Account takeover in 2026: waarom credential stuffing blijft winnen en wat het stopt
Credential stuffing blijft slagen omdat hergebruik van wachtwoorden de economie in het voordeel van aanvallers kantelt. 2FA dekt alleen de aangemelde minderheid — device intelligence bij login is het hefpunt.
Account takeover is de fraudecategorie die de meeste platforms onderschatten. De verliezen verschijnen niet als één post — ze zijn verspreid over «supporttickets over vergrendelde accounts», «chargebacks van betwiste transacties», «churn van gefrustreerde gebruikers die de toegang verloren» en «boetes van toezichthouders wanneer de compromittering meldingsplichtig was».
De totale kosten zijn groot. Javelin Strategy schatte de Amerikaanse account-takeover-verliezen op $11 miljard in 2024. Wereldwijd liggen de cijfers hoger. De trend is stijgend, niet dalend — credential lekken stapelen zich op, automatiseringstools worden goedkoper, en het vermogen van aanvallers overtreft dat van verdedigers bij de meeste platforms.
Dit stuk is bedoeld voor security-, product- en risk-leiders bij platforms met loginflows die het beschermen waard zijn. Geschreven om uit te leggen hoe credential stuffing er in 2026 werkelijk uitziet, waarom de verdedigingen die de meeste platforms inzetten niet volstaan, en welke architectuurpatronen wél standhouden.
De mechaniek van moderne credential stuffing
Credential stuffing is technisch gezien geen geavanceerde aanval. Het is een economische uitbuiting van het feit dat de meeste mensen wachtwoorden hergebruiken over verschillende diensten heen.
De mechaniek:
Fase 1: Credential collection. Datalekken bij andere diensten leveren credential dumps op met miljarden gebruikersnaam-wachtwoordparen. Verse dumps worden verkocht op private markten voor $200–$2.000, afhankelijk van kwaliteit en actualiteit. Oudere dumps zijn in wezen gratis.
Fase 2: Targeting. Aanvallers identificeren platforms die de moeite waard zijn — betaalplatforms, cryptobeurzen, e-commerce met opgeslagen betaalmethoden, iGaming-operators met stortingen, SaaS met waardevolle data. De doellijst is breed omdat de marginale kosten van het testen van meer platforms bijna nul zijn.
Fase 3: Automatisering. Scripts of agent-gestuurde systemen testen credentialparen op grote schaal tegen login-endpoints. Het volume ligt doorgaans tussen 50.000 en 200.000 pogingen per uur vanuit gedistribueerde infrastructuur. Moderne aanvallers gebruiken pools van residential proxies om afzonderlijke pogingen op consumentenverkeer te laten lijken.
Fase 4: Geslaagde logins filteren. Een typische credential-stuffing-campagne tegen één platform levert een succespercentage van 0,5–3% op (credentials nog steeds geldig). Geslaagde logins worden gecategoriseerd naar waarde: bankrekeningen gaan naar de ene operator, cryptowallets naar de andere, e-commerce met opgeslagen kaarten naar een derde.
Fase 5: Monetisatie. Geld opnemen waar mogelijk, frauduleuze bestellingen plaatsen waar directe onttrekking niet lukt, herstelcontactgegevens wijzigen om de controle te behouden. Deze fase betreft vaak een andere operator dan degene die de stuffing-campagne uitvoerde — geslaagde credentials zijn een handelswaar die wordt verhandeld.
De economische rekensom valt in het voordeel van de aanvaller uit. De kosten per loginpoging bedragen fracties van een cent. De kosten per geslaagde compromittering liggen in enkele dollars. De gemiddeld onttrokken waarde per compromittering is $1.200–$5.000. De kosten-batenverhouding ondersteunt operaties op industriële schaal.
Waarom 2FA niet het antwoord is waar de meeste teams op hopen
De intuïtieve verdediging tegen credential stuffing is tweefactorauthenticatie. De credentials mogen dan geldig zijn, maar zonder de tweede factor kan de aanvaller niet inloggen. Dit klopt in principe en gedeeltelijk in de praktijk.
De eerlijke beoordeling van 2FA in 2026:
Op SMS gebaseerde 2FA. De meest voorkomende vorm omdat die het eenvoudigst uit te rollen is. Ook de zwakste. SIM-swap-aanvallen omzeilen SMS-2FA op grote schaal. Phishingcampagnes oogsten 2FA-codes samen met wachtwoorden. Voor accounts met hoge waarde investeren aanvallers vaak de extra moeite om SMS-2FA specifiek te verslaan, juist omdat de waarde per account dat rechtvaardigt.
