Als een kwaadwillige toegang krijgt tot een betaalprovider account zijn de mogelijke gevolgen groot. Denk bijvoorbeeld aan een datalek. Slapende gebruikersaccounts zijn een (onnodig) risico, zorg dus voor een uitdienstprocedure.
Wat is een slapend gebruikersaccount?
Als een gebruiker geen gebruik meer maakt van zijn/haar gebruikersaccount maar deze nog wel actief staat. Dit gaat dus bijvoorbeeld om [email protected] als gebruikersnaam en niet om het algemene account van een bedrijf bij een betaalprovider.
Hoe krijgt een kwaadwillige toegang tot een gebruikersaccount bij een betaalprovider?
Er zijn verschillende mogelijkheden, een voorbeeld: de kwaadwillige brengt in kaart wie de (ex-)medewerkers zijn van een bedrijf. Vervolgens gaat de kwaadwillige op zoek naar gebruikersaccounts en wachtwoorden die al eerder bij een datalek zijn buitgemaakt. Deze inloggegevens test de kwaadwillige op de systemen van het bedrijf en diensten waar ze gebruik van maken (zoals de betaalprovider).
Verantwoordelijkheid betaalprovider
Betaalproviders nemen ook maatregelen om deze risico’s te verkleinen, zoals:
- Inloggen met een Authenticator code verplichten.
- Webshops informeren over slapende gebruikersaccounts.
Theoretisch kunnen betaalproviders slapende gebruikersaccounts ook automatisch uitschakelen, bijvoorbeeld als er 1 jaar niet is ingelogd. Dit is echter niet erg gebruikersvriendelijk, denk aan een boekhouder die ook toegang heeft en maar zeer sporadisch hoeft in te loggen.
Middelgrote bedrijven zijn kwetsbaar
Grote bedrijven hebben vaak een uitdienstprocedure. Dit kan bijvoorbeeld komen omdat dit onderdeel is van een certificeringsproces. Dan zijn er ook vaak weer audits om te controleren of alle procedures goed worden gevolgd. Eenmanszaken hebben vaak 1 gebruikersaccount bij een betaalprovider. Het risico zit dus vooral bij bedrijven die daartussen vallen: geen strakke procedures maar wel meerdere medewerkers.
Onboardingsprocedure omdraaien
Het opstellen van een uitdienstprocedure is in de basis simpel: alle accounts die worden aangemaakt voor een nieuwe collega dienen ook te worden afgesloten als iemand het bedrijf verlaat. In de praktijk is het wel iets complexer, denk aan langdurige ziekte of data die beschikbaar dient te blijven. Maar in de praktijk is het goed te doen en voorkomt problemen.