Wat te doen als je e-mailadres in een datalek is beland

Wat te doen als je e-mailadres in een datalek voorkomt

Dat je e-mailadres opduikt in een datalek betekent op zichzelf niet dat iemand toegang heeft gekregen tot je e-mailaccount. Controleer eerst de waarschuwing via de officiële website van het bedrijf en zoek uit welke gegevens nog meer zijn blootgesteld. Als er een wachtwoord is gelekt, wijzig het dan overal waar je het hebt gebruikt en schakel sterkere inlogbeveiliging in. Als kaart-, bank- of socialezekerheidsgegevens zijn gelekt, volg dan de bijbehorende stappen van de bank, het kredietbureau of IdentityTheft.gov.

• Alleen e-mailadres: verwacht meer spam en phishing die op jou is gericht. Het is geen bewijs dat iemand toegang heeft gehad tot je mailbox.
• Wachtwoord blootgesteld of gemarkeerd als gecompromitteerd: wijzig het op het getroffen account en op elk ander account waar je hetzelfde wachtwoord hebt gebruikt.
• Tekenen van een overname (onbekende aanmeldingen, gewijzigde herstelgegevens, doorstuurregels die je niet hebt aangemaakt, berichten die je niet hebt verstuurd): gebruik het herstelproces van je e-mailprovider voor gehackte accounts.
• Kaart-, bank-, socialezekerheids- of identiteitsgegevens blootgesteld: volg de specifieke stappen voor die gegevens, niet een algemene e-mailchecklist.

Hoe weet je of je e-mailadres in een datalek voorkomt

Bevestig de melding via de officiële website of app van het getroffen bedrijf en controleer daarna een betrouwbare datalekzoekdienst en je waarschuwingen over opgeslagen wachtwoorden. Geen enkele zoekdienst bevat elk datalek, dus lees ook de incidentmelding van het bedrijf om te weten welke gegevens samen met jouw adres zijn blootgesteld.

Controleer de melding zonder de links erin te gebruiken

Datalekmeldingen zijn een geliefde vermomming voor phishing, dus klik niet op links en bel geen telefoonnummers uit het bericht. Het National Cyber Security Centre (NCSC) van het Verenigd Koninkrijk raadt aan om in plaats daarvan contact op te nemen met de organisatie via de officiële website of app. Typ het adres zelf in of open de app die je al gebruikt en zoek dan naar de incidentpagina of het supportartikel van het bedrijf.

Let op de beschrijving van het incident door het bedrijf en de categorieën gegevens die volgens het bedrijf getroffen zijn, zoals e-mailadressen, wachtwoorden, telefoonnummers of betalingsgegevens. Als de melding vaag is, vraag dan via een officieel kanaal aan het supportteam van het bedrijf welke gegevens over jou erbij betrokken waren.

Controleer Have I Been Pwned en je waarschuwingen over opgeslagen wachtwoorden

Have I Been Pwned is een gratis datalekzoekdienst van beveiligingsonderzoeker Troy Hunt. Je voert een e-mailadres in en de dienst vermeldt de bekende datalekken in zijn dataset waarin dat adres voorkomt. In de FAQ staat dat e-mailzoekopdrachten niet worden geregistreerd, en de dienst biedt een gratis "Notify me"-melding die alleen naar het gecontroleerde adres wordt gestuurd.

Een schoon resultaat bewijst niet dat je adres nooit is gelekt. Have I Been Pwned kan alleen datalekken rapporteren die het heeft geïndexeerd, en sommige datasets worden anders behandeld of komen nooit openbaar naar buiten.

Je tools voor opgeslagen wachtwoorden kunnen ook blootgestelde wachtwoorden signaleren. Google Password Manager heeft een Password Checkup die opgeslagen wachtwoorden als blootgesteld, hergebruikt of zwak rapporteert. Op de iPhone identificeert het beveiligingsgedeelte van de Wachtwoorden-app zwakke of gecompromitteerde wachtwoorden, waaronder wachtwoorden die zijn aangetroffen in bekende datalekken. Sommige andere wachtwoordmanagers bieden vergelijkbare bewaking. Google raadt aan om Password Checkup rechtstreeks te openen om een waarschuwing te verifiëren in plaats van een link in de melding te volgen, wat een goede gewoonte is bij elke beveiligingswaarschuwing.

