Wachtwoorden en een misbruikt mailadres: gehackt of vervalst?

Module 3: Je mailbox beheren · Leestijd: 10 minuten

Leerdoel: Na deze les kun je je mailbox goed beveiligen, het verschil tussen een vervalste afzender en een overgenomen mailbox herkennen, en bij allebei de juiste stappen nemen.

Kernbegrippen: sterk wachtwoord, wachtzin, wachtwoordmanager, hergebruik, datalek, brute force, IP-blokkade, tweestapsverificatie, app-wachtwoord, phishing, spoofing (vervalste afzender), backscatter, overgenomen mailbox, verdachte regels en doorsturingen, verzendlimiet

Twee soorten "mijn adres verstuurt spam"

Bijna elke beheerder krijgt het ooit te horen: "er gaat spam uit van mijn adres". Er zijn twee heel verschillende oorzaken, en de aanpak is anders.

1. Vervalsing (spoofing): niemand zat in je mailbox

Een afzenderadres is gewoon tekst. Iedereen kan een mail versturen met Van: info@example.com, via zijn eigen server, zonder ooit in jouw mailbox te komen. Dat heet spoofing.

Zo herken je het:

• Je krijgt ineens tientallen of honderden bounces over mails die je nooit hebt verstuurd, vaak aan onbekende adressen. Dat is backscatter: de ontvangers weigerden de vervalste mail en stuurden de foutmelding naar het adres dat erin stond, dus naar jou.
• In je eigen Verzonden-map staat niets.
• In de logboeken van je mailserver (bij veel panelen: een functie als "e-mail tracering") zie je die berichten niet als uitgaande mail.
• In de kopregels van zo'n teruggestuurde mail (les 1.5) staat een Received-regel van een server die niet van jou is.

Je wachtwoord wijzigen helpt hier niet: niemand had het. Wat wel helpt, is DMARC (les 4.4). Met p=quarantine of p=reject vertel je ontvangers dat ze mail die niet door jouw SPF of DKIM komt, moeten wegzetten of weigeren. Dan komt de vervalste mail minder vaak aan, en worden er ook minder mensen opgelicht met jouw naam. De bounces stoppen meestal vanzelf na een paar dagen; je kunt ze weggooien.

2. Een overgenomen mailbox: iemand heeft je wachtwoord

Heeft iemand je wachtwoord, dan logt hij in op jouw server en verstuurt hij spam echt via jouw mailbox. Dat is veel ernstiger: de spam komt uit een vertrouwde server met jouw geldige SPF en DKIM, dus komt hij vaak aan. En de server raakt zijn goede naam kwijt (les 5.2).

Zo herken je het:

• In het logboek van de server zie je uitgaande mail die jij niet hebt verstuurd, vaak in grote aantallen.
• Het aantal verzonden berichten van je mailbox is veel hoger dan normaal, of je bereikt ineens de verzendlimiet.
• Je provider meldt het, of blokkeert het verzenden.
• In je mailbox staan dingen die je niet kent: een doorstuurregel naar een onbekend adres, een filter dat bepaalde mail (bijvoorbeeld van je bank of van je provider) meteen naar de prullenbak verplaatst, een ander antwoordadres (Reply-To) in je instellingen, of een afwezigheidsbericht.

Die regels zijn een bekende truc. Een aanvaller die je mailbox overneemt, wil vaak lang ongezien meelezen, bijvoorbeeld om op het juiste moment een nepfactuur met een ander rekeningnummer te sturen. Een doorstuurregel naar zijn eigen adres blijft werken, ook als jij je wachtwoord hebt veranderd.

Hoe komt iemand aan je wachtwoord?

• Phishing: een nepmail met een link naar een nagemaakte inlogpagina ("je mailbox is vol, log hier in"). De meest voorkomende oorzaak.
• Hergebruik: je gebruikt hetzelfde wachtwoord ook bij een webwinkel of forum, en dat wordt gehackt. De gestolen combinaties van e-mailadres en wachtwoord worden daarna automatisch op mailservers uitgeprobeerd. Met diensten als Have I Been Pwned kun je opzoeken of je adres in een bekend datalek zit.
• Raden: korte of voor de hand liggende wachtwoorden (Welkom2026!, de naam van het bedrijf) worden met brute force geraden: duizenden pogingen achter elkaar.
• Malware op je computer die wachtwoorden onderschept of uit je browser haalt.

