Er zijn verschillende tools die je meteen op de hoogte stellen als je inloggegevens, zoals e-mailadressen en wachtwoorden, gestolen zijn na een datalek. Deze worden los, maar ook als onderdeel van wachtwoordmanagers en browsers aangeboden. In dit artikel bespreken we een aantal van deze tools.

Have I Been Pwned?

Have I Been Pwned (HIBP) is waarschijnlijk de populairste site die zich richt op het bijhouden van gestolen inloggegevens. HIBP beheert een database met inloggegevens die, vaak door een datalek, van websites worden gestolen en vervolgens op bijvoorbeeld hackersfora zijn gepubliceerd. Als gebruikers hun e-mailadres op de site invullen, kijkt HIBP of dat adres aanwezig is in zijn database met gestolen gegevens. HIBP bevat ook een optie waarmee gebruikers meteen een e-mail krijgen als hun mailadres is gevonden in een nieuw datalek.

HIBP is echter niet perfect. De tool kan aangeven of iemands e-mailadres onderdeel is van een datalek, maar laat niet weten of daar ook wachtwoorden bij zijn buitgemaakt. Het is natuurlijk aan te raden om bij sites die door een datalek getroffen zijn uit voorzorg je wachtwoord te veranderen, maar met deze tool weet je nooit zeker of dat ook echt nodig is.

Wel biedt HIBP een extra functie aan, Pwned Passwords, om erachter te komen of een van je wachtwoorden is gelekt. Deze functie vertelt echter alleen maar dát een wachtwoord in X-aantal gelekte datasets is voorgekomen. Er wordt niet genoemd van welke sites je wachtwoord is gestolen. Je moet dus zelf uitzoeken bij welke sites je dat wachtwoord hebt gebruikt. Bovendien is het niet mogelijk om via je e-mail een melding te krijgen als een van je wachtwoorden onderdeel was van een nieuw datalek.

Firefox-moederbedrijf Mozilla heeft overigens bijna precies dezelfde functie: de Mozilla Monitor. Dat is weinig meer dan Have I Been Pwned met een nieuw likje verf. Er wordt namelijk gewoon gebruikgemaakt van dezelfde database. De enige aanvullende optie is dat je kunt instellen dat alle waarschuwingen naar één primair e-mailadres worden gestuurd. Als je veel verschillende e-mails gebruikt, hoef je dus niet telkens de inboxen van al deze adressen in de gaten te houden om erachter te komen of je gegevens zijn gestolen.

Alternatieve, losstaande diensten

Als je van een andere database dan Have I Been Pwned gebruik wilt maken, zijn er verschillende kleinere diensten die je kunt overwegen. Zo heb je bijvoorbeeld Dehashed en het Nederlandse Scattered Secrets. Ze gaan op dezelfde manier te werk als HIBP. De gestolen inloggegevens die in hun databases staan, zullen dus grotendeels dezelfde zijn (al beweren deze sites wel toegang te hebben tot 'privédatasets' die niet online staan en dus alleen in hun bezit zijn).

Het grootste verschil is dat Scattered Secrets en Dehashed wél vertellen van welke sites de gestolen wachtwoorden afkomstig zijn. Deze twee diensten houden dus bij welk wachtwoord bij welk e-mailadres hoort. Ze sturen alleen een waarschuwing als behalve je e-mailadres ook je wachtwoord is buitgemaakt.

Wel kost Scattered Secrets 2 euro per e-mailadres per jaar, mits je waarschuwingsmeldingen wilt ontvangen. Bij Dehashed is het ontvangen van meldingen gratis, al moeten gebruikers wel 15 dollar per maand of 180 dollar per jaar betalen voor enkele geavanceerde functies, waaronder toegang tot hun 'privédatasets'.