Op TOTP gebaseerde 2FA. Sterker dan SMS. Vereist dat gebruikers een authenticator-app installeren en apparaten aanmelden. Adoptie is het probleem — typische platforms zien een TOTP-aanmelding van 25–40% van de actieve gebruikers, ondanks jaren van aansporing. De resterende 60–75% van de accounts heeft geen TOTP-bescherming.
Op push gebaseerde 2FA. Goedkeuren/afwijzen-prompts op een geregistreerd mobiel apparaat. De sterkste van de drie omdat phishing een geavanceerdere opzet vereist om push-prompts te verslaan. De adoptie is nog lager dan bij TOTP omdat het platformspecifieke mobiele apps vereist en de aanmeldwrijving hoger ligt.
WebAuthn / FIDO2. Hardware-gewortelde authenticatie met apparaatbiometrie of security keys. Verslaat de meeste aanvalscategorieën. De adoptie is extreem laag omdat het hardwaremogelijkheden vereist die de gebruiker misschien niet heeft en de UX onbekend is.
Het patroon: sterkere 2FA-vormen hebben een lagere adoptie. De 2FA die je platform ondersteunt, is voor een bepaald percentage gebruikers ingeschakeld, en credential stuffing richt zich simpelweg op het resterende percentage. Voor platforms met 35% TOTP-adoptie heeft de aanvaller nog steeds 65% van de accounts om mee te werken.
2FA is noodzakelijk. Het is ook niet voldoende.
Wat device intelligence toevoegt aan het geheel
Het verdedigingsprincipe: legitieme gebruikers loggen doorgaans in vanaf apparaten die ze eerder hebben gebruikt. Dezelfde persoon vanaf dezelfde laptop, dezelfde telefoon, hetzelfde netwerk — herkenbare patronen van herhaalde toegang.
Credential-stuffing-aanvallen doorbreken dit patroon per definitie. De aanvaller heeft geen toegang tot het apparaat van de legitieme gebruiker. Elke geslaagde credential wordt getest vanaf infrastructuur die de legitieme gebruiker nooit heeft gebruikt. Dit is het signaal dat device intelligence opvangt.
De architectuur:
Bij een loginpoging: de SDK op de client legt de device fingerprint vast samen met de credentials. De server ontvangt de loginpoging, de credentials en de device fingerprint gezamenlijk.
Server-side controle: is dit apparaat eerder gezien voor dit account? Zo ja — bekend apparaat, normaal gedrag, doorgaan. Zo nee — onbekend apparaat, extra verificatie vereist.
Driewegoordeel:
- ALLOW: bekend apparaat, normaal patroon, laag risico → login gaat door
- CHALLENGE: onbekend apparaat of verdacht patroon → step-up-verificatie (SMS-code, e-mailbevestiging, biometrische prompt)
- BLOCK: bekend-slechte device fingerprint (onderdeel van een credential-stuffing-cluster, anti-detect browser, enz.) → login geweigerd
De challenge-stap vervangt het model «altijd 2FA vereisen» door «alleen extra verificatie vereisen wanneer het apparaatpatroon op risico wijst». Legitieme gebruikers vanaf hun normale apparaten ervaren nul wrijving. Verdachte pogingen vanaf nooit-eerder-geziene apparaten krijgen een challenge. Bevestigd-slechte infrastructuur wordt geblokkeerd.
De rekensom van fout-positieven doet ertoe. Een platform met 1 miljoen logins per maand, waarbij 5% van de legitieme gebruikers in een gegeven maand een nieuwe laptop of telefoon koopt, levert alleen al door deze overgang 50.000 challenge-events per maand op. Goed uitgevoerd zijn deze challenges snel (SMS-code, app-notificatie) en is de wrijving acceptabel. Slecht uitgevoerd (volledige herverificatie afdwingen, accounts vergrendelen in afwachting van supportbeoordeling) overweldigt de wrijving voor legitieme gebruikers het beveiligingsvoordeel.
De goed afgestelde architectuur levert fout-positief-percentages onder de 0,5% op — één challenge per 200 legitieme logins. Dat is acceptabel omdat de challenges weinig wrijving geven en snel zijn.
En de aanvaller die bijleert?
Geavanceerde aanvallers weten van device intelligence af. De natuurlijke tegenzet is proberen het apparaatpatroon van de legitieme gebruiker na te bootsen. Kunnen aanvallers dit?
