Waarom lokale beheerrechten duur zijn

Nov 12, 2026

Eerder deze maand publiceerde Binance het eerste onderzoeksrapport over de grootste crypto-diefstal ooit: zo'n 6,3 miljard dollar, grotendeels weg in twintig minuten tijd. Het interessante is niet hoeveel. Het is hoe het begon, en dat begin had weinig spectaculairs. Sterker nog: het had in jouw bedrijf kunnen gebeuren.

In juni zocht een ingenieur van het walletteam van Binance naar een AI-tool om code mee te schrijven. Hij googelde, klikte op een advertentie tussen de resultaten en installeerde wat eruitzag als Homebrew, de pakketbeheerder die vrijwel elke Mac-ontwikkelaar gebruikt. Het was een vervalste kopie. Voor de installatie had hij geen beheerwachtwoord nodig, want alles draaide gewoon in zijn eigen gebruikersmap, en dat mocht. Daarna wisselde de malware een gangbare Python-tool op zijn laptop stilletjes om voor een exemplaar dat contact hield met de aanvallers.

Binance zag het, verving de laptop en roteerde alle credentials. Een goede reactie, snel ook. Maar de daders hadden ondertussen iets geleerd wat niet terug te draaien is: de rol van deze man, en wie er naast hem de wallets beheerde.

In september kwamen ze terug. Een tweede ingenieur stond op een jobsite, met Binance op zijn profiel. Iemand die zich uitgaf voor een projectdirecteur nam twee gesprekken met hem af, met geloofwaardige details tot en met een tweede ronde met een nep-CEO via een chatapp. Toen kwam de opdracht: download deze code en voer hem uit. Op welk toestel, daarover geen woord. De aanvaller moest alleen maar hopen dat de ingenieur dat op zijn werkcomputer zou doen, en dat deed hij. De beveiliging op dat toestel zag niets, de malware was erop gemaakt om ongemerkt te blijven. Eind oktober logden de aanvallers in op de computer van een derde collega, rolden met gestolen credentials een container uit en draaiden een script tegen de dienst die elke transactie ondertekent. Geen enkele privésleutel gelekt. De FBI schrijft de diefstal toe aan een Noord-Koreaanse groep die in 2025 ook al 1,5 miljard dollar wegnam bij een concurrent, opnieuw via één gecompromitteerde ontwikkelmachine. Volgens het rapport gebruikten de aanvallers onderweg zelfs een intern AI-instrument om tussen de toestellen van de ingenieurs te bewegen. Hoe dat werkte, heeft Binance niet verteld.

Dit is geen crypto-verhaal

Je denkt misschien: crypto, ontwikkelaars, een buitenlandse mogendheid, wij hebben dat niet. Kijk naar het mechanisme en niet naar de coulissen. Iemand wilde een tool om zijn werk beter te doen. De organisatie bood die niet langs een goedgekeurd pad. De rest volgde vanzelf: een zoekadvertentie, een download, en een laptop die vanaf dat moment van iemand anders was.

Dat mechanisme loopt in elke KMO. Niet met wallets, maar met pdf-converters, schermopnameprogramma's, zip-openers, downloadbeheerders en sinds kort allerlei AI-assistenten. Wie te lang moet wachten op IT, zoekt zelf een oplossing. Heel wat software installeert zich zonder één beheervraag in het gebruikersprofiel. Lokale beheerrechten maken het alleen nog comfortabeler: dan mag de boel zich ook in de systeemmappen nestelen en beveiliging buitenspel zetten.

Datzelfde patroon drijft ook de verhalen die geen crypto-beurs raken. Dezelfde weken kwam naar buiten dat een aannemer van het Amerikaanse leger z'n eigen AI-agent had gekoppeld aan een productiesysteem, met een eigen login. Volgens anonieme bronnen stuurde dat agent twee maanden later wachtwoorden en een netwerkkaart naar een website die als risicovol te boek stond. De aannemer noemt de beschuldigingen ongegrond, de details zijn dus omstreden. Het patroon herken je zo: iemand koos de snelste weg met een tool die IT nooit had goedgekeurd, en niemand die het zag.

De angst voor productiviteitsverlies

Als ik bij klanten voorstel om lokale beheerrechten af te bouwen, krijg ik steevast dezelfde reactie. "Onze mensen lossen zelf dingen op, dat is juist onze kracht. Als ze voor elk installatietje een ticket moeten openen, verliezen we een dag per week."

Die angst is niet dom. Hij berust alleen op de verkeerde afweging. De keuze is niet "vrij installeren of wachten op IT", maar "een geregeld pad of een pad dat niemand kent". De productiviteit die je wint met vrije installatierechten, betaal je terug op een moment dat jij niet kiest: de dag dat iemand op de verkeerde advertentie klikt. En die dag komt. Op bijna de helft van de toestellen die wij bij KMO's inventariseren staat software die niemand meer beheert, niemand meer bijwerkt en waarvan niemand meer weet waar ze vandaan komt.

