Wat is een wachtwoorddatalek?
Een wachtwoorddatalek (of wachtwoordbreuk) treedt op wanneer wachtwoorden of andere accountgegevens worden geopenbaard aan een onbevoegde persoon of worden verkregen via een beveiligingsincident.
Een datalek kan plaatsvinden wanneer een onlinedienst wordt gehackt en de door die dienst opgeslagen informatie wordt gestolen. Inloggegevens kunnen ook worden gelekt via phishing, malware, kwaadaardige software of andere aanvallen die zich rechtstreeks op gebruikers richten.
Een datalek betekent niet noodzakelijk dat elk wachtwoord van elke gebruiker is uitgelekt. De getroffen informatie hangt af van het specifieke incident en de betrokken systemen.
Hoe ontstaan wachtwoorddatalekken?
Er zijn veel manieren waarop inloggegevens gelekt kunnen raken. Enkele veelvoorkomende voorbeelden zijn:
- Gekompromitteerde diensten — Een aanvaller krijgt ongeautoriseerde toegang tot de systemen of databases van een bedrijf.
- Phishing — Een gebruiker wordt misleid om inloggegevens in te voeren op een frauduleuze website of applicatie.
- Malware — Schadelijke software kan mogelijk inloggegevens onderscheppen die op een geïnfecteerd apparaat worden ingevoerd.
- Credential stuffing — Eerder gestolen gebruikersnamen en wachtwoorden worden automatisch getest op andere websites.
- Zwakke beveiligingspraktijken — Slecht beschermde systemen of onjuist verwerkte inloggegevens kunnen het risico op ongeautoriseerde toegang vergroten.
Wat gebeurt er met gestolen wachtwoorden?
Gestolen inloggegevens kunnen worden gebruikt in pogingen om toegang te krijgen tot het getroffen account of andere accounts van dezelfde persoon.
Dit is een van de redenen waarom het hergebruiken van wachtwoorden bijzonder gevaarlijk is. Als hetzelfde wachtwoord voor meerdere diensten wordt gebruikt en dat wachtwoord bij één datalek wordt gelekt, kunnen aanvallers het elders proberen.
Geautomatiseerde aanvallen kunnen grote aantallen eerder uitgelekte combinaties van gebruikersnamen en wachtwoorden testen op populaire onlinediensten. Dit type aanval staat algemeen bekend als 'credential stuffing'.
Waarom wachtwoordhergebruik datalekken erger maakt
Neem een voorbeeld waarin iemand hetzelfde wachtwoord gebruikt voor een webwinkel, een socialemedia-account en hun e-mailaccount.
Als de webwinkel te maken krijgt met een datalek en dat wachtwoord bekend wordt, heeft de aanvaller nu een wachtwoord dat mogelijk ook op de andere accounts werkt.
Door voor elk belangrijk account een ander wachtwoord te gebruiken, beperk je de schade die kan ontstaan door één gelekt wachtwoord.
Je kunt meer lezen over dit onderwerp in ons artikel: Waarom je wachtwoorden nooit opnieuw zou moeten gebruiken .
Wat als wachtwoorden gehasht zijn?
Veel onlinediensten slaan gebruikerswachtwoorden niet op als platte tekst. In plaats daarvan worden wachtwoorden meestal verwerkt met behulp van wachtwoord-hashingtechnieken voordat ze worden opgeslagen.
Hashing en versleuteling zijn verschillende technologieën. Versleuteling is zo ontworpen dat geautoriseerde gebruikers of systemen de oorspronkelijke informatie kunnen ontsleutelen met de juiste sleutel. Een goed ontworpen wachtwoord-hashingsysteem is bedoeld om het moeilijk te maken het oorspronkelijke wachtwoord te achterhalen uit de opgeslagen hash.
Een datalek kan echter nog steeds ernstig zijn als wachtwoorden gehasht zijn. Aanvallers kunnen proberen wachtwoorden te raden en de gegenereerde hashes vergelijken met gestolen wachtwoordhashes. Zwakke of veelgebruikte wachtwoorden kunnen bijzonder kwetsbaar zijn voor deze aanvallen.
Hoe kun je zien of een wachtwoord is gelekt?
Sommige diensten informeren gebruikers wanneer een account is getroffen door een beveiligingsincident. Beveiligingsonderzoekers en datalek-meldingsdiensten kunnen ook informatie verstrekken over bekende datalekken.
