Wat er echt gebeurt met je e-mailadres na een datalek

Adobe, LinkedIn, Yahoo, Facebook, Twitch, Equifax, Marriott — dit zijn slechts de datalekken die het nieuws haalden. Er zijn duizenden meer die dat nooit deden. Bedrijven die we onze e-mailadressen, onze wachtwoorden, soms onze creditcardnummers en huisadressen toevertrouwden, hebben hun databases gestolen en verkocht zien worden. En in bijna elk geval is het e-mailadres het waardevolste stuk data in de buit, omdat het de hoofdsleutel is tot al het andere in je digitale leven.

De meeste mensen reageren op nieuws over een datalek door hun wachtwoord bij die ene dienst te wijzigen en verder te gaan. Die reactie is begrijpelijk, maar mist het grotere plaatje. De schade van een datalek stopt niet bij de gehackte dienst. Ze breidt zich uit op manieren die maanden, soms jaren aanhouden. Als je de volledige keten begrijpt, verandert dat hoe je in de eerste plaats denkt over het delen van je e-mailadres.

Dit artikel doorloopt die keten in detail — wat er onmiddellijk na een datalek gebeurt, wat er weken en maanden later gebeurt, waarom je e-mailadres specifiek zo waardevol is voor aanvallers, en wat je er praktisch aan kunt doen. Het doel is niet om je bang te maken. Het is om je een duidelijk beeld te geven, zodat je slimmere beslissingen kunt nemen over waar je echte e-mailadres daadwerkelijk moet bestaan.

De omvang van het probleem

Voordat we op de mechaniek ingaan, helpt het om te begrijpen hoe groot dit probleem eigenlijk is. Have I Been Pwned, de gratis datalek-controledienst gebouwd door beveiligingsonderzoeker Troy Hunt, houdt momenteel meer dan 13 miljard gecompromitteerde accounts bij, verspreid over duizenden individuele datalekken. Dat getal is geen 13 miljoen. Het is 13 miljard. De wereldwijde volwassen bevolking telt ongeveer 6,5 miljard mensen. Veel van die 13 miljard records zijn duplicaten — hetzelfde e-mailadres dat in meerdere lekken voorkomt — maar de schaal is nog steeds duizelingwekkend.

Volgens gegevens van Statista over spam-e-mailverkeer is ongeveer 45–50% van alle wereldwijd verzonden e-mail spam. Een aanzienlijk deel van die spam wordt gevoed door gestolen e-maillijsten die uit datalekken zijn geoogst. Dit is geen nicheprobleem dat alleen onfortuinlijke individuen treft — als je al meer dan een paar jaar een e-mailadres hebt en het gebruikt hebt om je bij online diensten te registreren, is de kans reëel dat het in ten minste één lek is verschenen.

Ik raad je aan om nu even te pauzeren en je eigen adres te controleren op Have I Been Pwned voordat je verder leest. De resultaten maken de rest van dit artikel meestal een stuk concreter. De meeste mensen vinden hun e-mail terug in twee tot acht lekken. Sommigen vinden er meer. Als de jouwe schoon terugkomt, mooi zo — maar het is nog steeds de moeite waard om te begrijpen waartegen je je beschermt.

Wat aanvallers met je e-mail doen — de volledige keten

Dit missen de meeste berichten over datalekken: de schade van één lek gebeurt niet in één keer, en stopt niet bij één type aanval. Er is een reeks gebeurtenissen, elk mogelijk gemaakt door de vorige, en die reeks begrijpen is wat het probleem echt in plaats van abstract laat aanvoelen.

Stap 1: De datalek-database wordt verkocht

Binnen uren of dagen na een groot datalek verschijnen de gestolen gegevens op dark web-markten. Databases worden in bulk gekocht en verkocht — soms voor verrassend kleine geldbedragen. Een bestand met miljoenen e-mailadressen en gehashte wachtwoorden verkoopt misschien voor een paar honderd dollar. Vanuit het perspectief van de aanvaller is dit gewoon het verwerven van ruw materiaal om mee te werken.

