--- id: CP-348 slug: hergebruik-wachtwoord-prive-werk lang: nl title: Eén wachtwoord voor een privésite en een werkaccount description: "Hoe het datalek van een privésite uw werkaccount kan openen en hoe u dat voorkomt: uniek wachtwoord, wachtwoordmanager, tweestapsverificatie." canonical_url: https://startbrain.io/cyberpedia/nl/articles/hergebruik-wachtwoord-prive-werk/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/hergebruik-wachtwoord-prive-werk.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Eén wachtwoord voor een privésite en een werkaccount”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/hergebruik-wachtwoord-prive-werk/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-011 schema: G2 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/hergebruik-wachtwoord-prive-werk/ fr: https://startbrain.io/cyberpedia/fr/articles/reutilisation-mot-de-passe-perso-pro/ en: https://startbrain.io/cyberpedia/en/articles/password-reuse-personal-work-accounts/ de: https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf/ es: https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional/ it: https://startbrain.io/cyberpedia/it/articles/riutilizzo-password-personale-lavoro/ sources: - "n": 1 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 2 title: Credential Stuffing Prevention - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email accessed: "2026-11-03" - "n": 4 title: Managing your passwords publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" - "n": 8 title: "Mots de passe : recommandations pour maîtriser sa sécurité" publisher: CNIL url: https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite published: "2022-10-14" accessed: "2026-11-03" --- # Eén wachtwoord voor een privésite en een werkaccount Wanneer een website of dienst wordt gehackt, worden er soms lijsten met combinaties van gebruikersnaam en wachtwoord online gepubliceerd. Aanvallers gebruiken die om in andere accounts te komen. Ze profiteren ervan dat veel gebruikers voor hun privéaccounts en werkaccounts hetzelfde wachtwoord houden [1]. Deze techniek heet credential stuffing. De gehackte site kan dus een forum of een webwinkel zijn zonder enig verband met uw werkgever. Als het wachtwoord daar hetzelfde is als op het werk, opent het datalek van die site ook de deur naar het bedrijf: MITRE beschrijft aanvallers die rekenen op de neiging om hetzelfde wachtwoord te gebruiken voor privéaccounts en werkaccounts [1]. ## In 30 seconden - Waar het gebeurt: op de e-mail, het centrale inlogportaal (SSO) of de onlinetoepassingen van het bedrijf, die aanvallers testen met inloggegevens uit een ander datalek [1]. - Wat de aanvaller wil: binnenkomen met geldige inloggegevens, verkregen via een account dat niets met het bedrijf te maken heeft [1]. - Als het al is gebeurd: wijzig zo snel mogelijk het wachtwoord van uw e-mail als u het hebt hergebruikt [3]. - De reflex: een ander wachtwoord voor elk account, bewaard in een wachtwoordmanager, met tweestapsverificatie ingeschakeld [4]. ## Directe vragen ### Hoe raakt een datalek bij een privésite mijn werkaccount? Aanvallers verzamelen de combinaties die na de hack van een site zijn gepubliceerd en proberen ze uit op andere diensten. Tot de doelwitten die MITRE noemt, behoren onlinetoepassingen met single sign-on en vanaf internet bereikbare e-maildiensten, zoals Office 365 [1]. Als uw wachtwoord hetzelfde is, lukt de poging. ### Waarom vergroot mijn zakelijke e-mailadres het risico? OWASP merkt op dat veel sites het e-mailadres als gebruikersnaam gebruiken en dat de meeste mensen één adres voor al hun accounts hebben. De combinatie van adres en wachtwoord is dan zeer doeltreffend voor credential stuffing [2]. Een werkadres dat u aan een privésite geeft, levert de aanvaller de helft van de combinatie voor uw werkaccount. ### Mijn privésite is onbelangrijk. Waarom zou ik me er zorgen over maken? Omdat de aanvaller niet in die site geïnteresseerd is, maar in wat hij daarmee elders kan uitproberen. Het Britse NCSC zegt het zo: een eigen wachtwoord voor uw e-mail betekent dat criminelen, als ze het wachtwoord van een minder belangrijk account stelen, daarmee niet bij uw e-mail kunnen komen [3]. Die redenering geldt voor alle accounts: geen enkel account is "onbelangrijk" zolang het wachtwoord ook elders wordt gebruikt. ### Wat riskeert u concreet als uw e-mail in verkeerde handen valt? Volgens het NCSC kan een crimineel die toegang krijgt tot uw e-mail privégegevens lezen, berichten sturen alsof hij u is en de wachtwoorden van uw andere accounts opnieuw instellen [3]. ## Hoe het werkt Een datalek levert combinaties van