Je wachtwoord is gestolen. Kunnen ze nu meteen in je account?

Je hebt een sterk wachtwoord. Lang, niet makkelijk te raden en je gebruikt het nergens anders. Mooi geregeld. Maar stel dat iemand dat wachtwoord tóch in handen krijgt. Bijvoorbeeld door phishing, malware of een datalek. Kan diegene dan meteen inloggen op jouw account? Het antwoord hangt onder andere af van iets wat je misschien al gebruikt: inloggen in 2 stappen (tweestapsverificatie).

Eerst een kleine testvraag

Stel: iemand probeert vanaf een onbekend apparaat in te loggen op jouw account. Diegene heeft je juiste e-mailadres en je juiste wachtwoord. Wat gebeurt er als je tweestapsverificatie hebt ingesteld?

1. Diegene kan gewoon inloggen
2. Alleen mijn wachtwoord is nog nodig
3. Er is nog een extra controle nodig
4. Geen idee eigenlijk

Het precieze antwoord verschilt per dienst en van de beveiliging die je hebt ingesteld. Heb je inloggen in 2 stappen aanstaan, dan is alleen het kennen van je wachtwoord niet voldoende.

Inloggen in 2 stappen: wat is dat eigenlijk?

Inloggen in 2 stappen noem je tweestapsverificatie. Je leest ook vaak de term 2FA. Je gebruikt naast je wachtwoord nog een tweede controle om te bewijzen dat jij het bent. 

Je voert bijvoorbeeld eerst je wachtwoord in en bevestigt daarna de inlogpoging met een extra stap. Dat kan, afhankelijk van de dienst, bijvoorbeeld via een authenticator-app, een melding op een vertrouwd apparaat, een beveiligingssleutel of een eenmalige code.

Iemand die jouw wachtwoord heeft bemachtigd, kan dan niet zomaar inloggen. Diegene moet ook door de tweede beveiligingsstap heen. En precies dát maakt inloggen in 2 stappen zo nuttig.

“Maar ik krijg toch gewoon een code via sms?”

Dat kan inderdaad een vorm van tweestapsverificatie zijn. Maar niet iedere tweede stap werkt hetzelfde en niet iedere dienst biedt dezelfde mogelijkheden. Waar mogelijk kun je ook kiezen voor bijvoorbeeld een authenticator-app, passkey of fysieke beveiligingssleutel. Welke opties je hebt, hangt af van de dienst die je gebruikt.

Belangrijk blijft in alle gevallen: geef een inlog- of verificatiecode nooit aan iemand anders. Ook niet aan iemand die zich voordoet als medewerker van een bedrijf. Een medewerker zal je persoonlijke verificatiecode niet van je vragen.

Pas ook op voor onverwachte inlogverzoeken

Heb je tweestapsverificatie ingesteld? Dan kan er iets anders gebeuren. Je zit rustig op de bank en ineens verschijnt er een melding: ‘Probeer je in te loggen?’ Maar jij probeert helemaal nergens in te loggen. Keur zo'n verzoek niet zomaar goed. Zo’n onverwacht verzoek kan namelijk betekenen dat iemand anders probeert toegang tot je account te krijgen. Weiger het verzoek en controleer vervolgens de beveiliging van je account.

Is er reden om te denken dat iemand je wachtwoord kent? Verander dat dan via de officiële website of app van de betreffende dienst. Controleer daar ook of er onbekende apparaten of recente inlogpogingen bij je account staan, als die mogelijkheid er is. 

Kleine beveiligingscheck

Weet jij eigenlijk voor welke belangrijke accounts je inloggen in 2 stappen hebt ingesteld? Loop bijvoorbeeld deze drie dingen eens na:

1. Staat inloggen in 2 stappen aan?
2. Welke tweede stap gebruik je?
3. Zijn je herstelgegevens nog actueel?

Kijk bijvoorbeeld naar accounts waarop persoonlijke of financiële informatie staat. Misschien blijkt dat je het allang goed hebt ingesteld. En zo niet, dan weet je meteen waar je nog iets kunt verbeteren.

Hoe zit dat bij jou?