Mijn e-mailadres staat in een datalek, wat nu?
Wanneer je ontdekt dat je e-mailadres voorkomt in een datalek, kan dat behoorlijk onrustig voelen. Zeker wanneer blijkt dat het niet om één incident gaat, maar om meerdere datalekken verspreid over verschillende jaren.
Toch betekent een gelekt e-mailadres niet automatisch dat iemand toegang heeft tot je mailbox.
De belangrijkste vraag is welke gegevens er naast je e-mailadres zijn buitgemaakt. Een lek met alleen een naam en e-mailadres is namelijk iets heel anders dan een lek waarin ook wachtwoorden, telefoonnummers, adresgegevens of geboortedata zijn terechtgekomen.
Niet ieder datalek vormt hetzelfde risico
Een e-mailadres is op zichzelf geen toegangscode tot je account. Het wordt juist regelmatig gedeeld om ergens een account aan te maken, een bestelling te plaatsen of contact op te nemen.
Wanneer alleen je naam en e-mailadres zijn gelekt, bestaat het grootste risico meestal uit extra spam en geloofwaardigere phishingberichten.
Dat verandert wanneer er ook een wachtwoord bij het datalek betrokken is.
Gebruik je het wachtwoord dat bij de getroffen website hoorde nog steeds, verander het dan. Heb je hetzelfde wachtwoord ook voor andere websites gebruikt, dan is het verstandig om het daar eveneens te wijzigen.
Dat laatste is belangrijk omdat criminelen gestolen combinaties van e-mailadressen en wachtwoorden automatisch bij andere websites kunnen proberen. Dit wordt vaak credential stuffing genoemd.
Een wachtwoord dat ooit bij een webshop is gelekt, kan daardoor jaren later nog steeds problemen veroorzaken wanneer hetzelfde wachtwoord ook voor bijvoorbeeld je mailbox, sociale media of andere belangrijke accounts wordt gebruikt.
Moet je een nieuw e-mailadres maken?
Meestal niet.
Dat iemand je e-mailadres kent, betekent niet dat diegene daarmee kan inloggen. Het adres is in dat opzicht beter vergelijkbaar met een telefoonnummer dan met een wachtwoord.
Een e-mailadres dat al jarenlang wordt gebruikt, kan bovendien in meerdere datasets voorkomen zonder dat je mailbox ooit daadwerkelijk is overgenomen.
In plaats van het adres direct te vervangen, is het meestal nuttiger om de beveiliging van het account zelf te controleren.
Gebruik een uniek wachtwoord dat je nergens anders gebruikt en zet tweestapsverificatie aan. Controleer ook eens welke apparaten en sessies momenteel toegang hebben tot je account.
Bij belangrijke e-mailaccounts is het daarnaast verstandig om te kijken of de herstelgegevens nog kloppen. Een onbekend hersteladres of telefoonnummer kan een teken zijn dat iemand eerder toegang tot het account heeft gehad.
Let vooral op phishing na een datalek
Een van de vervelendste gevolgen van een datalek is dat phishing veel geloofwaardiger kan worden.
Een algemene phishingmail met alleen “Beste klant” is relatief eenvoudig te wantrouwen. Dat wordt anders wanneer een bericht je echte naam bevat, weet bij welk bedrijf je klant bent of verwijst naar een product dat je daadwerkelijk hebt gekocht.
Die informatie kan rechtstreeks uit een datalek afkomstig zijn.
Hetzelfde geldt voor je telefoonnummer, woonplaats of andere persoonsgegevens. Dat een afzender correcte informatie over je weet, betekent tegenwoordig niet automatisch dat het bericht betrouwbaar is.
Juist na een bekend datalek is het daarom verstandig om extra voorzichtig te zijn met e-mails, sms’jes en telefoongesprekken die naar het getroffen bedrijf verwijzen.
Klik bij twijfel niet rechtstreeks op een link uit het bericht, maar open zelf de officiële website of app.
