Stel de mens centraal tijdens World Password Day 2020
Adenike Cosgrove is Cybersecurity Strategist bij Proofpoint
Deze World Password Day moeten we niet alleen nadenken over hoe we wachtwoorden zelf veiliger kunnen maken. We moeten er ook voor zorgen dat de manier waarop we wachtwoorden beheren en gebruiken, niet ten koste gaat van hun bestaansrecht als een vorm van beveiliging en authenticatie. De gevaren van het hergebruik van wachtwoorden zijn overduidelijk gemaakt door de toename van het aantal succesvolle credential stuffing-aanvallen. Hierbij worden gegevens van eerdere datalekken gebruikt om willekeurige inlogpogingen uit te voeren bij andere websites. Recent onderzoek heeft echter aangetoond dat 45% van de werkende volwassenen toegeeft hetzelfde wachtwoord te hergebruiken voor meerdere diensten. Dit probleem zal waarschijnlijk ook in de toekomst blijven bestaan. De mens is namelijk gemakzuchtig en het is lastig om steeds complexere wachtwoorden voor de talloze online diensten te onthouden. De gevolgen kunnen echter ernstig zijn. Eén gecompromitteerd wachtwoord kan een individu blootstellen aan identiteitsdiefstal of zelfs zijn hele organisatie in gevaar brengen.
Cybercriminelen blijven ook gebruikmaken van geavanceerde soorten malware of keyloggers voor het stelen van informatie. Deze worden vaak geleverd via e-mail-phishing-campagnes met behulp van social engineering. Zelfs in een ideale wereld waarin een gebruiker complexe en unieke wachtwoorden heeft, kan een doelgerichte phishing-aanval waarbij een stealer of keylogger wordt meegeleverd deze gegevens rechtstreeks doorsturen naar de aanvaller.
Zowel individuen als organisaties kunnen hun steentje bijdragen om deze bedreigingen aan te pakken. Hergebruik van wachtwoorden kan worden tegengegaan met behulp van meer opleiding en training. Maar het moet worden gecombineerd met technologische oplossingen om de druk op de medewerkers te verminderen. Zij blijven namelijk het favoriete doelwit van de cybercriminelen. Organisaties moeten standaard multifactor-authenticatie implementeren. Daarnaast is het hoopgevend dat we een toename zien in het gebruik van wachtwoordmanagers. Daardoor hoeven we niet langer te vertrouwen op het menselijk geheugen voor de beveiliging van wachtwoorden. Daarnaast zijn gesimuleerde aanvallen een veel duurzamere en effectievere verdediging tegen phishing-aanvallen dan het volgen van online trainingen. Dit, gecombineerd met robuuste e-mailbeveiliging zodat zo weinig mogelijk aanvallen het beoogde doelwit bereiken, zal ertoe bijdragen dat we minder afhankelijk zijn van wachtwoorden als laatste verdedigingslinie tegen cybercriminelen.
Als we een blik op de toekomst werpen, is het mogelijk dat het advies zal zijn om helemaal af te stappen van wachtwoorden. We zien nu al een toename in het gebruik van gezichtsherkenning en andere vormen biometrische authenticatie in plaats van het traditionele wachtwoord. Deze verschuiving kan van essentieel belang zijn. Want hoewel technische kwetsbaarheden in de toekomst wellicht moeilijker zijn te exploiteren, is en blijft de mens de meest aangevallen schakel. Zelfs de meest technisch onderlegde mensen zijn kwetsbaar voor steeds persoonlijker en complexer wordende aanvallen. Op wachtwoorden vertrouwen behoort wellicht tot het verleden.