Wachtwoordmanagers

Naast tools die zich specifiek richten op het monitoren van gelekte inloggegevens, zijn er ook steeds meer wachtwoordmanagers met een dergelijke ingebouwde functie. Zo heeft 1Password (3 euro per maand) de Watchtower-feature, die gebruikmaakt van de Have I Been Pwned-database en de gegevens die daarin staan vergelijkt met je opgeslagen wachtwoorden. Als een van je wachtwoorden aan HIBP wordt toegevoegd, krijg je een melding. Maar zoals gezegd geeft de HIBP-database niet aan van welke site je wachtwoord is weggeplukt en welke andere inloggegevens daaraan gekoppeld zijn. Wie weet gaat het dus wel om een lek bij een site waar jij niet eens lid van bent, maar iemand anders die toevallig hetzelfde wachtwoord gebruikt.

Dashlane (3,65 euro per maand) werkt zo’n beetje op dezelfde manier, maar maakt gebruik van een eigen systeem om op het darkweb naar (onder meer) je (master)wachtwoorden te speuren. Dashlane koppelt de wachtwoorden wél aan je andere inloggegevens. Ook LastPass (gratis) heeft een dergelijke functie op basis van een eigen systeem, al is deze versie beperkter, omdat deze alleen checkt of je e-mailadres in een datalek-database voorkomt. Met wachtwoorden wordt dus helemaal niets gedaan.

Ingebouwde browserfuncties

Steeds meer browsers bieden een ingebouwde wachtwoordmonitorfunctie aan. Google Chrome-gebruikers kunnen sinds kort de ‘Uitgebreide versie van Safe Browsing’-functie activeren. In de Microsoft Edge-instellingen kunnen gebruikers de ‘Scannen op gelekte wachtwoorden’-optie aanvinken, en Firefox heeft de wachtwoordbeheerder (een geïntegreerde versie van de Mozilla Monitor).

Het handige van deze ingebouwde features is dat je niet alleen een notificatie krijgt zodra je gegevens onderdeel zijn van een datalek, maar dat je ook meteen wordt gewaarschuwd als je diezelfde wachtwoorden vervolgens probeert te gebruiken om ergens in te loggen. Een nadeel is natuurlijk wel dat deze functies alleen werken voor de wachtwoorden die je in de browser in kwestie hebt opgeslagen.

Nog dit jaar zal alleen een wachtwoord niet meer volstaan om je bij Google aan te melden. Google gaat namelijk MFA verplichten, waarbij je minstens twee factoren gebruikt. Hoe pak je dit aan, ook bij een paar andere aanbieders?

Veel mensen hergebruiken wachtwoorden voor meerdere diensten, wat natuurlijk erg onveilig is. Maar zelfs met unieke, sterke wachtwoorden, bijvoorbeeld via een wachtwoordmanager, blijven er risico’s bestaan. Wachtwoorden zijn namelijk vatbaar voor phishing, datalekken, keyloggers, malware, brute-force- en dictionary-aanvallen en menselijke onvoorzichtigheid.

Steeds meer diensten adviseren daarom extra verificatiemiddelen naast een wachtwoord. Dit heet 2FA (tweefactorauthenticatie/tweestapsverificatie) of breder MFA (multifactorauthenticatie). Hierbij zijn minstens twee verificatiefactoren vereist. Omdat MFA het flink veel moeilijker maakt onbevoegde toegang tot een account te krijgen, maakt Google dit verplicht voor alle gebruikers. Het zou ons niet verbazen als ook andere aanbieders dit voorbeeld gaan volgen.

Eerst bespreken we kort de belangrijkste MFA-factoren (en dat zijn er behoorlijk wat). Daarna tonen we hoe je ze instelt bij populaire diensten, weliswaar met een duidelijke focus op Google, aangezien dit het meest urgent lijkt.

Wachtwoorden zijn ook vatbaar voor datalekken.

MFA-factoren

Bij de klassieke MFA-aanpak, inclusief 2FA, voer je eerst je wachtwoord in en daarna een tweede factor, wat op verschillende manieren kan.

