Cyberpediadoor Brain
NLDEENESFRIT

Uw persoonlijke mailbox beschermen met tweestapsverificatie

Tweestapsverificatie instellen voor uw persoonlijke mailbox: methoden, back-upcodes, doorstuurregels om te controleren en valkuilen.

In 30 seconden

Waar het gebeurt
Bij het inloggen op een persoonlijke mailbox, en wanneer een nepbericht, een nepadviseur of een stortvloed aan meldingen u ertoe brengt een code door te geven of een verzoek goed te keuren.
Wat de aanvaller wil
Met een gestolen wachtwoord in de mailbox komen en vervolgens de tweede stap omzeilen door een code of een goedkeuring van het slachtoffer los te krijgen3.
De reflex
Tweestapsverificatie inschakelen op uw mailbox, een app of een beveiligingssleutel verkiezen boven sms, en een code die u niet zelf hebt aangevraagd nooit invoeren of doorgeven.
Als u het al hebt ingesteld
Controleer de herstelopties, de geregistreerde methoden en de doorstuurregels van de mailbox.

Waar gaat het over

Een wachtwoord alleen beschermt een mailbox slecht. CISA, de Amerikaanse cyberbeveiligingsdienst, wijst erop dat een wachtwoord hergebruikt kan worden, makkelijker te raden of te stelen is, en dat kwaadwillenden weten hoe ze het kunnen omzeilen1. Tweestapsverificatie (ook MFA, 2FA of verificatie in twee stappen genoemd) voegt bij het inloggen een tweede identiteitsbewijs toe1.

CISA noemt e-mail als eerste van de accounts waarvoor tweestapsverificatie moet worden ingesteld1. Diensten sturen vaak een code of een link naar het adres van het account om de houder te controleren2. Deze pagina legt de methoden, de handelingen en de valkuilen uit.

Directe vragen

Wat is tweestapsverificatie?

Het is een methode die minstens twee bewijzen combineert uit drie categorieën: iets wat u weet (wachtwoord, pincode), iets wat u bezit (authenticatie-app, bevestigings-sms) en iets wat u bent (vingerafdruk, gezicht)1. Als het wachtwoord gestolen is, loopt de aanvaller vast op de tweede eis1.

Waar moet ik het inschakelen?

CISA noemt eerst de e-mailaccounts, daarna financiële diensten, sociale netwerken, webwinkels en game- en streamingdiensten1. De opties staan in de beveiligingsinstellingen van het account, onder uiteenlopende namen: "Two Factor Authentication", "Multifactor Authentication" of "Two Step Factor Authentication"1. Biedt de dienst het niet aan, dan raadt CISA aan erom te vragen1.

Zijn alle methoden even goed?

Nee. CISA schrijft dat "any MFA is better than no MFA", maar dat sommige methoden beter beschermen dan andere1. Het presenteert FIDO/WebAuthn als de enige breed beschikbare phishingbestendige authenticatie: als de gebruiker door een nepsite wordt misleid, blokkeert het protocol de poging1. Beveiligingssleutels van het type U2F, zoals de YubiKey, zijn phishingbestendig omdat de privésleutel het apparaat nooit verlaat2.

Moet ik sms vermijden?

Het is beter dan niets1, maar het heeft bekende zwakke punten. OWASP rekent sms tot de beperkte authenticators, vanwege SS7-onderschepping, SIM-swapping en nummeroverdracht2. Wie alleen sms heeft, krijgt van OWASP het advies een overstap te plannen naar een app voor tijdelijke codes (TOTP), pushmeldingen of WebAuthn/FIDO22.

1Hoe het werkt1 min

Een authenticatie-app genereert een numerieke code die kort geldig is. De gebruiker installeert de app op de telefoon, scant een QR-code van de dienst die het oorspronkelijke geheim (seed) levert, en voert daarna de getoonde codes in2. RFC 6238 beveelt standaard een stap van 30 seconden aan2. Het zwakke punt is de telefoon: als het toestel kwijt, gestolen of leeg is, kan niet meer worden ingelogd, en back-ups van de seed kunnen slecht bewaard zijn2.

Een hardwaresleutel van het type U2F werkt anders. Er hoeft niets te worden overgetypt: de gebruiker drukt op een knop of houdt de sleutel bij een NFC-lezer2.

