{"id":3558,"date":"2025-07-01T13:07:29","date_gmt":"2025-07-01T11:07:29","guid":{"rendered":"https:\/\/conapi.at\/casestudie-erp-api-beveiligingslek-kost-distributeur-e18-miljoen\/"},"modified":"2025-07-14T13:20:36","modified_gmt":"2025-07-14T11:20:36","slug":"casestudie-erp-api-beveiligingslek-kost-distributeur-e18-miljoen","status":"publish","type":"post","link":"https:\/\/conapi.at\/nl\/casestudie-erp-api-beveiligingslek-kost-distributeur-e18-miljoen\/","title":{"rendered":"Casestudie: ERP API beveiligingslek kost distributeur \u20ac1,8 miljoen"},"content":{"rendered":"\n
\n

De e-mail kwam binnen om 08:47 op een dinsdagochtend:<\/p>\n\n\n\n

<\/div>
\n
\n

“We hebben real-time API toegang tot uw voorraadsysteem nodig. Ons nieuwe e-procurement platform kan niet meer werken met de EDI batchbestanden van gisteren. Kan uw IT-team dit voor vrijdag opzetten?”<\/em><\/p>\n<\/div>\n<\/div><\/div>\n\n\n\n

Voor een van onze grootste klanten, een gerespecteerde 50 jaar oude industri\u00eble distributeur die meer dan 300 industri\u00eble klanten in de DACH-regio bedient, was dit niet zomaar een IT-verzoek.<\/p>\n\n\n\n

Dit was hun grootste klant. \u20ac2,8 miljoen aan jaarlijkse omzet. Een relatie van 15 jaar. <\/p>\n\n\n\n

Het antwoord van de IT-directeur leek heel redelijk: <\/p>\n\n\n\n

<\/div>
\n
\n

“Geen probleem. We openen een beveiligde poort in onze firewall en geven je direct API toegang tot ons ERP-systeem.”<\/em><\/p>\n<\/div>\n<\/div><\/div>\n\n\n\n

Eenvoudig. Snel. Kosteneffectief. <\/p>\n\n\n\n

En de beslissing die hen bijna \u20ac1,8 miljoen zou kosten.<\/p>\n<\/div><\/div>\n\n

<\/div>\n\n
\n

Wanneer erfgoed voldoet aan moderne eisen<\/strong><\/h2>\n\n\n\n

<\/p>\n\n\n\n

De klant had zijn reputatie opgebouwd op precisie en betrouwbaarheid. Ze beheerden meer dan 80.000 SKU’s<\/a>, van precisiecomponenten tot gespecialiseerde MRO-benodigdheden, en waren de vertrouwde partner voor fabrikanten die zich geen downtime of kwaliteitscompromissen konden veroorloven. <\/p>\n\n\n\n

<\/div>
\n
\n

Hun ERP-systeem was hun kroonjuweel en bevatte realtime voorraadniveaus, klantspecifieke prijzen op verschillende niveaus, exclusieve leveranciersovereenkomsten en 15 jaar aan inkoopinformatie.<\/p>\n\n\n\n

Zoals veel succesvolle B2B-distributeurs stonden ze onder toenemende druk om te moderniseren. Klanten stapten af van EDI ten gunste van realtime API<\/a> integraties. E-procurement platforms eisten onmiddellijke zichtbaarheid van de voorraad. De toekomst was API en ze moesten zich snel aanpassen. <\/p>\n\n\n\n

De oplossing van het IT-team was elegant eenvoudig: stel hun ERP’s REST API bloot via een firewallregel, beveilig het met HTTPS en voorzie hun klant van een veilige API sleutel.<\/p>\n\n\n\n

Wat kan er misgaan?<\/strong><\/p>\n<\/div>\n\n\n\n

\"ERP<\/figure><\/div>\n<\/div><\/div>\n\n\n\n

De inbraak: 14:32 op een donderdagmiddag<\/strong><\/h2>\n\n\n\n

De aanval was geavanceerd maar onzichtbaar.<\/p>\n\n\n\n

Een aanvaller had op de een of andere manier geldige API referenties verkregen, mogelijk via een man-in-the-middle aanval op de minder beveiligde ontwikkelomgeving van hun klant. Maar omdat hun API een directe tunnel was naar hun ERP zonder de juiste ERP API beveiligingscontroles, was er geen manier om legitieme verzoeken te onderscheiden van kwaadaardige verzoeken. <\/p>\n\n\n\n

In de loop van 72 uur haalde de aanvaller systematisch geld weg:<\/p>\n\n\n\n