Hoe kunt u de wacht­woord­be­vei­li­ging ver­be­te­ren?

Wacht­woor­den zijn de sleutels tot onze digitale iden­ti­teit. Een sterk wacht­woord vormt de eerste ver­de­di­gings­li­nie tegen cy­ber­cri­mi­ne­len. Uit sta­tis­tie­ken blijkt echter dat 36% van de Britse res­pon­den­ten wacht­woor­den op 5 tot 10 websites her­ge­bruikt en dat 35% toegeeft hun wacht­woor­den elke dag of meerdere keren per week te resetten.

Wat zijn de vereisten voor wacht­woord­be­vei­li­ging?

Veel mensen gebruiken nog steeds zwakke of ge­mak­ke­lijk te raden com­bi­na­ties als wacht­woord. Om een hoog niveau van wacht­woord­be­vei­li­ging te ga­ran­de­ren, moet met ver­schil­len­de factoren rekening worden gehouden. Het kiezen van een veilig wacht­woord en het gebruik van een wacht­woord­be­heer­der kunnen worden beschouwd als fun­da­men­te­le aspecten van wacht­woord­be­vei­li­ging.

Wat maakt wacht­woor­den veilig?

Hoewel veilige wacht­woor­den alleen geen absolute be­scher­ming bieden tegen aanvallen van cy­ber­cri­mi­ne­len, is het toch cruciaal om een veilig wacht­woord te maken om uw accounts te be­vei­li­gen. Ge­brui­kers kunnen aan de hand van een aantal criteria con­tro­le­ren of het door hen gekozen wacht­woord veilig is:

• Lengte: De lengte van een wacht­woord speelt een cruciale rol, aangezien langere wacht­woor­den ex­po­nen­ti­eel moei­lij­ker te kraken zijn dan kortere. Een sterk wacht­woord moet minimaal 12 tot 16 tekens lang zijn.
• Com­plexi­teit: Een veilig wacht­woord moet hoofd­let­ters en kleine letters, cijfers en speciale tekens zoals @, # of $ bevatten. Deze variatie maakt het zowel voor mensen als voor ge­au­to­ma­ti­seer­de tools moei­lij­ker om het wacht­woord te raden.
• On­voor­spel­baar­heid: Vermijd een­vou­di­ge patronen of her­ken­ba­re woorden in wacht­woor­den, aangezien cy­ber­cri­mi­ne­len vaak woor­den­boek­aan­val­len gebruiken, waarbij ze veel­voor­ko­men­de wacht­woor­den testen.
• Uniekheid: Gebruik wacht­woor­den niet voor meerdere diensten en platforms. Gebruik in plaats daarvan unieke wacht­woor­den voor elke web­ser­vi­ce.
• Re­gel­ma­ti­ge updates: Vooral voor kritieke diensten kan het re­gel­ma­tig bijwerken van wacht­woor­den het risico op misbruik als gevolg van eerdere be­vei­li­gings­in­breu­ken ver­min­de­ren.

De juiste wacht­woord­be­heer­der kiezen

Wacht­woord­be­heer­ders zijn prak­ti­sche hulp­mid­de­len voor het genereren en veilig opslaan van complexe wacht­woor­den. Let er bij het kiezen van de juiste wacht­woord­be­heer­der op dat deze end-to-end-ver­sleu­te­ling on­der­steunt en functies bevat zoals waar­schu­win­gen bij inbreuken of be­vei­li­gings­au­dits. Re­gel­ma­ti­ge updates zijn een andere indicator voor een be­trouw­ba­re wacht­woord­be­heer­der.

Grote wacht­woord­lek­ken in de afgelopen jaren

Elke dag ver­trou­wen we enorme hoe­veel­he­den gevoelige gegevens toe aan bedrijven en tech­no­lo­gie, waarbij wacht­woor­den vaak de enige be­scher­ming vormen – een be­scher­ming die, zo lijkt het, niet serieus genoeg wordt genomen. Dit blijkt uit de talrijke da­ta­lek­ken in de recente ge­schie­de­nis van het internet. Cy­ber­cri­mi­ne­len hebben her­haal­de­lijk toegang gekregen tot in­log­ge­ge­vens met behulp van methoden zoals malware, phishing-e-mails of brute-force-aanvallen, waarbij ze ver­trou­we­lij­ke ge­brui­kers­ge­ge­vens hebben gestolen. Hieronder volgt een overzicht van enkele van de be­lang­rijk­ste in­ci­den­ten:

• LinkedIn (2012, 2016): LinkedIn werd in 2012 gehackt, wat re­sul­teer­de in de diefstal van meer dan 6,5 miljoen gehashte wacht­woor­den. In 2016 doken nog eens 117 miljoen in­log­ge­ge­vens van deze hack op in het dark web.
• Yahoo (2013, 2014): Een van de grootste be­vei­li­gings­in­breu­ken ooit trof Yahoo. Tussen 2013 en 2014 werden in totaal drie miljard accounts gehackt, inclusief ge­brui­kers­na­men, wacht­woor­den en be­vei­li­gings­vra­gen.
• Adobe (2013): Meer dan 150 miljoen Adobe-ge­brui­kers­ac­counts werden gestolen tijdens een inbreuk, waarbij veel van de wacht­woor­den slecht ver­sleu­teld waren.
• Facebook (2019): Facebook onthulde dat miljoenen ge­brui­kers­wacht­woor­den in platte tekst op interne servers waren op­ge­sla­gen. Hoewel de gegevens niet naar buiten zijn gelekt, be­na­druk­te het incident de noodzaak van veilige prak­tij­ken, zelfs op be­drijfs­ni­veau.
• Col­lec­ti­on #1-#5 (2019): In januari 2019 werden meer dan twee miljard e-mail­adres­sen en wacht­woor­den uit ver­schil­len­de bronnen, waaronder bekende en voorheen onbekende lekken, ge­pu­bli­ceerd als onderdeel van dit megalek.
• Twitter/X (2022): Door een bug kwamen per­soon­lij­ke gegevens van meer dan 5,4 miljoen accounts, waaronder te­le­foon­num­mers en e-mail­adres­sen, op straat te liggen.
• RockYou (2024): RockYou2024 was een enorm lek, dat wordt beschouwd als een van de grootste ooit ge­pu­bli­ceerd, met meer dan 9,9 miljard wacht­woor­den uit ver­schil­len­de bronnen.

