Je accounts beveiligen zonder expert te worden

Je accounts beveiligen vereist niet dat je expert in cryptografie wordt. Het komt er vooral op aan te voorkomen dat één incident — een lek bij een onbelangrijke website, een verloren telefoon of een vals formulier — toegang geeft tot je hele digitale leven.

Een goede methode steunt op vier elementen: een ander geheim voor elke dienst, een sterke tweede factor, actuele herstelopties en het vermogen om een ongebruikelijke aanmelding op te merken.

Je mailbox is de hoofdsleutel

Wanneer een aanvaller de controle over een e-mailadres overneemt, kan hij voor veel andere accounts een wachtwoordherstel aanvragen. Hij leest de bevestigingen, verwijdert de waarschuwingen en ontdekt welke diensten je gebruikt.

Begin dus met je belangrijkste mailbox. Die moet beschikken over:

• een uniek wachtwoord;
• een tweede factor;
• een actueel herstelmailadres en -telefoonnummer;
• actieve sessies die regelmatig worden gecontroleerd;
• geen enkele doorstuurregel die je niet zelf hebt aangemaakt.

Doe daarna hetzelfde voor de wachtwoordbeheerder, de bankaccounts, belangrijke sociale netwerken en het beheer van je website of professionele activiteit.

Waarom een complex wachtwoord niet volstaat

Stel dat je een wachtwoord van twintig tekens op tien diensten gebruikt. Een van die diensten wordt gehackt en bewaart wachtwoorden slecht. De gestolen inloggegevens worden automatisch uitgeprobeerd bij mailboxen, webwinkels en sociale netwerken.

De aanvaller hoeft je wachtwoord niet te kraken. Hij kent het al.

Dat heet ‘credential stuffing’. Het verklaart waarom uniciteit belangrijker is dan symbolen die achteraan een hergebruikt woord worden geplakt.

Elke account moet een ander wachtwoord hebben. Omdat niemand er redelijkerwijs honderd kan onthouden, heb je een wachtwoordbeheerder nodig.

Een wachtwoordbeheerder kiezen en gebruiken

De beheerder genereert lange, willekeurige wachtwoorden, bewaart ze versleuteld en vult ze in op de juiste website. Je onthoudt alleen één hoofdwachtzin.

Controleer enkele criteria:

• eind-tot-eindversleuteling;
• een tweede factor of passkey om de kluis te openen;
• de mogelijkheid om te exporteren in een bruikbaar formaat;
• een gedocumenteerd beveiligingsbeleid en gekende audits;
• werking op je gebruikelijke toestellen;
• een duidelijke procedure als je een toestel verliest.

De beheerder die in de browser of het besturingssysteem is ingebouwd, is al een grote verbetering ten opzichte van hergebruik. De perfecte tool die je nooit gebruikt, beschermt minder dan een eenvoudige oplossing die je elke dag gebruikt.

Wanneer de beheerder een hergebruikt wachtwoord signaleert, begin dan bij de belangrijkste accounts. Het is niet nodig alles in één nacht te verbeteren.

Een hoofdwachtzin opbouwen

Kies meerdere woorden zonder duidelijk verband, lang genoeg om een zin te vormen die je kunt onthouden. Vermijd bekende citaten, songteksten, familiedatums en varianten van `P@ssw0rd`.

Die zin mag alleen dienen voor de wachtwoordbeheerder. Fotografeer hem niet en stuur hem niet per e-mail. Als je bang bent hem te vergeten, kan een papieren kopie op een gepaste, privéplek veiliger zijn dan een onbeveiligd bestand.

Het doel is geen geheim te maken dat onmogelijk te typen is, maar een geheim dat lang, uniek en zelden blootgesteld is.

Tweede factor, passkey en fysieke sleutel

Een tweede factor voegt een bewijs toe, zodat het wachtwoord alleen niet volstaat.

