Politie waarschuwt 50.000 e-mailaccounts na vondst inloggegevens voor webwinkels

De Nederlandse politie heeft dinsdag een e-mail gestuurd naar 50.000 e-mailadressen die de Belgische politie aantrof in een cybercrime-onderzoek. De gewaarschuwde e-mailaccounts stonden inclusief wachtwoorden op in beslag genomen gegevensdragers.

In de mail waarschuwt de politie Oost-Nederland dat het e-mailadres van de gebruiker is aangetroffen in een cybercrime-onderzoek. Bij dit mailadres werd ook een wachtwoord aangetroffen. De politie vermoedt dat deze combinatie van mailadres en wachtwoord gebruikt wordt voor een webwinkel-account of online handelsplaats, al is het niet duidelijk waarop dit vermoeden is gebaseerd. De webwinkels Wehkamp en Otto worden bij naam in de mail genoemd.

Het is volgens het cybercrimeteam van de politie niet duidelijk hoe de gegevens zijn verkregen en of ze zijn misbruikt. Het onderzoek van de politie loopt nog. De betrokken webwinkels en handelsplaatsen zijn door de politie ingelicht. Getroffenen krijgen van de politie het advies om alle wachtwoorden die bij het mailadres horen te wijzigen en bij ieder account unieke wachtwoorden te gebruiken.

De 50.000 mailaccounts kwamen bij een Belgisch cybercrime-onderzoek naar boven. Op verzoek van de Belgische politie werd in Oost-Nederland een verdachte aangehouden en zijn meerdere gegevensdragers in beslag genomen. De Belgische politie vond de e-mailadressen en wachtwoorden op deze gegevensdragers. De politie geeft verder geen informatie over dit onderzoek.

Reacties (153)

[Robbierut4]

Ik heb deze mail ontvangen (en gesubmit). Toch een wake-up call. Dacht alles netjes te doen met passwordmanager en unieke wachtwoorden overal, 2fa waar mogelijk.
Alleen wehkamp nooit meer gebruikt sindsdien ik een passwordmanager heb.

Wordt vanavond toch maar eens grondig uitzoeken waar ik allemaal nog een account heb van voor de passwordmanager.

[Oon]

Ik heb nog zo'n 1400 wachtwoorden die ik moet aanpassen, maar veel ervan zijn voor sites die alleen lokaal bereikbaar zijn of niet meer online zijn.

Gaat jaren duren voor ik daar doorheen ben, eens in de zoveel tijd doe ik er weer een paarhonderd in een weekendje maar het verveelt snel.

[Robbierut4]

Maar hoe weet je waar je een account hebt? Alles wat in mijn passwordmanager staat is uniek qua wachtwoord.
Het zijn juist de sites die ik al niet meer gebruikte voordat ik begon met de passwordmanager waar ik geen idee van heb wat er nog rondzweeft aan accounts.

[Oon]

Oh, dat is een goeie inderdaad. Dan moet je je mail gaan doorzoeken naar activatiemails ofzo.

[Robbierut4]

Ja dat vrees ik ook inderdaad wens me succes haha

[Thijsku]

Een tijdje terug heb ik een tool ontwikkelt dat precies op die manier werkt: het zoekt binnen je Gmail inbox op verschillende termen die kunnen duiden op een account binnen een website. De gevonden accounts worden vervolgens weergegeven in een lijstje, inclusief een melding of het reeds in je password manager is opgeslagen (mocht je een txt export van je password manager importeren).

Het vereist wel een beetje technische kennis, werkt alleen met Gmail en is al een tijdje niet meer aangeraakt, maar het zou het nog moeten doen.

Github repo: https://github.com/thijskuilman/account-purser

[Reactie gewijzigd door Thijsku op 22 juli 2024 13:47]

[Robbierut4]

Ik heb helaas geen gmail, maar damn dat is tof dat je een tool hebt ontwikkeld daarvoor! Ik hoop dat dat wat tractie krijgt!

[enira]

Bedankt hiervoor! Al weken geleden eindelijk overwogen om een password manager te gebruiken, echter is het een rotklus om je mail te checken voor de websites waarvan je wachtwoorden wilt resetten.

De belangrijkste weet ik natuurlijk wel, maar sites waar je 5+ jaar lang niets mee gedaan hebt zou ik zo 1,2,3 niet kunnen bedenken, terwijl ik wel graag dat wachtwoord gereset zou willen hebben.

Ik gebruik het dus niet als compare, maar meer als meer als leidraad.

[Verwijderd]

Ik heb mijn mail altijd zo clean mogelijk dus activatiemailtjes heb ik niet. Eigenlijk zou elke website die emailadressen verwerkt elk jaar naar dat account per mail een reminder moeten sturen met de vraag of het verwijderd moet worden.

[caz99]

Beter nog, een mail sturen dat wanneer er niet gereageerd wordt het account automatisch vervalt na x dagen.

[dezejongeman]

een andere oplossing is als er een halfjaar lang niet ingelogd is, om dan het account op locked te zetten die alleen vrij te geven is door een wachtwoord reset of zelfs afdwingen of er nu ingelogd is of niet.

[Mathijs]

Dan haal je bij de meeste mensen toch het bloed onder de nagels uit hoor.
Het maakt wat betreft veiligheid ook niet uit of er het afgelopen half jaar wel of niet is ingelogd.

[Reactie gewijzigd door Mathijs op 22 juli 2024 13:47]

[caz99]

Het gaat hier over webwinkels. Ik heb er geen problemen mee dat mijn account bij een webwinkel verwijderd wordt als ik er een jaar niet meer geweest ben. Maak wel weer een nieuw account aan als ik iets wil bestellen. Liever dat dan een db op straat met mijn ww en vervolgens bestellingen die ik niet zelf heb gedaan. Bij Wehkamp was het mogelijk om op rekening te bestellen met gelijk een BKR registratie van een lening.

