De vier manieren waarop je account wordt gekraakt
Als je aan een gekraakt account denkt, zie je waarschijnlijk iemand voor je die razendsnel typt en na een spannende minuut 'ik ben binnen' zegt. Zo gaat het bijna nooit. In de praktijk wordt een account op vier manieren overgenomen, en bij drie daarvan komt er niemand aan te pas die iets van jou persoonlijk weet.
Die vier routes zijn het hele probleem. Ken je ze, dan begrijp je meteen waarom de maatregelen in deze cursus zijn zoals ze zijn — en waarom een paar dingen die je misschien altijd hebt gedaan, zoals dat ene wachtwoord met een cijfer erachter, je niet beschermen.
1. Hergebruik: één wachtwoord, tien deuren
Dit is verreweg de grootste. Je gebruikt hetzelfde wachtwoord op meerdere plekken. Ergens lekt het — bij een webshop waar je ooit één keer iets bestelde, bij een forum dat je vergeten bent. De oplichter probeert die combinatie van e-mailadres en wachtwoord vervolgens automatisch bij honderden andere diensten: je mail, je bank, je socialmedia-account, het systeem van je werk.
Dat proberen kost hem niets. Het gaat geautomatiseerd, met miljoenen combinaties tegelijk. Hij zoekt niet naar jou; hij kijkt gewoon waar iets opengaat. Hoe sterk dat wachtwoord op zichzelf ook was: zodra het op twee plekken staat, is het zo sterk als de zwakste van die twee.
2. Raden: voorspelbaar is bijna net zo goed als bekend
Mensen kiezen wachtwoorden op verrassend voorspelbare manieren. Een naam met een geboortejaar. Het woord 'welkom' met een uitroepteken. Het seizoen plus het jaartal, omdat je elke drie maanden moest wijzigen. Aanvallers hebben lijsten van de miljoenen meest gebruikte wachtwoorden en van de trucjes waarmee mensen ze variëren — een 'a' vervangen door een '@' staat allang in die lijst.
Raden werkt daarom niet zoals in films, teken voor teken, maar met kant-en-klare lijsten die in seconden worden afgewerkt. Niet de ingewikkeldheid van je wachtwoord houdt dat tegen, maar de onvoorspelbaarheid ervan.
3. Datalekken: het gaat mis bij de dienst, niet bij jou
Soms doe je alles goed en wordt de dienst zelf gehackt. Dan liggen de gegevens van alle klanten op straat, de jouwe incluis. Daar heb je niets aan kunnen doen en je merkt het meestal ook niet: bedrijven melden het laat, onduidelijk, of helemaal niet.
Wat je er wél tegen kunt doen, is zorgen dat de schade beperkt blijft tot die ene dienst. Dat is precies waar route 1 misgaat. In de volgende les kijken we naar wat er bij zo'n lek precies buitgemaakt wordt.
4. Phishing: je geeft het zelf
De vierde route is dat iemand je gewoon vraagt om je gegevens, verpakt in een geloofwaardig verhaal: een nagemaakte inlogpagina, een dringend bericht van 'je bank', een collega die om een code vraagt. Hier is geen enkel wachtwoord sterk genoeg, want het probleem is niet dat het geraden wordt — je typt het zelf in.
Phishing is het onderwerp van een eigen cursus. Hier is één ding van belang: dit is de enige van de vier routes waar tweestapsverificatie het verschil maakt tussen 'ze hebben mijn wachtwoord' en 'ze zijn binnen'.
Twee maatregelen dekken alle vier
Zet je de vier op een rij, dan valt op hoe klein de oplossing eigenlijk is. Een uniek wachtwoord per dienst haalt route 1 volledig weg en beperkt route 3 tot die ene dienst. Een lang, onvoorspelbaar wachtwoord haalt route 2 weg. En tweestapsverificatie vangt op wat er via route 4 alsnog doorheen glipt.
Dat is de hele cursus in twee zinnen. De rest gaat over hoe je dat werkbaar maakt voor tientallen accounts, zonder dat je iets uit je hoofd hoeft te leren en zonder dat je jezelf buitensluit.
- Schrijf de vijf accounts op die je het meest zou missen als je ze kwijtraakte. Denk aan je e-mail, je bank, je telefoonaccount, je boekhouding, het systeem van je werk.
- Zet achter elk account of je daar een wachtwoord gebruikt dat je ergens anders ook gebruikt. Wees eerlijk: 'bijna hetzelfde, maar met een ander cijfer erachter' telt als hergebruik.
- Zet een streep onder je e-mailaccount. In module 5 zul je zien waarom dat de belangrijkste van de lijst is.
- Bewaar dit lijstje. Je werkt er de hele cursus mee verder.
Vastgelopen?
- Ik heb toch niets te verbergen, waarom zou iemand mijn account willen? Omdat er niet naar jóú gezocht wordt. Accounts worden in bulk overgenomen en daarna gebruikt om anderen op te lichten uit jouw naam, of doorverkocht. Je hoeft niet interessant te zijn om bruikbaar te zijn.
- Mijn wachtwoord heeft hoofdletters, cijfers en een teken — is dat niet sterk genoeg? Tegen raden misschien, tegen hergebruik en datalekken niet. Als het wachtwoord bij een gelekte dienst bekend is, doet de opbouw ervan er niet meer toe.
- Ik verander elk kwartaal mijn wachtwoord, helpt dat? Verrassend weinig. Mensen maken er dan varianten van (Zomer2026, Herfst2026) en die zijn juist goed voorspelbaar. Beter één keer een uniek, lang wachtwoord kiezen en dat alleen vervangen als er reden toe is.
- Is opschrijven niet juist gevaarlijk? Een briefje in je bureaula is veiliger dan hetzelfde wachtwoord op tien sites. In module 3 zie je een betere manier, maar opschrijven is niet de grootste fout die je kunt maken.
- Welke van de vier routes komt het vaakst voor, en waarom kost die de aanvaller vrijwel geen moeite?
- Waarom is een ingewikkeld wachtwoord dat je overal gebruikt alsnog zwak?
- Bij welke van de vier routes valt jou niets te verwijten — en wat kun je er dan toch tegen doen?
- Welke twee maatregelen dekken samen alle vier de routes af?