De afgelopen maanden is het aantal geautomatiseerde aanvallen met gestolen wachtwoorden flink toegenomen, zo stelt marktvorser Gartner. Criminelen proberen met inloggegevens die bij één webdienst zijn buitgemaakt op andere diensten in te loggen. "Het geautomatiseerd proberen van gebruikersnamen, meestal e-mailadressen, en wachtwoorden op verschillende websites is niets nieuws", zegt analiste Avivah Litan van marktvorser Gartner. "Maar deze grootschalige aanvallen om accounts over te nemen zijn volgens onze klanten veel geraffineerder geworden, met de afgelopen twee maanden een piek in het verkeer."

De criminelen hebben het vooral voorzien op accounts die ze kunnen verzilveren. Het gaat dan bijvoorbeeld om digitale valuta in de accounts van online gamers, accounts met digitale content of loyaliteitsprogramma's van winkels, maar ook opgeslagen creditcardgegevens en bankinformatie in digitale portemonnees waarmee gebruikers sneller kunnen afrekenen. Om de aanvallen niet te laten opvallen worden botnets ingezet, waarvan besmette computers één of twee keer per uur inloggen, waarbij dit steeds door een andere bot gedurende dagen of weken wordt herhaald.

Doordat de botnets uit duizenden computers bestaan is het lastig om bijvoorbeeld één IP-adres te blokkeren. De gemiddelde online aanval op een winkel gebruikt een IP-adres slechts 2,25 keer voordat het volgende IP-adres wordt gebruikt. Hetzelfde geldt voor gecompromitteerde accounts. Een enkel account wordt zelden voor meer dan twee frauduleuze aankopen gebruikt. Om fraudedetectiesystemen verder te omzeilen worden de IP-adressen van de bots aan de geografische locatie van de oorspronkelijke creditcardeigenaar gekoppeld.

"Totdat websites en serviceproviders meer geavanceerde fraudedetectiediensten gebruiken kunnen we als consumenten beter onze wachtwoorden zo vaak als praktisch mogelijk veranderen. We kunnen er niet op rekenen dat de meeste serviceproviders meer dan alleen een simpel wachtwoord gebruiken om onze data en accounts te beveiligen", stelt Litan.

"Als we ons wachtwoord op websites hergebruiken is de kans dat onze inloggegevens worden gestolen waarschijnlijk zo'n 50%, en ik denk de kans dat één van onze accounts wordt gehackt waarschijnlijk zo'n 5% a 10%." De analiste vindt het dan ook verbazingwekkend dat de meeste partijen nog steeds alleen wachtwoorden als beveiliging gebruiken. "Na al deze jaren en al deze data-incidenten, wanneer zullen ze het nu eens leren?"