Brute-force-aanval

Wat is een brute-force-aanval?

Een brute-force-aanval is de meest rechttoe-rechtaan manier om een wachtwoord te achterhalen: gewoon alles proberen. Het Engelse brute force betekent brute kracht. Het NCSC omschrijft het als een aanval waarbij een kwaadwillende automatisch zoveel mogelijk mogelijke wachtwoorden probeert, totdat het juiste wachtwoord is gevonden.

Een aanvaller doet dat niet met de hand, maar met software die combinaties na elkaar afvuurt op een inlogpagina, een VPN, een mailserver of een bestand met versleutelde wachtwoorden. Hoe korter en eenvoudiger het wachtwoord, hoe sneller het gevonden is.

Er bestaan verschillende varianten. Het NCSC onderscheidt ze zo:

Variant	Wat de aanvaller probeert	Advies van het NCSC
Brute force	Zoveel mogelijk wachtwoorden op 1 account	Maak wachtwoorden zo lang mogelijk
Dictionary-aanval	Een lijst met veelvoorkomende woorden en zinnen	Gebruik geen persoonlijke gegevens in wachtwoorden
Password spray	1 of een paar veelgebruikte wachtwoorden op veel accounts	Vermijd wachtwoorden als Welkom01 of qwerty
Credential stuffing	Eerder gelekte inloggegevens op andere accounts	Hergebruik wachtwoorden niet

Het gevolg van een geslaagde aanval is een overgenomen account. In 2025 werd bij 4,7 procent van de Nederlanders van 15 jaar en ouder een account gehackt (bron: CBS, 2026).

Hoe werkt de bescherming tegen een brute-force-aanval?

Je beschermt je tegen een brute-force-aanval door het raden onpraktisch te maken en een geraden wachtwoord waardeloos. Het Amerikaanse standaardisatie-instituut NIST geeft daarvoor harde eisen in richtlijn SP 800-63B:

1. Beperk het aantal mislukte inlogpogingen achter elkaar op 1 account tot maximaal 100. NIST noemt dit een bovengrens; strenger mag.
2. Eis dat een wachtwoord dat als enige inlogfactor dient, minimaal 15 tekens lang is. Bij gebruik naast een 2e factor is het minimum 8 tekens.
3. Vergelijk nieuwe wachtwoorden met een lijst van veelgebruikte en gelekte wachtwoorden en weiger wachtwoorden die erop staan.
4. Zet multifactorauthenticatie aan, zodat een geraden wachtwoord alleen niet genoeg is.
5. Log mislukte inlogpogingen en laat een SIEM waarschuwen bij grote aantallen.

Voorbeeld uit de praktijk

Bij de gemeente Hof van Twente deden aanvallers in 2020 dagelijks tussen de 50.000 en 100.000 inbraakpogingen. Op 9 november 2020 kwamen ze binnen op een account met het wachtwoord Welkom2020. Daarna verwijderden ze 90 virtuele servers en vernietigden ze alle back-ups (bron: NOS, 2021).

Het wachtwoord lijkt sterk op het voorbeeld dat het NCSC geeft van een veelvoorkomend wachtwoord dat je niet moet gebruiken: Welkom01. Juist zulke wachtwoorden staan bovenaan de lijsten die aanvallers als eerste proberen. Hoe een SIEM zo’n reeks inlogpogingen had kunnen signaleren, staat bij SIEM.

Brute-force-aanval in de praktijk van een security-professional

Een SOC-analist ziet brute-force-aanvallen terug als pieken in mislukte inlogpogingen, soms vanaf veel verschillende IP-adressen tegelijk. Het werk is dan onderscheiden wat een aanval is en wat een gebruiker die zijn wachtwoord vergeten is. Beheerders van IAM stellen blokkeerregels en wachtwoordbeleid in.

Een ethical hacker test tijdens een pentest of een organisatie zwakke of standaardwachtwoorden gebruikt en of er een limiet op inlogpogingen zit. Een security officer vertaalt de uitkomsten naar beleid, zoals verplichte 2FA op accounts die van buitenaf bereikbaar zijn.

Veelgestelde vragen

Wat betekent brute force?

Brute force is Engels voor brute kracht. In security betekent het dat een aanvaller niet slim zoekt naar een zwakke plek, maar automatisch zoveel mogelijk wachtwoorden of codes probeert tot de juiste ertussen zit. Hoe korter en voorspelbaarder het wachtwoord, hoe sneller dat lukt.

Wat is een brute-force-aanval?

Een brute-force-aanval is een aanval waarbij software automatisch wachtwoorden uitprobeert op een account, systeem of versleuteld bestand. Varianten zijn de dictionary-aanval met een woordenlijst, password spraying met 1 veelgebruikt wachtwoord op veel accounts en credential stuffing met gelekte inloggegevens.

Hoe voorkom je een brute-force-aanval?

Gebruik lange, unieke wachtwoorden en zet multifactorauthenticatie aan. Organisaties beperken daarnaast het aantal mislukte inlogpogingen, weigeren wachtwoorden die op lijsten met gelekte wachtwoorden staan en houden inlogpogingen in de gaten. NIST noemt 100 mislukte pogingen achter elkaar als bovengrens.

Wat is het verschil tussen brute force en credential stuffing?

Bij brute force probeert een aanvaller veel verschillende wachtwoorden op 1 account. Bij credential stuffing gebruikt hij combinaties van gebruikersnaam en wachtwoord die al bij een ander datalek zijn buitgemaakt, en probeert die bij andere diensten. Credential stuffing werkt dus alleen als mensen wachtwoorden hergebruiken.