Help, is mijn wachtwoord gestolen?

Vandaag de dag hebben we allemaal wel eens een verdacht mailtje ontvangen. Vaak staat er in de mail iets in de trend van dat je bent opgenomen met je webcam terwijl je je daar niet bewust van was. De beelden zijn natuurlijk beschamend en tegen een vergoeding, vaak in Bitcoins, worden deze gewist. Als bewijs sturen ze je dan een wachtwoord of een gedeelte daarvan. Hoewel de beweerde acties natuurlijk onzin zijn, blijkt het wachtwoord of een deel daarvan vaak wel te kloppen, hoe kan dat? In de praktijk blijkt dat men in eerste instantie in de stress schiet. Als je weer rustig bent gaat de gemiddelde persoon verder alsof er niets gebeurd is. Maar hoe zit dat nou eigenlijk? Hoe komen zij aan jouw gegevens?

Hoe is mijn wachtwoord gestolen?

Het stelen van wachtwoorden door hackers gebeurt op grofweg twee manieren. Ze worden van een computer gevist, of ze komen uit een database van een online instantie die (ooit) gehackt is. In het laatste geval gaat het om de beveiliging van een omgeving waar jij als(eind)gebruiker geen invloed op hebt. Wat je wel kunt doen is minder vaak dezelfde combinatie van gebruikersnaam en wachtwoord gebruiken bij verschillende instanties of regelmatig je wachtwoord aanpassen. Daarnaast is het, waar mogelijk, te adviseren om two factor of multi factor authenticatie te gebruiken. Dit houdt in dat naast het invoeren van gebruikersnaam en wachtwoord (iets wat je weet) je ook een code moet ingeven van een token of die je via een sms ontvangt op je telefoon (iets wat je hebt). Deze manier van inloggen is vandaag de dag de meest betrouwbare en het moeilijkst te hacken.

Zorgen om phishing

Ik gaf aan dat het ook mogelijk is dat hackers jouw gegevens van je computer vissen. Hoe worden de wachtwoorden dan van mijn computer gevist? Ervan uitgaande dat hackers geen fysieke toegang tot jouw device krijgen, hebben ze hier diverse manieren voor. Veelal gebruiken hackers een zogenaamde phishing mail. Een andere optie is dat het gebeurt tijdens een bezoek aan een gehackte website. In het geval van een phishing mail wordt jij verzocht om je inlog gegevens te wijzigen of controleren op een ogenschijnlijk betrouwbare site van bijvoorbeeld de bank of andere instantie. In een moment van onachtzaamheid vullen je zomaar jouw gegevens in en de hacker heeft prijs. De verzamelde gegevens worden of door de hacker zelf gebruikt of verkocht op het "dark web" of misschien wel allebei!

Wil je weten of er al ergens een lek geweest is waar ook jou inlog of email account en wachtwoord bij zaten? Dan kan je dat nakijken op Dehased en/of Have I been Pwned.

Wachtwoord stelen via de cache

Een andere, technisch wat ingewikkelde uit leggen manier, is dat hackers via scripts de cache van je browser lezen. Deze scripts kunnen op de webpagina's via hacking bijvoorbeeld geïnjecteerd zijn.

De cache bestaat niet alleen van wat er zich nog in het geheugen bevindt maar kan ook bestaan uit de welbekende cookies (session cookies veelal).

Deze technieken maken vaak gebruik van bugs in de software. En dan hebben we het niet alleen over de browser software zelf maar ook het operating systeem zelf (Windows, Mac OSX, Linux).

Het is daarom geen overbodige luxe om regelmatig je systeem en software te updaten. Ik weet dat veel mensen nog erg hangen aan Windows 7 (Windows XP wil ik niet eens meer noemen, dat kan echt niet meer!) en daarom de overgang naar Windows 10 uitstellen. Toch wil ik die gebruikers op het hart drukken om serieus te overwegen op korte termijn te upgraden. Verander de focus van wat dan niet meer kan, naar wat je dan wel kan. Voor hackers zijn verouderde systemen een welkome gast en dat is niet voor niets.

LastPass als oplossing?

Mocht je naar aanleiding van dit blog overdenken om toch maar een beter wachtwoordbeleid te gaan voeren, top! Het hoeft niet al te complex zijn. Er zijn mogelijkheden om je wachtwoorden op te slaan op een veilige manier. Eén daarvan is bijvoorbeeld LastPass. Deze heeft ook plugins voor je browser. LastPass ondersteunt ook two factor authenticatie wat je natuurlijk meteen activeert. Er is een betaalde en een gratis variant. Uiteraard zul je meer van dit soort services op internet kunnen vinden. Heb je zelf een website draaien en vraag je je af of je website veilig genoeg is voor je gebruikers, dan zijn daar legio oplossingen voor. Wie weet als er genoeg aanvragen over zijn maak ik mijn volgende blog over. Happy en save browsing!