De MFA-valkuil zit hem in een misverstand: multi-factor authentication wordt gezien als bewijs van identiteit. In de praktijk zegt een succesvolle MFA-login vooral iets over controle over authenticatiemiddelen—niet automatisch over wie de persoon echt is, of die identiteit daarna nog veilig blijft.
Het resultaat? Organisaties kunnen denken dat ze “binnen” zijn, terwijl een aanvaller via de processen rond authenticatie alsnog toegang krijgt. Denk aan inschrijving van een tweede factor, herstelprocedures, device-registratie en sessiebeheer. Dan werkt MFA wel volgens de regels, maar helpt het niet tegen de echte identiteitsdreiging.
Waarom succesvolle MFA geen identiteit bewijst
Authenticatie en identiteit worden vaak door elkaar gehaald. Authenticatie toont aan dat iemand de vereiste authenticators aanstuurt die bij een account horen. Identiteitsverificatie (identity proofing) kijkt naar de vraag of die persoon overeenkomt met de geclaimde echte identiteit.
Je kunt dus een scenario krijgen waarin alle MFA-stappen worden voltooid, terwijl de onderliggende identiteitszekerheid ontbreekt. Met andere woorden: het lukt om “de deur te openen”, maar niemand heeft daadwerkelijk bewezen dat het om de juiste persoon gaat.
Waar aanvallers de MFA-illusie uitbuiten
In veel beveiligingsmodellen wordt het dreigingsbeeld vooral gericht op het doorbreken van de authenticatiegrens. Maar aanvallers richten zich vaker op de processen rondom die grens.
Dat zijn onder meer:
- Enrollment: het koppelen van een authenticator (bijvoorbeeld een app of hardware device) aan een account.
- Account recovery: het opnieuw instellen van toegang wanneer iets misgaat of “kwijt” is.
- Helpdesks en identiteitsclaims: procedures waarbij personeel of systemen identiteiten moeten verifiëren.
- Device registration: het registreren of wisselen van apparaten die als vertrouwd gelden.
- Session management: het beheren van sessies nadat iemand succesvol heeft ingelogd.
In zo’n keten kan een aanvaller een authenticator verbinden met een ander dan de beoogde gebruiker, of de sessie van een geautoriseerde gebruiker overnemen. De beveiliging blijft dan “goed scoren” op login-events, terwijl de identiteit achteraf niet klopt.
Wanneer de aanvaller juist wél MFA doorstaat
Het ongemakkelijke deel is dat een aanvaller authenticatie niet altijd hoeft te falen. Diverse technieken—zoals phishing, social engineering, SIM swapping, sessie-overname en aanvallen via recovery—kunnen ervoor zorgen dat de MFA-check slaagt.
Zelfs “phishing-resistant” MFA lost niet elk identiteitsrisico volledig op. De reden is eenvoudig: MFA gaat uit van het vertrouwen dat authenticatoren correct aan identiteiten zijn gekoppeld. Als die koppeling in het begin al fout of manipulatiegevoelig was, dan kan een aanvaller met dezelfde MFA-stappen alsnog toegang krijgen.
MFA is geen identiteitsdreigingsdetectie
Er is nog een tweede misvatting: men verwacht dat MFA ook laat zien of een identiteit later nog betrouwbaar is. Maar een authenticatie-event geeft vooral een momentopname. Identity threat detection kijkt naar wat er tijdens en na de authenticatie gebeurt.
Stel: een medewerker meldt zich om 08:02 uur succesvol aan. Minuten later kan een sessie worden gekaapt. Vervolgens kan die (gecompromitteerde) identiteit privileges escaleren of toegang krijgen tot gevoelige data die eerder buiten bereik lag. De succesvolle MFA zegt dan weinig over de legitimiteit van het latere gedrag.
Identiteitsrisico verandert dus dynamisch. Een identiteit kan “goed” lijken bij inloggen en toch al snel volledig ontsporen.
Drie vragen die je beveiliging uit elkaar moet houden
Een gezonde benadering begint met onderscheid maken tussen drie vragen. Door ze te mengen ontstaan blinde vlekken:
- Wie is deze persoon? Dit is identiteitsverificatie (identity proofing): hoe zeker ben je dat de persoon overeenkomt met de claim.
- Kan deze persoon de juiste authenticators gebruiken? Dit is authenticatie: MFA hoort hier sterk in te zijn.
- Gedraagt deze identiteit zich nog legitiem? Dit is identity threat detection: monitoring op signalen en gedrag in de tijd.