Het andere uiterste werkt evenmin. Alles dichtgooien en hopen dat mensen het wel laten, creëert precies de schaduwhoeken waar het misloopt. Zoals een van de hosts van de Blue Security Podcast het deze week formuleerde: als je je mensen geen tools geeft, gaan ze ze zelf zoeken. Ze vinden altijd een weg. De vraag is alleen of die weg langs IT loopt of eromheen.

Geef eerst, neem dan weg

De oplossing is dus niet minder vrijheid, maar een beter pad. Wie app-curatie serieus neemt, geeft mensen eerst iets: een Company Portal met de goedgekeurde tools, een aanvraagroute die binnen een dag levert in plaats van binnen twee weken, en een duidelijke afspraak over wat automatisch mag. Pas daarna haal je beheerrechten weg, rol per rol, met uitzonderingen die geregeld en gelogd zijn in plaats van stilletjes te bestaan.

Kun je het helemaal dichtmaken?

Dan de vraag die mij deze week gesteld werd en die terecht is: wat weerhoudt iemand er, zonder beheerrechten, van om iets in zijn eigen gebruikersprofiel te installeren? Niets. Dat is het gat. Installeren in de gebruikersmap vraagt geen verhoogde rechten, en de software draait er ook gewoon.

Het antwoord van Microsoft heet App Control for Business, te beheren via Intune en de volwassen opvolger van wat vroeger WDAC heette. Het principe is een allowlist die dieper zit dan het gebruikersaccount: code die niet expliciet vertrouwd is, start niet, ook niet vanuit het gebruikersprofiel. Met het managed installer-mechanisme krijgt alles wat IT via Intune uitrolt automatisch vertrouwen, zodat het goedgekeurde pad soepel blijft lopen. Wie vroeger werkte met lijsten van vertrouwde installateurs op basis van NTFS-eigenaars, herkent het idee. In plaats van handmatig bijgehouden lijsten is het nu centraal beleid.

Eerlijkheid gebiedt: dit is geen schakelaar die je omzet. Het onderhoud van de regels is echt werk, en een te enthousiaste uitrol kan laptops half onbruikbaar maken. De zinvolle route is stap voor stap: begin in audit-modus, waarbij het systeem bijhoudt wat geblokkeerd zou worden zonder iets te blokkeren. Test op één afdeling en breid uit naar de plekken waar de pijn het grootst is, zoals de financiële dienst en de machines van de beheerders zelf.

En voor wat wél verhoogde rechten nodig heeft, is er inmiddels Endpoint Privilege Management: elevatie per applicatie, per regel, met een beslissing en een log per keer. De gebruiker blijft standaardgebruiker en krijgt alleen voor die ene goedgekeurde handeling een stapje hoger. EPM zit in de Intune Suite en heeft dus een prijskaart. In kleinere omgevingen kan een goed ingericht Company Portal met een snelle aanvraagroute hetzelfde bereiken.

Een ding mag daarbij niet vergeten: curatie zonder updates is geen veiligheidswinst. Een goedgekeurde app die nooit meer bijgewerkt wordt, is precies zo'n deur waar de geschiedenis van Binance mee begon, alleen dan met een uitnodigend stipje op de mat.

Wat je deze maand kunt doen

1. Inventariseer wat er vandaag draait. Je kunt niets cureren wat je niet kent, en de uitslag is steevast erger dan verwacht.
2. Bouw het goedgekeurde pad eerst. Company Portal, een snelle aanvraagflow en een afspraak over doorlooptijden. Pas als dat staat, heeft het zin om iets weg te nemen.
3. Bouw lokale beheerrechten af per rol. Gebruik EPM of een vergelijkbaar mechanisme voor de echte uitzonderingen, met logging in plaats van stilzwijgende afwijkingen.
4. Sluit het gebruikersprofiel-gat waar de pijn het grootst is. App Control for Business, eerst in audit-modus, dan pas afdwingen. En houd de goedgekeurde lijst actueel: een curatielijst is een levend document, geen éénmalig project.

De ingenieur van Binance heeft niets doms gedaan. Hij wilde een tool om zijn werk te doen en koos de snelste weg die het systeem hem bood. Zolang jouw mensen die keuze elke dag kunnen maken, is de vraag niet of iemand op de verkeerde advertentie klikt, maar wanneer. Twijfel je over wat er op jullie toestellen draait en wie er beheerrechten heeft? Een audit geeft binnen enkele dagen een eerlijk antwoord.

Plan een vrijblijvend gesprek of vraag je audit aan. Wil je eerst zelf een eerste beeld opbouwen? Ons stappenplan van nulmeting naar veilige werkplek beschrijft de route, van gratis scan tot verbeterplan.