Organisaties gebruiken SaaS en cloudomgevingen steeds vaker voor klantgegevens, financiële informatie en interne documenten. Dat is logisch: het is snel, schaalbaar en overal toegankelijk. Toch kan één verkeerde instelling ervoor zorgen dat gevoelige data onbedoeld voor de buitenwereld benaderbaar wordt. Misconfiguraties in SaaS zijn daarmee een terugkerend probleem: geen softwarekwetsbaarheid die je simpelweg patcht, maar een open deur door fout ingericht toegangsbeheer.
Kwaadwillenden scannen het internet geautomatiseerd op precies dit soort instellingen. Vinden ze een omgeving die te ruim is ingericht, dan is data vaak te benaderen via de normale functies van het platform. Met andere woorden: de toegang klopt technisch misschien ‘wel’, maar valt niet binnen de bedoeling van de eigenaar.
Waarom misconfiguraties geen ‘patchbaar’ probleem zijn
Bij een misconfiguratie ontbreekt het klassieke scenario van een herkenbare kwetsbaarheid die je direct kunt oplossen met een update. De functionaliteit werkt zoals het systeem ‘denkt’ dat het moet werken. Alleen is de toegang verkeerd ingesteld: gebruikers zien of kunnen opvragen wat niet bedoeld is.
Voorbeelden die in de praktijk terugkomen zijn rechten die te ruim zijn voor gastgebruikers, een API die bereikbaar is zonder authenticatie, of een standaardconfiguratie die na de inrichting nooit is aangescherpt. Dit type instellingen kan grote gevolgen hebben, omdat het kwaadwillenden in staat stelt om data te raadplegen zonder dat ze exploits hoeven te ontwikkelen.
Low-code en SaaS: meer applicaties, meer aanvalsoppervlak
Naast traditionele SaaS-platformen worden ook low-code omgevingen gebruikt om applicaties sneller te ontwikkelen. Zulke platforms maken het mogelijk om via visuele componenten logica samen te stellen zonder diepgaande programmeerkennis. Dat versnelt innovatie, maar vergroot tegelijk het belang van correcte toegangsinstellingen.
Volgens onderzoek waarnaar het NCSC verwijst, heeft een aanzienlijk deel van de organisaties moeite met het goed inrichten van toegang en rechten voor SaaS-applicaties. Bovendien gebruiken organisaties gemiddeld meer dan honderd SaaS-toepassingen. Dat aantal betekent ook dat er meer plekken zijn waar iets mis kan gaan—en waar scans van kwaadwillenden zich op kunnen richten.
Hoe aanvallers misconfiguraties opsporen en uitbuiten
De aanpak van kwaadwillenden is vaak voorspelbaar en efficiënt. Ze gebruiken geautomatiseerde middelen om systemen te vinden die niet goed zijn geconfigureerd. In veel gevallen volstaat zelfs een enkel verzoek (bijvoorbeeld via HTTP) om te bepalen of een omgeving te veel prijsgeeft.
Na detectie is het vervolg meestal: toegang verkrijgen met legitieme platformfunctionaliteit. Daarmee onderscheiden aanvallen zich nauwelijks van normaal gebruik. Dat maakt detectie lastig, omdat het verkeer ‘correct’ lijkt in de ogen van het platform.
Het misbruik verloopt vaak in vijf opeenvolgende fases:
- Verkenning: geautomatiseerde scans naar systemen.
- Identificatie: vaststellen of de omgeving verkeerd geconfigureerd is.
- Toegang verkrijgen: gegevens opvragen of rechten verruimen via standaardfunctionaliteit.
- Gegevens verzamelen: gevoelige data, zoals authenticatiegegevens, buitmaken.
- Misbruik van gegevens: bijvoorbeeld afpersing, doorverkoop, phishing of het plegen van verdere inbraken.
Recente incidenten: wanneer misconfiguraties misbruikt worden
In de periode eind 2025 en begin 2026 werd misbruik gezien van verkeerd geconfigureerde Salesforce Experience Cloud-omgevingen. Volgens de berichtgeving ging het niet om een kwetsbaarheid in het platform, maar om configuratiefouten aan de klantzijde. Met name omgevingen waarin gastgebruikers te ruime rechten kregen, waardoor data zonder authenticatie via een API opvraagbaar werd.
Ook kwam de inzet van tools voorbij die bedoeld zijn om dit type configuratiefouten op te sporen. De context laat zien dat het vinden van verkeerde instellingen niet altijd ‘black box’ is; beheerders krijgen handvatten om problemen te ontdekken, terwijl aanvallers die informatie later juist kunnen gebruiken.