Het eerlijke antwoord: gedeeltelijk. Sommige aanvalspatronen passen zich aan device intelligence aan:
Patroon 1: Device-matched credential stuffing. De aanvaller verrijkt credential dumps met apparaathints uit hetzelfde lek (User-Agent, IP-geolocatiegeschiedenis). Elke credential wordt geprobeerd vanaf infrastructuur die ruwweg overeenkomt met het profiel van de legitieme gebruiker. Deze aanpassing is reëel maar niet triviaal — ze vereist data die de aanvaller niet altijd heeft, en het matchen van infrastructuur is lastiger dan het spoofen van een User-Agent.
Patroon 2: Account takeover via phishing in plaats van stuffing. De aanvaller overtuigt de legitieme gebruiker om in te loggen via een gecontroleerde omgeving en oogst zowel credentials als apparaatkenmerken. Deze aanvalscategorie bestaat, maar opereert op veel kleiner volume dan credential stuffing — phishing is werk per slachtoffer, stuffing is industriële schaal.
Patroon 3: SIM-swap gecombineerd met credential-hergebruik. De aanvaller neemt het telefoonnummer over en gebruikt vervolgens gelekte credentials plus het overgenomen telefoonnummer om zowel wachtwoordgebaseerde verdedigingen als SMS-2FA te verslaan. Device intelligence vangt dit nog steeds, omdat het loginapparaat van de aanvaller nieuw is voor het account. De SIM-swap verslaat SMS-2FA, maar niet de apparaatgebaseerde verdedigingen.
Het patroon: device intelligence legt de lat aanzienlijk hoger zonder het onmogelijk te maken. Gecombineerd met risicogebaseerde step-up-authenticatie dwingt het aanvallers om óf veel meer per account te investeren (wat de economie van bulk-stuffing ondermijnt) óf specifieke doelen met hoge waarde te zoeken en gerichte aanvallen uit te voeren (die klein in volume worden en makkelijker te onderzoeken zijn).
Hoe een effectieve implementatie eruitziet
Een digitale kredietverstrekker met 200.000 actieve klanten, gemiddeld accountsaldo $500. Vóór de implementatie: 230 account-takeover-incidenten per maand, gemiddeld direct verlies per incident $1.200. Totaal: $276.000 per maand aan directe verliezen, plus reputatieschade en supportlast.
Geïmplementeerde architectuur:
- SDK op de loginpagina legt bij elke poging de device fingerprint vast
- Server-side verify-call voordat de authenticatie is voltooid
- Regel: als de device fingerprint nooit is gezien voor dit account, is het oordeel CHALLENGE
- Challenge-mechanisme: SMS- of e-mailbevestiging (afhankelijk van wat is aangemeld)
- Auto-block voor fingerprints in bekende credential-stuffing-clusters
Resultaten na 60 dagen:
- ATO-incidenten per maand: 230 → 7
- Reductie van direct verlies: van $276.000 per maand naar $8.000 per maand
- Blokkeerpercentage op credential-stuffing-pogingen: 99,6% in de fase van apparaatverificatie
- Fout-positief-percentage: 0,3% — ongeveer 1 op de 350 legitieme logins krijgt een CHALLENGE
- Volume aan supporttickets over accounttoegang: 60% lager
- Klant-churn toegeschreven aan accountcompromittering: 89% lager
De implementatie kostte 4 werkdagen. De backend-integratie was rechttoe rechtaan — de bestaande authenticatieflow bleef ongewijzigd, de device-intelligence-laag werd toegevoegd als een wrapper die het oordeel teruggaf vóór de auth-complete-gebeurtenis.
De ROI-rekensom: detectie-infrastructuur kostte op deze schaal ongeveer $2.000 per maand. Besparing: $268.000 per maand. Een ROI van 134× in het eerste jaar, met afnemende marginale opbrengsten naarmate het aanvalspercentage stabiliseert op het lagere evenwicht.
Wat dit betekent voor jouw team
Als je een platform beheert met een login-endpoint dat iets van waarde beschermt — geld, data, content, accountstatus — dan zijn er drie observaties:
Observatie 1: Je hebt een ATO-probleem, of je het nu meet of niet. De meeste platforms onderschatten het ATO-verlies omdat het over meerdere posten is verspreid. De eerlijke meetoefening omvat: het tellen van supporttickets over vergrendelde accounts, het waar mogelijk toeschrijven van chargebacks aan accountcompromittering, het inventariseren van churn-redenen, en het beoordelen van geslaagde loginpatronen op nooit-eerder-geziene-apparaat-events. Het getal dat naar voren komt, is meestal 2–3× het getal dat het management denkt.
