Wat is credential stuffing?

Bij credential stuffing proberen cybercriminelen automatisch in te loggen op allerlei websites met gestolen gebruikersnamen en wachtwoorden. Die gegevens komen vaak uit eerdere datalekken bij webwinkels, telecombedrijven, sociale media of andere onlinediensten.

Veel mensen gebruiken voor het gemak hetzelfde wachtwoord op meerdere websites. Dit is gemakkelijk, maar niet erg veilig. Lekt één account uit? Dan proberen criminelen met diezelfde combinatie ook in te loggen bij bijvoorbeeld uw e-mail, sociale media of zelfs uw bankomgeving. Lukt dat, dan krijgen ze toegang tot meerdere accounts en de persoonlijke gegevens die daarop staan.

Hoe werkt het?

Cybercriminelen hoeven niet zelf miljoenen wachtwoorden in te typen. Ze gebruiken hiervoor speciale computerprogramma's, ook wel bots genoemd. Deze bots proberen razendsnel duizenden of zelfs miljoenen combinaties van e-mailadressen en wachtwoorden uit op verschillende websites.

Voor de meeste pogingen krijgen ze geen toegang. Maar als u hetzelfde wachtwoord op meerdere plekken gebruikt, is de kans groot dat een of meer accounts toch worden gekraakt. Met een gehackt account kunnen criminelen vervolgens mogelijk:

• Uw persoonlijke gegevens stelen;
• Aankopen doen of identiteitsfraude plegen;
• Wachtwoorden van andere accounts wijzigen;
• Uit uw naam berichten versturen;
• De inloggegevens doorverkopen op het darkweb (dit is een verborgen deel van het internet waar illegale handel plaatsvindt).

Wat moet u doen als uw gegevens zijn gelekt?

Hebt u een melding gekregen dat uw gegevens voorkomen in een datalek? Of ziet u verdachte inlogpogingen op een account? Wacht dan niet. Doe in ieder geval het volgende:

• Verander direct uw wachtwoord: Gebruik een nieuw, sterk wachtwoord (een sterk wachtwoord bevat hoofdletters, kleine letters, getallen en tekens) dat u nergens anders gebruikt.
• Controleer andere accounts: Gebruikt u hetzelfde wachtwoord ook op andere websites? Verander het daar dan ook meteen.
• Zet tweestapsverificatie (2FA) aan: Hiermee moet u naast uw wachtwoord nog een extra stap uitvoeren, bijvoorbeeld een code invoeren via een app of sms.
• Controleer uw accountactiviteit: Kijk of er onbekende apparaten, locaties of verdachte transacties zichtbaar zijn.
• Blokkeer het account als dat nodig is: Sommige diensten bieden de mogelijkheid een account tijdelijk te vergrendelen totdat u uw identiteit hebt bevestigd.

Zo voorkomt u credential stuffing

U kunt de kans dat u hiervan slachtoffer wordt verkleinen door de volgende tips op te volgen:

• Gebruik voor ieder account een uniek wachtwoord: Als één wachtwoord uitlekt, blijven uw andere accounts veilig.
• Kies sterke wachtwoorden: Gebruik een lang wachtwoord of een wachtzin die moeilijk te raden is. Vermijd namen, geboortedata en eenvoudige reeksen zoals 'Welkom123'.
• Gebruik een wachtwoordmanager: Een wachtwoordmanager maakt sterke, unieke wachtwoorden voor u aan en bewaart ze veilig. Zo hoeft u zelf nog maar één hoofdwachtwoord te onthouden.
• Zet tweestapsverificatie aan: Zelfs als criminelen uw wachtwoord kennen, kunnen ze dan meestal niet inloggen.

Hoe checkt u of uw e-mailadres is gelekt?

Wilt u graag weten of uw e-mailadres voorkomt in een bekend datalek? Dat kunt u eenvoudig controleren. Een van de bekendste websites is https://haveibeenpwned.com . Vul daar uw e-mailadres in en u ziet gelijk of het voorkomt in een of meer datalekken. De site laat ook zien bij welke diensten uw gegevens mogelijk zijn gestolen.

Staat uw e-mailadres ertussen? Geen paniek, maar onderneem wel direct actie met de bovenstaande tips.

* Tweestapsverificatie aanzetten

Soms is tweestapsverificatie verplicht, bijvoorbeeld bij internetbankieren. Als het niet verplicht is, kunt u het zelf aanzetten bij de accountinstellingen. E-mail goed beveiligen is heel belangrijk, want die geeft zo'n beetje toegang tot alles.

Maar hoe u hiervoor tweestapsverificatie aanzet, verschilt per aanbieder. Microsoft, Google, Apple en veel anderen bieden deze beveiligingsvorm, maar ze noemen het soms anders. Zoek daarom ook op 2FA of Twee Factor Authenticatie (een ander woord voor tweestapsverificatie). U vindt op www.dubbelbeveiligd.nl een handig overzicht van alle e-mailaanbieders (van Apple tot Yahoo) en de stappen die u moet zetten om tweestapsverificatie in te schakelen.