Adobe, LinkedIn, Yahoo, Facebook — bedrijven die we vertrouwden met onze gegevens hebben allemaal grote beveiligingsinbreuken gehad. In vrijwel elk geval zijn e-mailadressen de meest waardevolle gestolen data, omdat ze de hoofdsleutel zijn tot alles in je digitale leven: wachtwoordresets, tweefactorauthenticatie, bankmeldingen.
Je kunt controleren of je adres in bekende datalekken is verschenen via Have I Been Pwned, het gratis hulpmiddel van beveiligingsonderzoeker Troy Hunt. Volgens Statista bestaat zo'n 45-50% van alle verzonden e-mails wereldwijd uit spam — een aanzienlijk deel daarvan wordt gevoed door gestolen e-maillijsten.
De volledige aanvalsketen na een datalek
De schade van een datalek gebeurt niet in één keer. Binnen uren of dagen na een groot lek verschijnen de gestolen gegevens op dark web-markten. Jouw e-mailadres — en mogelijk je gehashte wachtwoord — wordt in bulk verhandeld. Daarna beginnen spamcampagnes: je adres belandt op massale mailinglijsten, en je zult een plotselinge toename in ongewenste e-mails opmerken.
Gevaarlijker is credential stuffing: geautomatiseerde tools proberen jouw e-mail en mogelijk gestolen wachtwoord bij honderden andere diensten. Netflix, Amazon, internetbankieren — overal waar je hetzelfde wachtwoord hebt gebruikt. Daarna volgt gerichte phishing waarbij aanvallers echte informatie over jou gebruiken om overtuigende e-mails te maken. De Electronic Frontier Foundation heeft uitgebreid geschreven over hoe gegevensaggregatie van meerdere lekken gedetailleerde profielen van individuen creëert.
Waarom je e-mailadres zo waardevol is
Een gestolen creditcard kan in minuten worden geblokkeerd. Een gestolen wachtwoord kan worden gewijzigd. Maar je e-mailadres? Dat is semi-permanent. Je hebt het al jaren, misschien decennia. Tientallen diensten zijn ermee geregistreerd. Het is de sleutel tot al je wachtwoordresets en beveiligingscodes. De AVG geeft EU-inwoners het recht om hun gegevens te laten verwijderen, maar dat helpt niet bij gegevens die al zijn verkocht of gekopieerd.
Het aanvalsoppervlakprobleem
Elke dienst die je echte e-mailadres opslaat, is een potentieel lekpunt. Hoe meer plaatsen, hoe meer kansen voor diefstal. Een dienst waarbij je je drie jaar geleden hebt aangemeld en nooit meer hebt gebruikt — dat is nog steeds een actieve databaserecord. Het gebruik van een tijdelijk e-mailadres voor niet-essentiële aanmeldingen verandert de vergelijking fundamenteel. Als die database later wordt gecompromitteerd, staat jouw echte adres er gewoon niet in.
Wat te doen als je e-mail is gelekt
- Controleer op Have I Been Pwned welk lek het betreft en welke gegevens zijn opgenomen
- Verander onmiddellijk je wachtwoord bij die dienst
- Controleer of je hetzelfde wachtwoord ergens anders gebruikt — wijzig het overal
- Schakel tweefactorauthenticatie in bij getroffen accounts
- Stel gratis lekwaarschuwingen in op Have I Been Pwned
- Blijf alert op phishing-e-mails die verwijzen naar de getroffen dienst
- Overweeg het account te verwijderen als je de dienst niet meer gebruikt
Betere gewoonten opbouwen
Het aanvalsoppervlak van je e-mailadres verkleinen is de meest effectieve preventieve maatregel. Je echte adres hoort alleen bij diensten die je echt vertrouwt en nodig hebt. Voor alles andere — de download, het webinar, het forum — houdt een wegwerpmail je echte adres buiten de vergelijking. Privacygerichte e-maildiensten zoals Proton Mail of aliasdiensten zoals SimpleLogin kunnen hierbij helpen.
Voor echt eenmalige interacties is een tijdelijke mail de schoonste oplossing — geen installatie vereist, geen account nodig, geen echte identiteit betrokken. Wanneer die dienst ooit wordt gecompromitteerd, staat je echte adres simpelweg niet in hun database.