Deze ge­beur­te­nis­sen on­der­stre­pen het cruciale belang van cy­ber­be­vei­li­ging. De re­sul­ta­ten van een re­pre­sen­ta­tie­ve enquête die GMX onder 1.050 mensen heeft gehouden, zijn des te ver­ba­zing­wek­ken­der: 64% van de mensen gaf aan dat ze hetzelfde wacht­woord gebruiken voor sommige of zelfs al hun online accounts, terwijl slechts 21% voor elk account een ander wacht­woord gebruikt. Uit het GMX-onderzoek van 2019 bleek ook dat 9% nog nooit het wacht­woord van hun be­lang­rijk­ste e-mail­ac­count had gewijzigd, waardoor ze zeer kwetsbaar zijn.

Hoe u de vei­lig­heid van uw wacht­woord kunt con­tro­le­ren

Het con­tro­le­ren van de vei­lig­heid van uw wacht­woor­den is een cruciale stap om uw digitale accounts te be­scher­men tegen on­ge­oor­loof­de toegang of na da­ta­lek­ken. Er zijn ver­schil­len­de methoden en hulp­mid­de­len be­schik­baar om te con­tro­le­ren of uw wacht­woor­den zijn ge­com­pro­mit­teerd, voldoen aan de huidige vei­lig­heids­nor­men of te zwak zijn.

Online diensten voor controles op da­ta­lek­ken

• Have I Been Pwned (HIBP): Een van de bekendste en meest ver­trouw­de platforms is Have I Been Pwned (HIBP). Hier kunt u con­tro­le­ren of uw e-mailadres of wacht­woord is ge­com­pro­mit­teerd in een bekend datalek. Door uw e-mailadres in te voeren, ontvangt u een lijst met websites die zijn getroffen door lekken waarbij uw gegevens mogelijk zijn gestolen. De site maakt ook directe wacht­woord­con­tro­les mogelijk, waarbij ano­ni­mi­teit wordt ge­ga­ran­deerd door middel van ge­spe­ci­a­li­seer­de hashing-tech­no­lo­gie­ën.
• Google Security Check: Google biedt een ge­ïn­te­greer­de functie voor wacht­woord­con­tro­le in Chrome. De browser waar­schuwt u als een van uw op­ge­sla­gen wacht­woor­den deel uitmaakt van een datalek. Bovendien kunt u via uw Google-account een uit­ge­brei­de vei­lig­heids­con­tro­le uitvoeren, die ook zwakke of her­ge­bruik­te wacht­woor­den iden­ti­fi­ceert.
• Be­vei­li­gings­func­ties van wacht­woord­be­heer­ders: Veel moderne wacht­woord­be­heer­ders bieden een functie om uw op­ge­sla­gen wacht­woor­den te con­tro­le­ren. Deze tools scannen op zwakke punten, dubbel gebruik en bekende be­vei­li­gings­in­ci­den­ten. Zo krijgt u een duidelijk overzicht van welke wacht­woor­den moeten worden bij­ge­werkt.

Wacht­woord­sterk­te testen

Naast het con­tro­le­ren op da­ta­lek­ken, is het es­sen­ti­eel om de sterkte van uw wacht­woor­den te evalueren. Er zijn tal van tools die u hierbij kunnen helpen door de lengte, com­plexi­teit en entropie (wil­le­keu­rig­heid) van een wacht­woord te be­oor­de­len. Deze diensten simuleren ook hoe lang het zou duren om uw wacht­woord te kraken met een brute-force-aanval. Het wacht­woord 123456 kan bij­voor­beeld in minder dan een seconde worden gekraakt, terwijl een sterker wacht­woord zoals X$4g8JwQ!a_%j jarenlang bestand zou zijn tegen aanvallen.

Hand­ma­ti­ge be­oor­de­ling en mo­ni­to­ring

Als u weet dat een bepaald platform is getroffen door een datalek, con­tro­leer dan of u een account op dat platform hebt. Wijzig on­mid­del­lijk uw wacht­woor­den, vooral als u ze op andere websites hebt her­ge­bruikt. Het is ook nuttig om nieuws over cy­ber­be­vei­li­ging of platforms zoals Reddit (bij­voor­beeld de subreddit [r/netsec]) te volgen om op de hoogte te blijven van nieuwe da­ta­lek­ken. Be­vei­li­gings­lek­ken worden daar vaak eerder gemeld dan via officiële kanalen, waardoor u tijdig pre­ven­tie­ve maat­re­ge­len kunt nemen. Daarnaast bieden tools zoals HIBP e-mail­mel­din­gen die u waar­schu­wen wanneer uw e-mailadres in een nieuw lek ver­schijnt.