel risk based authentication genoemd, beoordeelt bij elke aanmelding hoe risicovol een poging daadwerkelijk is aan de hand van signalen als locatie, apparaat en gedrag, en past de gevraagde verificatie daarop aan. In dit artikel leest u hoe die risicobeoordeling technisch werkt, waarom gestolen sessietokens de zwakke plek van traditionele MFA blootleggen, welke signalen het verschil maken tussen soepel en streng, en welke ontwikkelingen de komende jaren bepalend worden voor toegangsbeveiliging.
Waarom een vast verificatieprotocol niet meer standhoudt
Traditionele MFA werkt volgens een script dat nooit verandert. Iedereen die inlogt krijgt dezelfde extra stap voorgeschoteld, of die persoon nu vanaf het vertrouwde kantoornetwerk inlogt op een doordeweekse ochtend, of vanaf een onbekend apparaat aan de andere kant van de wereld om drie uur ’s nachts. Die voorspelbaarheid was lange tijd juist een pluspunt. Het is eenvoudig te beheren en simpel uit te leggen aan gebruikers.
Het probleem is dat diezelfde voorspelbaarheid het systeem ook star maakt. Een methode die geen onderscheid maakt tussen een volstrekt normale aanmelding en een sterk verdachte poging, dwingt een organisatie tot een onprettige keuze. Of iedereen wordt continu lastiggevallen met extra stappen, wat de productiviteit drukt en op termijn leidt tot mfa moeheid, waarbij mensen uit pure irritatie pushmeldingen goedkeuren zonder erbij na te denken. Of de drempel wordt structureel laag gehouden om de gebruikerservaring te sparen, met meer risico als gevolg.
Adaptive MFA voegt een risicoanalyse toe aan het inlogproces en doorbreekt daarmee dat dilemma. Het systeem verzamelt contextuele signalen, zoals apparaattype, locatie, tijdstip, netwerk en historisch gedrag, en berekent op basis daarvan een risicoscore. Een aanmelding die volledig past bij het gebruikelijke patroon van een medewerker gaat vrijwel zonder wrijving door. Wijkt de poging duidelijk af, dan vraagt het systeem om extra of sterkere verificatie, of blokkeert het de poging meteen en waarschuwt het de beveiligingsafdeling.
Zelf vind ik het onbegrijpelijk dat organisaties anno 2026 nog met een volledig statisch MFA beleid werken, want de aanvalstechnieken van vandaag zijn daar simpelweg niet meer gevoelig voor.
Adaptive MFA staat overigens niet op zichzelf. SolidBE schreef eerder over phishing resistant MFA met FIDO2 en WebAuthn en de vraag of dit de nieuwe standaard wordt, waarin wordt uitgelegd hoe cryptografische sleutels de zwakke schakels van klassieke MFA wegnemen. Adaptive MFA en phishing resistant MFA vullen elkaar aan. Het eerste bepaalt wanneer extra verificatie nodig is, het tweede zorgt dat die verificatie ook echt niet te omzeilen valt.
Hoe een risicogebaseerd authenticatiesysteem in de praktijk werkt
Onder de motorkap volgt adaptive MFA meestal een vergelijkbaar patroon, ongeacht welke leverancier het systeem levert. Bij de eerste stap voert een gebruiker zijn gebruikelijke inloggegevens in, een wachtwoord of een passkey. Daarna verzamelt het systeem in real time een reeks signalen over de context van die specifieke poging. Denk aan het IP adres en de geografische locatie, het type apparaat en of dat apparaat eerder is geregistreerd, het tijdstip ten opzichte van de normale werkuren, het soort netwerk waarmee verbinding wordt gemaakt en de mate waarin het gedrag lijkt op eerdere sessies.
Die signalen worden gewogen door een risico engine, vaak ondersteund door machine learning, die een score toekent aan de poging. Bij een laag risico, bijvoorbeeld een bekend apparaat op een vertrouwde locatie binnen normale werktijden, verloopt de toegang met minimale wrijving. Bij een gemiddeld risico vraagt het systeem om een extra factor, zoals een eenmalig wachtwoord of een biometrische scan. Bij een hoog risico, zoals een inlogpoging vanaf een nieuw apparaat in een ongebruikelijk land kort na een sessie elders, kan het systeem de toegang direct blokkeren en het securityteam waarschuwen.
