De automatische invulfunctie wordt in overweging genomen (AutofillEen van de kleine functies die het gebruik van moderne computers zo gemakkelijk en naadloos maakt, is de mogelijkheid om automatisch je e-mailadres en wachtwoord in te vullen wanneer je een inlogpagina bezoekt. En wanneer je online iets koopt, verschijnen je creditcardgegevens moeiteloos zonder dat je je portemonnee hoeft te pakken. Het is snel, handig en onzichtbaar – totdat je het stopt.
Hoewel automatisch invullen tijd en mentale inspanning bespaart, kan het een goudmijn zijn voor hackers, kwaadwillende websites of zelfs bots die weten hoe ze het systeem kunnen misbruiken om gevoelige gegevens te lekken. Je browserextensies kunnen je wachtwoorden al inzien.Maar bij automatisch vullen kan iedereen het onder de juiste omstandigheden zien.
Snelle links
Automatisch vullen is de valkuil van ultiem gemak.
Snel, gemakkelijk en stiekem best riskant.
Autofill is ontworpen met één doel voor ogen: het invullen van repetitieve formulieren zo gemakkelijk mogelijk maken. Het onthoudt je naam, adres, telefoonnummer, inloggegevens en soms zelfs je creditcardgegevens, zodat je deze niet elke keer opnieuw hoeft in te typen wanneer je een bekend veld tegenkomt. Voor de meesten van ons lijkt dit onschuldig genoeg. Browsers zoals Chrome, Edge, Firefox, Safari en andere versleutelen deze gegevens immers en beschermen ze met je systeemwachtwoord of een optioneel hoofdwachtwoord.
Het probleem zit hem echter niet in de intentie, maar in de omgeving waarin de automatische invulfunctie werkt. Wanneer je een website bezoekt, is er geen waterdichte manier voor je browser om te bepalen welke invoervelden legitiem zijn en welke door een kwaadwillende partij zijn ingevoegd. De automatische invulfunctie werkt op basis van veldnamen en -structuur, niet op basis van de beveiligingscontext. Dit betekent dat als een verdachte website onzichtbare velden of scripts achter de pagina verbergt, je browser deze onbedoeld kan invullen, waardoor gegevens vrijkomen die je nooit had willen delen.
Met andere woorden, automatisch aanvullen is in de meeste gevallen niet slim genoeg om te weten wanneer het wordt misleid. En je kunt er zeker van zijn dat cybercriminelen hebben ontdekt hoe ze dat kunnen uitbuiten.
Onzichtbare velden, duidelijke gevolgen
Hoe kwaadwillende websites meer opleveren dan ze schrijven
De meest voorkomende autofill-aanvallen berusten op een simpele techniek: verborgen invoervelden. Een kwaadwillende webpagina kan inlogvelden bevatten die je niet kunt zien – ze zijn verborgen met CSS of buiten beeld geplaatst. Wanneer de autofill-functie wordt geactiveerd, vult deze niet alleen de zichtbare e-mail- of gebruikersnaamvelden in, maar ook deze verborgen velden.
Als deze velden gevoelige gegevens bevatten, zoals uw adres, telefoonnummer of opgeslagen creditcardgegevens, kunnen deze gegevens ongemerkt naar de aanvaller worden verzonden. U zult daarentegen waarschijnlijk geen waarschuwingen of pop-ups zien; alles gebeurt op de achtergrond, meestal in minder dan een seconde.
Wat de situatie nog erger maakt, is dat browsers verschillen in de manier waarop ze omgaan met automatisch invullen. Sommige browsers vullen alles automatisch in wanneer je op een veld klikt, terwijl andere browsers expliciete bevestigingen vereisen. Zelfs de veiligere varianten kunnen worden gemanipuleerd als JavaScript de browser misleidt en doet geloven dat het veld legitiem is. Het is een beveiligingslek dat inherent is aan de werking van automatisch invullen, en niet per se een programmeerfout die kan worden verholpen.
Zelfs wachtwoordmanagers kunnen worden misbruikt.