Die controles vullen elkaar aan. Ze vervangen elkaar niet. Juist wanneer je MFA aanstuurt als antwoord op alle drie, ontstaat de kern van de MFA-valkuil.
Maak identiteitsvertrouwen cyclisch in plaats van binair
Veel organisaties behandelen identiteitszekerheid als een ja/nee-uitslag: “MFA gehaald” betekent vertrouwen. Maar een beter model ziet identiteitsvertrouwen als een levenscyclus.
In zo’n aanpak gebeurt het volgende:
- Bij enrollment bouw je vertrouwen op dat een identiteit bij een specifieke persoon hoort.
- Bij authenticatie bevestig je controle over de benodigde authenticatiemiddelen.
- Na het inloggen gebruik je aanvullende signalen om het vertrouwen actueel te houden—bijvoorbeeld bij apparaatwissels, ongebruikelijke toegang, privilege-escalatie of recovery-events.
Wanneer het risico stijgt, moet opnieuw identiteitsassurance worden ingericht. Denk aan momenten zoals het resetten van credentials, het inschrijven van een nieuwe authenticator of het verlenen van administratieve toegang. Zo voorkom je dat een eerdere “goede” authenticatie de hele tijd als onbeperkt bewijs wordt behandeld.
Het takenpakket van MFA: essentieel, maar begrensd
MFA heeft een duidelijke rol en die rol is waardevol. Het probleem ontstaat wanneer organisaties MFA taken geven die het niet kan uitvoeren.
MFA kan bijvoorbeeld niet betrouwbaar vaststellen of:
- een aanvaller de account recovery heeft gemanipuleerd;
- de inschrijving van een authenticator echt correct en identiteitsverifieerd was;
- een reeds aangemelde sessie daarna is gekaapt.
Daarom is het belangrijk om MFA te blijven inzetten voor de juiste vraag (“wie kan de authenticators gebruiken?”) en om daarnaast andere controles te plaatsen voor identiteitsverificatie en dreigingsdetectie. Dat is geen verzwakking van MFA, maar een correct gebruik ervan.
Praktische signalen: wanneer je opnieuw zekerheid moet opbouwen
Hoewel het exacte beleid verschilt per organisatie, helpt het om te werken met herbeoordelingsmomenten. Hieronder staan typische gebeurtenissen waarbij extra zekerheid logisch is:
- Er wordt een nieuwe authenticator ingeschreven.
- Er vindt een credential reset of herstelactie plaats.
- Er worden privileged-acties of administratieve rollen toegekend.
- Er is sprake van device changes of onverwachte registratie van een apparaat.
- Er zijn sterke aanwijzingen van sessie-anomalieën (bijvoorbeeld locatie of gedrag dat niet matcht).
Door dit soort gebeurtenissen te behandelen als momenten waarop vertrouwen opnieuw moet worden opgebouwd, verklein je de kans dat de MFA-valkuil doorsijpelt tot in echte datatoegang en privileges.
Relatie met andere beveiligingslessen
Dezelfde denklijn—controle op het juiste niveau, en geen vals gevoel van veiligheid—zie je ook terug bij andere beveiligingspraktijken. Zo benadrukt het onderwerp silent patches: waarom ze je verdediging misleiden het belang van echte zichtbaarheid en verificatie, niet alleen vertrouwen op wat “zou moeten” werken.
Ook rond authenticatie en accountprocessen is monitoring en correct handelen cruciaal: als je vertrouwt op de uitkomst van een stap, maar niet op de betrouwbaarheid van de onderliggende keten, ontstaan blinde vlekken. MFA kan dan onderdeel worden van de aanval—niet omdat het zwak is, maar omdat het voor het verkeerde doel wordt ingezet.
Conclusie: MFA werkt, maar identiteitszekerheid moet verder
De MFA-valkuil gaat niet over het afschaffen van multi-factor authentication. MFA blijft een pijler van moderne beveiliging. Het probleem is dat succesvolle authenticatie vaak wordt geïnterpreteerd als bewijs van identiteit, terwijl het vooral bewijs is van controle over authenticatiemiddelen.
Door authenticatie, identiteitsverificatie en identity threat detection scherp te scheiden, maak je vertrouwen cyclisch en dynamisch. Zo zorg je dat je niet alleen “door de deur komt”, maar ook voorkomt dat een aanvaller precies op het juiste moment de rollen omdraait—met MFA die keurig werkt, maar niet datgene beschermt wat je dacht te beschermen.
