Zijn je gegevens ooit gelekt bij een datalek? Dan is het belangrijk om snel in actie te komen. Criminelen kunnen gestolen e-mailadressen en wachtwoorden namelijk opnieuw gebruiken om in te breken op andere accounts. Deze vorm van cybercriminaliteit heet credential stuffing. Zo werkt het en zo voorkom je dat je slachtoffer wordt.
Wat is credential stuffing?
Bij credential stuffing proberen cybercriminelen automatisch in te loggen op allerlei websites met gestolen gebruikersnamen en wachtwoorden. Die gegevens komen vaak uit eerdere datalekken bij webwinkels, sociale media of andere onlinediensten.
Veel mensen gebruiken hetzelfde wachtwoord op meerdere websites. Lekt één account uit? Dan proberen criminelen met diezelfde combinatie ook in te loggen bij bijvoorbeeld je e-mail, sociale media of zelfs je bankomgeving. Lukt dat, dan krijgen ze toegang tot meerdere accounts en de persoonlijke gegevens die daarop staan.
Hoe werkt het?
Cybercriminelen hoeven niet zelf miljoenen wachtwoorden in te typen. Ze gebruiken speciale computerprogramma’s, ook wel bots genoemd. Deze bots proberen razendsnel duizenden of zelfs miljoenen combinaties van e-mailadressen en wachtwoorden uit op verschillende websites.
Voor de meeste pogingen krijgen ze geen toegang. Maar als je hetzelfde wachtwoord op meerdere plekken gebruikt, is de kans groot dat een of meer accounts toch worden gekraakt. Met een gehackt account kunnen criminelen vervolgens:
- persoonlijke gegevens stelen;
- aankopen doen of identiteitsfraude plegen;
- wachtwoorden van andere accounts wijzigen;
- uit jouw naam berichten versturen;
- de inloggegevens doorverkopen op het darkweb, een verborgen deel op het internet waar illegale handel plaatsvindt.
Wat moet je doen als je gegevens zijn gelekt?
Heb je een melding gekregen dat jouw gegevens voorkomen in een datalek? Of zie je verdachte inlogpogingen op een account? Wacht dan niet. Doe in ieder geval het volgende:
- Verander direct je wachtwoord.
Gebruik een nieuw, sterk wachtwoord dat je nergens anders gebruikt. - Controleer andere accounts.
Gebruik je hetzelfde wachtwoord ook op andere websites? Verander het daar dan ook meteen. - Zet tweestapsverificatie (2FA) aan.
Hiermee moet je naast je wachtwoord nog een extra stap uitvoeren, bijvoorbeeld een code invoeren via een app of sms. - Controleer je accountactiviteit.
Kijk of er onbekende apparaten, locaties of verdachte transacties zichtbaar zijn. - Blokkeer het account als dat nodig is.
Sommige diensten bieden de mogelijkheid een account tijdelijk te vergrendelen totdat je je identiteit hebt bevestigd.
Zo voorkom je credential stuffing
Je kunt de kans dat je hiervan slachtoffer wordt verkleinen door de volgende tips op te volgen:
- Gebruik voor ieder account een uniek wachtwoord.
Als één wachtwoord uitlekt, blijven je andere accounts veilig. - Kies sterke wachtwoorden.
Gebruik een lang wachtwoord of een wachtzin die moeilijk te raden is. Vermijd namen, geboortedata en eenvoudige reeksen zoals ‘Welkom123’. - Gebruik een wachtwoordmanager.
Een wachtwoordmanager maakt sterke, unieke wachtwoorden voor je aan en bewaart ze veilig. Zo hoef je zelf nog maar één hoofdwachtwoord te onthouden. - Ook hier de tip: zet tweestapsverificatie aan.
Zelfs als criminelen je wachtwoord kennen, kunnen ze dan meestal niet inloggen.
Hoe check je of jouw e-mailadres is gelekt?
Wil je graag weten of jouw e-mailadres voorkomt in een bekend datalek? Dat kun je eenvoudig controleren. Een van de bekendste websites is Have I Been Pwned. Vul daar je e-mailadres in en je ziet gelijk of het voorkomt in een of meer datalekken. De site laat ook zien bij welke diensten je gegevens mogelijk zijn gestolen.
Staat jouw e-mailadres ertussen? Geen paniek, maar onderneem wel direct actie met de bovenstaande tips.