Stap 2: Spamcampagnes beginnen onmiddellijk

Het meest onmiddellijke en zichtbare effect van een datalek is een plotselinge toename van spam. Je e-mailadres wordt toegevoegd aan massa-mailinglijsten, en de Federal Trade Commission schat dat er dagelijks miljarden spam-e-mails worden verzonden, waarbij gestolen e-maillijsten een van de belangrijkste bronnen zijn. Misschien merk je een nieuwe golf spam op die begint dagen of weken nadat een dienst die je gebruikt een datalek aankondigt. Dat is geen toeval — je adres is net op een nieuwe lijst beland.

Stap 3: Credential stuffing-aanvallen

Als het datalek wachtwoorden bevatte — zelfs gehashte — escaleert de dreiging aanzienlijk. Geautomatiseerde tools, credential stuffers genoemd, nemen de e-mail- en wachtwoordcombinaties uit een lek en proberen ze systematisch bij tientallen of honderden andere diensten. Je Netflix-login. Je Amazon-account. Je bank. Je e-mailprovider zelf. Troy Hunt heeft uitgebreid gedocumenteerd hoe credential stuffing-aanvallen verantwoordelijk zijn voor een enorm aandeel van accountovernames. Wachtwoordhergebruik maakt deze aanval zo effectief — mensen die hetzelfde wachtwoord bij meerdere diensten gebruiken, zijn extra kwetsbaar. Daarom is het niet genoeg om alleen het ene getroffen wachtwoord te wijzigen.

Stap 4: Gerichte phishing die dingen over je weet

Generieke phishing-e-mails — "Klik hier om je account te verifiëren" — zijn makkelijk te herkennen. Maar een geavanceerdere aanvaller gebruikt lekgegevens om gerichte berichten op te stellen die verwijzen naar dingen die hij echt over je weet. Hij weet bij welke dienst je klant was. Soms kent hij je gebruikersnaam, je naam of de laatste vier cijfers van je betaalkaart. Een phishing-e-mail die zegt "Je [echte dienstnaam]-account vereist verificatie — hier is je gebruikersnaam [je werkelijke gebruikersnaam]" is dramatisch overtuigender dan een generieke massamail. Deze categorie aanval wordt soms spear phishing genoemd, en lekgegevens zijn precies wat het mogelijk maakt.

Stap 5: Profielopbouw over meerdere lekken heen

Het meest geavanceerde gebruik van lekgegevens is correlatie. Aanvallers combineren records uit meerdere lekken om gedetailleerde profielen van individuen op te bouwen. Verscheen je e-mail in een lek van een gamingforum, een fitness-app en een online winkel? Dan weet iemand nu dat je games speelt, hoe vaak je sport, waar je winkelt, en mogelijk je ongeveer locatie op basis van verzendgegevens. De Electronic Frontier Foundation heeft uitgebreid geschreven over hoe gegevensaggregatie individueel onschuldige stukjes informatie omzet in iets veel indringenders. Deze profilering voedt gerichtere phishing, social engineering en in extreme gevallen identiteitsdiefstal.

Hoe je je huidige blootstelling controleert

Het beste startpunt is Have I Been Pwned. Voer je e-mailadres in en de site doorzoekt haar database van bekende lekken. Voor elk vermeld lek zie je de naam van de getroffen dienst, de datum van het lek en welke categorieën gegevens zijn blootgesteld (e-mail, wachtwoord, gebruikersnaam, naam, telefoonnummer enz.). Dit vertelt je precies waar je gegevens zijn gecompromitteerd en welke specifieke risico's van toepassing zijn.

Cruciaal: Have I Been Pwned biedt gratis meldingen bij nieuwe datalekken. Je voert je e-mailadres in, bevestigt het, en vanaf dat moment ontvang je direct een e-mailmelding als je adres verschijnt in een toekomstig lek dat aan de database wordt toegevoegd. Dit is een van de meest waardevolle gratis beveiligingstools die er zijn — het maakt van jou iemand die niet pas maanden later (als het al gebeurt) achter een blootstelling komt, maar iemand die het binnen dagen weet en snel kan handelen.

Let bij het bekijken van je resultaten vooral op lekken die wachtwoorden bevatten. Dat zijn je risicovolste blootstellingen vanwege de hierboven beschreven credential stuffing-aanvallen. Zorg er voor die lekken specifiek voor dat je het wachtwoord hebt gewijzigd op elke dienst waar je hetzelfde wachtwoord gebruikte — en stop daarna met wachtwoordhergebruik door voortaan een wachtwoordbeheerder te gebruiken.