Wat er is gelekt, bepaalt wat je moet doen

Stem je reactie af op de gegevens die zijn blootgesteld. Een gelekt e-mailadres verhoogt vooral je phishingrisico, een gelekt wachtwoord vraagt om nieuwe wachtwoorden, en gelekte financiële of socialezekerheidsgegevens vereisen stappen bij de bank en het kredietbureau.

Een telefoonnummer, adres of geboortedatum betekent niet dat er een SIM-swap aankomt. Die gegevens maken social engineering wel makkelijker, en de Federal Trade Commission (FTC) merkt op dat een pincode of wachtwoord op je mobiele account kan helpen om ongeoorloofde wijzigingen te blokkeren.

Als het bedrijf zegt dat wachtwoordhashes zijn blootgesteld

Veel bedrijven slaan wachtwoorden op als hashes in plaats van als leesbare tekst. Als een inbreukmelding zegt dat er wachtwoordhashes zijn buitgemaakt, volg dan de resetinstructies van het bedrijf en vervang dat wachtwoord overal waar je het hebt hergebruikt. Hashing kan de kans verkleinen dat een wachtwoord kan worden achterhaald, maar de bescherming hangt af van de hashmethode, de configuratie ervan en hoe sterk je wachtwoord was. Ga er niet van uit dat een gehasht wachtwoord meteen leesbaar of permanent veilig is.

Als de waarschuwing een stealer log of malware vermeldt

Sommige inbreukwaarschuwingen komen van "stealer logs": inloggegevens die door malware op een geïnfecteerd apparaat zijn verzameld in plaats van gekopieerd uit de database van een bedrijf. Als een waarschuwing dit specifiek zegt, werk dan het getroffen apparaat bij en scan het met vertrouwde beveiligingssoftware, en wijzig daarna gevoelige wachtwoorden vanaf een apparaat waarvan je weet dat het schoon is. Een gewone bedrijfsinbreuk betekent op zichzelf niet dat je telefoon of computer malware bevat.

Als een wachtwoord is blootgesteld of hergebruikt

Handel snel wanneer een wachtwoord is blootgesteld, want iemand kan die combinatie van e-mailadres en wachtwoord proberen op het getroffen account of op andere sites. Wijzig het op het getroffen account en vervang het daarna overal waar je het nog gebruikt.

Wijzig het op het getroffen account

Log in door zelf het adres van de site te typen, niet via een link in een e-mail, en stel een nieuw wachtwoord in dat lang en uniek is. IdentityTheft.gov raadt ook aan om je gebruikersnaam te wijzigen als de site dat toestaat. Als je niet kunt inloggen, neem dan contact op met het bedrijf en vraag hoe je het account kunt herstellen of sluiten.

Controleer terwijl je bent ingelogd op wijzigingen die je niet hebt aangebracht, vooral op winkel- of financiële sites. Kijk naar het verzendadres, opgeslagen kaarten, gekoppelde accounts en recente bestellingen of transacties.

Vervang het overal waar je het hebt hergebruikt

Elk ander account dat het gelekte wachtwoord nog gebruikt, loopt gevaar, zelfs als die dienst niet is getroffen. Wijzig die wachtwoorden als volgende, te beginnen met accounts die toegang kunnen geven tot andere diensten of die geld of gevoelige informatie kunnen blootleggen:

1. Je e-mailaccounts, omdat de links voor het resetten van wachtwoorden voor bijna al het andere daar naartoe gaan
2. Bank-, betalings- en beleggingsrekeningen
3. Webshops die een kaart opslaan
4. Sociale media, cloudopslag en accounts bij je telefoonprovider

Als je wachtwoord van je hoofd-e-mailaccount niet is hergebruikt, niet is gemarkeerd en geen ongebruikelijke activiteit vertoont, hoeft het niet als eerste aan de beurt te zijn. Wijzig het wanneer het hetzelfde wachtwoord deelt met de getroffen site of zelf in een inbreukwaarschuwing voorkomt.

