--- id: CP-559 slug: tweestapsverificatie-persoonlijke-mailbox lang: nl title: Uw persoonlijke mailbox beschermen met tweestapsverificatie description: "Tweestapsverificatie instellen voor uw persoonlijke mailbox: methoden, back-upcodes, doorstuurregels om te controleren en valkuilen." canonical_url: https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Uw persoonlijke mailbox beschermen met tweestapsverificatie”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-064 schema: G5 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/ fr: https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ en: https://startbrain.io/cyberpedia/en/articles/two-factor-authentication-personal-email/ de: https://startbrain.io/cyberpedia/de/articles/doppelte-authentifizierung-privates-e-mail-postfach/ es: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ it: https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/ sources: - "n": 1 title: More than a Password | CISA publisher: CISA url: https://www.cisa.gov/MFA accessed: "2026-11-03" - "n": 2 title: Multifactor Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 4 title: Require Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 7 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 8 title: "Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/006/ accessed: "2026-11-03" --- # Uw persoonlijke mailbox beschermen met tweestapsverificatie Een wachtwoord alleen beschermt een mailbox slecht. CISA, de Amerikaanse cyberbeveiligingsdienst, wijst erop dat een wachtwoord hergebruikt kan worden, makkelijker te raden of te stelen is, en dat kwaadwillenden weten hoe ze het kunnen omzeilen [1]. Tweestapsverificatie (ook MFA, 2FA of verificatie in twee stappen genoemd) voegt bij het inloggen een tweede identiteitsbewijs toe [1]. CISA noemt e-mail als eerste van de accounts waarvoor tweestapsverificatie moet worden ingesteld [1]. Diensten sturen vaak een code of een link naar het adres van het account om de houder te controleren [2]. Deze pagina legt de methoden, de handelingen en de valkuilen uit. ## In 30 seconden - Waar het gebeurt: bij het inloggen op een persoonlijke mailbox, en wanneer een nepbericht, een nepadviseur of een stortvloed aan meldingen u ertoe brengt een code door te geven of een verzoek goed te keuren. - Wat de aanvaller wil: met een gestolen wachtwoord in de mailbox komen en vervolgens de tweede stap omzeilen door een code of een goedkeuring van het slachtoffer los te krijgen [3]. - De reflex: tweestapsverificatie inschakelen op uw mailbox, een app of een beveiligingssleutel verkiezen boven sms, en een code die u niet zelf hebt aangevraagd nooit invoeren of doorgeven. - Als u het al hebt ingesteld: controleer de herstelopties, de geregistreerde methoden en de doorstuurregels van de mailbox. ## Directe vragen ### Wat is tweestapsverificatie? Het is een methode die minstens twee bewijzen combineert uit drie categorieën: iets wat u weet (wachtwoord, pincode), iets wat u bezit (authenticatie-app, bevestigings-sms) en iets wat u bent (vingerafdruk, gezicht) [1]. Als het wachtwoord gestolen is, loopt de aanvaller vast op de tweede eis [1]. ### Waar moet ik het inschakelen? CISA noemt eerst de e-mailaccounts, daarna financiële diensten, sociale netwerken, webwinkels en game- en streamingdiensten [1]. De opties staan in de beveiligingsinstellingen van het account, onder uiteenlopende namen: "Two Factor Authentication", "Multifactor Authentication" of "Two Step Factor Authentication" [1]. Biedt de dienst het niet aan, dan raadt CISA aan erom te vragen [1]. ### Zijn alle methoden even goed? Nee. CISA schrijft dat "any MFA is better than no MFA", maar dat sommige methoden beter beschermen dan andere [1]. Het presenteert FIDO/WebAuthn als de enige breed beschikbare phishingbestendige authenticatie: als de gebruiker door een nepsite wordt misleid, blokkeert het protocol de poging [1]. Beveiligingssleutels van het type U2F, zoals de YubiKey, zijn phishingbestendig omdat de privésleutel het apparaat nooit verlaat [2]. ### Moet ik sms vermijden? Het is beter dan niets [1], maar het heeft bekende zwakke punten. OWASP rekent sms tot de beperkte authenticators, vanwege SS7-onderschepping, SIM-swapping en nummeroverdracht [2]. Wie alleen sms heeft, krijgt van OWASP het advies een overstap te plannen naar een app voor tijdelijke codes (TOTP), pushmeldingen of WebAuthn/FIDO2 [2]. ## Hoe het werkt Een authenticatie-app genereert