Waarom controleren tijdens de sessie net zo belangrijk is als bij het inloggen
Een kenmerk dat adaptive MFA onderscheidt van klassieke implementaties, is dat de risicobeoordeling niet stopt op het moment van inloggen. Geavanceerde systemen blijven het gedrag tijdens een actieve sessie volgen en kunnen opnieuw om authenticatie vragen zodra dat gedrag verandert. Denk aan een gebruiker die plotseling toegang zoekt tot gevoelige systemen waar hij normaal niet komt, of die beheerderstaken probeert uit te voeren die buiten zijn gangbare rol vallen.
Die voortdurende herbeoordeling sluit aan bij het zero trust principe, waarbij vertrouwen nooit blijvend wordt toegekend maar telkens opnieuw wordt geverifieerd op basis van actuele context. SolidBE ging eerder al in op hoe dit principe terugkomt in moderne netwerkarchitectuur, onder meer in het artikel over SASE, waarin identiteit, apparaatstatus en contextsignalen samen bepalen welke toegang op elk moment wordt toegekend.
Als ik één ding zou aanraden aan elke organisatie die twijfelt, is het dit. Kies een leverancier die ook tijdens de sessie blijft meekijken, want een systeem dat alleen bij het inloggen checkt, mist precies de aanval die er tegenwoordig het meest toe doet.
Waarom gestolen sessies de achilleshiel van klassieke MFA zijn
De belangrijkste reden om over te stappen op een risicogebaseerde aanpak heeft alles te maken met hoe aanvallers tegenwoordig daadwerkelijk werken. Het Global Incident Response Report 2026 van Unit 42, het threat intelligence team van Palo Alto Networks, is gebaseerd op meer dan 750 onderzochte incidenten wereldwijd en laat zien dat identiteitsgerelateerde zwakheden een rol speelden in bijna negentig procent van die onderzoeken. Bij ruim zes op de tien aanvallen vormde een identiteitsgerelateerde techniek, zoals gestolen inloggegevens of misbruikte toegangsrechten, zelfs het startpunt van de aanval. Het rapport laat ook zien dat aanvallers kunstmatige intelligentie inzetten om het hele traject van eerste toegang tot het buitmaken van data flink te versnellen.
Tegelijk laat materiaal van SentinelOne, gespecialiseerd in endpoint en identity detectie, zien dat aanvallers steeds vaker niet de MFA stap zelf proberen te kraken, maar in plaats daarvan sessietokens, OAuth tokens en cloud toegangssleutels stelen die al door de authenticatie heen zijn. Tegen die tactiek is een statisch MFA systeem vrijwel machteloos, het controleert alleen bij het inloggen en laat een gestolen sessie daarna ongemoeid. Een adaptief systeem dat ook tijdens de sessie blijft meekijken, herkent het afwijkende gedrag dat op een gekaapte sessie wijst en kan alsnog ingrijpen. Precies het verschil tussen een vaste muur en een systeem dat met de aanvaller meebeweegt.
Een tweede reden gaat over de balans tussen veiligheid en bruikbaarheid. Omdat adaptive MFA alleen extra wrijving toevoegt wanneer dat daadwerkelijk nodig is, merken medewerkers die binnen hun normale patroon blijven er weinig van. Dat is meer dan gebruiksgemak. Hoe vaker mensen onnodig met verificatiestappen worden geconfronteerd, hoe groter de kans dat ze uit gewoonte op goedkeuren klikken zonder goed te kijken waar ze precies toestemming voor geven, het mechanisme achter mfa moeheid. Door meldingen te beperken tot situaties die er echt toe doen, blijft de aandacht van gebruikers scherp op het moment dat het telt.
Een derde argument is beheersbaarheid. Adaptive MFA geeft beheerders fijnmazige controle om beleid te koppelen aan de gevoeligheid van een systeem en de rol van de gebruiker. Een beheerdersaccount met toegang tot kritieke infrastructuur kan strengere drempels krijgen dan een gewoon medewerkersaccount, zonder dat dit ten koste gaat van de toegankelijkheid voor de rest van de organisatie.
Mijn advies is dan ook simpel. Begin niet bij de eindgebruiker maar bij de beheerdersaccounts en de systemen met de grootste impact, daar behaalt u met adaptive MFA de meeste winst in de kortste tijd.
De risicosignalen die het verschil maken tussen soepel en streng
De kwaliteit van een adaptive MFA implementatie staat of valt met de signalen die het systeem meeweegt. Op apparaatniveau gaat het om de vraag of een toestel eerder is geregistreerd en of het bedrijfseigendom is of een persoonlijk apparaat, of de beveiligingsstatus in orde is, en of er signalen zijn van malware of een afwijkend besturingssysteem. Op netwerk en locatieniveau weegt het systeem het IP adres, de geografische positie en het gebruik van VPN’s of anonimiseringsdiensten mee, net als zogeheten impossible travel scenario’s waarbij een gebruiker binnen een tijdsbestek dat fysiek niet haalbaar is vanuit twee ver uiteenliggende locaties inlogt.