Controleer wat er daadwerkelijk is gelekt
Websites zoals Have I Been Pwned kunnen laten zien of een e-mailadres voorkomt in bekende datalekken. Belangrijker dan alleen het aantal gevonden lekken is welke gegevens bij die incidenten zijn buitgemaakt.
Een resultaat uit tien jaar geleden waarin alleen een e-mailadres voorkwam vraagt om een andere reactie dan een recent lek waarbij ook wachtwoorden of uitgebreide persoonsgegevens betrokken waren.
Zie het aantal datalekken daarom vooral als aanleiding om verder te kijken, niet als een score die aangeeft hoe ernstig de situatie is.
Een oud e-mailadres dat al vijftien jaar actief wordt gebruikt, heeft simpelweg meer kans om ooit in een dataset terecht te zijn gekomen dan een adres dat vorige maand is aangemaakt.
E-mailaliassen kunnen toekomstige problemen beperken
Wanneer je regelmatig accounts aanmaakt bij webshops, nieuwsbrieven en online diensten, kunnen e-mailaliassen handig zijn.
Bij Gmail kun je bijvoorbeeld vaak een toevoeging achter je adres gebruiken. Van [email protected] kun je bijvoorbeeld [email protected] maken. De berichten komen nog steeds in dezelfde mailbox binnen.
Er bestaan daarnaast diensten waarmee iedere website een volledig apart alias krijgt. De webshop of andere dienst hoeft dan je echte e-mailadres helemaal niet te kennen.
Dat heeft twee voordelen. Je kunt gemakkelijker zien waar ongewenste mail vandaan komt en een specifiek alias uitschakelen wanneer het misbruikt wordt, zonder dat je je normale e-mailadres hoeft te veranderen.
Het voorkomt geen datalek bij een bedrijf, maar het beperkt wel hoeveel gevolgen zo’n lek voor jou kan hebben.
Zorg dat één datalek niet al je accounts raakt
De beste beveiliging tegen de gevolgen van een datalek zit uiteindelijk niet in het voorkomen van ieder lek. Als consument heb je daar vaak weinig invloed op.
Wel kun je voorkomen dat één lek direct toegang geeft tot alles wat je online gebruikt.
Gebruik daarom verschillende wachtwoorden voor verschillende diensten en beveilig vooral je belangrijkste accounts goed. Je e-mailadres verdient daarbij extra aandacht, omdat toegang tot je mailbox vaak gebruikt kan worden om wachtwoorden van andere accounts te herstellen.
Tweestapsverificatie maakt het bovendien aanzienlijk moeilijker om alleen met een buitgemaakt wachtwoord binnen te komen.
Wanneer een willekeurige webshop morgen wordt gehackt, wil je dat het probleem zoveel mogelijk bij die ene webshop blijft. Niet dat dezelfde buitgemaakte gegevens ook toegang geven tot je e-mail, sociale media en andere belangrijke accounts.
Mijn e-mailadres is gelekt: moet ik me zorgen maken?
Een datalek is vooral een reden om te controleren, niet automatisch om in paniek te raken.
Kijk welke gegevens precies zijn buitgemaakt en pas daar je maatregelen op aan. Is alleen je e-mailadres gelekt, dan is vooral extra alertheid op spam en phishing verstandig.
Is ook een wachtwoord gelekt dat je nog gebruikt, verander het dan direct. Gebruikte je dat wachtwoord op meerdere plaatsen, wijzig het daar eveneens.
Controleer daarnaast de beveiliging van je mailbox en zet tweestapsverificatie aan wanneer dat nog niet is gebeurd.
Je kunt niet voorkomen dat ieder bedrijf waar je klant bent ooit slachtoffer wordt van een datalek. Je kunt er wel voor zorgen dat een lek bij één organisatie niet automatisch al je andere accounts in gevaar brengt.