een numerieke code die kort geldig is. De gebruiker installeert de app op de telefoon, scant een QR-code van de dienst die het oorspronkelijke geheim (seed) levert, en voert daarna de getoonde codes in [2]. RFC 6238 beveelt standaard een stap van 30 seconden aan [2]. Het zwakke punt is de telefoon: als het toestel kwijt, gestolen of leeg is, kan niet meer worden ingelogd, en back-ups van de seed kunnen slecht bewaard zijn [2]. Een hardwaresleutel van het type U2F werkt anders. Er hoeft niets te worden overgetypt: de gebruiker drukt op een knop of houdt de sleutel bij een NFC-lezer [2]. ## Wat u doet - Schakel vandaag nog tweestapsverificatie in op uw mailbox [1]. - Kies een authenticatie-app of een beveiligingssleutel in plaats van sms [2]. Wordt alleen sms aangeboden, kies dat dan liever dan niets [1]. - Bewaar de back-upcodes. OWASP noemt eenmalige codes die bij de registratie worden verstrekt als gangbare herstelmethode [2]. - Bescherm het wachtwoord. CISA vraagt om lange wachtwoorden (minstens 16 tekens), willekeurig en uniek, bewaard in een wachtwoordmanager [4]. - Controleer de herstelopties: telefoonnummer, reserveadres, geregistreerde apparaten. OWASP merkt op dat het wijzigen van een authenticatiefactor een handeling is die aanvallers gebruiken om een account over te nemen, en dat de dienst de gebruiker bij elke wijziging via een ander kanaal moet waarschuwen [2]. Een melding van die aard die u niet zelf hebt veroorzaakt, is een alarmsignaal. - Zoek naar doorstuurregels. Een aanvaller kan een regel maken die berichten naar een ander adres doorstuurt, en die regel houdt zijn toegang tot de e-mails in stand, zelfs nadat beheerders de inloggegevens hebben gereset [5]. Open in uw mailbox de instellingen voor regels en doorsturen, en verwijder alles wat u niet zelf hebt gemaakt. ## De valkuilen ### Meldingen in salvo's Een aanvaller die het wachtwoord kent, kan het inloggen herhaaldelijk starten en het slachtoffer overspoelen met meldingen, sms'jes en telefoontjes, in de hoop dat het slachtoffer uiteindelijk uit vermoeidheid accepteert: dat heet "MFA fatigue" [3]. MITRE noemt groepen die deze methode hebben gebruikt, waaronder LAPSUS$ en Scattered Spider [3]. De regel: keur alleen inlogpogingen goed die u net zelf hebt gestart. Zonder phishingbestendige MFA raadt CISA aan nummervergelijking te overwegen om deze aanvallen te blokkeren [1]. ### De code die een nepadviseur vraagt Een phishingbericht kan vragen een nummer te bellen, waar de gesprekspartner het slachtoffer naar een kwaadaardig adres leidt of een hulpmiddel voor toegang op afstand laat installeren [6]. Een code die u per sms of e-mail ontvangt, deelt u met niemand: hij dient om te bewijzen dat u de houder van het account bent. MITRE wijst erop dat codes die per sms of e-mail worden verstuurd, onderschept kunnen worden als het toestel of de dienst niet beveiligd is [7]. ### Valse beveiligingsberichten Phishing is social engineering via elektronische weg: de aanvaller doet zich voor als een vertrouwde bron [6]. Een vals waarschuwingsbericht kan doorverwijzen naar een kopie van de inlogsite. Hulpmiddelen zoals evilginx2 onderscheppen dan de authenticatietokens en omzeilen vormen van authenticatie die niet phishingbestendig zijn [7]. Een FIDO-sleutel blokkeert dit scenario [1]. Klik bij twijfel niet: open de dienst door het adres zelf in te typen. ### Het gekaapte telefoonnummer Bij SIM-swapping overtuigt de aanvaller de provider om het nummer van het slachtoffer over te zetten, waardoor hij de codes per sms of telefoontje kan ontvangen [2]. OWASP raadt aan onverwachte nummerwijzigingen of SIM-vervangingen in de gaten te houden [2]. ### De tweede stap uitgeschakeld Nadat een aanvaller in een account is gekomen, kan hij de tweestapsverificatie uitschakelen of zijn eigen methode registreren [8]. Bekijk af en toe de lijst met methoden en apparaten die op uw mailbox zijn geregistreerd. ## Bronnen 1. CISA, “More than a Password | CISA”. https://www.cisa.gov/MFA (geraadpleegd op 3 november 2026) 2. OWASP, “Multifactor Authentication - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1621/ (geraadpleegd op 3 november 2026) 4. CISA, “Require Strong Passwords | CISA”. https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1114/003/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1111/ (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1556/006/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.