[Mathijs]

Het zou bij een webwinkel eigenlijk helemaal niet nodig moeten zijn om een account aan te maken.
Bij veel webwinkels kun je ook bestellen zonder account aan te maken.

[fastbikkel]

Dat.

[caz99]

Dat is een goede oplossing. Als het ww in de db maar verwijderd wordt. Mocht de database dan buitgemaakt worden dan zijn die passwords in ieder geval niet achterhalen.

[GabbersaurusLSA]

Liever niet! Als ik een tijdje in het ziekenhuis kom te liggen wil ik niet dat opeens al mijn accounts verwijderd worden

[HeAdWaVe74]

Een jaar in een ziekenhuis is lang hoor.
Buiten dat hebben ze ook gewoon internet n het ziekenhuis.
tenzij je het over de Extreem kleine kans praat dat je in een voma komt van langer dan een jaar.

[Ramoncito]

Ik kwam er gisteren achter dat ik bij een antieke website die ik nog gebruik, een wanadoo e-mailadres ingesteld had staan. Ik krijg dan die notificaties ook niet... Hetzelfde is gebeurd met mijn Xbox account, alle saved games en achievements van vele jaren kwijt. Ik moest een verificatie doen die ik niet meer kón doen...

[Ayporos]

Ja dat had ik dus met Paypal.. die stond nog op m'n oude hotmail en dan zeggen ze "ja dan gebruik je de beveiligingsvragen toch"...

Ja da's leuk maar die zijn echt super onveilig "wat is je moeder's midden naam" en "wat is de naam van je eerste huisdier" en zo.. dus daar vul ik altijd dbjkdgfbni9orearnbvergek *mash hands on keyboard* in dus dat kon ook niet.

[Ramoncito]

Ik kan je vertellen dat toen ik mijn achievements en savegames kwijt was, waaronder de perfect uitgespeelde versie van Mass Effect (hoe lang mee bezig geweest??) en Dead Space, ik bijna een hartaanval kreeg toen bleek dat ik niet meer mijn account in kon om ze te herstellen...

[Deralte]

Tja, dat lijkt dan weer op een phishingmail... “ga naar deze website om je gegevens te bevestigen of uw account wordt verwijderd”

[Vorak]

Verdikke dat is eigenlijk best gewoon een goed idee!

[FreshMaker]

Verdikke dat is eigenlijk best gewoon een goed idee!

Dat is net zoals een abonnement .... als je maar niet opzegt, blijf je het tijdschrift ontvangen.
Zakelijk beetje jammer, als je dan mailtjes gaat sturen "weet u zeker dat u lid wilt blijven ?'
Daar halen ze hun beste inkomens uit ... vergeten abonnementen.

Je MAG na een jaar per maand opzeggen, maar dat vergeet de gemiddelde gebruiker toch al snel

[Jeroen73]

De ellende is dat een klantenbestand een waarde heeft en verwachten dat bedrijven zoiets uit zichzelf gaan doen is niet realistisch. Ik zie meer mogelijkheden in de AVG die dan bepaalt dat een emailadres en inlog niet langer bewaard mogen worden dan zolang de klant zich als klant gedraagt.

[Verwijderd]

Als je die allemaal bewaard hebt dan. Email ouder dan 7 jaar gaan bij mij zo de prullenbak in hoor.

[wjn]

Let even op dat de belastingdienst wel oudere dingen mag navragen, uit het hoofd tot maximaal 20 jaar. Meestal houden ze zelf een maximum aan van 10 jaar (bewaartermijn voor facturen onroerende zaken).

Persoonlijk bewaar ik zaken van alles wat ik in bezit heb, gaat het weg, dan kan het weg. Heb ik het nog, dan bewaar ik het.

[Verwijderd]

Daar is wel een nuance op.

Voor particulieren geldt er geen bewaarplicht. Echter kan de belastingdienst tot 5 jaar terug belasting terugvorderen. Daarna niet meer. Je administratie in ieder geval 5 jaar bewaren is dan wel aan te raden. Ook notariële stukken is het best te bewaren voor zolang ze van toepassing zijn.

Voor zakelijk geldt er wel een bewaarplicht. En dat varieert wat tussen de 7 en 10 jaar voor de Belastingdienst (er kunnen aanvullende bewaarplichten zijn vanuit andere wetgevingen).

Bronnen:
* https://www.rijksoverheid...ele-administratie-bewaren
* https://www.belastingdien...en/administratie_bewaren/
* https://www.belastingdien..._uw_administratie_bewaren

[Reactie gewijzigd door Verwijderd op 22 juli 2024 13:47]

[wjn]

Klopt 100%, particulieren hoeven wettelijk(!) niets te bewaren. Klein addertje onder het gras, de belastingdienst hoeft niets te bewijzen, alleen maar te stellen. Jij als particulier moet het tegendeel gaan bewijzen.

Die termijn van 5 jaar is ook vaag. Die gaat pas in nadat je een definitieve bevestiging van de belastingdienst hebt ontvangen. Dat kan best een paar jaar duren, in sommige gevallen. Dat moet je er dan wel bij optellen.

Kortom, je bent eigenlijk als particulier wel verplicht alles te bewaren, anders kun je nooit het tegendeel bewijzen.

Edit: Bronnen heb ik inderdaad niet opgegeven, dat kun je zo vinden.

[Reactie gewijzigd door wjn op 22 juli 2024 13:47]

[Verwijderd]

Je bent het niet verplicht. Het is inderdaad wel erg verstandig om te doen.

[DjoeC]

Ook die termijnen zijn betrekkelijk. 12 jaar naheffen bij verzwegen vermogen (buitendse rekeningen eld) is ook mogelijk. En als ik het goed heb is dit vanaf de aangifte. Ofwel als je uitstel had (bijvoorbeeld een jaar of 3) gaat het al snel over 15 jaar terug.
https://www.belastingdien...ticulieren_inkeerregeling

[Reactie gewijzigd door DjoeC op 22 juli 2024 13:47]

[Verwijderd]

Verjaringstermijn van fraude (cq. belastingontduiking) is natuurlijk veel langer dan die 5 jaar. Daar gaat de naheffing in de context van 5 jaar van de Belastingdienst dan ook niet over.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 13:47]

[ArawnofAnnwn]

Hoezo is dat belangrijk in combinatie met e-mails? Ik heb 500 megabyte ruimte in mijn mailbox en ik kom zelden boven de 100 megabyte uit. Gewoon opruimen. De belastingdienst hoeft niet te weten of ik geabonneerd ben op nieuwsbrief X.