gebruikersnaam en wachtwoord op. De aanvaller probeert ze uit op gangbare inlogdiensten, waaronder toegang voor beheer op afstand, onlinetoepassingen en e-mail [1]. MITRE geeft aan dat de methode riskant is voor de aanvaller, omdat ze veel mislukte inlogpogingen en vergrendelde accounts kan veroorzaken, afhankelijk van het beleid van de organisatie [1]. De CISA vertelt het verhaal van Emma, een illustratief verhaal zonder datum. Ze krijgt een melding van haar bank over een overschrijving van 700 dollar die ze niet heeft gevraagd. Daarna merkt ze dat ze haar e-mail niet meer kan openen om haar wachtwoord opnieuw in te stellen. Ze had op beide accounts hetzelfde wachtwoord, afkomstig uit een online gepubliceerd datalek van een bedrijf [6]. ## Wat u doet Eén account, één wachtwoord. De CNIL vraagt om elk gevoelig account (bank, e-mail, sociaal netwerk) te beveiligen met een eigen, uniek wachtwoord, om hacks in een kettingreactie te voorkomen [5]. De CISA raadt wachtwoorden aan van minstens 16 tekens, willekeurig en verschillend voor elk account [6]. Gebruik een wachtwoordmanager. Het is onmogelijk om voor elk account een sterk wachtwoord te onthouden, en de manager neemt dat over: hij genereert ze, slaat ze op en vult ze voor u in [6]. Hij kan ook melden dat een wachtwoord is gelekt [4]. Het NCSC voegt toe dat automatisch invullen beschermt tegen phishing, omdat het wachtwoord alleen op de juiste site verschijnt [4]. U hoeft dan nog maar één hoofdwachtwoord te onthouden, dat volgens het NCSC zelf met tweestapsverificatie moet worden beveiligd [4]. Laat op een gedeelde computer de browser nooit een wachtwoord opslaan [5]. Schakel tweestapsverificatie in. Voor het NCSC is dat de eerste stap, omdat ze ook beschermt als het wachtwoord is buitgemaakt via phishing of anderszins in verkeerde handen is gevallen [4]. De CISA geeft aan dat sterke wachtwoorden alleen niet meer volstaan en dat niet alle methoden gelijkwaardig zijn: de beveiligingssleutel beschermt het best, de code per sms of e-mail het minst, en die gebruikt u alleen als er niets beters is [7]. Ze moedigt medewerkers ook aan om tweestapsverificatie op hun privéaccounts in te schakelen [7]. Als een wachtwoord mogelijk is gelekt, wijzig het dan meteen. Het NCSC vraagt om zo snel mogelijk het wachtwoord van uw e-mail te wijzigen als u het hebt hergebruikt, en dan een sterk wachtwoord te kiezen dat verschilt van alle andere [3]. De CNIL verwacht van een dienst die door een datalek is getroffen dat ze de gebruiker aanraadt de wachtwoorden van zijn andere diensten te wijzigen als hij daar hetzelfde wachtwoord had gebruikt [8]. ## De valkuilen - Hetzelfde wachtwoord houden voor het werkaccount en voor privéaccounts: dat is precies het geval dat MITRE beschrijft [1]. Het NCSC spreekt van een wachtwoord dat u op geen enkel ander account gebruikt, "either at home or at work" [3]. - Zich met het werkadres inschrijven op een privésite. Het adres dient op veel sites als gebruikersnaam, en de lijsten met combinaties circuleren met die adressen [2]. - Denken dat een bijkomstige site er niet toe doet. Een wachtwoord is geldig overal waar het is hergebruikt, ongeacht van welke site het is gelekt [1]. - Het bij een code per sms of e-mail laten. Het is beter dan niets, maar het is de zwakste vorm van tweestapsverificatie [7]. - Niet weten welke wachtwoorden worden hergebruikt. Een wachtwoordmanager kan zwakke of hergebruikte wachtwoorden melden [6]. ## Bronnen 1. MITRE ATT&CK, “Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/004/ (geraadpleegd op 3 november 2026) 2. OWASP, “Credential Stuffing Prevention - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 3. NCSC (Royaume-Uni), “Use a strong and separate password for your email”. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (geraadpleegd op 3 november 2026) 4. NCSC (Royaume-Uni), “Managing your passwords”. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers (geraadpleegd op 3 november 2026) 5. CNIL, “Les conseils de la CNIL pour un bon mot de passe”, 26 januari 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (geraadpleegd op 3 november 2026) 6. CISA, “Use Strong Passwords | CISA”. https://www.cisa.gov/secure-our-world/use-strong-passwords (geraadpleegd op 3 november 2026) 7. CISA, “Require Multifactor Authentication | CISA”. https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (geraadpleegd op 3 november 2026) 8. CNIL, “Mots de passe : recommandations pour maîtriser sa sécurité”, 14 oktober 2022. https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/hergebruik-wachtwoord-prive-werk/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.