Ze breken niet in, ze loggen in: wat zijn infostealers, ClickFix en deepfakes?

Bij een cyberaanval denk je misschien aan een hacker die een systeem forceert. Steeds vaker loggen aanvallers gewoon in, met gegevens die iemand eerder heeft gestolen, of ze laten een medewerker zelf de deur openzetten.

Drie ontwikkelingen laten dat zien: infostealers, ClickFix/ConsentFix en deepfake-fraude. Het doel is steeds hetzelfde: toegang krijgen via jouw identiteit.

Wat is een infostealer?

Een infostealer is malware die stilletjes alles verzamelt wat nodig is om in te loggen: browserwachtwoorden, sessiecookies, autofill-gegevens en tokens. Ze komen vaak binnen via gekraakte software, kwaadaardige advertenties en nepdownloads.

Hoe groot is het probleem?

Groot. Volgens Flashpoint raakten in 2025 11,1 miljoen apparaten besmet, met meer dan 3,3 miljard gestolen inloggegevens, cookies en andere identiteitsgegevens als gevolg.

NordVPN zag bovendien dat cookies 4,6 keer vaker in gestolen logs voorkwamen dan wachtwoorden, betaalgegevens en bestanden samen. Voor criminelen is een actieve sessie dus vaak waardevoller dan een wachtwoord.

Wat is het verband tussen infostealers en ransomware?

Infostealers zijn vaak de eerste schakel voor ransomware. Uit de Verizon DBIR 2025 blijkt dat bij 54 procent van de ransomwareslachtoffers het domein van de organisatie al voorkwam in gelekte inloggegevens van infostealers, vóór de aanval.

Dat past bij het criminele ecosysteem dat politie en OM beschrijven: de één steelt, de ander verkoopt toegang, de volgende versleutelt.

Waarom beschermt MFA niet altijd tegen gestolen sessies?

Een gestolen sessiecookie of token bewijst dat je al bent ingelogd. Daarmee slaat een aanvaller de authenticatie over, en dus ook MFA.

In een beschreven geval haalde de Vidar-infostealer zakelijke inloggegevens en cookies van het privéapparaat van een medewerker. Aanvallers gebruikten die om MFA te omzeilen.

Wat zijn ClickFix en ConsentFix?

ClickFix is een aanval waarbij het slachtoffer nepinstructies volgt, bijvoorbeeld voor een verificatie, waardoor schadelijke code op de eigen computer draait. Begin juli werd zo'n aanval verspreid via een gesponsorde advertentie op X. ConsentFix is de nieuwste variant, gericht op Microsoft 365.

Hoe werkt ConsentFix en waarom helpt MFA dan niet?

De aanval vindt plaats nadat de gebruiker al is ingelogd. Via een phishinglink, vaak op een vertrouwd platform als Dropbox, krijgt de medewerker een echt ogende Microsoft-inlogpagina. Daarbij hoort de instructie om de URL uit de adresbalk naar die pagina te slepen of te plakken.

In die URL zit een autorisatiecode. Daarmee krijgt de aanvaller toegang tot het account, zonder wachtwoord en zonder MFA-melding.

Sinds maart circuleert er een stap-voor-stap uitleg op een openbaar cybercrimeforum. Er valt niets te patchen: het is misbruik van legitieme inlogprocessen.