[wjn]

Facturen ontvang je toch veelal per email? Dan hoef je ze alleen maar naar de juiste map te slepen. Niet te kopieren, uit te printen, downloaden of weet ik veel. Gewoon gemakkelijker om ze in de email te laten staan.

[bouwfraude]

Dan moet het wel een mapje op de server zijn. Bij lokale opslag is dat bij de eerste harddisk defect of formatteer foutje verdwenen.

[Twanne]

Voor de passwordmanager gebruikte ik de browser als opslag voor wachtwoorden.
Bij overschakelen ben ik 1 voor 1 die hele lijst afgegaan. Wat ik niet meer nodig had heb ik verwijderd (als in: account gedeactiveerd of als dat niet kon willekeurige nonsens ingevuld bij mijn gebruikersgegevens).
Al de rest heeft toen een uniek wachtwoord gekregen en 2FA waar mogelijk.

Dat is een huzarenklus, een beetje zoals beseffen hoeveel rommel je verzamelt bij een verhuizing. heeft me ongeveer een weekend full time en dan enkele uren in de week die volgende gekost. Maar dan weet je wel dat het ok zit.

[monojack]

oh dan ga je vast nog wel wat werk hebben. Ik heb de afgelopen jaren zoveel mailtjes gekregen van soms de grootste bedrijven dat mijn login gegevens gestolen waren. Meestal wist ik zelfs niet meer van het bestaan van de account en ja aan het paswoord kon ik zien dat het niet met een passwordmanager was aangemaakt en ik gebruik 1password al sinds de eerste versie

[maussie95]

Dat is hier ook een probleem. Ik wist niet meer dat ik een account bij Wehkamp had, tot ik vorig jaar een mailtje kreeg met "Bedankt voor uw bestelling!", dat was wel een onaangename verrassing.

Nadat ik vanochtend het mailtje van de politie heb gehad, heb ik nu ook een mailtje van Wehkamp gehad:

Er is een inlogpoging gedaan op je Wehkamp-account. Omdat we het vermoeden hebben dat je dit niet zelf deed, hebben we uit voorzorg je account en wachtwoord gereset. We vinden de veiligheid van je account namelijk erg belangrijk.

Voor mij is niet helemaal duidelijk of dit nou met deze vangst te maken heeft. Ik heb namelijk sinds die bestelling uiteraard mijn wachtwoord gewijzigd naar een uniek, automatisch gegenereerd wachtwoord.

[0xygen500]

Ik heb precies hetzelfde meegemaakt. Overal unieke wachtwoorden, krijg je ineens op wintersport een mailtje dat je bestelling gelukt is, dit terwijl je niks hebt besteld bij die webwinkel. Gekukkig alles nog kunnen annuleren.

[0xygen500]

Wanner heb je dit gekregen? Zat dit gewoon in je normale postvak in of in spam?

[Robbierut4]

Vanochtend, normale mail geen spam.

[ppheijnen]

Robbie,

Keepass (die gebruik ik) en andere password managers kun je wachtwoord opgeven en gelijkende opzoeken..

Ik deed dit laatst en dacht dat ik alles uniek had, maar blijkbaar in beginfase toch nog slordig geweest. Nog veel sites gevonden en aangepast. Dat was dan na aanleiding van ransomware attack in het nieuws.

Als je ooit via google opgeslagen hebt kun je dat ook terugvinden..

Ik heb tegenwoordig ook alles in password Mgr zitten.
1x per jaar ga ik er ook doorheen en laat accounts ook verwijderen die ik niet meer gebruik..
En inderdaad overal uniek wachtwoord..

Als iemand ww heeft tot website kunnen ze er niet veel mee, zolang je geen CC gegevens koppelt.
Daarom gebruik ik altijd ideal als mogelijk is..

Wel worden zo adres, tel.nr. en andere gegevens gejat en weer verkocht..

[Robbierut4]

Klopt, de passwordmanager die ik gebruik heeft die functie ook en die gebruik ik ook. Maar het probleem is ook juist de accounts die niet in de passwordmanager staan.

Ik heb blijkbaar een account bij de wehkamp. Wist ik veel, ik wist nieteens dat die website nog bestond. Maar omdat die niet in de passwormanager staat, zal dat wachtwoord ook geen uniek 16 character wachtwoord hebben, maar waarschijnlijk een semi uniek 8 character wachtwoord.

[RebelwaClue]

Ik kreeg er vanmorgen bericht over op mn gmail. Nu heb ik mn wachtwoord al meerdere malen gewijzigd (doe ik 1x in de 3 maanden ofzo) en het wachtwoord wat ik nu gebruik, stond niet op Pwned maar schrok wel even.

[larsiey]

2fa aanzetten is effectiever .

[RebelwaClue]

Toch maar eens doen ja, het wordt steeds lastiger wachtwoorden te verzinnen

[Oon]

Gewoon een password manager gebruiken. Dashlane of LastPass, of 1Password/KeePass als je die kant op wil.

[MadJo80]

Of Bitwarden

[Polderviking]

+1 voor bitwarden. Opensource. En als je wil kan je hem zelf hosten.

[Verwijderd]

Bekend met Keeweb? Vind ik zelf fijn werken.

[Buzz_Fuzz]

Ik gebruik Keepass. Is ook open source en self-hosted. Wat is het voordeel van Bitwarden?