Waarom je e-mail de meest waardevolle data in een datalek is

Dit is iets om even bij stil te staan: een gestolen creditcard kan binnen enkele minuten worden geblokkeerd. Een gelekt wachtwoord kan worden gewijzigd. Maar je e-mailadres? Dat is semi-permanent. Je hebt het al jaren, mogelijk decennia. Tientallen of honderden diensten staan erop geregistreerd. Het is de sleutel tot je wachtwoordresets, je bankmeldingen, je tweefactorcodes. Het is verbonden met je identiteit op een manier die heel moeilijk te ontrafelen is.

De AVG geeft EU-inwoners het wettelijke recht om de verwijdering van hun persoonsgegevens, inclusief hun e-mailadres, te eisen bij elke dienst die ze bewaart. In de praktijk hebben veel bedrijven hier inmiddels geautomatiseerde systemen voor, en je kunt zelfs een verwijderverzoek indienen voor diensten die je al jaren niet meer gebruikt. Maar AVG-verwijderverzoeken raken alleen het bedrijf dat het verzoek ontving — ze raken geen gegevens die al zijn verkocht of gekopieerd naar databases van derden vol gelekte gegevens. Zodra je e-mailadres eenmaal in het wild is, brengt geen regelgeving het terug. Preventie is de enige volledig betrouwbare strategie.

De beveiligingsrichtlijnen van OWASP benadrukken voortdurend dat e-mailadressen hoogwaardige gegevens zijn die dezelfde bescherming verdienen als wachtwoorden. Toch delen de meeste mensen hun e-mailadres met veel minder zorg dan hun wachtwoorden, omdat e-mailadressen minder gevoelig aanvoelen. De werkelijkheid is het tegenovergestelde — je e-mail is persistenter, centraler en moeilijker te wijzigen dan je wachtwoord.

Het probleem van het aanvalsoppervlak

Elke dienst die je echte e-mailadres bewaart, is een potentieel lekpunt. Hoe meer plaatsen waar je e-mail bestaat in databases over het internet, hoe meer kansen er zijn om het te stelen. Denk aan de wiskunde: als je je in de loop der jaren hebt aangemeld bij 50 online diensten en elke dienst heeft een jaarlijkse kans van 2% op een datalek (een conservatieve schatting op basis van het huidige landschap), dan is de kans dat minstens één daarvan in een bepaald jaar wordt getroffen erg hoog. Hoe meer diensten, hoe hoger de blootstelling.

Een dienst waarbij je je drie jaar geleden aanmeldde om een gratis sjabloon te downloaden, één keer gebruikte en volledig vergat — dat is ergens nog steeds een actief databaserecord. Dat bedrijf is misschien overgenomen, heeft misschien een beveiligingsincident gehad, heeft misschien zijn e-maillijst verkocht om kosten te dekken. Je hebt geen enkel zicht op wat er met je gegevens is gebeurd sinds je ze invulde.

Hier verandert het gebruik van een wegwerp e-mail voor niet-essentiële aanmeldingen de vergelijking fundamenteel. Als de database achter die sjabloon-downloadsite twee jaar later wordt gecompromitteerd, staat je echte e-mailadres er niet in. Het tijdelijke adres dat werd gebruikt bestaat niet meer. Er is niets te stelen, niets te verkopen en geen keten van gevolgen om te volgen. Het aanvalsoppervlak van je echte e-mail blijft klein — alleen de diensten die het écht nodig hebben voor belangrijke, doorlopende communicatie.

Wat te doen als je e-mail is gelekt

Als je ontdekt dat je e-mailadres in een datalek is verschenen, hier een praktische volgorde van acties, ruwweg op prioriteit:

1. Controleer precies in welk lek het is verschenen op Have I Been Pwned, en noteer welke gegevens waren opgenomen (alleen e-mail, of ook wachtwoord, naam enz.)
2. Verander je wachtwoord bij die dienst onmiddellijk — idealiter naar iets lang en uniek, gegenereerd door een wachtwoordbeheerder
3. Controleer op wachtwoordhergebruik — als je hetzelfde wachtwoord ergens anders gebruikte, wijzig het overal, te beginnen bij de gevoeligste accounts (e-mail, bankieren, financiële diensten)
4. Schakel tweefactorauthenticatie in op alle getroffen accounts die dit ondersteunen — zelfs als aanvallers je wachtwoord hebben, kunnen ze niet inloggen zonder de tweede factor
5. Stel lekmonitoring in op Have I Been Pwned zodat je direct wordt gewaarschuwd bij toekomstige blootstellingen
6. Houd je inbox goed in de gaten voor phishingpogingen die verwijzen naar de getroffen dienst — aanvallers weten dat je daar klant was en kunnen die kennis gebruiken
7. Meld spam bij je e-mailprovider — bij de meeste e-maildiensten kun je berichten als spam markeren, wat hun filters traint om er meer van te herkennen
8. Overweeg of je het account nog nodig hebt — als je de getroffen dienst niet meer gebruikt, verwijdert het verwijderen van je account je gegevens uit hun database

