Het klinkt als iets wat vooral andere mensen overkomt, totdat je zelf opeens een bevestigingsmail krijgt voor een bestelling die je nooit hebt geplaatst.
Afgelopen juli bleek bij Chick-fil-A dat criminelen loyaltyaccounts leegtrokken met wachtwoorden die ze ergens anders hadden buitgemaakt. Rond diezelfde tijd meldde de NOS dat een reeks datalekken bij Nederlandse bedrijven inmiddels zo’n twee miljoen klanten raakte. Dat soort berichten komt steeds dichterbij, en de kans dat jouw inloggegevens érgens in een database staan die iemand ooit heeft gekopieerd, is behoorlijk reëel.
Wat credential stuffing eigenlijk doet
Een hacker heeft een enorme lijst met e-mailadressen en wachtwoorden, meestal afkomstig uit een lek bij een forum of een oude webwinkel die jaren geleden gehackt werd. Vervolgens gooit een stukje software die lijst in bulk tegen de inlogpagina’s van bol, Zalando, Albert Heijn, Decathlon, ga zo maar door. De aanval is massaal en ongericht, iedereen in de lijst krijgt dezelfde test. Hergebruik je hetzelfde wachtwoord op meerdere plekken, dan is één treffer genoeg om bij de rest binnen te komen.
Dat is ook waarom je ergens om drie uur ‘s nachts ineens tien inlogpogingen op je mailbox kunt zien staan.
Een webshopaccount bevat een opgeslagen bezorgadres, soms creditcardgegevens, cadeaukaartsaldo of loyaliteitspunten die een crimineel vrolijk omzet in andere waardebonnen.
Bij veel winkels kun je met één klik bestellen, dus wie binnenkomt, hoeft niet veel moeite meer te doen. En doordat de goederen fysiek bij iemand anders worden afgeleverd, vaak een leegstaand pand of een pakketpunt in een andere stad, is het spoor terug naar de dader meestal al koud voordat je zelf doorhebt dat er iets mis is.
Twee stappen die écht de grootste klap opvangen
Als we eerlijk zijn, komt het meeste risico voort uit twee gewoontes: hetzelfde wachtwoord blijven gebruiken en nooit tweestapsverificatie aanzetten. De eerste gewoonte doorbreek je met een wachtwoordmanager. Zo’n programma verzint voor elke site een eigen, lang en willekeurig wachtwoord, bewaart het versleuteld en vult het automatisch in.
Jij hoeft alleen nog één hoofdwachtwoord te onthouden. Dat voelt in het begin raar, zoals de meeste nieuwe gewoontes, maar na een week mis je ‘t niet meer. De tweede stap is tweestapsverificatie, waarbij je naast je wachtwoord ook een code via een app of hardwaresleutel bevestigt. Zelfs als iemand je wachtwoord in handen heeft, komt diegene er zonder die tweede factor nog steeds niet in.
Wat je doet als ‘t al te laat is
Begin bij haveibeenpwned.com. Je typt er je e-mailadres in en krijgt een lijst van datalekken waar je ooit in bent beland. Schrikken is normaal, de meeste mensen staan op minstens vijf lijsten. Pak dan de accounts waar je bezorgadres, betaalgegevens of iets anders waardevols aan hangt, en verander het wachtwoord. Als een shop je bij login mailt over een “onverwachte poging uit het buitenland”, negeer dat niet. Log direct in via de app of door zelf het adres in te typen, want phishing lift graag mee op dit soort momenten, en reset je gegevens. Check daarna of je ergens oude accounts hebt staan bij webshops die je al jaren niet meer gebruikt. Die vergeten accounts, met vaak zwakke wachtwoorden en opgeslagen kaarten, zijn precies waar criminelen op loeren.