Enterprise-VPN-portals blijven een van de meest betrouwbare initial-access-oppervlakken op het openbare internet—niet omdat de protocollen kapot zijn, maar omdat gestolen of geraden wachtwoorden nog steeds op grote schaal werken. Dit stuk is een synthese van threat research, geen vendor-releasenote: het verbindt de credential-stuffing-metingen uit het DBIR 2025 van Verizon met een gecoördineerde campagne uit februari 2026 tegen Palo Alto GlobalProtect-portals, en legt uit wat dat patroon betekent voor operators en privacybewuste remote workers.
Wat de cijfers zeggen over credential stuffing
Aanvullend DBIR-onderzoek uit 2025 van Verizon naar credential stuffing meldt dat gecompromitteerde inloggegevens een initial-access-vector waren in 22% van de onderzochte datalekken. In logs van SSO-providers was het mediane dagelijkse aandeel van authenticatiepogingen dat aan credential stuffing werd toegeschreven 19%—ongeveer 25% voor klanten van enterprise-omvang en 12% zelfs voor kleine bedrijven—met een piek op één dag van 44%. Gegevens over infostealer-malware in dezelfde publicatie lieten zien dat in het mediane geval slechts 49% van de opgeslagen wachtwoorden van een gebruiker bij verschillende diensten uniek waren. In gewone taal: hergebruik komt nog steeds vaak genoeg voor dat combolijsten winstgevend blijven.
Bron: Verizon Business — Aanvullend DBIR-onderzoek 2025 naar credential stuffing.
Credential stuffing verschilt van luidruchtige password spraying. Aanvallers voeren eerder gelekte gebruikersnaam/wachtwoord-paren (combolijsten) in, vaak via proxies, en proberen elk paar één keer per doelwit, zodat het verkeer opgaat in gewone inlogruis. MFA verkleint de impactradius, maar Verizon merkt op dat MFA steeds vaker een basisvereiste is in plaats van een wondermiddel—vooral wanneer gebruikers nooit zijn ingeschreven, of wanneer sessietokens worden gestolen na een geslaagde login.
Casestudy: GlobalProtect-portals, februari 2026
Op 23–24 februari 2026 observeerde ELLIO Threat Research Lab een 11× piek tegen Palo Alto GlobalProtect-inlogpaden (/global-protect/login.esp). Gedurende ongeveer 48 uur registreerden sensoren ongeveer 30,000 sessies van 8,575 unieke bron-IP's in drie gecoördineerde golven. Ongeveer 89% van de sessies was GET-verkenning; een deel werd gevolgd door POST-inlogpogingen.
De POST-verzoeken hergebruikten één wachtwoord (Password1) over een vast woordenboek van 78 gebruikersnamen in werknemersstijl (eerste initiaal + achternaam). ELLIO beoordeelde die fase als agressief peilen van welke portals het authenticatieformulier accepteren, niet per se als een zorgvuldig samengestelde combo-list smash. De infrastructuur was geconcentreerd in de adresruimte van GTT Communications (AS3257), met kenmerkende TCP/HTTP-fingerprints (waaronder een JA4H POST-fingerprint die bijna exclusief bij de campagne hoorde).
Bron: ELLIO — Gecoördineerde credential-stuffingcampagne mikt op Palo Alto GlobalProtect-portals (26 februari 2026).
De defensieve les die ELLIO benadrukt is de volgorde: GET-peiling ging binnen elke golf uren vooraf aan POST-stuffing. Organisaties die verkennings-IP's of tool-fingerprints vroeg blokkeerden, zagen de credentialfase nooit. VPN-portals blijven terugkerende doelwitten; hosting-ASN's wisselen, maar het draaiboek—vind de portal, test authenticatie, ga verder—doet dat niet.
Hoe dit verschilt van een ‘bleed’-kop over één leverancier
Massale credentiallekken bij specifieke firewall-VPN-merken domineren de nieuwscycli omdat de aantallen enorm zijn en de IOC's concreet. Die incidenten doen ertoe. Ze zijn echter niet de enige vorm van het probleem. De GlobalProtect-golf toont een lager-en-langzamer patroon: gangbare gebruikersnamenlijsten, triviale wachtwoorden en breed scannen van internetgerichte SSL VPN-inlogpagina’s. De SSO-telemetrie van Verizon toont dezelfde klasse van misbruik die een groot deel van het dagelijkse authenticatieverkeer in veel sectoren opslokt—niet alleen firewallapparatuur.