Betere gewoonten opbouwen voor de toekomst

Het belangrijkste inzicht hieruit is dat het verkleinen van het aanvalsoppervlak van je e-mail de meest effectieve preventieve maatregel is die je hebt. Niet alleen wachtwoorden wijzigen na datalekken, niet alleen tweefactorauthenticatie gebruiken (hoewel beide belangrijk zijn) — maar in de eerste plaats beperken waar je echte e-mailadres bestaat. Een datalek kan geen gegevens blootleggen die nooit aan de getroffen dienst zijn gegeven.

De praktische manier om dit te doen is gelaagd e-mailgebruik. Je echte e-mailadres gaat naar de diensten die het echt nodig hebben: je bank, je werkgever, je naaste contacten, diensten die je regelmatig gebruikt en vertrouwt. Voor al het andere — de download, het webinar, het forumbericht, de SaaS-proefperiode — houdt een wegwerpadres je echte e-mail buiten de vergelijking. Privacygerichte e-maildiensten zoals Proton Mail zijn het overwegen waard voor je primaire e-mail, en aliasdiensten zoals SimpleLogin kunnen je helpen doorstuuradressen te beheren voor langduriger relaties.

Voor echt eenmalige interacties is een tijdelijk mailadres de schoonste oplossing — niets in te stellen, geen account nodig, geen echte identiteit betrokken. Wanneer die dienst uiteindelijk wordt gecompromitteerd (en statistisch gezien overkomt dat veel diensten), staat je echte adres simpelweg niet in hun database. Je bent uit de keten gestapt voordat die kon beginnen.

Een woord over je AVG-rechten

Als je in de EU woont (of te maken hebt met bedrijven die EU-klanten bedienen), geeft de AVG je echte, afdwingbare rechten. Je kunt elk bedrijf dat je gegevens bewaart contacteren en verwijdering eisen onder Artikel 17 (het "recht op vergetelheid"). Veel bedrijven hebben nu geautomatiseerde privacyverzoekportalen — zoek naar de bedrijfsnaam plus "privacyverzoek" of "gegevens verwijderen". Dit is de moeite waard voor diensten die je niet meer gebruikt, omdat het je gegevens uit hun actieve database verwijdert en je blootstelling vermindert als ze ooit worden getroffen.

De beperkingen zijn reëel: een verwijderverzoek raakt alleen wat het bedrijf momenteel bewaart. Gegevens die al aan derden zijn verkocht, al gekopieerd zijn naar databases vol gelekte gegevens, of al in handen zijn van spamoperators, kunnen niet worden bereikt door een AVG-verzoek. Dit is nog een reden waarom het voorkomen van onnodige verspreiding van je e-mail veel effectiever is dan proberen het achteraf op te ruimen.

Slotgedachten

Het punt van dit alles begrijpen is niet om je paranoïde te maken over internetgebruik. Het is om je te helpen zien dat de beslissingen die je neemt over waar je je e-mailadres deelt echte, blijvende gevolgen hebben — en dat kleine gedragsveranderingen je blootstelling in de loop van de tijd betekenisvol kunnen verminderen. Je echte e-mailadres is waardevol. Behandel het dienovereenkomstig. Geef het alleen aan diensten die het echt verdienen, en laat wegwerpadressen al het andere opvangen.

Als je het nog niet hebt gedaan, controleer je e-mail vandaag nog op Have I Been Pwned. Stel lekwaarschuwingen in. En de volgende keer dat iets om je e-mailadres vraagt en je niet zeker weet of het het waard is, overweeg dan of een temp mail hetzelfde zou kunnen doen — zonder je echte adres in gevaar te brengen.