Wie denkt dat een cyberaanval altijd begint met een technisch lek of een geavanceerd stuk software, heeft het mis. In de meeste gevallen begint het veel eenvoudiger: met een inlognaam en een wachtwoord die in verkeerde handen terechtkomen.
Digitale identiteiten, de combinatie van gegevens waarmee mensen en systemen toegang krijgen tot netwerken en applicaties, zijn inmiddels het primaire doelwit van cybercriminelen. Dat beeld wordt krachtig bevestigd door het State of Identity Security 2026-rapport van Sophos, gebaseerd op een onafhankelijk onderzoek onder 5.000 IT- en beveiligingsmanagers uit zeventien landen.
De conclusie is helder: identiteitsgerelateerde aanvallen zijn geen randverschijnsel, maar de norm. Ruim zeven op de tien ondervraagde organisaties (70,9%) maakten het afgelopen jaar ten minste één identiteitsgerelateerd beveiligingsincident mee. Wie werd getroffen, had daar gemiddeld 3,1 keer mee te maken. Vijf procent van de organisaties rapporteerde zelfs zes of meer incidenten in één jaar tijd.
Waarom gestolen inloggegevens zo’n effectief wapen zijn voor aanvallers
Een aanvaller die beschikt over geldige inloggegevens hoeft geen enkel technisch alarm te laten afgaan. Vanuit het perspectief van het systeem is er namelijk niets aan de hand: een bekende gebruiker logt in, zoals elke dag. De crimineel kan zich rustig oriënteren, bestanden bekijken, rechten uitbreiden en zich een weg banen door het netwerk, vaak zonder dat iemand het merkt.
Dat dit in de praktijk ernstige gevolgen heeft, blijkt uit de gegevens over organisaties die hun aanval niet tijdig konden stoppen. Bij die groep was gegevensdiefstal de meest voorkomende uitkomst: bijna de helft (48,8%) verloor gevoelige informatie aan de aanvaller. Een vrijwel identiek aandeel (48,4%) werd getroffen door ransomware. Afpersing, waarbij criminelen dreigen informatie openbaar te maken tenzij er betaald wordt, deed zich voor bij 43,9% van de slachtoffers, en financiële diefstal trof in totaal 46,7% van hen. Dit zijn geen kleine incidenten, maar aanvallen met directe en ingrijpende bedrijfsconsequenties.
De financiële schade bevestigt dat beeld. De gemiddelde herstelkosten na een succesvolle identiteitsaanval bedroegen wereldwijd 1,64 miljoen dollar, met een mediaan van 750.000 dollar. 73% van de getroffen organisaties schatte de totale kosten op minimaal 250.000 dollar.
Identiteitsdiefstal als voordeur voor ransomware
Een van de opvallendste inzichten uit het rapport is de directe verbinding tussen identiteitsaanvallen en ransomware. Van alle organisaties die het afgelopen jaar door ransomware werden getroffen, bevestigde 66,5% dat dit ransomware-incident tegelijkertijd het meest significante identiteitsincident was. Identiteitscompromittering fungeert daarmee als het primaire toegangsmechanisme voor ransomware-aanvallen. De crimineel steelt eerst toegang, en gebruikt die vervolgens om ransomware te verspreiden door het netwerk.
Dit patroon maakt identiteitsbeveiliging onlosmakelijk verbonden met de bredere bescherming tegen ransomware. Wie zijn identiteitsbeheer niet op orde heeft, vergroot daarmee ook zijn kwetsbaarheid voor een van de meest destructieve vormen van cybercriminaliteit.
De mens als zwakste schakel, maar zeker niet de enige
Wanneer een identiteitsaanval slaagt, zijn er gemiddeld twee oorzaken aan te wijzen. De meest voorkomende is menselijke fout, aangehaald bij 42,7% van de gevallen. Het gaat dan om medewerkers die via een overtuigende phishingmail of een nagemaakte inlogpagina worden misleid om hun inloggegevens te overhandigen. Op ons blog leest u meer over de tien meest voorkomende vormen van phishing en hoe u ze herkent, zodat u en uw medewerkers beter voorbereid zijn op dit soort aanvallen.
Op een nauwe tweede plaats staat zwak beheer van niet-menselijke identiteiten, goed voor 40,6% van de gevallen. Dit is een categorie die in veel organisaties onderbelicht blijft en die nader toelichting verdient.
Het onderschatte risico van niet-menselijke identiteiten
Naast de accounts van medewerkers maken moderne IT-omgevingen gebruik van een groot aantal digitale identiteiten die niet aan een persoon zijn gekoppeld. Denk aan softwareprogramma’s die automatisch met andere systemen communiceren via zogenoemde API-sleutels, aan serviceaccounts die geautomatiseerde taken uitvoeren zoals nachtelijke back-ups, of aan koppelingen tussen applicaties die ooit werden aangemaakt en sindsdien nooit meer zijn geauditeerd. In de beveiligingswereld worden deze aangeduid als “niet-menselijke identiteiten” of NHI’s (Non-Human Identities).
