Gelekt? Controleren en herstellen

Module 2: Wachtwoorden en inloggen · Leestijd: 10 minuten

Leerdoel: Na deze les kun je zelf controleren of je gegevens in een lek zitten, in de juiste volgorde reageren op een lek en een overgenomen account terugkrijgen en opruimen.

Kernbegrippen: Have I Been Pwned, k-anonimiteit, meldingen van lekken, sessies intrekken, sessiecookie, herstelgegevens, doorstuurregels

Hoe je hoort dat er iets gelekt is

Vaak hoor je het niet. Een gelekt wachtwoord kan maanden in een combolijst staan voordat iemand het probeert. Let daarom op deze signalen:

• Een dienst mailt dat er een datalek is geweest. Controleer eerst of die mail echt is (module 3): ga zelf naar de site in plaats van op de link te klikken.
• Je krijgt een inlogcode of goedkeuringsmelding die je niet zelf hebt aangevraagd (les 2.3).
• Je ziet een melding "nieuwe inlog vanaf een onbekend apparaat".
• Klanten of collega's krijgen vreemde mails "van jou", of je mist mail die wel verstuurd is.
• Je wachtwoordmanager waarschuwt dat een wachtwoord in een lek voorkomt.
• Je kunt ineens niet meer inloggen, of je herstelgegevens zijn veranderd.

Zelf kijken met Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) is een bekende, gratis dienst die gegevens uit publiek bekende datalekken verzamelt. Je kunt er zelf zoeken op je e-mailadres. Je ziet dan in welke lekken het adres voorkomt en welke soorten gegevens daarbij zaten: alleen mailadressen, of ook wachtwoorden, namen, telefoonnummers of adressen. Met de functie "Notify me" krijg je een mail als je adres in een nieuw lek opduikt.

Doe dit zelf, op de site van de dienst. In deze cursus vragen we je nooit om je mailadres of wachtwoord ergens in te vullen.

Er is ook een deel Pwned Passwords, waarmee wachtwoordmanagers en websites controleren of een wachtwoord ooit is gelekt. Dat werkt met k-anonimiteit: je wachtwoord wordt op je eigen apparaat omgezet in een hash (een vingerafdruk) en alleen de eerste 5 tekens daarvan gaan naar de dienst. De dienst stuurt alle bekende hashes terug die met die 5 tekens beginnen, en je eigen apparaat kijkt of jouw volledige hash ertussen zit. De dienst krijgt je wachtwoord dus nooit te zien en weet zelfs niet welke van de honderden teruggestuurde hashes de jouwe is.

Twee kanttekeningen:

• Niet in de lijst betekent niet veilig. Een lek dat (nog) niet bekend is, staat er niet in. Infostealers (les 1.4) stelen ook wachtwoorden die nooit in een gepubliceerd lek terechtkomen.
• Wel in de lijst betekent niet dat alles verloren is. Kijk welke gegevens er lekten en wanneer. Een wachtwoord dat je al jaren niet meer gebruikt, is geen probleem; een wachtwoord dat je nog overal gebruikt wel.

Wat je eerst doet na een lek

Volgorde maakt uit. De belangrijkste regel: eerst je mailbox, want met je mailbox kan een aanvaller via "wachtwoord vergeten" bijna al je andere accounts overnemen.

Waarom sessies intrekken

Als je inlogt, krijgt je browser een sessiecookie: een soort tijdelijk toegangsbewijs, zodat je niet bij elke klik opnieuw hoeft in te loggen. Wie dat cookie heeft, is ingelogd. Zonder wachtwoord en zonder tweede stap.

Precies dat stelen infostealers: niet alleen je wachtwoorden, maar ook je cookies. En een aanvaller die met jouw wachtwoord is ingelogd, heeft ook een sessie. Wijzig je alleen je wachtwoord, dan blijft die sessie bij sommige diensten gewoon werken.

Daarom kijk je na een lek of een vreemde inlog bij elke belangrijke dienst naar het overzicht van actieve sessies of apparaten, en log je alles uit wat je niet herkent, of alles behalve het apparaat waarop je nu werkt. Bij veel diensten logt een nieuw wachtwoord je ook overal uit; controleer het toch.