Je mailbox goed beveiligen

1. Een lang, uniek wachtwoord per mailbox. Lengte telt meer dan rare tekens. Een wachtzin van vier of vijf losse woorden is sterk en te onthouden. Gebruik het nergens anders.
2. Een wachtwoordmanager. Dan hoef je al die wachtwoorden niet te onthouden en is hergebruik niet meer nodig.
3. Tweestapsverificatie waar het kan. Bij zakelijke cloudmail (Microsoft 365, Google Workspace) en bij het klantpaneel van je provider is dat meestal mogelijk. Bij een gewone IMAP-mailbox kan dat vaak niet voor IMAP en SMTP zelf, omdat mailprogramma's alleen een wachtwoord sturen. Sommige diensten werken dan met app-wachtwoorden: een apart, lang wachtwoord per programma, dat je kunt intrekken zonder je hoofdwachtwoord te veranderen.
4. Wees zuinig met de plek waar je inlogt. Vul je wachtwoord alleen in je eigen mailprogramma of op het echte adres van je webmail in. Een provider vraagt nooit per mail om je wachtwoord.
5. Ken de beveiliging van je server. Veel servers blokkeren een IP-adres na een aantal mislukte inlogpogingen. Dat beschermt tegen brute force, maar het betekent ook dat een oud apparaat met een verkeerd wachtwoord (een oude tablet, een printer die scant naar mail) je hele kantoornetwerk kan laten blokkeren.

Wat doe je bij een overgenomen mailbox?

Doe dit meteen, in deze volgorde:

1. Wijzig het wachtwoord in het paneel van je provider (niet via een link uit een mail). Kies een nieuw, uniek wachtwoord.
2. Controleer doorstuurregels, filters, aliassen en het afwezigheidsbericht, zowel in de webmail als in het paneel. Verwijder alles wat je niet zelf hebt gemaakt.
3. Kijk welke apparaten en programma's verbinding maken en vul overal het nieuwe wachtwoord in. Een vergeten apparaat met het oude wachtwoord kan je IP laten blokkeren.
4. Scan je computer op malware, zeker als je niet op een phishinglink hebt geklikt.
5. Wijzig het wachtwoord ook elders als je het hergebruikte, en ook het wachtwoord van je klantpaneel als dat hetzelfde was.
6. Meld het je provider. Die kan zien wat er is verstuurd, de wachtrij opruimen en een blokkade opheffen.
7. Waarschuw je contacten als er mail naar hen is gegaan, zeker bij nepfacturen. Een datalek met persoonsgegevens kan onder de AVG ook een melding aan de Autoriteit Persoonsgegevens nodig maken; zoek dat bij twijfel uit.

Een overgenomen mailbox komt zelden alleen. Kijk ook of je website geen spam verstuurt: een onbeveiligd contactformulier of een gehackte plugin kan ook mail uit jouw naam versturen (les 7.3).

In de praktijk: zo ziet het eruit in een paneel

In DirectAdmin wijzig je het wachtwoord van een mailbox bij E-mail Accounts, via de drie puntjes en Wachtwoord/Gebruikersnaam Wijzigen; in de kolom Verzonden zie je hoeveel mail een mailbox vandaag verstuurde. Met E-mail Tracering zie je of een bericht echt via de server is verstuurd. Doorsturingen staan bij Forwarders, afwezigheidsberichten bij Autoresponders en in de webmail bij Instellingen. Andere panelen hebben vergelijkbare functies, vaak met namen als "berichtspoor", "message trace" of "mailboxregels".

Samenvatting

• Bounces over mail die je niet verstuurde, zonder iets in je Verzonden-map: vervalsing. Daar helpt DMARC, niet een nieuw wachtwoord.
• Echte uitgaande spam in het serverlogboek: overgenomen mailbox. Wachtwoord wijzigen, regels en doorsturingen controleren, apparaten bijwerken, provider inlichten.
• Aanvallers zetten vaak een doorstuurregel of filter, zodat ze blijven meelezen.
• Gebruik een lang, uniek wachtwoord per mailbox, een wachtwoordmanager en waar het kan tweestapsverificatie of app-wachtwoorden.

Quiz

Opdracht

Opdracht O3.4: Beveiligingscheck van je mailbox. Loop je eigen mailbox na. Is het wachtwoord uniek en lang, en staat het in een wachtwoordmanager? Zoek je adres op bij een datalekdienst (zoals Have I Been Pwned) en noteer of het in een lek voorkomt. Controleer in de webmail of het paneel alle doorstuurregels, filters, het antwoordadres en het afwezigheidsbericht. Noteer welke apparaten de mailbox gebruiken. Beantwoord daarna: als je morgen bounces krijgt van mail die je niet hebt verstuurd, hoe zoek je uit of het spoofing of een hack is?

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 9.6: Wat te doen als je e-mailadres is misbruikt
• DirectAdmin handleiding 7.2: Het wachtwoord van een e-mailadres wijzigen
• DirectAdmin handleiding 9.3: E-mail Tracering: waar is mijn mail gebleven?
• Wachtwoord of limieten van een e-mailadres wijzigen
• Mailbox overgenomen of spam vanaf je adres: zo ruim je op
• NCSC, advies over wachtwoorden en tweestapsverificatie: https://www.ncsc.nl