Een wachtwoordmanager maakt dit praktisch door voor elk account een ander wachtwoord aan te maken en op te slaan. Sommige wachtwoordmanagers kunnen ook opgeslagen wachtwoorden markeren die hergebruikt zijn of waarvan bekend is dat ze zijn blootgesteld. Een wachtwoordmanager kan niet voorkomen dat een bedrijf wordt getroffen, maar met unieke wachtwoorden zorgt één gelekt wachtwoord er niet voor dat andere accounts worden ontgrendeld.

Stap over op een passkey of voeg sterkere inlogbescherming toe

Waar een site passkeys ondersteunt, overweeg dan er een te gebruiken in plaats van een wachtwoord. Gebruik anders een uniek wachtwoord en schakel multi-factorauthenticatie (MFA) in. Voor belangrijke accounts is een authenticator-app of een beveiligingssleutel de sterkere keuze. Sms-codes bieden nog steeds bescherming, maar de FTC waarschuwt dat ze een SIM-swap mogelijk niet tegenhouden.

Controleer voordat je een oude inlogmethode verwijdert of je herstel-e-mailadres, hersteltelefoonnummer, back-upcodes en vertrouwde apparaten in jouw beheer zijn. Schakel sms-verificatie pas uit als een andere methode is ingesteld en werkt, anders kun je jezelf buitensluiten.

Als er tekenen zijn dat iemand toegang heeft gehad tot je e-mailaccount

Een inbreuk bij een ander bedrijf betekent niet per se dat iemand toegang heeft gehad tot je mailbox. De onderstaande stappen gelden alleen als je tekenen ziet van overname van een e-mailaccount, zoals:

• Je kunt niet inloggen, of je wachtwoord of gebruikersnaam is gewijzigd zonder dat je daar iets voor hebt gedaan
• Inlogmeldingen van apparaten of locaties die je niet herkent
• Herstel-e-mailadressen of telefoonnummers die je niet hebt toegevoegd
• Verzonden berichten die je niet hebt geschreven, of vrienden die melden dat ze vreemde e-mails van jou ontvangen

Herstel het account via je provider

Gebruik de officiële accountherstelpagina van je provider, die je bereikt door het adres in te typen of de app te openen. Zodra je weer toegang hebt, wijzig je het wachtwoord, log je uit bij alle andere sessies en apparaten, en schakel je MFA in als dat uit stond. De FTC raadt ook aan om je beveiligingssoftware bij te werken en een scan uit te voeren.

Controleer apparaten, herstelgegevens, doorstuurregels en verbonden apps

Een indringer kan instellingen wijzigen waarmee hij toegang behoudt of kopieën van je berichten ontvangt nadat je het wachtwoord hebt gereset. De richtlijnen van Google voor gecompromitteerde accounts noemen de onderstaande controles; gebruik de equivalente beveiligings- en mailinstellingen die je eigen provider biedt.

• Apparaten en sessies: bekijk recente beveiligingsactiviteit en verwijder elk apparaat dat je niet herkent.
• Herstelgegevens: corrigeer elk herstel-e-mailadres, telefoonnummer of accountnaam dat je niet zelf hebt ingesteld.
• Doorsturen, filters en gedelegeerden: verwijder doorstuurregels, filters en mailgedelegeerden die je niet hebt aangemaakt. Controleer je verzonden en verwijderde mappen op berichten die iemand anders heeft verstuurd of gelezen.
• Verbonden apps: verwijder apps van derden met toegang tot je account die je niet herkent of niet meer gebruikt.

Waarschuw je contacten als er berichten zijn verstuurd

Als iemand mail vanaf je account heeft verstuurd, vertel het dan aan je contacten, zodat ze niet op links klikken of verzoeken om geld beantwoorden die van jou lijken te komen.