[xs4me]

Is wat moderner en biedt wat meer mogelijkheden / opties met cross-device gebruik (vrij goeie mobile app).
Keepass is wel lang geleden, maar die mobile app destijds was een drama.
Zelf vind ik 't nog net iets te spartaans in gebruik. Ben na Dashlane (te duur), nu naar LastPass gegaan, bevalt na wat gewenning net zo goed eigenijk, alleen de UX wat minder.
Maar ik hou Bitwarden wel in de gaten, want ik heb bij voorkeur een (selfhosted) open source oplossing.

[Ziglar]

keepass gebruik ik nog steeds via encrypted verbinding naar mijn nas, waarbij de windows en android client perfect synchroniseren, zelfs bij conflicten krijg je op beide voldoende informatie om te bepalen welke de correcte is. daarnaast een OTP plugin geinstalleerd waardoor ook met auto-type de response codes netjes worden ingevoerd.
zelf ben ik van mening dat ik een kleiner doelwit ben dan lastpass(dat al meerder malen gekraakt is in de afgelopen jaren) en/of andere cloud password managers. maarja dat is mijn mening

[xs4me]

@Ziglar : Zeker, dat is een mooie setup en zeker veiliger dan LastPass. Ik ben alleen nooit zo'n fan geweest van de werking van Keepass qua UI / UX. Allemaal wat omslachtig in gebruik. Dan zou ik persoonlijk eerder naar Bitwarden kijken en dan encrypted op m'n NAS idd. Maar het moet niet een enorme bottleneck worden in m'n workflow, dan maar iets minder veilig. Bitwarden komt nu wel in de buurt. Dus dat zal volgend jaar wel een keer gaan gebeuren.

[Polderviking]

Functioneel? Weinig.
Bij keypass moet je je vault file zelf zien te synchroniseren. Bitwarden is een veel gestroomleinder geheel.
Ik vond keepass bijvoorbeeld echt zwak op het gebied van UX op mijn smartphone en in mijn browser maar het is ook jaren geleden dat ik die tool voor het laatst heb gebruikt.

[Verwijderd]

Voordeel van LastPass en 1Password is dat je opslag in de EU kan kiezen (bij 1Password is dat wat transparanter dan bij LastPass). Daarbij is 1Password een Canadees bedrijf, en LastPass een VS bedrijf. Voordeel van Bitwarden is dat het open source is, maar hun SaaS oplossing kent geen EU opslag locaties. Je kan het echter wel weer zelf hosten.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 13:47]

[MOizo]

Ik gebruik op Apple Keychain op alle (5) apparaten die ook nog eens automatisch synchroniseren onderling. Daar zit password manager en security ook voor de internet instellingen ja alles wat een password heeft in opgeslagen. Alleen te benaderen via Systeem password en encryted in iCloud. Dat moet denk ik toch voldoende zijn? graag jullie advies.

[Verwijderd]

Ik denk dat het goed genoeg is. Dat jij toegang ertoe verliest (kwijtraken/vergeten wachtwoord e.d.) is een reëler risico, dan een nation state hacker die op jouw goed geëncrypte container bij iCloud inbreekt.

Mijn enige tip: bedenk een strategie voor herstel in de situatie dat al je apparaten tegelijk stuk gaan (bijvoorbeeld een brand, of een stevige woning inbraak).

En zorg ervoor dat die strategie niet online beschikbaar is.

Maar voor de rest helemaal prima

[monojack]

of gewoon via iOS of MacOS zit gewoon standaard een pasword manager in

[frickY]

Maar kun je dan ook als je op een andere plek bent, bij vrienden of op vakantie, bij je wachtwoorden?

Ik gebruik Keepass. Dat bestand staat opgeslagen op mijn Google Drive en heb ik "offline beschikbaar" gemaakt op mijn mobiel, zodat ik altijd overal toegang tot mijn accounts kan krijgen.En hij wordt ook gesynced met mijn pc thuis en eigen pc op het werk.

[monojack]

Ik kan in de situatie die je schetst niet een probleem vinden want natuurlijk werkt dat ook op vakantie of bij vrienden. Als je je iPhone bij hebt tenminste.

Maar ik denk dat je bedoelt of het cross platform werkt? Nope!

[frickY]

Nee, ik bedoelde of dat dan alleen op je Mac thuis stond, of bij Apple in de cloud.
Je kunt dus hetzelfde als ik kan.

Als ik op een voor mij onbekend systeem zit tik ik ook het wachtwoord over van mijn mobiel, ook als er een keepass cliënt beschikbaar is voor het platform.

[Reactie gewijzigd door frickY op 22 juli 2024 13:47]

[monojack]

yup zit in de cloud

[xs4me]

Cross-device gebruik is dan een enorme beperking. Als ik bijv. Windows opstart op m'n bootcamp, wat dan? Als ik ooit naar Android zou willen, wat dan? Als ik m'n moeder / collega etc wil helpen op Windows etc ...
Je kunt zeggen van, whatever, ik gebruik de rest van m'n leven gewoon Apple, dan is het inderdaad geen probleem. Maar ik voorkom liever zo'n lock-in door iets anders te gebruiken waarmee ik verder niks inlever, maar wel veel breder toepasbaar is.

[monojack]

Klopt inderdaad dat je met de Apple lock-in zit maar ik gebruikte eerst 1Password en als ik het goed voorheb hebben zij mijn paswoorden een tijdje gegijzeld toen ze op abonnementen overschakelden. Dat creëerde zoveel animo zodat ze op hun stappen moeten zijn terugkeren. Het is op dat moment dat ik volledig op de password manager ben overgeschakeld.

Dus ik snap je argument en zeg zeker niet dat het niet klopt maar je bent niet beter af met een third party app want ook zij kunnen het onmogelijk maken je paswoorden te managen zoals je wil zoals ik al meemaakte met 1password

[xs4me]

"je bent niet beter af met een third party"
Je bedoelt vast "jij" specifiek: "Ik ben niet beter af met een third party"?
Want nu lijkt het net een gegeven dat dit voor mij (en anderen) ook geldt :-)

Je vergelijkt een probleem met een password manager, die Apple overigens net zo goed kan hebben (in het verleden al 's gebeurt, ook verschillende security issues (LastPass overigens ook)), met iets wat totaal geen oplossing biedt voor de punten die ik aangeef? Jouw anekdote lost mijn problemen toch niet op?