Bij Googlekan dit een Google-prompt zijn: je krijgt een pop-upmelding op een vertrouwd Android- of iOS-apparaat om de inlogpoging te bevestigen. Ook mogelijk is een tijdelijke TOTP-code (Time-based One-Time Password) die je invoert via een authenticator-app als Google Authenticator. Een andere optie is een sms of spraakoproep met een cijfercode.

Daarnaast kun je een digitale FIDO2-toegangssleutel (Fast IDentity Online) oftewel passkey gebruiken, opgeslagen op een apparaat zoals je smartphone of computer, en beschermd met biometrische verificatie zoals een vingerafdruk of gezichtsherkenning. Of je plugt een hardwarematige beveiligingssleutel, zoals een Yubikey, in een usb-poort of verbindt deze via NFC/bluetooth. De sleutel fungeert dan als toegangscode.

Soms kun je de tweede factor niet invoeren, bijvoorbeeld als je smartphone gestolen is of je deze bent vergeten. Daarom biedt onder meer Google unieke back-upcodes die je in noodgevallen kunt gebruiken. Sommige diensten, zoals Microsoft, laten ook e-mail toe als tweede factor, waarbij je een eenmalige code of bevestigingslink ontvangt.

De belangrijkste opties bij Googles 2FA.

Google

Stel dat je je nu alleen met een wachtwoord bij Google aanmeldt en een tweede factor wilt toevoegen (2FA). Meld je aan bij https://account.google.com, open Beveiliging en scrol naar Inloggen bij Google. Klik op Tweestapsverificatie staat uit en vervolgens op Tweestapsverificatie aanzetten.

Voeg eerst je mobiele telefoonnummer toe. Selecteer het juiste land, zoals Nederland of België, voer je nummer in en druk op Volgende. Google stuurt een verificatiecode, G- gevolgd door zes cijfers. Vul deze in, klik op Verifiëren en daarna op Gereed. Tweestapsverificatie is nu ingeschakeld en je ziet dat je telefoonnummer als tweede stap is toegevoegd.

Log je opnieuw in, dan ontvang je na het invullen van je wachtwoord automatisch een nieuwe verificatiecode. In het venster voor de code kun je een vinkje zetten bij Niet meer vragen op dit apparaat, zodat de tweede factor op dat apparaat niet meer nodig is. Doe dit alleen als je het apparaat vertrouwt en niemand anders er fysiek toegang toe heeft. Heb je dit aangevinkt, maar wil je dit weer ongedaan maken, open dan opnieuw Beveiliging, scrol tot bij Je apparaten en klik op Alle apparaten beheren. Selecteer het betreffende apparaat en kies Uitloggen (twee keer).

Onze eerste 2FA-factor: verificatiecodes op de telefoon.

Back-upcodes

In dit venster zie je ook de optie Andere manier proberen, maar dit is alleen nuttig als je al minstens één andere factor hebt toegevoegd. Open dus opnieuw Tweestapsverificatie voor een overzicht van de beschikbare tweede stappen. Je merkt dat standaard al twee factoren geactiveerd zijn: sms via Telefoonnummer en Google-prompt, op voorwaarde dat je een smartphone gebruikt en je Google-account daarop is ingesteld. Je kunt wel zelf extra factoren toevoegen. Laten we deze even doorlopen.

Laten we beginnen met de factor die je achter de hand kunt houden voor noodgevallen: back-upcodes. Klik op Back-upcodes opvragen en vervolgens op Back-upcodes genereren. Vul je wachtwoord in als daarom gevraagd wordt en klik opnieuw op Back-upcodes genereren. Druk de tien codes af of download ze als txt-bestand. Bewaar de codes veilig.

Je doet er goed aan meteen je back-upcodes op te vragen en veilig te bewaren.

