Eén wachtwoord voor een privésite en een werkaccount

Een datalek levert combinaties van gebruikersnaam en wachtwoord op. De aanvaller probeert ze uit op gangbare inlogdiensten, waaronder toegang voor beheer op afstand, onlinetoepassingen en e-mail¹. MITRE geeft aan dat de methode riskant is voor de aanvaller, omdat ze veel mislukte inlogpogingen en vergrendelde accounts kan veroorzaken, afhankelijk van het beleid van de organisatie¹.

De CISA vertelt het verhaal van Emma, een illustratief verhaal zonder datum. Ze krijgt een melding van haar bank over een overschrijving van 700 dollar die ze niet heeft gevraagd. Daarna merkt ze dat ze haar e-mail niet meer kan openen om haar wachtwoord opnieuw in te stellen. Ze had op beide accounts hetzelfde wachtwoord, afkomstig uit een online gepubliceerd datalek van een bedrijf⁶.

Eén account, één wachtwoord. De CNIL vraagt om elk gevoelig account (bank, e-mail, sociaal netwerk) te beveiligen met een eigen, uniek wachtwoord, om hacks in een kettingreactie te voorkomen⁵. De CISA raadt wachtwoorden aan van minstens 16 tekens, willekeurig en verschillend voor elk account⁶.

Gebruik een wachtwoordmanager. Het is onmogelijk om voor elk account een sterk wachtwoord te onthouden, en de manager neemt dat over: hij genereert ze, slaat ze op en vult ze voor u in⁶. Hij kan ook melden dat een wachtwoord is gelekt⁴. Het NCSC voegt toe dat automatisch invullen beschermt tegen phishing, omdat het wachtwoord alleen op de juiste site verschijnt⁴. U hoeft dan nog maar één hoofdwachtwoord te onthouden, dat volgens het NCSC zelf met tweestapsverificatie moet worden beveiligd⁴. Laat op een gedeelde computer de browser nooit een wachtwoord opslaan⁵.

Schakel tweestapsverificatie in. Voor het NCSC is dat de eerste stap, omdat ze ook beschermt als het wachtwoord is buitgemaakt via phishing of anderszins in verkeerde handen is gevallen⁴. De CISA geeft aan dat sterke wachtwoorden alleen niet meer volstaan en dat niet alle methoden gelijkwaardig zijn: de beveiligingssleutel beschermt het best, de code per sms of e-mail het minst, en die gebruikt u alleen als er niets beters is⁷. Ze moedigt medewerkers ook aan om tweestapsverificatie op hun privéaccounts in te schakelen⁷.

Als een wachtwoord mogelijk is gelekt, wijzig het dan meteen. Het NCSC vraagt om zo snel mogelijk het wachtwoord van uw e-mail te wijzigen als u het hebt hergebruikt, en dan een sterk wachtwoord te kiezen dat verschilt van alle andere³. De CNIL verwacht van een dienst die door een datalek is getroffen dat ze de gebruiker aanraadt de wachtwoorden van zijn andere diensten te wijzigen als hij daar hetzelfde wachtwoord had gebruikt⁸.

• Hetzelfde wachtwoord houden voor het werkaccount en voor privéaccounts: dat is precies het geval dat MITRE beschrijft¹. Het NCSC spreekt van een wachtwoord dat u op geen enkel ander account gebruikt, "either at home or at work"³.
• Zich met het werkadres inschrijven op een privésite. Het adres dient op veel sites als gebruikersnaam, en de lijsten met combinaties circuleren met die adressen².
• Denken dat een bijkomstige site er niet toe doet. Een wachtwoord is geldig overal waar het is hergebruikt, ongeacht van welke site het is gelekt¹.
• Het bij een code per sms of e-mail laten. Het is beter dan niets, maar het is de zwakste vorm van tweestapsverificatie⁷.
• Niet weten welke wachtwoorden worden hergebruikt. Een wachtwoordmanager kan zwakke of hergebruikte wachtwoorden melden⁶.