Cybercriminelen verkopen wachtwoorden van honderden Nederlandse bedrijven. Dat ontdekte RTL Nieuws op het zogenoemde Dark Web. Via een Russische website konden zo’n 64.000 inloggegevens worden gekocht voor rond de 10 dollar, waaronder ruim 900 gegevens van Nederlandse bedrijven.

RTL Nieuws nam de proef op de som en kocht de inloggegevens van vijf willekeurige Nederlandse bedrijven. Daaronder bevond zich ook een fysiopraktijk met medische dossiers van onder andere topsporters. Het gaat in de regel om bedrijven met computers die op afstand benaderd kunnen worden en beveiligd zijn met een zwak wachtwoord. Door van de Russen een wachtwoord te kopen, kan je inloggen als de medewerker die het zwakke wachtwoord in de praktijk gebruikt. Bij de fysiopraktijk ging het notabene om het account van een medewerker van de ICT-leverancier. Dat was ‘Test’ met ‘Welkom123’ als wachtwoord! Het account gaf toegang tot alle data van het bedrijf.

Zwakte
Volgens RTL Nieuws denken veel bedrijven hun beveiliging op orde te hebben, maar valt het in de praktijk tegen. Voor een paar euro zijn vitale wachtwoorden te koop. Vaak gaat het om wachtwoorden die de slachtoffers ook voor webshops gebruiken. RTL Nieuws heeft de betreffende bedrijven geïnformeerd, nadat gecontroleerd was of de aangeschafte wachtwoorden werkten. Dat was het geval. Een keer stuitte de redactie op 2-factor authenticatie, waardoor het inloggen niet mogelijk was. Daarop betaalde de Russen het geld terug.
De zwakte zit vaak in het gebruik van het zogeheten Remote Desktop Protocol (RDP). Dat is een manier om Windows-computers op afstand te bedienen. Bijvoorbeeld door de helpdesk van de ICT-dienstverlener.  Als het RDP direct toegang heeft tot internet, kunnen hackers dat zien en proberen het wachtwoord te raden. Dat gebeurt geautomatiseerd door computers die heel snel veel gebruikte wachtwoorden uitproberen.

Aanbevelingen
Volgens Fox-IT zijn er veel ICT-leveranciers die geen verstand hebben van cybersecurity. Ze leveren op internet aangesloten computers met zwakke wachtwoorden of standaardwachtwoorden van de fabrikant. Het bedrijf vindt het schandalig dat leveranciers daarmee wegkomen. Er zijn namelijk al eerder webshops opgerold waar gestolen wachtwoorden werden verkocht. Toen kwamen de daders uit Oekraïne.
Deskundigen raden aan om RDP in Windows uit te schakelen. Hier staat hoe dat kan. Wie wel zijn computer op afstand wil kunnen benaderen wordt geadviseerd om gebruik te maken van 2-factor authenticatie. Naast een wachtwoord is dan ook activatie via een smartphone nodig.