Browser-extensies bieden geen bescherming tegen alle problemen.
Wachtwoordmanagers van derden zouden de zwakke punten van browsergebaseerde automatische invulling moeten verhelpen, wat een van de redenen is waarom Waarom je de ingebouwde wachtwoordmanager van je browser niet moet gebruikenDit helpt tot op zekere hoogte, omdat grote wachtwoordmanagers zoals Bitwarden, 1Password en Dashlane een strenger automatisch invulbeleid hanteren. Ze vullen alleen bekende URL's in, vereisen handmatige bevestiging van de gebruiker en versleutelen gegevens van begin tot eind. Zelfs deze systemen kunnen echter het slachtoffer worden van phishing.
Een goed ontworpen nep-inlogpagina die sterk lijkt op een echte, kan je wachtwoordmanager misleiden en ervoor zorgen dat je inloggegevens automatisch worden ingevuld. Zodra die gegevens zijn verzonden, verdwijnen ze. De zwakste schakel is altijd de gebruikersbevestiging. Als je het verkeerde domein vertrouwt of op de verkeerde knop klikt, werkt de automatische invulling weliswaar zoals bedoeld, maar voor de verkeerde website.
Combineer dat met de opkomst van browserextensies en cross-site scripts, en automatisch invullen begint minder op een handige functie te lijken en meer op een risico dat wacht op de juiste exploitketen.
Versleuteling beschermt je niet tegen een verkeerde muisklik.
Veilige opslag betekent niet automatisch veilige levering.
Browsers slaan gegevens veilig op, meestal beschermd door uw computerwachtwoord of synchronisatiewachtwoord. Dit klopt tot op zekere hoogte, maar het feit dat uw automatisch ingevulde gegevens versleuteld zijn, betekent niet dat ze ontoegankelijk zijn.
In Chrome kan iemand bijvoorbeeld, zodra hij toegang krijgt tot je gebruikersaccount of je profiel synchroniseert met een ander apparaat, al je automatisch ingevulde gegevens en opgeslagen wachtwoorden bekijken zonder dat daarvoor extra machtigingen nodig zijn. Windows- en macOS-systemen doen hun best om dit soort toegang te voorkomen, maar malware trekt zich daar niets van aan. Zodra een systeem is gecompromitteerd, kunnen versleutelde automatisch ingevulde gegevens relatief eenvoudig worden geëxtraheerd, gedecodeerd en naar een externe server worden verzonden.
Over het algemeen is de beveiliging van automatisch invullen slechts zo sterk als de algehele beveiliging van uw apparaat. Gezien hoe vaak mensen hun computers ontgrendeld laten, verbonden met openbare wifi-netwerken of ingelogd op browsers op het werk, is dit geen erg geruststellende beveiligingsmaatregel.
Automatisch invullen uitschakelen en de controle terugkrijgen
Schakel uit wat je niet echt nodig hebt.
Het uitschakelen van automatisch invullen lijkt in eerste instantie misschien onhandig, vooral als u meerdere online accounts beheert. Het goede nieuws is dat u niet abrupt hoeft te stoppen. U kunt specifieke categorieën van automatisch invullen uitschakelen, zoals betaalgegevens en adressen, terwijl u nog steeds inloggegevens gebruikt die worden beheerd door een vertrouwde wachtwoordmanager. Browsers bieden doorgaans ook gedetailleerde controle over welke velden worden onthouden en wanneer ze worden ingevuld.
Als je een wachtwoordmanager gebruikt, kun je het beste de sneltoetsen voor handmatig invullen gebruiken in plaats van de automatische invulfunctie. Je kunt ook de basisinformatie eenvoudig kopiëren en plakken vanuit een notitiebestand of wachtwoordmanager.
Autofill is geen kwetsbaarheid die op de loer ligt, maar een kwetsbaarheid die wacht om misbruikt te worden. De technologie zelf is niet slecht; ze werkt simpelweg binnen een systeem dat uitgaat van goede trouw van de kant van het internet, een aanname die zelden wordt beloond door het moderne internet.