Het beheer van NHI’s laat bij veel organisaties te wensen over. In de praktijk gaat het om inloggegevens die rechtstreeks in programmacode zijn opgeslagen, wachtwoorden die jarenlang niet zijn gewijzigd, of serviceaccounts die actief blijven lang nadat het doel waarvoor ze zijn aangemaakt is vervallen. Slechts een derde van de ondervraagde organisaties (34%) controleert of roteert serviceaccounts en niet-menselijke identiteiten wekelijks of vaker. Daarmee laten de meeste organisaties een structurele kwetsbaarheid onbeheerd.
De gevolgen zijn meetbaar. Organisaties met zwak NHI-beheer lopen 22% meer kans op financiële diefstal en 24% meer kans op afpersing dan gemiddeld. De totale herstelkosten liggen bij die groep gemiddeld bijna 150.000 dollar hoger dan bij organisaties die hun niet-menselijke identiteiten wél goed op orde hebben.
De opkomst van kunstmatige intelligentie maakt dit vraagstuk urgenter. AI-agents, geautomatiseerde softwareprocessen die zelfstandig taken uitvoeren, krijgen steeds vaker toegangsrechten toegewezen tot meerdere systemen tegelijk. Anders dan een traditioneel serviceaccount dat elke nacht dezelfde back-uptaak uitvoert, handelen AI-agents autonoom, op elk moment van de dag, met brede toegangsrechten die zelden verlopen of worden geauditeerd. Het aantal niet-menselijke identiteiten groeit daarmee sneller dan beveiligingsteams kunnen bijhouden.
Monitoring die tekortschiet
Een zorgwekkend bijkomend gegeven is dat veel organisaties onvoldoende zicht hebben op wat er in hun eigen omgeving gebeurt. Slechts 24,1% van de ondervraagde organisaties controleert continu op ongebruikelijke inlogpogingen. Meer dan de helft doet dit maximaal eens per kwartaal. Bij het roteren en controleren van niet-menselijke identiteiten is het beeld nog nuchterder: slechts 11% doet dit continu.
14,4% van de getroffen organisaties was niet in staat hun belangrijkste identiteitsaanval te detecteren en te stoppen voordat er schade was aangericht. Bij kleinere organisaties met 100 tot 250 medewerkers liep dit percentage op tot 19,4%, bijna het dubbele van organisaties met 1.000 tot 3.000 medewerkers (11,3%). Kleinere bedrijven beschikken doorgaans over minder middelen voor continue monitoring, wat hen kwetsbaarder maakt.
Welke sectoren lopen het meeste risico?
Hoewel identiteitsaanvallen in vrijwel alle sectoren voorkomen, zijn er duidelijke uitschieters. Energie-, olie-, gas- en nutsbedrijven werden het zwaarst getroffen: 80,3% van de ondervraagde organisaties in die sector rapporteerde een incident. De centrale en federale overheid volgde met 78,4%. Beide sectoren werken vaak met complexe, deels verouderde IT-omgevingen met veel geautomatiseerde processen en serviceaccounts, precies het type omgeving waar niet-menselijke identiteiten zich opstapelen zonder adequaat beheer.
Wat uw organisatie vandaag al kan doen
Sophos adviseert een gelaagde aanpak die zowel menselijke als niet-menselijke identiteiten omvat. De eerste en meest effectieve stap is het verplicht stellen van meervoudige authenticatie, ook wel MFA of tweestapsverificatie, voor alle gebruikersaccounts. MFA zorgt ervoor dat een gestolen wachtwoord op zichzelf onvoldoende is om toegang te krijgen: de aanvaller heeft ook een tweede factor nodig, zoals de telefoon van de medewerker. Wilt u weten welke vorm van MFA de meeste bescherming biedt tegen moderne aanvalstechnieken? Lees dan ons artikel over phishing-resistente MFA en waarom dit de nieuwe standaard in digitale weerbaarheid wordt.
Daarnaast is het principe van minimale toegangsrechten essentieel: geef gebruikers en systemen uitsluitend toegang tot wat strikt noodzakelijk is voor hun functie. Inactieve accounts moeten direct worden uitgeschakeld. Voor niet-menselijke identiteiten geldt hetzelfde: inventariseer alle serviceaccounts en koppelingen, vervang langdurig geldige inloggegevens door kortlopende alternatieven en beheer deze centraal via een zogenoemd “secrets management platform”. Aanvullend worden twee bredere beveiligingsconcepten steeds belangrijker: Identity Threat Detection and Response, waarbij afwijkend gedrag van accounts automatisch wordt gesignaleerd, en het Zero Trust-model, dat uitgaat van de aanname dat geen enkele gebruiker of systeem automatisch vertrouwd mag worden, ook niet binnen het eigen netwerk.
Identiteitsbeveiliging als doorlopende discipline
Het Sophos-rapport maakt duidelijk dat identiteitsgerelateerde aanvallen universeel zijn: ze raken organisaties van elke omvang, in elke sector en elk land. De oorzaken, menselijke fouten, slecht beheerde serviceaccounts en onvoldoende zicht op toegangsrechten, zijn grotendeels beheersbaar.
Maar dat vereist continue aandacht, niet een eenmalig project. Organisaties die identiteitsbeveiliging als een doorlopende operationele discipline benaderen, staan aanzienlijk sterker dan wie het als een afvinkpunt behandelt.