2Wat u doet1 min
  • Schakel vandaag nog tweestapsverificatie in op uw mailbox1.
  • Kies een authenticatie-app of een beveiligingssleutel in plaats van sms2. Wordt alleen sms aangeboden, kies dat dan liever dan niets1.
  • Bewaar de back-upcodes. OWASP noemt eenmalige codes die bij de registratie worden verstrekt als gangbare herstelmethode2.
  • Bescherm het wachtwoord. CISA vraagt om lange wachtwoorden (minstens 16 tekens), willekeurig en uniek, bewaard in een wachtwoordmanager4.
  • Controleer de herstelopties: telefoonnummer, reserveadres, geregistreerde apparaten. OWASP merkt op dat het wijzigen van een authenticatiefactor een handeling is die aanvallers gebruiken om een account over te nemen, en dat de dienst de gebruiker bij elke wijziging via een ander kanaal moet waarschuwen2. Een melding van die aard die u niet zelf hebt veroorzaakt, is een alarmsignaal.
  • Zoek naar doorstuurregels. Een aanvaller kan een regel maken die berichten naar een ander adres doorstuurt, en die regel houdt zijn toegang tot de e-mails in stand, zelfs nadat beheerders de inloggegevens hebben gereset5. Open in uw mailbox de instellingen voor regels en doorsturen, en verwijder alles wat u niet zelf hebt gemaakt.
3De valkuilen2 min

Meldingen in salvo's

Een aanvaller die het wachtwoord kent, kan het inloggen herhaaldelijk starten en het slachtoffer overspoelen met meldingen, sms'jes en telefoontjes, in de hoop dat het slachtoffer uiteindelijk uit vermoeidheid accepteert: dat heet "MFA fatigue"3. MITRE noemt groepen die deze methode hebben gebruikt, waaronder LAPSUS$ en Scattered Spider3. De regel: keur alleen inlogpogingen goed die u net zelf hebt gestart. Zonder phishingbestendige MFA raadt CISA aan nummervergelijking te overwegen om deze aanvallen te blokkeren1.

De code die een nepadviseur vraagt

Een phishingbericht kan vragen een nummer te bellen, waar de gesprekspartner het slachtoffer naar een kwaadaardig adres leidt of een hulpmiddel voor toegang op afstand laat installeren6. Een code die u per sms of e-mail ontvangt, deelt u met niemand: hij dient om te bewijzen dat u de houder van het account bent. MITRE wijst erop dat codes die per sms of e-mail worden verstuurd, onderschept kunnen worden als het toestel of de dienst niet beveiligd is7.

Valse beveiligingsberichten

Phishing is social engineering via elektronische weg: de aanvaller doet zich voor als een vertrouwde bron6. Een vals waarschuwingsbericht kan doorverwijzen naar een kopie van de inlogsite. Hulpmiddelen zoals evilginx2 onderscheppen dan de authenticatietokens en omzeilen vormen van authenticatie die niet phishingbestendig zijn7. Een FIDO-sleutel blokkeert dit scenario1. Klik bij twijfel niet: open de dienst door het adres zelf in te typen.

Het gekaapte telefoonnummer

Bij SIM-swapping overtuigt de aanvaller de provider om het nummer van het slachtoffer over te zetten, waardoor hij de codes per sms of telefoontje kan ontvangen2. OWASP raadt aan onverwachte nummerwijzigingen of SIM-vervangingen in de gaten te houden2.

De tweede stap uitgeschakeld

Nadat een aanvaller in een account is gekomen, kan hij de tweestapsverificatie uitschakelen of zijn eigen methode registreren8. Bekijk af en toe de lijst met methoden en apparaten die op uw mailbox zijn geregistreerd.

Fiche

Identificatie
CP-559
Vleugel
5. Kantoorleven en reflexen
Brain-competentie
Social engineering doorzien (outsmart_social_engineering)
Brain-reflex
cr-064
Schema
G5 · Beslisboom voor de reflex
Talen
de, en, es, fr, it, nl
Bronnen
8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
  1. CISA, “More than a Password | CISA”. https://www.cisa.gov/MFA (geraadpleegd op 3 november 2026)
  2. OWASP, “Multifactor Authentication - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1621/ (geraadpleegd op 3 november 2026)
  4. CISA, “Require Strong Passwords | CISA”. https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1114/003/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1111/ (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1556/006/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Uw persoonlijke mailbox beschermen met tweestapsverificatie”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/

BibTeX 
@misc{brain_cp559_nl_2026,
  author = {Brain},
  title = {Uw persoonlijke mailbox beschermen met tweestapsverificatie},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0