De doorstuurregel als achterdeur

Een geval zoals het vaak gaat. De boekhouder van Bakkerij Example klikt op een phishingmail en vult haar mailwachtwoord in. De aanvaller logt in op factuur@example.com en doet drie dingen:

1. Hij maakt een regel: elke mail met "factuur", "betaling" of "IBAN" in het onderwerp gaat door naar een extern adres op leverancier-administratie.example en wordt daarna in de prullenbak gezet.
2. Hij zet zijn eigen telefoonnummer als herstelnummer.
3. Hij logt weer uit.

De boekhouder merkt dat er iets mis is en wijzigt haar wachtwoord. Opgelost, denkt ze. Maar de regel blijft werken. De aanvaller leest weken mee met elke factuur, en op een dag krijgt een klant een "aangepaste" factuur met een ander IBAN (les 1.2). Via het herstelnummer kan hij het account ook nog terughalen.

Controleer daarom bij een mailbox altijd:

• regels en filters: vooral regels die doorsturen of verwijderen;
• doorsturen in de instellingen van de mailbox en in je hostingpaneel;
• automatische antwoorden die je niet zelf hebt gemaakt;
• app-wachtwoorden en gekoppelde apps: verwijder wat je niet herkent;
• herstelgegevens en de lijst van apparaten bij de tweestapsverificatie.

Als een account echt is overgenomen

Kom je niet meer binnen, gebruik dan alleen de officiële herstelprocedure van de dienst. Je vindt die door zelf naar de site te gaan, niet via een link uit een mail of een zoekadvertentie. Pas op voor "herstelhulp" die je zelf benadert op social media of die jou benadert: dat zijn vaak oplichters die je een tweede keer willen raken.

Daarna:

• doe stap 3 tot en met 8 uit de tabel hierboven;
• maak nieuwe herstelcodes en zet een sterkere tweede stap aan (les 2.3 en 2.4);
• meld fraude of phishing bij de Fraudehelpdesk en doe aangifte bij de politie als er schade is;
• schrijf op wat er gebeurd is en wanneer. Ging het om gegevens van klanten, dan kan het een datalek zijn (les 8.2).

In de praktijk: zo ziet het eruit

In de WebOké-omgeving zie je in Mijn WebOké bij Inloggegevens de kaart Actieve sessies, met per sessie de browser, het systeem, het IP-adres en sinds wanneer. Je kunt één sessie uitloggen of overal uitloggen behalve op het apparaat waar je nu zit. In Nextcloud staat bij Beveiliging het overzicht Apparaten & sessies, waar je ook een apparaat kunt intrekken of op afstand wissen. Doorsturen en filters van een mailbox vind je in het hostingpaneel en in de webmail. Bij andere aanbieders werkt het vergelijkbaar: zoek naar "sessies", "apparaten", "beveiliging" of "recente activiteit".

Samenvatting

• Kijk zelf op haveibeenpwned.com of je mailadres in een bekend lek zit; Pwned Passwords werkt met k-anonimiteit (alleen de eerste 5 tekens van de hash gaan weg).
• Niet in de lijst is niet hetzelfde als veilig.
• Na een lek: eerst je mailbox, dan sessies intrekken, tweestapsverificatie en herstelgegevens controleren.
• Een wachtwoordwijziging verwijdert geen doorstuurregels, app-wachtwoorden of gestolen sessies.
• Een overgenomen account herstel je alleen via de officiële weg van de dienst.

Quiz

Opdracht

Opdracht D2.5: Je eigen lekcheck en opruimronde. Kijk zelf op haveibeenpwned.com naar je zakelijke mailadressen en zet "Notify me" aan. Bekijk bij je mailbox en je belangrijkste accounts de actieve sessies, doorstuurregels, app-wachtwoorden en herstelgegevens, en ruim op wat je niet herkent. Vink de checklist af en beantwoord de reflectievragen. Je vult in de cursus geen mailadres of wachtwoord in.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• WebOké handleiding 3.6: Actieve sessies bekijken en uitloggen
• Nextcloud handleiding 3.6: Apparaten en sessies bekijken, intrekken of op afstand wissen
• DirectAdmin handleiding 3.7: Veilige wachtwoorden en wat je doet bij een gelekt wachtwoord
• Inloggen op Nextcloud lukt niet: wachtwoord, code of afremming
• Mailbox overgenomen of spam vanaf je adres: zo ruim je op
• Have I Been Pwned (zelf zoeken op je mailadres): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (Engels, uitleg k-anonimiteit): https://haveibeenpwned.com/Passwords
• Fraudehelpdesk (fraude en phishing melden): https://www.fraudehelpdesk.nl