Denk na over wat er zou gebeuren als iemand toegang zou krijgen tot uw e-mailpostvak. Niet alleen uw e-mails lezen — maar het als een sleutel gebruiken. Want dat is precies wat het is. Uw e-mailadres is de loper van bijna elk online account dat u bezit. Bankieren. Sociale media. Cloudopslag. Werktools. Overheidsdiensten. Ze zijn allemaal terug te voeren op dat ene e-mailadres en zijn link "wachtwoord vergeten".

De aanval vereist geen individueel hacken van elke dienst. Het vereist slechts het controleren van één e-mailpostvak. Zodra iemand toegang heeft tot uw e-mail, kan hij de "wachtwoord vergeten"-procedure activeren voor elke gekoppelde dienst en de resetlink direct ontvangen. Elke reset duurt ongeveer twee minuten.

Het "Wachtwoord vergeten"-probleem

Bijna elke online dienst gebruikt e-mail voor accountherstel. Dat is zo ontworpen — het is eenvoudig en universeel. Maar er zit een enorme implicatie verstopt in dat ontwerp: wie uw postvak beheert, beheert elk account dat e-mail voor herstel gebruikt.

De beveiliging van uw e-mailaccount is effectief het beveiligingsplafond voor alles wat u online bezit. Een sterk uniek wachtwoord voor uw bankaccount is zinloos als uw e-mailaccount een zwak hergebruikt wachtwoord gebruikt — want uw bankaccount kan worden gereset via e-mail. Uw e-mailaccount is het enige account dat boven alles andere beveiligd moet zijn.

Wat er werkelijk verbonden is aan uw e-mail

• Bank- en financiële accounts — wachtwoordresets, transactiemeldingen
• Sociale media — Facebook, Instagram, LinkedIn, X/Twitter gebruiken allemaal e-mail voor accountherstel
• Cloudopslag — Google Drive, Dropbox, OneDrive — vaak terabytes aan persoonlijke documenten
• Werktools — Slack, GitHub, Jira, loonverwerking
• E-commerceaccounts — Amazon, PayPal — met opgeslagen betaalmethoden
• Overheids- en gezondheidsportalen — belastingaangiften, zorgverzekering
• Domeinregistrars en hostingproviders — voor iedereen die een website of bedrijf online runt

Een realistisch scenario

Stel u voor dat iemand uw e-mailwachtwoord krijgt via een datalek bij een dienst die u jaren geleden gebruikte — u hergebruikte dat wachtwoord. Ze loggen in op uw e-mail. Eerst doorzoeken ze uw postvak om uw digitale leven in kaart te brengen: welke bank gebruikt u? Welke clouddiensten? Deze informatie staat allemaal in uw postvak als bonnetjes, meldingen en overzichten.

Troy Hunt, de beveiligingsonderzoeker achter Have I Been Pwned, heeft dit patroon uitgebreid gedocumenteerd. Aanvallers richten zich doorgaans niet rechtstreeks op accounts — ze richten zich op het e-mailaccount dat alle andere accounts ontgrendelt.

Waarom e-mailbeveiliging de hoogste prioriteit heeft

Activeer tweefactorauthenticatie op uw e-mailaccount voordat u het ergens anders activeert. Gebruik een authenticator-app in plaats van sms waar mogelijk. ProtonMail biedt end-to-end versleutelde e-mail voor gebruikers die maximale privacy en beveiliging willen.

Het aanvalsoppervlakprobleem

Elke dienst die uw echte e-mailadres heeft, is een potentieel lekpunt. Wanneer bedrijven worden gehackt, lekken hun gebruikersdatabases. Have I Been Pwned is een gratis dienst waarmee u kunt controleren of uw e-mailadres in bekende datalekken voorkomt. Voor niet-essentiële aanmeldingen houdt een tijdelijk e-mailadres uw echte adres buiten nog een database.

Praktische beveiligingsgewoonten

• Sterk uniek wachtwoord voor uw e-mail. Gegenereerd door een wachtwoordbeheerder. Nergens anders hergebruikt.
• Tweefactorauthenticatie met een authenticator-app. Geen sms indien vermijdbaar. Eerst activeren, vóór alles andere.
• OAuth-app-machtigingen regelmatig controleren. Welke apps van derden hebben toegang tot uw e-mail?
• Een tijdelijk e-mailadres gebruiken voor niet-essentiële aanmeldingen. Webwinkels, forums, gratis tools, proefaccounts.
• Have I Been Pwned regelmatig controleren. Elke drie tot zes maanden of meldingsbewaking abonneren.

Gelekt vs. gecompromitteerd: het verschil begrijpen

Gelekt betekent dat uw e-mailadres in een lekdatabase is verschenen — beheersbaar. Wachtwoord wijzigen bij de getroffen dienst, controleren op hergebruik, 2FA activeren. Gecompromitteerd betekent dat iemand actieve toegang heeft tot uw postvak — ernstig. Onmiddellijk wachtwoord wijzigen, alle sessies beëindigen, 2FA activeren, doorstuurrregels controleren.

De Electronic Frontier Foundation publiceert praktische beveiligingsgidsen. Digitale veiligheid vereist geen expertise. Het vereist begrijpen wat er echt toe doet en een paar dingen consequent doen. Uw e-mailpostvak is de hoofdsleutel. Bescherm het als zodanig.