Controleren of uw e-mailadres in een datalek voorkomt

Gestolen wachtwoorden dienen eerst om andere wachtwoorden te raden. Het NIST stelt vast dat de keuzes van gebruikers zeer voorspelbaar zijn en dat aanvallers wachtwoorden uitproberen die al eerder hebben gewerkt, met name wachtwoorden uit eerdere datalekken². Hetzelfde document beveelt aan dat een dienst gekozen wachtwoorden vergelijkt met een lijst van waarden waarvan bekend is dat ze veelgebruikt, voorspelbaar of gecompromitteerd zijn, bijvoorbeeld wachtwoorden uit eerdere datalekken². Die tekst dateert van juni 2017 en is sinds 1 augustus 2025 vervangen door een recentere herziening².

Het risico neemt toe wanneer één wachtwoord op meerdere plaatsen wordt gebruikt. Als u het hebt hergebruikt, hoeven criminelen er maar één te kennen om bij al uw accounts te komen⁴. Dat is het scenario dat de CISA beschrijft: een gebruikster ziet een overschrijving van 700 dollar die ze niet heeft gevraagd, kan daarna niet meer inloggen bij haar bank en vervolgens niet bij haar e-mail, omdat ze op beide hetzelfde wachtwoord had. Later hoort ze dat dit wachtwoord deel uitmaakte van een bedrijfslek dat online was gepubliceerd³.

Na een datalek, of bij de minste twijfel, beperkt de volgende volgorde de schade, van het meest dringende tot het meest duurzame.

• Wijzig eerst het wachtwoord van de getroffen dienst¹. Had u het ook voor uw e-mail hergebruikt, wijzig dan ook het wachtwoord van uw e-mail⁴.
• Kies een lang, willekeurig wachtwoord. De CISA noemt minstens 16 tekens, ofwel een willekeurige reeks, ofwel een zin van 4 tot 7 woorden zonder onderling verband³. Cybermalveillance.gouv.fr noemt een minimum van 12 tekens met hoofdletters, kleine letters, cijfers en speciale tekens¹.
• Eén wachtwoord per account. De CNIL vraagt een eigen, uniek wachtwoord voor elke gevoelige account: bank, e-mail, sociaal netwerk⁵.
• Bewaar ze in een wachtwoordmanager. De CISA merkt op dat het voor de meeste mensen onmogelijk is om voor elke account lange, willekeurige en unieke wachtwoorden te onthouden, en dat deze hulpmiddelen ze genereren, opslaan en zwakke of hergebruikte wachtwoorden melden³.
• Schakel tweestapsverificatie in, vooral voor e-mail, sociale netwerken en financiële accounts³. Het NCSC geeft aan dat een crimineel hierdoor geen toegang tot uw e-mail krijgt, ook al kent hij het wachtwoord⁴.

Pas voor een werkaccount dezelfde maatregelen toe en volg de richtlijnen van uw organisatie. Het NCSC vraagt dat het wachtwoord van de e-mail voor geen enkele andere account wordt gebruikt, thuis noch op het werk⁴.

Het valse waarschuwingsbericht over een datalek

Een bericht dat een datalek meldt en u aanspoort om in te loggen, kan phishing zijn. De CISA noemt als gebruikelijke signalen een dringende of emotioneel geladen taal, een verzoek om persoonlijke of financiële gegevens, onbetrouwbare ingekorte links en onjuiste adressen of links, zoals "amazan.com"⁶. Spelfouten zijn geen betrouwbare aanwijzing meer: in het tijdperk van kunstmatige intelligentie zijn sommige e-mails op dat punt perfect⁶.

Klik bij een twijfelachtig bericht dat toch echt zou kunnen zijn op geen enkele link en bel geen nummer dat erin staat. Zoek de website van de organisatie zelf op, of typ het adres in, en neem de contactgegevens over van de geverifieerde site⁶. In het voorbeeld van de CISA meldde een e-mail een geweigerde betaling en spoorde die aan om in te loggen. De gebruiker die erin trapte, gaf zijn wachtwoord en kaartgegevens prijs en kreeg het grootste deel van zijn verlies pas terug na urenlang telefoneren⁶.

Cybermalveillance.gouv.fr voegt eraan toe dat geen enkel serieus bedrijf of serieuze organisatie u ooit om uw wachtwoord zal vragen per e-mail of telefoon, ook niet voor "onderhoud" of "computerhulp". Wordt het u gevraagd, dan hebt u te maken met een hackpoging of oplichting¹. Een vals bericht over een datalek dat om uw wachtwoord vraagt, valt onder dit geval.

Om het bericht te melden, geeft de CISA aan dat er meestal een optie staat in de buurt van het adres van de afzender, of achter de knop "spam melden". Ze adviseert daarna het bericht te verwijderen zonder te antwoorden of te klikken, ook niet op een link om u uit te schrijven⁶. Het Britse NCSC stelt dat het onderzoek kan doen naar frauduleuze adressen en websites en ze kan laten verwijderen, en dat melden een minuut duurt⁷.

Het valse gevoel van veiligheid

Niet voorkomen in een geraadpleegde database met datalekken ontslaat u niet van goede gewoonten. De regel geldt altijd: een ander wachtwoord per account, lange wachtwoorden en tweestapsverificatie¹³⁵.

Het wachtwoord op de verkeerde plek genoteerd

Na een wijziging is het verleidelijk het nieuwe wachtwoord in een bestand of bericht te bewaren. De CNIL raadt plakbriefjes, tekstbestanden, de smartphone en de mailbox af, en raadt ook af ze ooit op te slaan in de browser van een gedeelde computer⁵.