De meeste overgenomen accounts hebben niets met slim hacken te maken. Een wachtwoord wordt hergebruikt, lekt bij een datalek ergens anders, of wordt ingetypt op een overtuigende nepinlogpagina. Tweestapsverificatie (2FA) voegt een tweede stap toe aan het inloggen, zodat alleen een gestolen wachtwoord niet meer genoeg is.
Voor een klein bedrijf is dit een van de maatregelen die het meest oplevert voor de tijd die het kost.
Welke accounts eerst
Begin waar een overname de meeste schade doet:
- E-mail. Wie je mailbox heeft, kan van bijna elk ander account het wachtwoord resetten, en facturen op jouw naam versturen.
- Je wachtwoordmanager, als je die gebruikt.
- Bank- en betaaldiensten. De meeste banken eisen het al.
- Domeinregistrar en DNS. Wie je domein beheert, beheert je e-mail en website.
- Beheeraccounts in de cloud: beheerders van Microsoft 365 of Google Workspace, hosting, de achterkant van de webshop.
- Boekhoudsoftware en alles met klantgegevens.
Breid het daarna uit naar elk ander account dat het ondersteunt.
Methoden, van sterk naar zwak
Passkeys en beveiligingssleutels zijn het sterkst. Een passkey staat op je telefoon of computer, een beveiligingssleutel is een klein USB- of NFC-apparaatje. Beide zijn gekoppeld aan de echte website, dus ze werken niet op een nepinlogpagina: ze houden phishing tegen, niet alleen wachtwoorddiefstal. Biedt een dienst ze aan, gebruik ze dan.
Authenticator-apps zoals Microsoft Authenticator, Google Authenticator of die in je wachtwoordmanager maken een code van zes cijfers die elke 30 seconden verandert. Sterk tegen gestolen wachtwoorden. Een geavanceerde phishingpagina kan wel om de code vragen en die meteen gebruiken, dus let op waar je hem intypt.
Pushmeldingen (“Probeer jij in te loggen?”) zijn handig, maar aanvallers sturen er tientallen in de hoop dat iemand op Goedkeuren tikt. Kies bij voorkeur apps die je een getal laten overtypen dat op het scherm staat.
Sms-codes zijn de zwakste vorm, omdat telefoonnummers via de provider over te nemen zijn. Ze zijn nog steeds veel beter dan geen tweede stap. Gebruik sms alleen als er niets anders wordt aangeboden.
Invoeren in een team
- Begin bij de beheerders, daarna e-mail voor iedereen.
- Stel het samen in. Een sessie van een kwartier waarin iedereen het op de eigen telefoon aanzet, voorkomt de meeste vragen achteraf.
- Bewaar de herstelcodes. Elke dienst geeft reservecodes als je 2FA aanzet. Bewaar ze in de wachtwoordmanager of uitgeprint op een veilige plek, niet op dezelfde telefoon.
- Registreer een tweede methode. Een tweede beveiligingssleutel, of een passkey op telefoon én laptop, zorgt dat een verloren telefoon geen geblokkeerd account betekent.
- Regel herstel vooraf. Spreek af wie 2FA voor een collega mag resetten, en hoe je controleert dat het verzoek echt is. Aanvallers bellen ook helpdesks.
- Zet het centraal aan waar dat kan. In Microsoft 365 en Google Workspace kunnen beheerders 2FA voor iedereen verplichten.
Samen met een wachtwoordmanager
2FA en sterke wachtwoorden versterken elkaar. Een wachtwoordmanager maakt per account een uniek wachtwoord, zodat één lek niet alles openzet. Hij vult wachtwoorden bovendien alleen in op de echte website, wat een extra verdediging tegen phishing is. Bescherm de wachtwoordmanager zelf met een sterke wachtwoordzin: de wachtwoordgenerator maakt er in een seconde een.