Als kaart-, bank- of burgerservicenummergegevens zijn blootgesteld

Financiële en identiteitsgegevens vragen om stappen die een nieuw wachtwoord niet kan afdekken. De stappen in deze sectie volgen de richtlijnen van IdentityTheft.gov van de FTC en zijn specifiek voor de Verenigde Staten. Gebruik elders de nationale autoriteiten van je land voor cybercriminaliteit, gegevensbescherming en kredietrapportage, samen met je bank.

Creditcard of debetkaart

Neem contact op met je kaartuitgever via het nummer op de achterkant van de kaart of op je afschrift, niet via een nummer uit een bericht over een datalek. Vraag om de kaart te blokkeren en een nieuwe te krijgen. Bekijk recente transacties, meld elke transactie die je niet herkent en werk automatische betalingen bij met het nieuwe kaartnummer.

Bank- of beleggingsrekening

Vertel je bank of broker wat er is gebeurd, via contactgegevens waarvan je al weet dat ze echt zijn. IdentityTheft.gov raadt aan de rekening te sluiten en een nieuwe te openen, maar volg de specifieke instructies van je instelling. Controleer daarna regelmatig je transacties en werk automatische betalingen bij.

Burgerservicenummer

Een blootgesteld burgerservicenummer kan worden gebruikt om krediet af te sluiten, belastingaangifte te doen of een baan op jouw naam te krijgen. Dit zijn de belangrijkste beschermende stappen:

• Bevries je krediet bij Equifax, Experian en TransUnion. Je moet elk bureau afzonderlijk contacteren. Een bevriezing is gratis, duurt tot je haar opheft en heeft geen invloed op je kredietscore. Iedereen kan er op elk moment een aanvragen, maar het is het belangrijkst wanneer je burgerservicenummer of andere identiteitsgegevens zijn gelekt. Het blokkeert nieuwe kredietrekeningen; het voorkomt geen misbruik van bestaande kaarten of rekeningen.
• Overweeg een fraudemelding. Een eerste melding is gratis, duurt een jaar en vereist slechts één telefoontje: het bureau dat je contacteert moet de andere twee informeren.
• Controleer je kredietrapporten op AnnualCreditReport.com, waar je elke week gratis online de rapporten van alle drie de bureaus kunt bekijken.
• Accepteer gratis kredietmonitoring als het getroffen bedrijf dit aanbiedt. Monitoring waarschuwt je voor activiteit op je rapporten; het blokkeert fraude niet zoals een bevriezing dat wel kan.
• Vraag een IRS Identity Protection PIN aan. Die helpt voorkomen dat iemand anders je burgerservicenummer gebruikt om een frauduleuze federale belastingaangifte in te dienen, en elk jaar wordt er een nieuwe IP-pincode aangemaakt.
• Bekijk je werkgeschiedenis in een my Social Security-account om te controleren of iemand je nummer voor een baan heeft gebruikt.

Als je rekeningen, schulden of belastingaangiften vindt die je niet herkent, meld ze dan op IdentityTheft.gov. De site stelt een persoonlijk herstelplan op op basis van wat er is gebeurd.

Informatie over een kind

Als het burgerservicenummer of andere identiteitsgegevens van een kind zijn blootgesteld, kan een ouder of voogd bij elk bureau een gratis kredietbevriezing voor het kind aanvragen. Elk bureau heeft zijn eigen procedure voor minderjarigen, en die verschilt van een bevriezing voor volwassenen.