Authenticator (TOTP)

Een andere populaire methode zijn codes of wachtwoorden die meestal na 30 seconden automatisch verlopen (Time-based One-Time Passwords). Voor zulke TOTP’s heb je een specifieke tool nodig. Dat kan een desktopapplicatie, browserextensie of een ondersteunde veiligheidssleutel zijn, maar de meesten kiezen voor een mobiele authenticator-app. Bekende apps zijn Google Authenticator, Microsoft Authenticator en Authy. We nemen Google Authenticator als voorbeeld, al is dat ook voor een Google-login geen vereiste.

Open de appstore op je iPhone of Android en installeer Google Authenticator. Ga op de Google-site bij Tweestapsverificatie naar Authenticator-app toevoegen en klik op Authenticator instellen. Open de app op je smartphone, tik op de plusknop, kies QR-code scannen en richt je camera op de QR-code op de site. Of kies Instelsleutel invoeren, klik op de site op Kun je de code niet scannen en vul handmatig de 32 tekens in. Druk op Volgende en vul de 6 codecijfers van het TOTP in dat inmiddels in de app te zien is en automatisch wordt vernieuwd. Bevestig met Verifiëren. Je kunt deze code voortaan ook gebruiken bij het inloggen.

Dit systeem werkt als volgt. Via de QR-code of instelsleutel geef je een geheime sleutel door aan de app, waarna deze op basis van de tijd een TOTP berekent. De website met de login doet hetzelfde en vergelijkt de TOTP’s. Zijn deze identiek, dan krijg je toegang. Internet is hiervoor niet nodig; een gesynchroniseerde klok volstaat.

Op basis van een geheime sleutel kan de authenticator-app een geldige TOTP berekenen.

Toegangssleutel

Een andere tweede factor is een toegangssleutel, een van de beste manieren om je tegen phishing en andere bedreigingen te beschermen. Klik op Toegangssleutels en beveiligingssleutel. We gaan ervan uit dat je op een computer met Windows 11 werkt en dat Windows Hello actief is. Activeer dit eventueel via Instellingen, Accounts en Aanmeldingsopties, met Gezichtsherkenning, Vingerafdruk of Pincode (Windows Hello).

Je krijgt normaliter meteen de optie Toegangssleutel maken. Na bevestiging via Windows Hello en een klik op Klaar zie je dat je toegangssleutel is toegevoegd. Voortaan kun je via Windows Hello verifiëren dat jij bij Google inlogt. Klik gerust eens op Nu proberen. Je hoeft zelfs je wachtwoord niet meer in te vullen, omdat dit werkt als client-side MFA (zie tekstkader ‘Wachtwoordloos’).

Je kunt trouwens ook op andere apparaten een toegangssleutel aanmaken, bijvoorbeeld op macOS vanaf Ventura, ChromeOS vanaf versie 109, iOS vanaf 18, Android vanaf 9 of op een ondersteunde veiligheidssleutel.

Wil je bijvoorbeeld je Android-apparaat als toegangssleutel op je Windows-pc instellen, klik dan op Toegangssleutel maken en kies Ander apparaat gebruiken. Staat je apparaat er niet tussen, selecteer dan iPhone-, iPad- of Android-apparaat en druk op Volgende. Scan de QR-code met je Android, tik op Toegangscode gebruiken en als alles goed gaat worden de apparaten gekoppeld en kun je je voortaan ook hiermee aanmelden.

Een toegangssleutel met behulp van Windows Hello.

Beveiligingssleutel

Tot slot kun je bij Google ook een fysieke beveiligingssleutel gebruiken als tweede factor. Plug een geschikte sleutel in met ondersteuning voor FIDO2 of eventueel het oudere FIDO U2F. Bekende modellen zijn YubiKey en SoloKey. Afhankelijk van het model werken ze via usb, NFC of bluetooth, met prijzen tussen circa 35 en 80 euro.