Ik snap dat mensen die 100% Apple gebruiken en nooit in aanraking komen met een ander device het prima is. Ik snap ook dat jij dat gekozen hebt gezien jouw situatie en slechte ervaring. Ik denk nog steeds dat de lock-in zwaarder weegt, maargoed, dat is persoonlijk.
Je kunt ook je favoriete browser nog gebruiken die cross-os werkt. Heb je in ieder geval geen OS dependency.

Persoonlijk heb ik echt nog nooit (al vele jaren) technische problemen gehad met Dashlane of LastPass. Maargoed, zoals met alle software, er kan altijd wat mis gaan. Daar heb je ook backups voor ... Ik kan op mijn manier vrij bewegen van OS naar OS zonder lock-in problemen, vandaag en in de toekomst.

[Reactie gewijzigd door xs4me op 22 juli 2024 13:47]

[monojack]

Ik snap het probleem niet echt. Stel dat ik morgen stop met Apple en overstap naar Android en Windows? Dan exporteer ik toch gewoon mijn paswoorden? Is toch net hetzelfde zo als je van 1password naar laspass zou gaan of omgekeerd?

[xs4me]

Ok, dus je hebt m'n argumentatie niet begrepen. Dat is toch niet wat ik zeg?

Het gaat erom dat ik ook regelmatig in aanraking kom met o.a. Windows of Android, zoals ik al uitlegde. Dan biedt Apple toch geen oplossing?

De bottom-line: Apple is niet cross-os. Alleen cross Apple devices.
Daarom is Apple voor mij dus geen optie. En ben ik er, en velen met mij, dus niet beter mee af.

(nog naast dat ik er ook niet voor kies als ik al weet dat ik de boel dan t.z.t. een keer moet gaan exporteren, want zo feilloos gaat dat niet).

[Reactie gewijzigd door xs4me op 22 juli 2024 13:47]

[monojack]

Ok nu snap ik je, ja daar loop ik soms tegen aan maar bedenk dan altijd dat cross os niet zoveel veilig is. Toch niet als het niet je eigen toestellen zijn. Ik zou bijvoorbeeld nooit mijn persoonlijke password manager op mijn laptop van het werk gebruiken omdat ik die laptops niet als veilig beschouw. Heeft niks met de laptop in sé of het OS te maken maar wel hoe de infrastructuur op het werk beheerd wordt.

[MOizo]

Ja in de Apple lijn is dat standaard al mogelijk op alle modellen, en keurig afgeschermd in de sleutelhanger. Daar kom je alleen in met een systeem password. Moet ik dan nog een password manager gebruiken vraag ik me af.

[tha_crazy]

En daarvoor kan je dan een password manager gebruiken. Dan hoef je ze zelf niet meer te verzinnen en haal je dus ook human error eruit.
Ik ken van alles ook nog maar 1 wachtwoord uit mijn hoofd, de rest is 16 karakters random gegenereerd

[RebelwaClue]

Ik gebruik eigenlijk al SafeinCloud maar gebruik daar nooit de password generator bij. Ook maar eens doen.

[FreshMaker]

Chrome en Firefox bieden het toch ook aan.
Moet je alleen wel opslaan ( al dan niet in de browser )

Ik kopieer ze altijd naar mijn Keepass database, incl de website en relevante data

[Buzz_Fuzz]

Keepass heeft ook een password generator aan boord en je kan er ook custom generators voor downloaden. Ik gebruik Readable Passphrase Generator.

[paradoXical]

Ik gebruik hier bitwarden, die werkt via de browser. Voordeel dat ik er overal bij kan (ook vanaf werk).

[!nFerNo]

Waarom stoppen bij 16 als je ze dan toch genereert?

[mjl]

Omdat je in sommige gevallen het pw met de hand moet intikken. Ik vind de iOS passwords wel fijn, de streepjes elke 5 karakters zijn in zo een geval erg handig.

[MOizo]

Ja gebruik ik ook, vraag heb je dan nog een password manager nodig, want om in de sleutelhanger te komen moet je ook het systeemwachtwoord gebruiken.

[mjl]

Omdat ik ook een pc gebruik kopieer ik eventuele iOS wachtwoorden ook meteen naar KeePass, die synchroniseert met mijn desktops/laptops via dropbox (nog geen keepass app gevonden die een goede onedrive sync heeft helaas, maar de gratis Dropbox voldoet prima voor een kleine database).

[dasiro]

random woorden en wat cijfers die in elkaars buurt liggen:
5577Olivant
1379Wakker
8520Weetikniet
...

de mogelijkheden zijn létterlijk eindeloos

[frickY]

Dat zijn wat zwakke voorbeelden.
Maar bijv "Huh, zie ik daar nu 5577 Olifanten?" iswas een prima wachtwoord

*nu niet meer.

[Odious Trident]

Ik gebruik overal het wachtwoord Hall01234! voor omdat het makkelijk te onthouden is en het niet wordt gebruikt , maar niet verder vertellen, hoor

[Zebby]

Helaas ondersteund het gros van de websites dit nog niet, zeker webwinkels. Volgens mij zelfs Bol.com niet, Coolblue ook niet? Alleen Amazon eigenlijk nu ik er aan denk.

[Maxxi]

Niemand wil de eerste zijn om het aan te zetten.

[Christiaan676]

Niks houd ze tegen om het in eerste instantie optioneel te maken. Zal de gemiddelde gebruiker niet helpen maar dan is er in ieder geval de optie.

