Credential stuffing: hoe één gelekt wachtwoord al uw accounts in gevaar brengt

Een webshop waar u jaren geleden één keer iets bestelde, wordt gehackt. Vervelend, denkt u, maar wat valt daar nu te stelen? Meer dan u denkt. Als u het wachtwoord van die webshop ook voor uw mailbox of bij een bank gebruikt, hebben criminelen de sleutel van uw digitale leven bemachtigd.

Credential stuffing is een van de meest voorkomende én meest onderschatte aanvalstechnieken van dit moment. Het principe is ontluisterend eenvoudig. Criminelen verzamelen enorme lijsten met gebruikersnamen en wachtwoorden die bij eerdere datalekken zijn buitgemaakt. Vervolgens laten ze bots die combinaties uitproberen op honderden andere websites: mailboxen, webshops, sociale media, streamingdiensten en bank- en beleggingsplatformen.

De aanval steunt op één menselijke gewoonte: wachtwoorden hergebruiken. Uit een analyse in het Data Breach Investigations Report blijkt dat gemiddeld slechts 49% van iemands wachtwoorden uniek is (bron). De helft van onze wachtwoorden gebruiken we dus op meerdere plaatsen. Voor een crimineel betekent dat: één gelekt wachtwoord geeft de helft kans om ook ergens anders binnen te raken. Volgens hetzelfde rapport is zelfs bij 88% van de aanvallen op webapplicaties het gebruik van gestolen inloggegevens betrokken.

De schaal is duizelingwekkend, met 26 miljard credential stuffing-pogingen per maand (bron). In juni 2026 werd er nog een openbaar toegankelijke databank ontdekt met maar liefst 24 miljard gestolen inlogrecords: e-mailadressen, wachtwoorden en de websites waar ze bij horen (bron).

Hackers kraken niet, ze loggen gewoon in

Wat credential stuffing zo verraderlijk maakt: het lijkt op een volstrekt normale inlogpoging. De crimineel gebruikt immers uw échte gebruikersnaam en uw échte wachtwoord. Er wordt niets geforceerd, geen beveiligingslek uitgebuit, geen firewall omzeild. De voordeur gaat gewoon open met de juiste sleutel.

De grondstoffen voor zo'n aanval zijn bovendien spotgoedkoop. De gestolen inloggegevens worden verhandeld in zogenaamde combolists, die op duistere marktplaatsen en Telegram-kanalen vaak voor enkele centen per duizend combinaties te koop zijn. De software om die lijsten automatisch uit te testen, is al even goedkoop en vereist nauwelijks technische kennis.

De slaagkans per poging is klein: doorgaans tussen 0,1% en 2% (bron). Dat klinkt geruststellend, tot u de rekensom maakt. Wie een lijst van 100 miljoen inloggegevens uittest, kaapt zelfs bij 0,1% succes nog altijd 100.000 accounts.

Waar komen al die wachtwoorden vandaan?

Vroeger waren datalekken bij grote bedrijven de belangrijkste bron. Vandaag is dat verschoven naar zogenaamde infostealers: schadelijke software die ongemerkt op uw computer of smartphone belandt, bijvoorbeeld via een phishingmail of een besmette download. Zo'n programma plundert in stilte alle wachtwoorden die in uw browser zijn opgeslagen, samen met cookies en ingevulde formuliergegevens.

Die buit wordt gebundeld en doorverkocht. Het gaat om verse, werkende inloggegevens, wat ze voor criminelen extra waardevol maakt.

Ook beleggers zijn een doelwit

Credential stuffing treft niet alleen streamingdiensten of webshops. Financiële accounts zijn voor criminelen de hoofdprijs. In maart 2025 werden verschillende Australische pensioenfondsen tegelijk bestookt met gestolen inloggegevens. De meeste aanvallen werden afgeslagen, maar leden van één pensioenfonds verloren samen omgerekend zo'n 300.000 euro (bron).

De logica is eenvoudig: wie via een hergebruikt wachtwoord toegang krijgt tot uw mailbox, kan van daaruit wachtwoorden van andere accounts resetten. En wie binnenraakt op een beleggingsplatform, kan in uw naam handelen of proberen tegoeden weg te sluizen. Uw mailbox is daarbij het kroonjuweel: wie dat controleert, controleert zowat alles.

TIP: Twijfelt u of een bericht, telefoontje of e-mail echt van Keytrade Bank komt? Gebruik de belfunctie in de Keytrade Bank-app wanneer u ons belt. Zo bent u 100% zeker dat u met een officiële medewerker spreekt.

Ook Belgen kiezen te makkelijke wachtwoorden

Dat het probleem ook bij ons speelt, blijkt uit onderzoek van het Belgische cybersecuritybedrijf Spotit. Ethische hackers testten de wachtwoorden van ruim 67.000 werknemers bij Belgische bedrijven: bij 58% konden ze het wachtwoord binnen het uur achterhalen. Vooral combinaties van een bedrijfsnaam met een jaartal of seizoen – denk aan Welkom2025 – bleken populair (bron). Wat zwak is op het werk, is dat thuis meestal ook.

Hoe beschermt u zichzelf?

1. Gebruik voor elk account een uniek wachtwoord

Dit is de kern van de zaak. Credential stuffing werkt alleen als u wachtwoorden hergebruikt. Gebruikt u overal een ander wachtwoord, dan blijft de schade van een datalek beperkt tot dat ene account.

2. Laat een wachtwoordmanager het werk doen

Tientallen unieke, sterke wachtwoorden onthouden is onbegonnen werk. Een wachtwoordmanager genereert en bewaart ze voor u. U hoeft zelf nog maar één sterk hoofdwachtwoord te onthouden.

3. Activeer tweestapsverificatie

Zelfs als criminelen uw wachtwoord bemachtigen, houdt een tweede goedkeuring via uw smartphone of een authenticator-app hen buiten. Voor financiële accounts is dit geen optie, maar een must.

4. Controleer of uw gegevens al gelekt zijn

Via de gratis dienst Have I Been Pwned checkt u of uw e-mailadres in bekende datalekken opduikt. Is dat het geval? Wijzig dan meteen het wachtwoord van dat account én van elk ander account waar u hetzelfde wachtwoord gebruikte. Begin bij uw mailbox.

5. Kies voor passkeys waar het kan

Steeds meer diensten bieden passkeys aan: een inlogmethode zonder wachtwoord, gekoppeld aan uw toestel en beveiligd met uw vingerafdruk of gezicht. Een passkey valt niet te stelen via een datalek en is dus immuun voor credential stuffing.

6. Wees voorzichtig met uw browser

Infostealers viseren de wachtwoorden die in uw browser zijn opgeslagen. Wees dus voorzichtig met downloads en verdachte links, hou uw software up-to-date en gebruik een degelijke virusscanner.

7. Reageer meteen bij verdachte signalen

Een melding van een inlogpoging die u niet herkent? Een e-mail die meldt dat uw wachtwoord gewijzigd werd terwijl u van niets weet? Wacht niet af. Wijzig uw wachtwoord en verwittig zo nodig uw bank.

Veilig online met Keytrade Bank

Bij Keytrade Bank maken we van veiligheid een topprioriteit. Persoonlijke bankgegevens achtergelaten op een verdachte website? Persoonlijke gegevens via telefoon doorgegeven aan een onbekende? Een onbekende betaling die u zelf niet gedaan hebt? … Bel ons 24/7 op +32 2 679 90 00