Gedragsmatige signalen vormen een derde categorie. Denk aan afwijkingen van het gebruikelijke patroon van een specifieke gebruiker, zoals een ongebruikelijk inlogtijdstip, een afwijkend volume aan verzoeken, of toegang tot systemen die niet bij de normale rol van die persoon passen. Tot slot speelt de gevoeligheid van het gevraagde systeem of de gevraagde data een rol. Een poging om een financieel systeem te benaderen of beheerdersrechten te activeren weegt zwaarder mee dan toegang tot een algemene interne applicatie.
Door deze categorieën te combineren ontstaat een veel rijker beeld van het werkelijke risico dan een simpele ja of nee beslissing ooit kan bieden.
Waar multifactor authenticatie de komende jaren naartoe beweegt
De ontwikkeling van MFA staat niet stil. De meest fundamentele verschuiving is de overgang van authenticatie als eenmalige gebeurtenis naar voortdurende verificatie gedurende de hele sessie. In plaats van vertrouwen toe te kennen bij het inloggen en dat vervolgens voor de rest van de sessie te laten staan, evalueren steeds meer systemen het risico continu, ook nadat een gebruiker al toegang heeft gekregen. Dat sluit rechtstreeks aan bij de praktijk waarin aanvallers actieve sessies kapen in plaats van het inlogmoment zelf aan te vallen.
Een tweede beweging is de opmars van phishing resistente factoren als nieuwe basis in plaats van uitzondering. Waar sms codes en eenvoudige pushmeldingen nog altijd veel worden gebruikt, groeit het besef dat deze methoden kwetsbaar blijven voor adversary in the middle aanvallen en sim swapping. Standaarden als FIDO2 en WebAuthn, die werken met cryptografische sleutelparen in plaats van gedeelde geheimen, winnen terrein omdat ze een aanmelding cryptografisch koppelen aan de echte website of applicatie, waardoor een nagebouwde phishingpagina eenvoudigweg niet werkt.
Een derde ontwikkeling is de groeiende rol van kunstmatige intelligentie en machine learning bij het opbouwen van gedragsprofielen en het opsporen van subtiele afwijkingen die regelgebaseerde systemen zouden missen. Dit gaat samen met een grotere koppeling van actuele dreigingsinformatie aan het risicobeoordelingsproces, zodat authenticatiebeleid automatisch strenger wordt zodra bepaalde aanvalscampagnes of gecompromitteerde inloggegevens worden gesignaleerd binnen een sector of regio.
Tot slot wint zero trust als architectuurprincipe verder terrein. Adaptive MFA staat dan niet langer op zichzelf, maar wordt gekoppeld aan device compliance, identity governance en netwerksegmentatie tot één samenhangend geheel. De grens tussen authenticatie, autorisatie en continue monitoring vervaagt daardoor steeds verder, wat betekent dat organisaties MFA niet langer als een geïsoleerd onderdeel van hun beveiligingsstrategie kunnen behandelen.
Adaptive MFA als basis voor weerbare toegangsbeveiliging
De overstap van traditionele naar adaptive MFA is geen kwestie van trends volgen, maar een logische reactie op hoe het dreigingsbeeld is veranderd. Aanvallers richten zich steeds gerichter op identiteiten en gestolen sessies in plaats van op het brute forceren van wachtwoorden, en een authenticatiesysteem dat alleen op het inlogmoment controleert, sluit die deur niet meer voldoende af. Door risico continu te beoordelen op basis van apparaat, locatie, gedrag en gevoeligheid van de gevraagde toegang, combineert adaptive MFA een hoger beveiligingsniveau met minder onnodige wrijving voor gebruikers die zich keurig binnen hun normale patroon bewegen.
Als Fortinet Advanced Partner helpt SolidBE organisaties bij het inrichten van risicogebaseerde toegangsbeveiliging die past bij hun infrastructuur en compliance eisen. Wilt u weten hoe adaptive MFA zich verhoudt tot uw huidige authenticatiebeleid, of hoe u de overstap stapsgewijs kunt maken zonder uw organisatie te overvallen? Neem contact op met SolidBE voor een vrijblijvend gesprek.