[Zebby]

Klopt, en geen enkele wetgeving verplicht het nog voor eindgebruikers waardoor er bizar weinig bedrijven zijn die het forceren. Veel banken doen het wel, maar volgens mij niet allemaal? Ik zit even naar PCI-DSS te kijken, toch wel een van de strengste certificeringen voor een bedrijf op IT security vlak die je kunt behalen, maar die verplichten het zover ik zie alleen voor toegang als werknemers/admins (https://www.pcisecurityst...ntication-Guidance-v1.pdf).

Zo kan ik bij een DeGiro, ASN, NIBC of HofHoorneman gewoon met username+password inloggen helaas, want ze hebben ook niet allemaal de optie 2FA.
ING verplicht het gelukkig wel.

[mjl]

Ik zou het zo instellen, zou wel fijn zijn als de Authenticator apps dan wat handiger in gebruik worden, scroll me suf in de lijst van ruim 40 2fa codes.

[RobbieB]

Kamera-Express hanteert zelfs een wachtwoord policy van 1 teken...

[mjl]

Daar ben je dan zelf bij.... ik zie ook nog wel eens dat het aantal karakters beperkt is op bijv 8 tekens, ga je helemaal mank met je pw generator va 24... of verplicht een vreemd teken hoofdletter en cijfer maar dan maar 6 tekens. Vals gevoel van veiligheid terwijl die verplichting de zoek ruimte alleen maar verkleind.

[Reactie gewijzigd door mjl op 22 juli 2024 13:47]

[Lisadr]

Spreek regelmatig mensen die 2FA niet vertrouwen qua privacy. Ze willen niet dat een andere bedrijf hun mobiele nummer weet, vooral bedrijven die handelen in data (Google, Facebook, LinkedIn ezn) maar ook MKB bedrijven.

[ViperXL]

Gewoon met een Authenticator

[Lisadr]

Welke authenticator advisier jij dat niet van een data bedrijf is (zoals Google of Microsoft), geaccepteerd wordt door de meeste websites en het liefst open-source is?

[telenut]

Die van google is open source...

[mjl]

En Microsoft gebruikt de zelfde algorithms zelfde codes worden gegenereerd.

Ik vind die van MS wel fijn, vooral omdat ik dan een backup heb mocht ik mijn device verliezen.

[Acidrain]

Authy van Twilio (Zowel Android als Apple en multiple device)

[fastbikkel]

Tsja, er kan ook nog met tokens gewerkt worden. Je weet wel, die kastjes die om de X seconden van code wijzigen.

[Bender]

Maar heb je 2fa nodig als je een password manager gebruikt met een 20 char password generator.
(en je password manager heeft natuurlijk wel 2fa)

[Groningerkoek]

Als een wachtwoord is gelekt maakt het niet meer uit hoe ingewikkeld je wachtwoord is. Daarom voor dingen die je echt niet fout wilt zien gaan zoveel mogelijk 2fa gebruiken.

[Bender]

Dat is waar, ik ging er te gemakkelijk van uit dat iedere website zijn wachtwoorden goed hasht.

[FreshMaker]

Die keuze heb je, je kan helemaal zelf inschatten of je dat nodig hebt

Veel van mijn accounts is het niet nodig, anderen vind ik het prettig dat ik er 'live' bij aanwezig moet zijn om te kunnen inloggen

[rens-br]

Wachtwoorden wijzigen in één ding. Maar voor elke dienst een ander wachtwoord gebruiken is eigenlijk nog veel beter. Ik gebruik daar LastPass voor en ik heb daar momenteel zo'n 400 verschillende accounts in opgeslagen.

[Escovan|IA2]

Wellicht is het niet handig voor iedereen om hier te vertellen wat zijn "mitigation strategy" is. Je geeft daarmee belangrijke info weg.
Natuurlijk is het hartstikke goed om een intelligente password manager te gebruiken zoals LastPass, of Google's Chrome ... Maar niet iedereen hoeft te weten Welke je gebruikt. Anders creëer je weer een heel nieuw SPOF.

[Patriot]

Maar niet iedereen hoeft te weten Welke je gebruikt. Anders creëer je weer een heel nieuw SPOF.

Ehm, nee, op het moment dat je een wachtwoordmanager gebruikt creëer je een single point of failure, niet pas als je bekend maakt welke.

[3raser]

Ik gebruik KeePass en dat durf ik prima hardop te zeggen. De database is niet publiekelijk toegankelijk dus dat is het eerste obstakel. Daarna moet je de database ook nog kunnen openen. Door gebruik te maken van een publieke dienst wordt je wachtwoordmanager al iets kwetsbaarder.

[Patriot]

Ik wilde niet de indruk wekken dat ik het onverstandig vind om een wachtwoordmanager te gebruiken, meer dat Escovan de term verkeerd toepaste én de indruk wekte dat een single point of failure per definitie iets dramatisch is (want dat is niet zo).

[wauwwie]

En ik zag laatst dat er voor KeePass een Yubiko plugin is. Dan heb je ook nog MFA nodig bij het openen van je database. Dat lijkt mij redelijk veilig, kan je zo prima op je OneDrive\GDrive\etc zetten.

Moet je niet je Yubikey kwijtraken.

[FreshMaker]

Je mag mijn keepass database hebben hoor ....
Succes daarmee, als je überhaupt ergens in komt

[supersnathan94]

En security by obscurity heeft in het verleden ook altijd zulke goede resultaten opgeleverd.

Sure info gratis weggeven is ook niet slim, maar als ze echt willen zijn ze daar zo achter.

[J_van_Ekris]

Daarom gebruik ik Enpass, die werkt via mijn eigen OneDrive/GoogleDrive/Etc. Dan ben je dat SPOF ook kwijt. Die kan ook audits uitvoeren (komen je gegevens voor bij HaveIBeenPwnd)

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 13:47]

[Stoelpoot]

Als ik mijn beveiliging zo weinig vertrouw dat ik m'n mitigation strategy geheim moet houden, dan moet ik een nieuwe mitigation strategy opzetten. En dat geldt dubbel en dwars voor m'n password manager, want als de veiligheid daarvan af hangt van hoe goed mensen er achter kunnen komen welke je gebruikt, dan moet je vandaag nog een andere aanschaffen.