### Sms

Sms is beter dan geen bescherming, maar hangt af van je telefoonnummer en kan het doelwit zijn van simkaartkaping. Gebruik het wanneer de dienst niets anders aanbiedt.

### Authenticatie-app

Tijdelijke codes bieden een goed niveau voor de meeste accounts. Ze kunnen echter nog altijd op een valse pagina worden ingevoerd en meteen aan de echte dienst worden doorgegeven.

### Melding of goedkeuring op de smartphone

Dat is handig, maar let op goedkeuringsmoeheid. Een aanvaller kan herhaaldelijk verzoeken sturen tot de gebruiker er een aanvaardt. Keur nooit een verzoek goed dat je niet zelf hebt gestart.

### Passkey of beveiligingssleutel

Deze methoden zijn gekoppeld aan het domein van de website. Een nagemaakte site kan ze normaal niet hergebruiken. Ze bieden de beste weerstand tegen phishing voor gevoelige accounts.

Registreer minstens één reservemethode. Een bescherming die te sterk afhangt van één toestel, kan je buitensluiten uit je eigen account.

Herstelopties zijn vaak de achterdeur

Je kunt de hoofdaanmelding perfect beveiligen en toch een oud herstelmailadres toegankelijk laten voor iemand anders.

Controleer één keer per jaar:

1. of het herstelmailadres nog bestaat en zelf beveiligd is;
2. of het telefoonnummer juist is;
3. of de herstelcodes offline worden bewaard;
4. of er geen onbekend toestel als vertrouwd staat ingesteld;
5. of geen overbodige externe app toegang heeft tot de account.

Oude beveiligingsvragen moeten als wachtwoorden worden behandeld. Een waar antwoord — geboorteplaats, naam van een huisdier — is vaak openbaar. Bewaar een willekeurig antwoord in de wachtwoordbeheerder.

Wat te doen na een aanmeldingswaarschuwing

Klik niet rechtstreeks in de waarschuwingsmail. Open de app of website via je gebruikelijke weg en bekijk de aanmeldingsgeschiedenis.

Als de toegang onbekend is:

• wijzig het wachtwoord;
• trek alle sessies in;
• controleer de factoren en herstelopties;
• controleer de regels van je mailbox;
• zoek naar wijzigingen die tijdens de sessie werden doorgevoerd;
• beveilig de accounts waar het oude wachtwoord werd hergebruikt.

Verwittig bij een professionele account de support of de verantwoordelijke. Een gecompromitteerde account kan berichten naar je contacten hebben gestuurd, ook al lijkt er niets gewijzigd.

Opruimen zonder er je weekend aan te besteden

Ongebruikte accounts blijven toegangspunten. Ze bevatten soms een oud adres, documenten of een toestemming voor een dienst die nog actief is.

Besteed twee keer per jaar een halfuur aan:

• diensten verwijderen die overbodig zijn geworden;
• gekoppelde apps intrekken;
• sessies controleren;
• wachtwoorden verbeteren die als gecompromitteerd zijn gemeld;
• herstelcodes bijwerken;
• bevestigen dat de back-ups of exports van de wachtwoordbeheerder toegankelijk zijn.

Een vaste planning is doeltreffender dan een grote schoonmaak alleen na een incident.

Voor een gezin of een klein team

Deel geen wachtwoord via een berichtenapp. Gebruik de functie voor veilig delen van de wachtwoordbeheerder. Iedereen houdt zijn eigen persoonlijke account; het gedeelde geheim kan worden vervangen zonder identiteiten te vermengen.

Documenteer ook de kritieke toegangen. Wie kan in een vereniging het domein, de bank, de mailbox of de sociale media herstellen als de verantwoordelijke afwezig is? Een verzegelde envelop, een gedeelde digitale kluis of een procedure met twee verantwoordelijken voorkomt dat één vertrek de hele organisatie blokkeert.

Officiële bronnen

• Safeonweb — tips om je online te beschermen
• CCB — accountcompromitteringen in België (FR)