Bescherm je mail

Wat is het ergste dat je in het huishouden kan overkomen? Precies: dat de vaatwasser stuk gaat. Die van ons begon na de vakantie kuren te vertonen. Deed er drie in plaats van twee uur over. En als hij dan piepte dat hij klaar was, trof je soms je vuile vaat aan. En nu heeft hij er helemaal de brui aan gegeven. Eerst dacht ik nog dat het weer om dat rubbertje ging dat al vaker voor problemen heeft gezorgd. En dus werd voor luttele euro’s een nieuw exemplaar besteld en de vaat zolang opgespaard. Het nieuwe rubbertje bracht helaas niet de oplossing, waardoor we gisteravond de vaat van drie dagen moesten wegwerken.

De plaatselijke apparatenboer was nog zo vriendelijk om ons een tip te geven: laat de stekker een half uur uit het stopcontact, waardoor de vaatwasser een harde reset krijgt. Want misschien was het wel een softwarefout. Voor de zekerheid hebben we ter plekke alvast een nieuwe uitgezocht, met de afspraak dat we gingen bellen als de reset niet zou helpen. Dat moet ik dus zo gaan doen (over drie minuten gaan ze open). (…) Yes, hij wordt morgen al geleverd!

Wat is het ergste dat je in het digitale huishouden kan overkomen? Dat ze je bankrekening hacken? Mwah, dat valt reuze mee. De meeste mensen zijn alerter als het om geld gaat (toch?) en de toegang tot online bankieren is tegenwoordig beschermd met tweefactorauthenticatie: je hebt je telefoon erbij nodig. En in bepaalde gevallen (als je zelf niks stoms hebt gedaan) draait de bank op voor de kosten. Nee, het ergste dat je kan overkomen is dat je e‑mail wordt gehackt.

Je e-mail is veel meer dan een elektronische variant van de gleuf in je voordeur. Anders dan de brievenbus gebruik je je e-mailadres ook voor identificatie- en authenticatiedoeleinden: je zegt ermee wie je bent en als je het wachtwoord van een website kwijt bent, dan sturen ze je een mailtje om je wachtwoord te resetten. Vooral vanwege dat laatste speelt e-mail een cruciale rol in het digitale huishouden.

Stel, een hacker bemachtigt het wachtwoordbestand van een site waar jij een account hebt. LinkedIn bijvoorbeeld (dat gebeurde daadwerkelijk in 2012; daarbij werden de slecht beveiligde wachtwoorden van miljoenen mensen gestolen). De hacker weet dan twee cruciale dingen van deze mensen: het e-mailadres en het bijbehorende LinkedIn-wachtwoord. HIj weet echter óók dat nog steeds veel mensen hetzelfde wachtwoord voor meerdere sites gebruiken. Hij kan dus proberen of hij met die gegevens kan inloggen bij amazon.com, coolblue.nl of mijnmedischegeschiedenis.nl (dit zijn willekeurige voorbeelden). Maar hij kan zijn geluk ook proberen bij e-mailproviders.

Als hij inderdaad in je mailbox weet binnen te dringen, dat heeft hij de jackpot te pakken. Niet omdat hij nu je diepste geheimen kan lezen; die interesseren hem niet. Wat hem wél interesseert, is waar jij accounts hebt. En dan maakt het niet meer uit of je daar allemaal verschillende wachtwoorden hebt: hij gaat naar een website, vult jouw e‑mailadres in en klikt op ‘wachtwoord vergeten’. De site stuurt vervolgens een wachtwoord-reset-mailtje naar jou. Waarschijnlijk heb je dan zelf al helemaal geen toegang meer tot je mailbox, omdat hij het wachtwoord daarvan al heeft gewijzigd. En door het wachtwoord van andere sites te resetten, verschaft hij zich onder jouw identiteit toegang tot die sites.

Wat hij daar vervolgens mee kan, hangt helemaal af van de aard van een site. Hij zou gegevens die hij daar aantreft kunnen gebruiken om je te chanteren (“betaal of ik maak je gegevens openbaar”). Bij online winkels, die betaling achteraf toestaan of die de gegevens van jouw creditcard hebben, kan hij op jouw kosten winkelen. Als afleveradres gebruikt hij het adres van een katvanger, zodat hij zelf buiten schot blijft.

Je kunt niet verhinderen dat je wachtwoord bij een hack wordt buitgemaakt. Maar gelukkig kun je wel de reikwijdte van die diefstal beperken. Daartoe activeer je, overal waar het maar kan, tweefactorauthenticatie (2FA, ook wel tweestapsverificatie of multifactorauthenticatie (MFA) genoemd). Dat zorgt ervoor dat alleen een wachtwoord niet voldoende is om in te loggen – je hebt ook nog de bijbehorende telefoon nodig, waar een code naar ge-sms’t wordt of waarop een code wordt gegenereerd door een authenticator-app. Daarnaast zorg je ervoor dat je overal andere wachtwoorden gebruikt, zodat een inbraak bij de ene site niet automatisch gevolgen heeft voor andere sites. En het belangrijkste: zorg dat in ieder geval je e-mail een uniek wachtwoord heeft. Doe het nu!

Nog een tip voor keukenkopers: maak apparatuur niet het sluitstuk van de deal. Na het uitzoeken van fronten, grepen, een keukenblad en een kraan zeg je te gemakkelijk ja tegen de voorgestelde apparatuur. Analoog hieraan een digitale tip: als je een nieuw e-mailaccount maakt, geef het wachtwoord dan ook de aandacht die het verdient. Laat het bij voorkeur genereren door je password manager.

 

En in de grote boze buitenwereld …

• zijn dit de belangrijkste aanvallen van de laatste twintig jaar.
• moet je altijd oppassen met het openen van bestanden waarvan je de herkomst niet kent.
• konden onderzoekers bij andermans spullen in de cloud konden komen.
• kan WhatsApp een paar van jouw end-to-end versleutelde berichten lezen als iemand jou aan WhatsApp rapporteert.
• logt zelfs de Zwitserse e-mailprovider ProtonMail soms IP-adressen.
• bestaan er onderhandelaars voor ransomware.
• waarschuwt een ransomware-bende om vooral geen gebruik te maken van zo’n onderhandelaar.
• heeft een hacker privégegevens van HAN-medewerkers en -studenten gepubliceerd omdat de hogeschool zich niet wilde laten afpersen.
• loopt Apple flink achter met het oplossen van kwetsbaarheden.