[Escovan|IA2]

Goed punt. Zo had ik er nog niet over nagedacht.

[Polderviking]

Wellicht is het niet handig voor iedereen om hier te vertellen wat zijn "mitigation strategy" is. Je geeft daarmee belangrijke info weg.
Natuurlijk is het hartstikke goed om een intelligente password manager te gebruiken zoals LastPass, of Google's Chrome ... Maar niet iedereen hoeft te weten Welke je gebruikt. Anders creëer je weer een heel nieuw SPOF.

Die SPOF is er op papier natuurlijk al als je een wachtwoord manager gebruikt.
Maargoed die SPOF steekt zo veel beter in elkaar dan herhaal wachtwoorden of een sloot super slappe wachtwoorden dat er amper een argument te verzinnen is waarom je niet een manager zou moeten gebruiken. Zeker niet als jan met de pet en zijn biertje.

Dat je verder details meegeeft zoals welke en dat je daarmee op papier het proces makkelijker maakt voor een kwaadwillend. Tjah.
Wat voor threat level schrijf je jezelf toe denk ik dan.
Ik vind je een hele knappe jongen als je bij mij binnen komt na mijn gigantische unieke wachtwoord en two-factor. Zeker als je dat doet zonder dat er ook daadwerkelijk iets te halen valt. Dat is allemaal privé data. Wat moet je daar mee. Mij chanteren met onelegande vakantiefoto's? Kan nooit "rendabel" zijn.

[Reactie gewijzigd door Polderviking op 22 juli 2024 13:47]

[Escovan|IA2]

Dat is zeker waar. Altijd je eigen threatlevel relativeren. Anders zou je er nog para van worden ook

[3raser]

Je wijzigt eens in de 3 maanden je wachtwoord bij alle webwinkels waar je een account hebt? Misschien moet je dan eens beginnen met een wachtwoordmanager en voor iedere winkel een apart wachtwoord aanmaken. Scheelt je een heleboel werk zo te horen.

[HoppyF]

Staat er in de e-mail letterlijk “beste ontvanger..” of wordt ook daadwerkelijk je naam genoemd waaronder dit bewuste e-mail adres bekend is?
Veel phishing e-mails bevatten ook nooit je naam alleen maar een vage aanhef.

[CAPSLOCK2000]

Goed bezig, ik hoop wel de dat de mailserver van de politie niet geblokkeerd wordt na het versturen van 50.000 mailtjes met "U wachtwoord is gelekt!"

Bij dit soort nieuws vraag ik al snel af of de data al tegen https://haveibeenpwned.com/ aan is gehouden om te bepalen of dit een nieuw lek is of data die al lang over internet zwerft.

[anpat]

Niet sinds we gemigreerd zijn naar Office 365
Alhoewel het afhangt van welke zone/Dienst dit komt, nog niet alle zones zijn gemigreerd, en dan kan het zijn dat het van de kanselarij mailserver komt... Die word nog wel eens geblacklist

[Yucko]

ook daar kan het je gebeuren.

We hadden hier op de zaak 1 of andere notificatie-service draaien die dus elke 5 min. een email naar 1 van onze software-leveranciers stuurde met de mededeling dat hun pakket eruit lag. En dat was ergens op een vrijdagavond. Met als gevolg dat het emailadres van waaruit de melding verstuurd werd, geen mails meer mocht versturen

[fastbikkel]

Ik ben al geneigd om die website niet te vertrouwen. (haveibeenpwned) wie zegt dat zij niet mijn email opslaan en vervolgens gehacked worden.
Ik heb al teveel slechte ervaring met het "bel me niet register". Toendertijd had ik wat last in de avond van verkopers, mezelf geregistreerd bij bel me niet en toen werd ik nog veel vaker gebeld.
Heb inmiddels al 3x van telnr gewisseld.

Ik voer nergens meer zomaar mn gegevens in.
:-)

[CAPSLOCK2000]

Ik ben al geneigd om die website niet te vertrouwen. (haveibeenpwned) wie zegt dat zij niet mijn email opslaan en vervolgens gehacked worden.

Ik voer nergens meer zomaar mn gegevens in.
:-)

Je hebt helemaal gelijk in je wantrouwen. Zelf heb ik redelijk wat vertrouwen in de man achter die site, die heeft wel bewezen dat hij echt een expert is en geen oplichter. Maar je weet nooit wat er in de toekomst zal gebeuren, vorig jaar heeft de site een tijdje te koop gestaan. Ik weet niet welke data de nieuwe eigenaar zou krijgen en of daar iets over is afgesproken, laatstaan over een eventuele nieuwe eigenaar zich aan die afspraken zou houden. Gelukkig is de verkoop niet door gegaan.

[kodak]

Wie verwacht je dat die controle doet? Het lijkt me niet dat de politie dat kan doen door informatie van slachtoffers met een onbekende organisatie te delen.
Zelfs als iemand de gegevens door die service zou laten controleren dan geeft het alleen aan of het eerder in een lek aanwezig was, niet perse wat de bron is. De service lijkt namelijk een ruime definitie van een lek te hanteren om gegevens op te nemen. Van sommige lekken lijkt het duidelijk waar de gegevens begonnen zijn met lekken, bij andere is dat vager.

[BanglaRoad]

Het is wel schering en inslag met gehackte, gelekte en verkochte accounts. En elke Jan Doedel die iets verkoopt wil tegenwoordig ook compleet en alles van je weten als je een simpele bestelling doet. De EU mag wel eens in actie komen en een minimalistisch protocol opstellen waarbij adres en postcode voldoende is voor een bestelling. Naam, telefoonnummer, credit card gegevens en allerlei additionele info moet gewoon niet meer naar gevraagd worden. Vroeg of laat worden ze toch gehackt en ligt heel je info op straat. En gaat niemand ook iets aan wat ze vragen.