Open daarna opnieuw Toegangssleutels en beveiligingssleutels, kies Toegangssleutel maken en Ander apparaat gebruiken. Selecteer Beveiligingssleutel, druk op Volgende en op OK (twee keer). Vul een pincode in bij Nieuwe pincode voor beveiligingssleutel (twee keer) en bevestig met OK. Raak de sleutel aan en voltooi met OK en Klaar. Je sleutel is nu toegevoegd, zodat je hiermee kunt aanmelden bij Google.

Op vergelijkbare manier kun je ook vanaf je smartphone een beveiligingssleutel via NFC toevoegen, zoals de Yubikey 5 NFC. Kies dan Ander apparaat, NFC-beveiligingssleutel en houd de sleutel plat tegen de achterkant van je toestel. Ook deze wordt als tweede factor toegevoegd.

Wat hoger James Bond-gehalte: aanmelding met een heuse beveiligingssleutel.

Microsoft

We hebben het tot nu toe alleen over Google gehad, maar ook veel andere diensten ondersteunen 2FA of MFA. Een overzicht van zulke diensten vind je op sites als www.2fa.directory. Als voorbeeld nemen we nog diensten van een paar bekende bedrijven: Microsoft en Meta (Facebook en Instagram).

Voor Microsoft meld je je aan op https://account.microsoft.com. Open de rubriek Beveiliging en klik op Beheren hoe ik me aanmeld. Klik rechtsboven op Beheren om tweestapsverificatie in te schakelen. Druk op Volgende en kies je tweede factor: een authenticatie-app, alternatief e-mailadres of telefoonnummer. We gaan uit van de veiligste optie: een authenticator-app. Klik op Nu downloaden en daarna op Volgende. Open je authenticator-app en scan de QR-code om het TOTP toe te voegen. Bevestig met Gereed en ververs de webpagina. Tweestapsverificatie is nu actief.

Klik nu op Een methode voor aanmelden of verifiëren kiezen om extra stappen toe te voegen, zoals gezichtsherkenning, vingerafdruk, pincode, beveiligingssleutel, app, code via e-mail of sms. Volg telkens de instructies.

Ook Microsoft laat je uit diverse tweede-factoren kiezen.

Meta

Het zal je niet verbazen dat ook bijna alle sociale media 2FA ondersteunen, waaronder Facebook en Instagram. Meld je aan bij het Meta-accountcentrum en open de rubriek Wachtwoord en beveiliging. Klik op Tweestapsverificatie en kies het account bij Facebook of Instagram, waarvoor je dit wilt instellen. We nemen hier Instagram als voorbeeld.

Standaard zie je twee opties: Verificatieapp (authenticator) en Sms-bericht. De aanbevolen methode is de verificatie-app. Selecteer deze en klik op Volgende. Je ziet nu een QR-code en de bijbehorende veiligheidscode. Scan de QR-code met je authenticator-app of voer de code handmatig in. Het TOTP wordt toegevoegd. Klik op Volgende en vul het actuele TOTP in. Je krijgt een bevestiging dat tweestapsverificatie actief is. Je kunt nu ook je lijst met back-upcodes bekijken en downloaden. Rond af met Klaar.

Eventueel kun je nog een extra tweede factor toevoegen, zoals een beveiligingssleutel.

Bijna alle socialmediaplatformen ondersteunen 2FA, waaronder de diensten van Meta.

Bij ID.nl zijn we dol op kwaliteitsproducten waar je niet de hoofdprijs voor betaalt. Daarom speuren we een paar keer per week binnen een bepaald thema naar zulke deals. Werk je vaak thuis en moet je met regelmaat documenten afdrukken? Dan is een alles-in-een-printer handig:

Met een all-in-printer kun je naast het afdrukken van je documenten ook kopiëren en scannen. Faxen is zelfs nog mogelijk bij een aantal van dit soort apparaten, maar deze functionaliteit zie je steeds minder terug. Wij vonden een vijftal moderne all-in-one-printers voor thuis- en zakelijk gebruik.