Rijbewijs-, paspoort- of zorgverzekeringsgegevens

Als je rijbewijsgegevens zijn blootgesteld, neem dan contact op met de motorvoertuigendienst van je staat en vraag of die het nummer kan markeren of een vervangend exemplaar kan afgeven. Als alleen je Amerikaanse paspoortnummer is blootgesteld, heeft het State Department aangegeven dat het niet aanraadt het paspoort als verloren of gestolen te melden; doe dat alleen als het fysieke paspoortboekje of de paspoortkaart daadwerkelijk verloren of gestolen is, omdat een melding het paspoort ongeldig maakt. Als gegevens over Medicare, Medicaid of je zorgverzekering zijn blootgesteld, neem dan contact op met het programma of de verzekeraar via een nummer waarvan je weet dat het echt is, en controleer je declaraties en de uitleg van je vergoedingen op zorg die je niet hebt ontvangen. Als een van deze gegevens wordt misbruikt, meld het dan op IdentityTheft.gov.

Let op phishing met een datalek als thema

Oplichters gebruiken echte datalekken als lokaas, en zulke berichten kunnen pas lang nadat een datalek in het nieuws is geweest binnenkomen. Veelvoorkomende thema's zijn een "beveiligingsupdate" waarin je wordt gevraagd in te loggen, een aanbod van compensatie, een dringende wachtwoordreset en een waarschuwing dat je gegevens op het dark web te koop zijn. Het advies van de FTC voor dat laatste geldt voor alle gevallen: klik niet op een link en gebruik geen telefoonnummer uit het bericht. Ga rechtstreeks naar de website of app van het bedrijf.

Wees voorzichtig met verificatiecodes of e-mails over een wachtwoordreset die je niet hebt aangevraagd. Ze kunnen betekenen dat iemand je adres in een inlog- of herstelformulier heeft ingevoerd, maar ze bewijzen niet dat die persoon je wachtwoord kent. Deel de code niet en keur het verzoek niet goed. Bekijk de recente beveiligingsactiviteit van het account en wijzig het wachtwoord als het wordt hergebruikt, als gecompromitteerd is gemarkeerd of gepaard gaat met tekenen van ongeautoriseerde toegang.

Meld phishing via de meldknop van je e-mailapp, zodat de filters verbeteren. In de VS meld je oplichting en fraude op ReportFraud.ftc.gov, en gebruik je IdentityTheft.gov als iemand daadwerkelijk je gegevens heeft gebruikt.

Als het account bij je werk of school hoort

Als het getroffen adres of account wordt beheerd door een werkgever of school, neem dan contact op met het IT- of beveiligingsteam via een goedgekeurd kanaal en volg de instructies op voordat je instellingen wijzigt die door de organisatie worden beheerd. Deel de melding alleen met het bevoegde team of het meldadres, niet met een grote groep collega's of klasgenoten.

Beperk je blootstelling vóór het volgende datalek

Je kunt niet voorkomen dat elk bedrijf wordt gehackt, maar je kunt wel beperken hoeveel één datalek onthult en hoe ver het zich verspreidt. Unieke wachtwoorden die in een wachtwoordmanager zijn opgeslagen, voorkomen dat één lek andere accounts ontgrendelt. Microsoft raadt ook aan om aparte e-mailadressen te gebruiken, bijvoorbeeld één voor vrienden en familie en een ander voor online accounts.

Voor aanmeldingen met weinig risico, zoals nieuwsbrieven, kortingsbonnen en eenmalige downloads, houdt een apart adres je hoofdinbox van weer een klantenlijst weg. Een blijvend alias is geschikt voor accounts die je wilt behouden, terwijl een tijdelijk e-mailadres geschikt is voor eenmalige aanmeldingen; onze vergelijking van tijdelijke post versus e-mailaliasen verklaart legt de afwegingen uit.

Tijdelijke e-mail herstelt geen datalek dat al heeft plaatsgevonden en is niet bedoeld voor bankzaken, werk, gezondheidszorg, accountherstel of een account dat je nodig hebt. Tmailor is alleen ontvangen, accepteert geen bijlagen en verwijdert berichten ongeveer 24 uur nadat ze zijn binnengekomen. Sommige sites blokkeren ook wegwerp-e-mailadressen.

Deze gids behandelt wat je moet doen na een datalek. Als je je blootstelling wilt verkleinen vóór het volgende datalek, lees dan hoe tijdelijke post beperkt wat een datalek kan blootleggen.