Traditionele multifactorauthenticatie (MFA) biedt volgens Z-CERT niet langer in alle situaties voldoende bescherming tegen cyberaanvallen. De organisatie adviseert zorginstellingen daarom om over te stappen op phishing-resistente multifactorauthenticatie. In een nieuw document deelt Z-CERT praktijkervaringen met deze vorm van beveiliging en biedt het handvatten voor organisaties die hun digitale toegangsbeveiliging verder willen versterken.
Multifactorauthenticatie blijft volgens Z-CERT een belangrijk middel om organisaties te beschermen tegen misbruik van gestolen of gelekte inloggegevens. De organisatie wijst er echter op dat cybercriminelen steeds geavanceerdere technieken gebruiken om traditionele vormen van MFA te omzeilen. Daardoor neemt de noodzaak toe om aanvullende beveiligingsmaatregelen te treffen die beter bestand zijn tegen moderne aanvalsmethoden.
Inlogproces onderscheppen
Een van de belangrijkste dreigingen is zogenoemde Adversary-in-the-Middle-phishing (AitM). Bij deze aanvalstechniek onderscheppen cybercriminelen het inlogproces en kunnen zij, ondanks het gebruik van traditionele MFA, toegang krijgen tot systemen. Volgens Z-CERT is phishing-resistente MFA ontwikkeld om juist dit type aanvallen tegen te gaan. Daarbij kunnen gestolen gebruikersnamen, wachtwoorden of eenmalige inlogcodes niet zonder meer worden misbruikt.
Z-CERT adviseert zorgorganisaties al langer om over te stappen op phishing-resistente multifactorauthenticatie, onder meer in het Cybersecuritybeeld 2025. Inmiddels heeft de organisatie deze vorm van beveiliging ook binnen de eigen omgeving ingevoerd. De opgedane ervaringen zijn samengebracht in een nieuw document, waarin de implementatie wordt belicht vanuit het perspectief van gebruikers, IT-beheerders en securityspecialisten. Daarmee wil Z-CERT organisaties ondersteunen bij de voorbereiding op een vergelijkbare overstap.
Voorzorgsmaatregelen
Phishing-resistente MFA maakt gebruik van technieken zoals FIDO2/WebAuthn of PKI. Daarbij wordt tijdens het inloggen cryptografisch gecontroleerd of een gebruiker zich daadwerkelijk aanmeldt bij de juiste website of applicatie. Hierdoor kan een aanvaller de authenticatie niet eenvoudig onderscheppen of hergebruiken, zoals bij sommige traditionele vormen van MFA wel mogelijk is.
Naast een technische toelichting gaat het document ook in op de praktische gevolgen van de invoering. Zo beschrijft Z-CERT welke keuzes tijdens de implementatie zijn gemaakt, welke aandachtspunten daarbij naar voren kwamen en hoe de verschillende betrokkenen de overgang hebben ervaren. De organisatie hoopt dat deze praktijkervaringen andere zorgorganisaties helpen om de overstap naar phishing-resistente MFA beter voor te bereiden en uit te voeren.
Landelijk cybercrisisnetwerk
In mei van dit jaar schreven we nog dat Nederlandse ziekenhuizen, umc's en andere zorginstellingen vanaf 1 april 2026 toegang krijgen tot een landelijk cybercrisisnetwerk via Z-CERT. Via dit platform kunnen zorgorganisaties dag en nacht gespecialiseerde ondersteuning inschakelen bij cyberincidenten.
Met deze uitbreiding wil Z-CERT de digitale weerbaarheid van de zorgsector vergroten, nu cyberaanvallen op zorginstellingen steeds vaker voorkomen en de continuïteit van de zorg en de patiëntveiligheid direct onder druk kunnen zetten.