HP OfficeJet Pro 9730e

Dit model is aan de forse kant en kan meer dan alleen de standaard A4-pagina’s aan. Handig als je ook weleens posters, schema’s of bouwtekeningen wilt afdrukken. Hij kan dubbelzijdig printen en heeft een invoerlade die zelf stapels papier doorvoert om te kopiëren of te scannen. Daardoor hoef je niet steeds blad voor blad te werken. De inktpatronen zijn niet heel groot, waardoor je bij veel gebruik regelmatig moet vervangen. Voor iemand die vooral documenten afdrukt en af en toe groter papier nodig heeft, is dit een praktische oplossing die veel werk uit handen neemt.

papierformaten: A3 / A4
aantal vellen: 500
netwerkaansluiting: Wifi / Ethernet

Canon PIXMA TS7450I

Dit is een compacte alles-in-één voor thuisgebruik. Je kunt er documenten en foto’s mee printen, scannen en kopiëren. Automatische invoer is niet mogelijk, waardoor je bij grotere print- of scanopdrachten soms wat meer handmatig werk hebt. De cartridges zijn klein, waardoor je ze sneller moet vervangen, zeker als je regelmatig print. Daar staat tegenover dat het apparaat eenvoudig is in gebruik en niet veel ruimte inneemt. Ideaal voor iemand die af en toe een schoolverslag, een recept of een kopie nodig heeft, zonder dat er een groot en ingewikkeld apparaat op het bureau hoeft te staan.

Papierformaten: A4 / A5
Aantal vellen: 20
Netwerkaansluiting: Wifi / Ethernet

Epson EcoTank ET-2876

In plaats van losse cartridges werkt de Epson EcoTank ET-2876 met hervulbare inktreservoirs. Dat betekent dat je een fles in de tank giet en daarna duizenden pagina’s kunt printen. Daarmee liggen de kosten per pagina erg laag. Dubbelzijdig printen of een automatische invoer ontbreken bij dit model. Voor wie regelmatig print en het vervelend vindt om vaak cartridges te kopen, is dit een prettige oplossing. Je hoeft nauwelijks te letten op je inktvoorraad en hebt de zekerheid dat een grote stapel printjes niet meteen de helft van je inktvoorraad opslokt.

Papierformaten: A4 / A5 / Enveloppe
Aantal vellen: 100
Netwerkaansluiting: Wifi

Brother DCP-J1800DW

Deze Brother kan precies wat de meeste mensen thuis nodig hebben: printen, scannen en kopiëren. De snelheid is prima voor dagelijks gebruik en hij werkt ook draadloos, zodat je niet per se een kabel nodig hebt. Luxe opties zoals dubbelzijdig printen of een automatische invoer zijn er niet, dus grote scan- of kopieerklussen kosten wat meer tijd. De cartridges zijn klein, maar er zijn grotere varianten die iets langer meegaan. Daarmee is het vooral een geschikte printer voor huis-tuin-en-keukengebruik, zoals schoolopdrachten, facturen of een kopie van een brief die je even snel wilt bewaren.

Papierformaten: A4
Aantal vellen: 150
Netwerkaansluiting: Wifi / Ethernet

HP Smart Tank 7605

Met deze HP-printer kun je lang vooruit, want de meegeleverde inktflejes zijn genoeg voor duizenden pagina’s. Dat maakt de kosten per print heel laag en je hoeft niet steeds aan nieuwe cartridges te denken. Het apparaat kan dubbelzijdig printen en heeft een automatische invoer voor het scannen van documenten. Qua formaat is hij wat groter dan de gemiddelde thuisprinter, maar daar staat tegenover dat hij erg zuinig werkt. Vooral voor huishoudens of kleine kantoren die veel documenten afdrukken is dit een goede keuze.

Papierformaten: A4
Aantal vellen: 250
Netwerkaansluiting: Wifi / Ethernet