Voor een privacy- en beveiligingspubliek zijn de gedeelde grondoorzaken saai en hardnekkig:
- Wachtwoordhergebruik over zakelijke SSO, VPN, e-mail en persoonlijke sites.
- Aan het internet blootgestelde VPN- of beheerportals die wachtwoordauthenticatie accepteren zonder phishingbestendige MFA.
- Zwakke of verouderde wachtwoordopslag op apparaten (waarbij offline kraken praktisch wordt na diefstal van hashes).
- Infostealer-malware op endpoints die in de browser opgeslagen VPN- en beheerdersgegevens oogst voor ondergrondse markten.
Risico voor mensen, niet alleen voor SOC-dashboards
Wanneer een zakelijk SSL-VPN-account succesvol wordt gestuffed, erft de aanvaller een vertrouwd pad naar interne apps, e-mail en bestandsshares. Dat kan uitgroeien tot ransomware-staging, loonfraude of stille datadiefstal. Voor individuen die consumenten-VPN's gebruiken, is de analoge faalmodus accountovername van het VPN-abonnement zelf (facturerings-e-mail + hergebruikt wachtwoord), gevolgd door sessiemisbruik of social engineering via het supportkanaal. De cryptografie van WireGuard of OpenVPN helpt niet als de aanvaller gewoon als u inlogt.
Thuiswerkers moeten ook onthouden dat een bedrijfs-VPN-portaal op het openbare internet een advertentie is: scanners zullen vinden /global-protect/login.esp, Fortinet SSL VPN-paden en vergelijkbare URL's continu. “Wij zijn te klein om tot doelwit te worden” is inconsistent met het stuffingpercentage van Verizon bij kleine bedrijven en met geautomatiseerde campagnes die bijna niets kosten per poging.
Onderbouwde mitigerende maatregelen (operators)
- Verwijder openbaar beheer waar mogelijk. Beheerinterfaces mogen niet naar het hele internet gericht zijn; geef de voorkeur aan jump hosts met een allowlist of zero-trust-brokers.
- Dwing phishingbestendige MFA af op VPN- en beheerdersaccounts (FIDO2/passkeys of gelijkwaardig), niet alleen sms.
- Blokkeer verkenning vroegtijdig. Voer scannerfingerprints en ASN's met hoge betrouwbaarheid door naar de edge-controles voordat POST-stuffing begint.
- Pas rate limiting toe en waarschuw op gedistribueerde authenticatiefouten tegen VPN-paden; let op uniforme wachtwoorden of starre gebruikersnaampatronen.
- Roteer inloggegevens na infostealer-hits op admin-laptops; ga ervan uit dat in de browser opgeslagen VPN-wachtwoorden zijn gekopieerd.
- Geef de voorkeur aan sterkere wachtwoordhashing op appliances (bijvoorbeeld PBKDF2 waar leveranciers dit ondersteunen) en schakel verouderde hashmodi uit.
- Volg de richtlijnen van de leverancier en het nationale CSIRT wanneer een campagne uw productfamilie noemt; verifieer configuratiebaselines op onbekende admin-accounts.
Onderbouwde mitigaties (individuen)
- Gebruik een wachtwoordmanager; hergebruik uw VPN- of e-mailwachtwoord nergens anders.
- Schakel MFA in voor het VPN-account en de e-mailinbox waarmee het kan worden gereset.
- Vermijd het opslaan van zakelijke VPN-wachtwoorden in browsers op persoonlijke apparaten waarop ook willekeurige extensies draaien.
- Behandel onverwachte e-mail over het resetten van een VPN-wachtwoord als een mogelijk incident, niet als routineruis.
Wat we niet beweren
Dit artikel beweert niet dat GlobalProtect uniek zwak is, dat elke organisatie die scans ziet al is gecompromitteerd, of dat no-logs-VPN's voor consumenten immuun zijn voor accountovername. Het beweert wel—op basis van de gepubliceerde metingen van Verizon en de campagnetelemetrie van ELLIO van februari 2026—dat credential stuffing tegen VPN-authenticatie-eindpunten routine is, geautomatiseerd en nog steeds effectief waar wachtwoorden de poort blijven.
Sterke tunnels doen ertoe. Dat geldt ook voor unieke wachtwoorden, MFA en het terugdringen van het aantal wachtwoordpoorten dat u blootstelt aan het hele internet.