Daarnaast startte DIVD een onderzoek naar autorisatiemisconfiguraties in applicaties gebouwd op het Mendix low-code platform. Op basis van een grootschalige scan werden meerdere verkeerd geconfigureerde applicaties geïdentificeerd. Daarbij golden te ruime rechten voor anonieme of nieuwe geregistreerde gebruikers, waardoor onder meer namen, contactgegevens, adressen, klantinformatie en documenten zoals identiteitsgegevens bloot konden liggen.
Van buit tot afpersing: het zakelijke einddoel
Wanneer gevoelige gegevens eenmaal buitgemaakt zijn, is het uiteindelijke doel vaak financieel gewin. Organisaties kunnen onder druk worden gezet om te betalen om publicatie van gestolen data te voorkomen.
Een opvallend element in sommige gevallen is de rol van media of publieke dreiging: kwaadwillenden kunnen zelf contact opnemen met journalisten of details delen via openbare kanalen. Daarmee ontstaat extra druk op slachtoffers. Los daarvan kunnen persoonsgegevens ook worden ingezet voor phishing, fraude of gerichte benadering van medewerkers en klanten. Zulke data wordt bovendien regelmatig verhandeld op ondergrondse marktplaatsen.
Zo sluit je de deur: preventie en inrichting van rechten
De kern van weerbaarheid is voorkomen dat onveilige configuraties blijven bestaan. Begin met een actueel overzicht van alle platformen, cloudomgevingen en applicaties. Breng daarbij configuratie-instellingen en toegangsrechten systematisch in kaart.
Vervolgens kun je gericht maatregelen nemen, zoals:
- Least privilege: pas het principe van minimale rechten toe, zodat niemand meer toegang heeft dan noodzakelijk.
- Scheid beheerders en gebruikers: voorkom dat dezelfde accounts brede rechten combineren.
- Anonieme toegang uitschakelen: alleen toestaan als het echt nodig is, en anders niet.
- Focus op gastaccounts en applicatierechten: controleer expliciet wat gastgebruikers en service-accounts kunnen zien.
- MFA voor beheerdersaccounts: verplicht multifactor authenticatie zodat misbruik van inloggegevens minder kans krijgt.
- Hardening en standaarden: pas onveilige standaardconfiguraties aan en werk met richtlijnen zoals CIS Benchmarks of NIST-referenties.
Omdat misbruik gebruikmaakt van legitieme platformfunctionaliteit, is het alleen vergrendelen van toegang niet genoeg. Je moet ook kunnen herkennen wanneer er iets afwijkt.
Detectie die werkt: afwijkend gedrag, volume en context
Detectie bij misconfiguraties is lastig omdat aanvallers vaak ‘normale’ functionaliteit gebruiken. Daarom moet je alert zijn op afwijkingen in gedrag, volume en context. Denk aan ongebruikelijke patronen rond requests, onverwachte toegang tot gegevens of afwijkende tijdstippen en routes.
Schakel auditlogging in en verzamel logs centraal. Analyseer ze periodiek, zodat je niet alleen achteraf kijkt, maar signalen tijdig ziet. Als het toch misgaat, ga dan uit van een worstcasescenario: gegevens die inzichtelijk waren, zijn waarschijnlijk ook daadwerkelijk buitgemaakt. Voor organisaties die persoonsgegevens verwerken kan bovendien begeleiding nodig zijn rond het informeren van betrokkenen; de Autoriteit Persoonsgegevens heeft hiervoor richtlijnen.
Conclusie: structureel controleren voorkomt dat de deur open blijft staan
Misconfiguraties in SaaS zijn niet nieuw, maar worden vaak onder tijdsdruk gemaakt en later onvoldoende aangescherpt. Juist daarom vraagt het om een structurele aanpak in plaats van een eenmalige controle. Een praktische start is om te vergelijken met bekende topmisconfiguraties en je eigen inrichting daarop te toetsen.
De kernboodschap is helder: de deur dichthouden begint met weten dat hij open kan staan. Met een actueel overzicht, strikt toegangsbeheer, MFA, hardening én realistische detectie verklein je de kans dat scans van kwaadwillenden jouw omgeving direct kunnen misbruiken.
Bron: https://www.ncsc.nl/expertblogs/misconfiguraties-bieden-open-deur-tot-gevoelige-gegevens
