We testen regelmatig de beveiliging van MKB-bedrijven. Professionele bedrijven. Goed draaiend. Niks te verbergen. En toch vinden we bijna altijd dezelfde kwetsbaarheden. Niet omdat deze bedrijven slordig zijn, maar simpelweg omdat niemand er ooit naar heeft gekeken.
Een penetratietest — of pentest — is een gecontroleerde aanval op je eigen systemen. Een ethische hacker probeert binnen te komen op de manier waarop een echte aanvaller dat ook zou doen. Wat hij vindt, rapporteert hij. Geen schade, wel inzicht.
In dit artikel delen we de vijf kwetsbaarheden die we het vaakst tegenkomen bij MKB-bedrijven. Niet als schrikvoorbeeld, maar als herkenningspunt. Want als je weet wat er speelt, kun je er iets aan doen.
1. Verouderde software en ongepatchte systemen
De meest voorkomende bevinding: servers of applicaties waarvan de laatste update meer dan twee jaar geleden was. Software-updates klinken saai, maar ze dichten actief misbruikte beveiligingslekken. Een systeem dat al twee jaar niet is bijgewerkt, heeft vrijwel zeker bekende kwetsbaarheden waarvoor kant-en-klare aanvalstools beschikbaar zijn.
We zien dit niet alleen bij eigen servers. Ook firewalls, switches, printers en NAS-apparaten worden structureel overgeslagen. Die staan aan, ze doen het, en niemand denkt er meer aan. Totdat iemand anders er wél aan denkt.
2. Zwakke of hergebruikte wachtwoorden
Credential stuffing is een van de meest gebruikte aanvalsmethoden. Aanvallers kopen gelekte gebruikersnaam- en wachtwoordcombinaties van eerdere datalekken — van LinkedIn, Adobe, Dropbox — en proberen die automatisch uit op andere diensten. Als een medewerker hetzelfde wachtwoord gebruikt voor LinkedIn als voor het boekhoudpakket, is één lek genoeg.
We zien dit bij het merendeel van de tests. Niet één medewerker die het doet, maar meerdere. Inclusief soms de IT-verantwoordelijke zelf. Het is menselijk gedrag: wachtwoorden onthouden is lastig. De oplossing is dan ook niet strengere regels, maar een passwordmanager die het onthouden overneemt.
3. Geen MFA op kritieke accounts
Multi-factor authenticatie (MFA) is de meest effectieve maatregel tegen ongeautoriseerde toegang. Toch ontbreekt het regelmatig op de accounts die er het meest toe doen: zakelijke e-mail, het boekhoudpakket, cloudomgeving en CRM-systeem.
Zonder MFA geldt: wachtwoord gestolen, account over. Met MFA heeft een aanvaller ook nog de tweede factor nodig — een code via een app, een fysieke sleutel — en dat stopt de meeste aanvallen direct. Microsoft meldt dat MFA meer dan 99% van de geautomatiseerde aanvallen op accounts blokkeert. Het kost vijf minuten om in te stellen. Het niet doen kost potentieel veel meer.
4. Te ruime toegangsrechten
Medewerkers die adminrechten hebben terwijl ze die voor hun werk niet nodig hebben. Accounts met toegang tot alle mappen op de bestandsserver, ook die van andere afdelingen. Ex-medewerkers die al zes maanden weg zijn maar nog steeds kunnen inloggen.
Het principe van least privilege — iedereen krijgt alleen de toegang die hij echt nodig heeft — is eenvoudig, maar wordt zelden actief bijgehouden. Bij groei van een bedrijf worden rechten opgestapeld en nooit opgeruimd. Bij vertrek van personeel worden accounts vergeten. Het gevolg is een omgeving waar een aanvaller die eenmaal binnenkomt, vrijwel overal bij kan.
5. Geen zicht op wat er op het netwerk zit
Schaduw-IT: apparaten en diensten die in gebruik zijn zonder dat IT er weet van heeft. Een medewerker die zijn privélaptop op het bedrijfsnetwerk aansluit. Een IoT-apparaat dat jaren geleden is geïnstalleerd en sindsdien nooit meer is bekeken. Een cloudopslag die een afdeling zelf heeft aangemeld.
Je kunt niet beveiligen wat je niet ziet. Een netwerkschema dat klopt, een actuele inventaris van apparaten en diensten — dat is de basis van elk beveiligingsprogramma. Zonder die basis zijn alle andere maatregelen gebouwd op drijfzand.
Wat betekent dit voor uw bedrijf?
De meeste van deze kwetsbaarheden zijn niet ingewikkeld om te verhelpen. Ze vragen geen grote investeringen. Ze vragen wél dat iemand er naar kijkt.
Een pentest is geen oordeel over uw bedrijf. Het is een meting. En een meting is de eerste stap naar verbetering. Weten waar je staat is altijd beter dan hopen dat het wel meevalt.
De Snelscan van RiskGuard geeft u binnen twee werkdagen inzicht in uw grootste risico’s. Geen technisch jargon. Geen oordeel. Gewoon weten waar u staat, zodat u een bewuste keuze kunt maken over wat u vervolgens doet.
Neem contact op via riskguard.nl/contact om de Snelscan aan te vragen.
Benieuwd hoe jouw organisatie scoort?
Doe de gratis zelfscan en ontdek waar de risico's zitten.