Observatie 2: 2FA alleen is niet voldoende. Het is noodzakelijk, maar het dekt alleen het percentage gebruikers dat zich heeft aangemeld. Credential stuffing richt zich op het niet-aangemelde percentage, dat meestal 60%+ is. Device intelligence dekt gebruikers die zich niet voor 2FA hebben aangemeld — en dat zijn de meesten.
Observatie 3: Detectie bij login is een hefboom. De meeste fraudecategorieën vereisen onderzoek achteraf. ATO via credential stuffing kan worden gedetecteerd op het moment van de loginpoging zelf. Dat maakt het een van de detectie-implementaties met de grootste hefboomwerking: de aanval verhinderen in plaats van achteraf opruimen.
De platforms die dit goed aanpakken, delen een patroon: ze meten hun werkelijke ATO-percentage per kwartaal, zetten device intelligence in op de loginlaag ongeacht hun 2FA-adoptiegraad, en behandelen het fout-positief-percentage als een primaire metriek om te optimaliseren.
De komende 18 maanden
Drie voorspellingen:
Voorspelling 1: De kwaliteit van credential dumps verbetert. Recente lekken zullen rijkere context bevatten (apparaatkenmerken, gedragspatronen, netwerkgeschiedenis) waarmee aanvallers de verwachtingen van verdedigers effectiever kunnen nabootsen. De lat voor detectie gaat omhoog.
Voorspelling 2: Agent-gestuurde credential stuffing wordt mainstream. LLM-gestuurde agents handelen de hele flow af — inclusief herstel, MFA-challenge-afhandeling, navigatie na login — waardoor elke geslaagde compromittering grondiger wordt. De detectie-uitdaging verschuift naar het identificeren van agent-gestuurde sessies, zelfs wanneer ze er menselijk uitzien.
Voorspelling 3: Platforms die tegen eind 2026 geen device intelligence inzetten, lopen aanzienlijk risico. De combinatie van goedkopere credential dumps, slimmere aanvallers en betere aanvalstools betekent dat platforms die op 2FA-alleen-verdediging draaien hun ATO-percentages fors zullen zien stijgen, terwijl goed verdedigde platforms die van hen blijven verlagen.
Het venster om hier vóór te blijven, is de komende 12–18 maanden. Platforms die nu inzetten, hebben een verdedigbare positie. Platforms die wachten, lopen achter de feiten aan tegen aanvallers met betere tools.
Waar Tracio past
Tracio is device intelligence gebouwd voor login-verdediging, naast andere toepassingen. De architectuur dekt de signalen die credential stuffing betrouwbaar opvangen: device fingerprinting (130+ signalen), netwerklaag-analyse (TCP/TLS-fingerprinting, ASN-reputatie), gedragspatronen bij login (typeritme, muisjitter, timingkenmerken), matching op bekend-slechte clusters uit signaaldeling tussen klanten.
Het oordeel — ALLOW, CHALLENGE of BLOCK — komt terug in minder dan 50 milliseconden. Integratie gaat snel: de device-intelligence-laag omhult je bestaande authenticatieflow zonder backend-wijzigingen te vereisen. Het oordeel vertelt je auth-systeem of het normaal moet doorgaan, extra verificatie moet vragen, of de poging moet weigeren.
De polymorfe JavaScript-laag rouleert dagelijks en ontneemt aanvallers de mogelijkheid om effectieve ontwijkingen tegen statische detectie uit te rollen. Het signaalnetwerk tussen klanten deelt geanonimiseerde fingerprint-data over platforms heen en vangt credential-stuffing-operaties op die zich over meerdere doelen uitstrekken.
Implementatietijdlijn voor de meeste platforms: 1–3 dagen van aanmelding tot productie. De gratis laag dekt 2.500 verificaties per maand, genoeg om een betekenisvolle pilot te draaien op een deel van het login-verkeer en je werkelijke ATO-percentage te meten.
Benieuwd hoe je echte ATO-percentage eruitziet?
Start je gratis proefperiode — 2.500 verificaties gratis, geen creditcard vereist. Boek een demo om te zien hoe jouw specifieke login-verkeerspatronen eruitzien met de volledige detectielaag van Tracio.