Sommige wachtwoordmanagers bevatten functies voor datalekcontrole of wachtwoordcontrole waarmee wachtwoorden kunnen worden geïdentificeerd die gekoppeld zijn aan bekende lekken.
Houd er rekening mee dat geen enkele datalekdatabase kan garanderen dat deze elk inloggegeven bevat dat ooit is uitgelekt. De afwezigheid van een wachtwoord in een specifieke database bewijst niet dat het wachtwoord nooit is uitgelekt.
Wat moet je doen na een wachtwoorddatalek?
Als je verneemt dat een account is getroffen door een datalek, wijzig dan zo snel mogelijk het wachtwoord van dat account.
Als je dat wachtwoord ergens anders hebt hergebruikt, wijzig dan ook die wachtwoorden. Elk account moet een eigen, uniek wachtwoord hebben.
Overweeg ook om meervoudige authenticatie (MFA) in te schakelen wanneer de dienst dit ondersteunt. Dit biedt een extra authenticatielaag naast het wachtwoord.
Wees extra voorzichtig bij belangrijke accounts, zoals je primaire e-mailaccount. Je e-mailaccount kan namelijk worden gebruikt om wachtwoorden voor vele andere diensten te herstellen.
Hoe kan een wachtwoordmanager helpen?
Het onthouden van een ander sterk wachtwoord voor elk account kan moeilijk zijn. Een wachtwoordmanager kan unieke wachtwoorden genereren en veilig opslaan, zodat je ze niet allemaal uit je hoofd hoeft te leren.
In plaats van voorspelbare variaties op hetzelfde wachtwoord te maken, kun je een ander willekeurig gegenereerd wachtwoord gebruiken voor elke dienst.
Als één dienst te maken krijgt met een datalek, is het uitgelekte wachtwoord vervolgens minder nuttig tegen je andere accounts omdat die andere accounts andere inloggegevens gebruiken.
Wat is een lekscan (Breach Scan)?
Sommige wachtwoordmanagers bieden een functie die vaak een datalekscan of 'breach scan' wordt genoemd. Dit type functie kan informatie die gekoppeld is aan je opgeslagen wachtwoorden vergelijken met bekende lekgegevens.
Privacyvriendelijke benaderingen kunnen worden gebruikt om deze controles uit te voeren zonder het volledige wachtwoord naar een externe dienst te sturen. Een voorbeeld hiervan is k-anonymity, waarmee een systeem bepaalde lekcontroles kan uitvoeren zonder het volledige wachtwoord rechtstreeks te verzenden.
De exacte implementatie verschilt per product, dus het is de moeite waard om te controleren hoe een specifieke wachtwoordmanager zijn lekcontroles uitvoert en welke informatie het apparaat verlaat.
Wachtwoorddatalekken en KeenPassword Vault
KeenPassword Vault bevat een Breach Scan-functie die is ontworpen om wachtwoorden te helpen identificeren die gekoppeld zijn aan bekende lekgegevens.
De scan maakt gebruik van een k-anonymity-benadering. Je werkelijke wachtwoorden en hoofdsleutel worden tijdens de datalekcontrole niet over het netwerk verzonden.
KeenPassword Vault is bovendien ontworpen als een 100% offline wachtwoordmanager. Je kluis blijft lokaal opgeslagen op je Windows-computer in plaats van te worden gesynchroniseerd met een cloudaccount.
Wachtwoorden uniek houden, sterke inloggegevens gebruiken en periodiek controleren op bekende lekken zijn allemaal nuttige onderdelen van het behoud van een goede wachtwoordbeveiliging.
Tot slot
Een wachtwoorddatalek kan inloggegevens blootleggen die aanvallers kunnen proberen te gebruiken tegen het getroffen account of andere accounts.
Een van de meest effectieve manieren om de impact van een gelekt wachtwoord te verkleinen, is door voor elk account een uniek wachtwoord te gebruiken. Een wachtwoordmanager kan dit praktisch maken door sterke, unieke wachtwoorden te genereren en op te slaan.
Als een account is getroffen door een datalek, wijzig dan het wachtwoord, wijzig eventuele hergebruikte wachtwoorden elders en overweeg om meervoudige authenticatie in te schakelen waar dit beschikbaar is.