Waarom AI de nieuwe verdediging van het hoger onderwijs wordt tegen de strijd om gebruikerstoegang en inloggegevens

Cybercriminelen zijn naar een hoger segment verhuisd, en het hoger onderwijs staat nu recht in hun vizier.

Jarenlang hebben K-12-districten het ergste opgevangen. Toen de pandemie het leren op afstand van de ene op de andere dag dwong, werden schoolsystemen die hier nooit op waren voorbereid blootgesteld. Het hoger onderwijs leek relatief veilig: campussen hadden al volwassen IT‑afdelingen, een budget voor beveiligingsinstrumenten, en beheerden digitale systemen en online onderwijs al een decennium of langer voordat COVID toesloeg. Die kloof sluit snel. Het laaghangende fruit op K‑12‑niveau is grotendeels geplukt, en aanvallers richten zich nu op hogescholen en universiteiten met dezelfde AI‑gedreven tools die K‑12 zo’n gemakkelijk doel maakten.

De schaal is al in het nieuws zichtbaar. Alleen deze maand, persoonlijke informatie werd gestolen van minstens 137.000 accounts van schoolpersoneel in een datalek dat Glendale Community College, Moody Bible Institute, Illinois Central College en Houston City College trof. Firewalls en perimeter‑tools blijven belangrijk, maar ze zijn nooit ontworpen om te stoppen wat nu gebeurt: AI die aanvallers in staat stelt personeel en studenten op grote schaal te imiteren, voldoende om langs de controles te glippen waarop instellingen jarenlang vertrouwden. Diefstal van inloggegevens en overname van accounts zijn geen uitzonderlijke gevallen meer. Ze vormen het primaire aanvalsvlak, en de verdediging ervan is de centrale cybersecurity‑uitdaging voor het hoger onderwijs in 2026.

De andere kant van het probleem: Spookstudenten

Gestolen inloggegevens van personeel krijgen de meeste aandacht, maar ze vormen slechts de helft van het verhaal. De andere helft gebeurt aan de kant van de studenten, en dat is waarschijnlijk het duurdere probleem: fraude met spookstudenten.

De werkwijze is eenvoudig. Kwaadaardige actoren gebruiken nep‑ of gestolen identiteiten om zich in te schrijven als studenten, niet om lessen te volgen, maar om studiefinanciering te innen. AI‑gegenereerde aanvragen zijn nu goed genoeg om de identiteitsverificatie die de meeste instellingen nog gebruiken te doorstaan, wat betekent dat deze fraude net als diefstal van inloggegevens schaalt: automatisch en snel.

De cijfers worden steeds moeilijker te negeren. Naar schatting $150 million aan studiefinanciering ging in 2025 alleen al naar niet‑gerechtigde studenten, waarbij community colleges het hardst werden getroffen omdat ze doorgaans de minst robuuste identiteitsinfrastructuur hebben. Delaware County Community College ontdekte meer dan 500 nep‑studentaccounts op zichzelf. Nationaal heeft de federale overheid meer dan $350 miljoen aan spookstudentfraude onder onderzoek, verspreid over 200 openstaande zaken.

De kosten zijn niet abstract, en het is niet beperkt tot de scholen zelf. Wanneer een oplichter zich inschrijft onder een gestolen identiteit en een lening ontvangt, is de echte persoon achter die identiteit vaak degene die de schuld moet dragen. Legitieme studenten moeten concurreren om krimpende studiefinancieringspotten en institutionele middelen die fraude al heeft weggesluisd. Zoals een recent ABC News investigation heeft vastgesteld, worden community colleges in Zuidelijk Californië overspoeld met AI‑gegenereerde aanvragen, en het patroon verschijnt landelijk, niet alleen in één regio.

Diefstal van inloggegevens en spookstudentfraude lijken verschillende problemen, maar ze delen dezelfde oorzaak: identiteitscontroles die slechts één keer plaatsvinden, op het moment van inloggen of inschrijving, en nooit opnieuw worden uitgevoerd.

Identiteit is geen gebeurtenis: het is een levenscyclus

Dat is de verschuiving die het hoger onderwijs in 2026 moet maken. De vraag kan niet alleen zijn “heeft deze persoon zich succesvol geauthenticeerd”. Het moet continu zijn: wie heeft nu toegang, en zou die persoon die nog moeten hebben.

Die vraag is moeilijker te beantwoorden omdat de populatie van “identiteiten” op de campus ver voorbij studenten en personeel is uitgebreid. Universiteiten zijn nu verantwoordelijk voor het beveiligen van autonome AI‑agenten, integraties van derden en machine‑identiteiten die dagelijks gevoelige systemen aanraken, vaak met veel minder toezicht dan een menselijk account zou krijgen. Elk van die identiteiten is een potentieel toegangspunt, en de meeste instellingen hebben geen realtime manier om ze te volgen.

Dit is precies waar Identity Lifecycle Management zijn plaats verdient als prioriteit, niet als een luxe. Statische, eenmalige authenticatie was ontworpen voor een wereld waarin “identiteit” een persoon betekende die inlogt met een wachtwoord. Het was nooit bedoeld voor een wereld met agentische AI, machine‑to‑machine‑integraties en fraude‑netwerken die binnen enkele seconden een overtuigende nep‑student kunnen genereren. Het dichten van die kloof betekent het combineren van phishing‑resistente passkeys en agentische AI‑governance met een ILM‑aanpak die continu toegang beoordeelt en bijwerkt, in plaats van die één keer toe te kennen en aan te nemen dat deze een semester later nog geldig is.

Het hoger onderwijs kan zich hier niet afzijdig houden en wachten tot de federale onderzoeken zijn gang gaan. De instellingen die hier proactief op inspelen, zullen degenen zijn die stoppen met identiteit te behandelen als een selectievakje bij inloggen en beginnen het te zien als iets dat continu moet worden geverifieerd, gemonitord en aangepast, voor elke mens en elke machine die hun systemen raakt.

De aanvallers hebben hun kant hiervan al geautomatiseerd. Het is tijd dat het hoger onderwijs hetzelfde doet.