Wat is credential stuffing?

Bij credential stuffing proberen cybercriminelen automatisch in te loggen op allerlei websites met gestolen gebruikersnamen en wachtwoorden[cite: 9]. Die gegevens komen vaak uit eerdere datalekken bij webwinkels, telecom bedrijven, sociale media of andere onlinediensten[cite: 9].

Veel mensen gebruiken voor het gemak hetzelfde wachtwoord op meerdere websites[cite: 9]. Dit is gemakkelijk maar niet super veilig[cite: 9]. Lekt één account uit[cite: 9]? Dan proberen criminelen met diezelfde combinatie ook in te loggen bij bijvoorbeeld uw e-mail, sociale media of zelfs uw bankomgeving[cite: 9]. Lukt dat, dan krijgen ze toegang tot meerdere accounts en de persoonlijke gegevens die daarop staan[cite: 9].

Hoe werkt het?

Cybercriminelen hoeven niet zelf miljoenen wachtwoorden in te typen[cite: 9]. Ze gebruiken hiervoor speciale computerprogramma's, ook wel bots genoemd[cite: 9]. Deze bots proberen razendsnel duizenden of zelfs miljoenen combinaties van e-mailadressen en wachtwoorden uit op verschillende websites[cite: 9].

Voor de meeste pogingen krijgen ze geen toegang[cite: 9]. Maar als u hetzelfde wachtwoord op meerdere plekken gebruikt, is de kans groot dat een of meer accounts toch worden gekraakt[cite: 9]. Met een gehackt account kunnen criminelen vervolgens mogelijk:

• Uw persoonlijke gegevens stelen;[cite: 9]
• Aankopen doen of identiteitsfraude plegen;[cite: 9]
• Wachtwoorden van andere accounts wijzigen;[cite: 9]
• Uit uw naam berichten versturen;[cite: 9]
• De inloggegevens doorverkopen op het darkweb (dit is een verborgen deel op het internet waar illegale handel plaatsvindt)[cite: 9].

Wat moet u doen als uw gegevens zijn gelekt?

Hebt u een melding gekregen dat uw gegevens voorkomen in een datalek[cite: 9]? Of ziet u verdachte inlogpogingen op een account[cite: 9]? Wacht dan niet[cite: 9]. Doe in ieder geval het volgende:

• Verander direct uw wachtwoord: Gebruik een nieuw, sterk wachtwoord (een sterk wachtwoord bevat hoofdletters, kleine letters, getallen en tekens) dat u nergens anders gebruikt[cite: 9].
• Controleer andere accounts: Gebruikt u hetzelfde wachtwoord ook op andere websites[cite: 9]? Verander het daar dan ook meteen[cite: 9].
• Zet tweestapsverificatie (2FA)* aan: Hiermee moet u naast uw wachtwoord nog een extra stap uitvoeren, bijvoorbeeld een code invoeren via een app of sms[cite: 9].
• Controleer uw accountactiviteit: Kijk of er onbekende apparaten, locaties of verdachte transacties zichtbaar zijn[cite: 9].
• Blokkeer het account als dat nodig is: Sommige diensten bieden de mogelijkheid een account tijdelijk te vergrendelen totdat u uw identiteit hebt bevestigd[cite: 9].

Zo voorkomt u credential stuffing

U kunt de kans dat u hiervan slachtoffer wordt verkleinen door de volgende tips op te volgen:

• Gebruik voor ieder account een uniek wachtwoord: Als één wachtwoord uitlekt, blijven uw andere accounts veilig[cite: 9].
• Kies sterke wachtwoorden: Gebruik een lang wachtwoord of een wachtzin die moeilijk te raden is[cite: 9]. Vermijd namen, geboortedata en eenvoudige reeksen zoals 'Welkom123'[cite: 9].
• Gebruik een wachtwoordmanager: Een wachtwoordmanager maakt sterke, unieke wachtwoorden voor u aan en bewaart ze veilig[cite: 9]. Zo hoeft u zelf nog maar één hoofdwachtwoord te onthouden[cite: 9].
• Zet tweestapsverificatie aan: Zelfs als criminelen uw wachtwoord kennen, kunnen ze dan meestal niet inloggen[cite: 9].

Hoe checkt u of uw e-mailadres is gelekt?

Wilt u graag weten of uw e-mailadres voorkomt in een bekend datalek[cite: 9]? Dat kunt u eenvoudig controleren[cite: 9]. Een van de bekendste websites is https://haveibeenpwned.com[cite: 9]. Vul daar uw e-mailadres in en u ziet gelijk of het voorkomt in een of meer datalekken[cite: 9]. De site laat ook zien bij welke diensten uw gegevens mogelijk zijn gestolen[cite: 9].

Staat uw e-mailadres ertussen[cite: 9]? Geen paniek, maar onderneem wel direct actie met de bovenstaande tips[cite: 9].

* Tweestapsverificatie aanzetten

Soms is tweestapsverificatie verplicht, bijvoorbeeld bij internetbankieren[cite: 9]. Als het niet verplicht is, kunt u het zelf aanzetten bij de accountinstellingen[cite: 9]. E-mail goed beveiligen is heel belangrijk, want die geeft zo’n beetje toegang tot alles[cite: 9].

Maar hoe u hiervoor tweestapsverificatie aanzet, verschilt per aanbieder[cite: 9]. Microsoft, Google, Apple en veel anderen bieden deze beveiligingsvorm, maar ze noemen het soms anders[cite: 9]. Zoek daarom ook op 2FA of Twee Factor Authenticatie (een ander woord voor tweestapsverificatie)[cite: 9]. U vindt op www.dubbelbeveiligd.nl een handig overzicht van alle e-mailaanbieders (van Apple tot Yahoo) en de stappen die u moet zetten om tweestapsverificatie in te schakelen[cite: 9].