Of het nou een betrouwbare website is, een overheid website of een kleinschalige webshop, ze gaan vroeg of laat een keer op hun bek met gebrekkig beveiliging, een rancuneuze ex-werknemer of een bedrijvige bekwame hacker die kosten wat kost in het systeem wil (en dan lukt het bijna altijd). Ik ben er wel klaar mee. Bestel alleen nog maar onder valse namen met valse telnummers en louter het adres en de postcode klopt.

[Reactie gewijzigd door BanglaRoad op 22 juli 2024 13:47]

[FreshMaker]

Het is wel schering en inslag met gehackte, gelekte en verkochte accounts. En elke Jan Doedel die iets verkoopt wil tegenwoordig ook compleet en alles van je weten als je een simpele bestelling doet. De EU mag wel eens in actie komen en een minimalistisch protocol opstellen waarbij adres en postcode voldoende is voor een bestelling. Naam, telefoonnummer, credit card gegevens en allerlei additionele info moet gewoon niet meer naar gevraagd worden. Vroeg of laat worden ze toch gehackt en ligt heel je info op straat. En gaat niemand ook iets aan wat ze vragen.

Dan moet je niet online bestellen.
Er zal toch een minimale dataset nodig zijn om je spullen te ontvangen, en om te betalen.
Het bedrijf moet de facturen kunnen overhandigen, en BTW betalen.
De belastingdienst wil ook weten hoe de geldstromen in elkaar zitten, en ij uiteindelijk als de boel defect of gestolen is, een bewijs van aankoop hebben,

Ga je ZELF naar een winkel, hoef je dat allemaal niet achter te laten, jij bent er, jij betaalt contant en je verdwijnt weer.

[pe0mot]

Adres om te leveren ja, maar betaal gegevens hoeven niet bewaard te worden als het geld binnen is via een QR code.

[wjn]

Ik geef je bijna gelijk.
Ik had een keer iets online besteld bij de Blokker en kreeg de volgende weken daarna allerlei spam op dat mailadres binnen.
Volgens Blokker kon het niet van hun vandaan komen, jaja, wel heel erg toevallig.
Het kan natuurlijk goed zijn dat de Blokker niet weet wat er gebeurd, dan nog zijn zij verantwoordelijk (ik bestel via hun website).

Ik vul bijvoorbeeld ook geen recenties meer in via Kiyoh. In hun gebruiksvoorwaarden (als je doorklikt, kom je bij https://www.youvia.nl/privacyverklaring uit) staat dat ze gegevens (o.a. emailadres) aan derden kunnen doorgeven.

[Reactie gewijzigd door wjn op 22 juli 2024 13:47]

[fastbikkel]

Houd er ook rekening mee dat men ook emailadressen zelf kan bedenken/genereren he.
Ik hoef geen database te krijgen/stelen om emailadressen te krijgen.
Alles aan de linkerkant van de apenstaart kan zelf worden ingevuld, gewoon mailen en kijken wat er gebeurt.

[_Thanatos_]

Nog andere winkels dan Wehkamp? Lijkt me essentieel om te weten.

En hoe check ik of mijn e-mail adres ertussen zit?

[Robbierut4]

Als je mail hebt gehad zit het erbij. Daarnaast kun je altijd haveibeenpwned.com checken

[_Thanatos_]

Ah ok, helder. Maar was toch wel nuttig geweest om een lijst van getroffen winkels te hebben.

[Olifant1990]

Ja en dan, dat wil nog altijd niet zeggen dat iedereen van die shop is gehackt xD
In dit geval zijn de getroffen accounts bericht. Lijkt me voldoende

[monojack]

Maar toch, het wil niet zeggen omdat jij niet op die lijst stond dat je niet op een andere lijst van die bende staat maar dat die niet gevonden is en misschien nog actief gebruikt gaat worden.

[_Thanatos_]

Ik weet wel zeker dat mijn e-mail adres meerdere malen ergens misbruikt is. Of al die geldsommen uit Nigeria zijn echt, dat kan ook Maar het gaat me er vooral om dat ik weet bij welke webshops ik zsm m'n wachtwoorden moet wijzigen. Het zijn er teveel om ze allemaal te doen.

[Mangu429]

Daarnaast kun je altijd haveibeenpwned.com checken

Moet het daar natuurlijk al wel bekend zijn.

[TTLCrazy]

Zojuist ook deze e-mail ontvangen. Nou heb ik 2fa op dit e-mail account en bij Wehkamp en Otto heb ik geen account. Overigens worden deze winkels als voorbeeld genoemd:

Het vermoeden bestaat dat deze mailadressen en wachtwoorden inloggegevens zijn voor een account bij webwinkels, zoals Wehkamp of Otto of online handlesplaatsen.

Dus er wordt niet gezegd dat deze winkels specifiek zouden zijn gebruikt bij deze.

edit: zojuist gecheckt bij Wehkamp en Otto, bij beide is mijn e-mail adres niet bekend (gecheckt m.b.v. wachtwoord vergeten)

[Reactie gewijzigd door TTLCrazy op 22 juli 2024 13:47]

[Poekie]

Ik kan me een topic op het forum herinneren waar mensen klaagden dat er met hun Otto-account was gerommeld en dat het bedrijf volhield dat het een gebruikersfout was, niet een kwestie van gelekte gegevens. Deze mensen zullen nu hopelijk wel een mail hebben gehad.

[barkeeper30]

Vond de tweede, compleet lege pagina, in de PDF ook wel verontrustend voor een "cybercrime" afdeling

[ViperXL]

Ik kreeg net een email van Wehkamp, nadat ik vanmorgen een email van de Politie had gehad, dat mijn wachtwoord is gereset omdat ze geprobeerd hebben in te loggen op mijn account.

[SYQ]

Nou, duidelijk dat Wehkamp een ervan is. Vanochtend ook email van politie ontvangen en zojuist een mail van Wehkamp dat m'n account is gereset vanwege vermoedens dat ik het niet was.