De fout was eenvoudig: de login liet je kiezen waar je aanmeldcode naartoe ging. Bewijzen dat dit op een live website werkte, was het lastige.
Kort samengevat
- Tijdens een geautoriseerde beoordeling ontdekte een AI‑pentestingagent zelfstandig een kritieke authenticatie-omzeiling op de productiewebsite van een grote verzekeraar.
- Eén loginverzoek liet de gebruiker kiezen waar de eenmalige toegangscode naartoe werd gestuurd.
- De aanval zelf was eenvoudig. Bewijzen dat het op een live site werkte vereiste echter webcontext die over meer dan een decennium was opgebouwd.
De login werkte. Toen stopte de agent.
De AI‑pentestingagent van Reflectiz bracht de loginflow van de productiewebsite van een grote verzekeraar in kaart; die site heeft miljoenen gebruikers.
De agent vroeg een logincode aan en liet die naar een e‑mailinbox sturen die hij controleerde. De code arriveerde. De login slaagde. Vervolgens bleken de veiligheidsbeperkingen van de agent de test te stoppen nadat de login succesvol was.
De agent had zelfstandig een kwetsbaarheid met kritieke ernst gevonden: een authenticatie-omzeiling. Reflectiz rapporteerde dit aan de verzekeraar.
De fout: het verzoek koos waar de code naartoe ging
Een eenmalige toegangscode (OTP) bewijst alleen wie je bent als hij naar een locatie gaat die al aan het account gekoppeld is. Hier was die koppeling verbroken.
Het loginverzoek bevatte twee velden die bepaalden hoe en waar de code werd afgeleverd: het kanaal en het adres. Normaal werd de code per sms gestuurd naar het telefoonnummer dat aan het account gekoppeld is. Maar het verzoek kon het kanaal wijzigen. Als je het op e‑mail zette, stuurde de server de code naar elk adres dat in het verzoek werd genoemd, niet naar het adres dat aan het account vastzat.
Vereenvoudigd zag het verzoek er zo uit:
De server controleerde nooit of het opgegeven adres toebehoorde aan het account.
Het koppelen van een code aan het juiste account is een van de meest basale controles in authenticatie. De OWASP‑testgids stelt het in eenvoudige woorden: “Zijn de OTP’s gekoppeld aan het juiste gebruikersaccount…?”
Een aanvaller met de vereiste klantidentificatie kon mogelijk gebruikmaken van de fout om toegang te krijgen tot dat klantaccount.
Van een verdacht veld naar een bewezen omzeiling
De agent begon met verkenning: hij bekeek de JavaScript van de site en de API‑calls achter de pagina’s. Die analyse bracht het OTP‑verzoek aan het licht en twee waarden die leken te bepalen hoe en waar de code werd verzonden. Dergelijke waarden kunnen een hypothese suggereren, maar vormen nog geen bevinding, omdat de server de wijzigingen alsnog kan afwijzen of ze later in het loginproces kan blokkeren. Daarom bouwde de agent een gerichte test rond beide waarden en voerde die uit door de live loginflow — wat de omzeiling bevestigde.
| Illustratie van de geauthenticeerde staat die de agent bereikte voordat hij stopte. Gereconstrueerd en geanonimiseerd. |
Wilt u zien hoe dat testproces werkt? Boek een technische demo om te onderzoeken hoe Reflectiz website‑workflows onderzoekt, bevindingen valideert en uitvoering controleert.
Webcontext is het lastige deel
Veel geautomatiseerde tests stoppen bij de loginpoort, maar veel van wat telt zit erachter. Een testsysteem dat geen workflows kan bereiken, kan niet beoordelen wat er binnen die workflows gebeurt.
Reflectiz loste dat probleem al op lang voordat de agent bestond. Het bedrijf heeft meer dan tien jaar besteed aan het scannen van duizenden productiewebsites, wat betekende dat inloggen, verificatiecodes ontvangen en meerstapsflows worden doorlopen. Dus op sites die het bedrijf al monitort, begint de agent met die context in plaats van een blanco URL.
De agentgestuurde pentesting van Reflectiz zet die webcontext in. Hij bestuurt een echte browser door de flows die een klant volgt, inclusief eenmalige toegangscodes en 2FA.
Reflectiz‑CTO en medeoprichter Ysrael Gurt, een doorgewinterde ethische hacker, bouwde de agent op die basis.
Eén bevinding is geen dekkingsrapport
Een bevestigde kwetsbaarheid laat zien wat er misging, maar niet hoeveel van de applicatie is getest.
De OTP‑test draaide naast andere aanvalsscenario’s op dezelfde site. De agentgestuurde pentesting van Reflectiz combineert dat open einde onderzoek met een gestructureerd plan: test elk ontdekt eindpunt tegen elke toepasselijke aanvalscategorie. Een aparte validator‑agent reproduceert elke vermoedelijke bevinding met dezelfde payload en context voordat deze wordt gerapporteerd.
Het resultaat is een dekkingsrecord van welke tests zijn uitgevoerd, hun geregistreerde uitkomsten en eventuele uitsluitingen.
Getest is niet hetzelfde als veilig
De verzekeraar gaf aan dat de site ongeveer zes maanden eerder gepentest was. Deze beoordeling vond een exploiteerbare loginfout, hoewel onduidelijk is wanneer de zwakte werd geïntroduceerd.
Dat is geen kritiek op menselijke testers, want een ervaren tester had deze fout ook kunnen vinden. Het zegt meer over het karakter van momentopnames. Die hebben hun plaats, maar hoe vaak kan iemand zich veroorloven om te kijken?
Websites veranderen met elke release, maar pentest‑schema’s niet. Ze zijn rigide, wat weinig helpt tegen aanvallers die nu AI gebruiken om snel fouten te vinden en niet wachten op het volgende testvenster.
Agentgestuurde testing houdt het tempo bij. Het kan gerichte tests herhalen zo vaak als de site verandert, mits de agent de juiste toegang en duidelijke grenzen heeft, en bewijsmateriaal produceert dat een beoordelaar kan verifiëren.
Reflectiz rapporteert tot 10x de testcapaciteit tegen dezelfde operationele kosten als traditionele handmatige pentests. De vergelijking betreft testvolume, en is geen garantie dat er 10x meer kwetsbaarheden worden gevonden. Vraag tijdens de demo hoe scope, testdiepte en frequentie de capaciteit en kosten voor uw applicaties beïnvloeden.
Breng uw lastigste websiteflow mee naar de demo
Boek een technische demo van 30 minuten met een webbeveiligingsspecialist van Reflectiz. Denk vóór de demo na over een workflow die belangrijk is voor uw bedrijf. Dat kan login, accountherstel, checkout of een klantenportal zijn.
Tijdens de demo kunt u vervolgens bekijken:
- Hoe de agent geauthenticeerde, meerstapsworkflows navigeert
- Wat voor bewijs hij vindt ter ondersteuning van een gevalideerde bevinding
- Hoe scope, veiligheidsbeperkingen en dekking worden gedocumenteerd
Bespreek de vereisten van uw applicatie en wat een eerste beoordeling zou inhouden. Geen verplichtingen en het is niet nodig uw website tijdens de walkthrough te testen.
Boek uw agentgestuurde pentesting‑demo
