Vandebron gaat 2fa afdwingen en blijft authenticatieapps ondersteunen

Energieleverancier Vandebron gaat tweestapsverificatie afdwingen bij alle klanten. Het Nederlandse bedrijf gaat dat in de eerste plaats via e-mail doen. De bestaande, veiligere methode met codes uit authenticatieapps blijft beschikbaar.

Vandebron laat klanten weten dat het tweestapsverificatie voor alle accounts automatisch inschakelt en dat het niet mogelijk is om die uit te schakelen. "Zo zijn je gegevens nog beter beschermd", schrijft het bedrijf.

Het energiebedrijf zet de optie standaard aan voor klanten die nu nog geen tweestapsverificatie voor hun account hebben ingesteld. Zij moeten voortaan behalve hun wachtwoord ook een verificatiecode opgeven die ze via e-mail hebben ontvangen. Klanten die al tweestapsverificatie ingesteld hebben, behouden die.

In een e-mail aan klanten die al 2fa hebben, wekt Vandebron de onjuiste suggestie dat het de mogelijkheid om authenticatieapps te gebruiken schrapt. "Voor het inloggen in de Vandebron-app en Mijn Vandebron heb je tweefactorauthenticatie ingesteld. Dat betekent dat je inlogt met je wachtwoord en een inlogcode. Nu ontvang je de inlogcode via een authenticatorapp. Binnenkort wijzigen we dit en sturen we de code via e-mail", schrijft het bedrijf.

Ook in de veelgestelde vragen stelt Vandebron dat e-mail voortaan het standaardmedium wordt voor 2fa. "We sturen de code altijd naar het e-mailadres dat gekoppeld is aan je Vandebron-account. Dit kun je niet aanpassen", schrijft het bedrijf. Dat suggereert dat het bedrijf inloggen met een time-based one-time password, ofwel een zescijferige code via een authenticatieapp zoals Google Authenticator, niet langer ondersteunt.

Ondersteuning voor totp blijft

Dat zou opvallend zijn, omdat inloggen met totp-codes als tweede factor veiliger is dan inloggen met een code via e-mail. E-mailcodes zijn vaak langer geldig en verlengen dus de potentiële aanvalsperiode. Bovendien maakt deze manier van inloggen e-mail tot een single point of failure.

De gewekte suggestie klopt echter niet, zegt een woordvoerder van de provider tegen Tweakers. Die noemt de beschrijving 'ongelukkig opgeschreven'. Het blijft mogelijk om totp-codes via authenticatieapps te gebruiken, bevestigt de woordvoerder. Voor nieuwe klanten wordt e-mail de standaard tweede factor, maar bestaande klanten kunnen ervoor kiezen om e-mail óf totp te gebruiken.

Reacties (37)

[JeroenH]

Als (medisch) ICT'er zeg ik: 2fa afdwingen, goede zaak.

Maar als normaal persoon met ouder wordende ouders, schoonouders en andere familie zeg ik: dit gaat te snel, dit gaat te ver. En dat dan eigenlijk over de digitalisering van noodzakelijke diensten. Gezien de vergrijzing in Nederland denk ik echt dat we twintig jaar te vroeg zijn met het uitfaseren van klassieke contactmethoden zoals telefonisch contact direct met een persoon, een balie met iemand die echt wat kan, enz.

[P_Tingen]

Als er een ding is in IT-land waar ouderen redelijk mee overweg kunnen dan is het email. Zelfs mijn schoonmoeder snapt dat. Dus als je de vaardigheid hebt om in te kunnen loggen bij Vandebron, ben je denk ik ook slim genoeg om te snappen dat je de code uit de mail moet halen. Zeker als het netjes en duidelijk geformuleerd staat, kan er weinig misgaan

En ja, er zullen genoeg mensen zijn die niet meer weten met welk mailadres ze hebben geregistreerd of wat het wachtwoord daar ook maar weer van was, maar dat heeft met met een chaotische mindset te maken dan met leeftijd. Ik denk dan vooral aan mijn nichtje van net 20 die minimaal 8 accounts heeft op de meeste sociale media apps omdat ze van de 7 vorige het wachtwoord kwijt is

[Erikkamm]

En wanneer je op een iPhone of iPad inlogt, en je opent de mail, dan kun je zonder kopiëren terug naar de browser en klikken op invullen vanuit mail.

Of dat ook op Android zo werkt weet ik niet, maar dit maakt het nog eenvoudiger.

[kujinshi]

Ik ken menig die rond 55-65 is, maar super begaafd met computers en internet. Weet wel die mensen zitten vanaf dag 1 al met computers. Een jongere van 25 heeft mischien maar 20 dienstjaren met computers, diegene van zeg 60 heeft al 35 jaar computerervaring onder de riem zitten.

Wat ik zie is dat jongeren alleen maar software kunnen gebruiken, maar weinig begrijpen van alles erachter. En dat is wat die ouderen veel beter weten.

[De Kariboe]

Totdat er een Word document naar pdf’je moet. Of een afbeelding een kwartslag gedraaid haha.

[Svrooij86]

Degene die "we sturen je een code om in te loggen" heeft uitgevonden mag wat mij betreft een pijnlijke dood sterven.

Totale kul, niet gebruiksvriendelijk, werkt enorm vertragend en voegt letterlijk niks toe. Totp ondersteuning lijkt me een goede tussenweg, maar waarom pushen ze niet naar iedereen een passkey? Eenmalig nog verifiëren via email en dan heb je op dat apparaat een passkey (die ook sync naar andere apparaten).

Dit lijkt me nu iets waar de Europese Unie zich een keer druk over zou moeten maken.

[bytemaster460]

Een heel groot deel van de Europese bevolking heeft geen idee waar je het over hebt en krijgt dat niet voor elkaar. Die zitten nog op het niveau van e-mailtjes. Enkele landen zoals Nederland lopen voor op die digitalisatie.

[Svrooij86]

De meeste moderne browsers hebben ondersteuning voor passkeys ingebakken. Als die browser ondersteuning heeft voor passkeys, dan maak gewoon voor die gebruiker een passkey aan. Maak er een mooie wizard bij met wat er gaat gebeuren met plaatjes enzo.

En precies wat jij zegt Nederland loopt voorop, waarom gaan we dan terug in de tijd door codes per email aan te zetten? Dan heb ik nog liever Magic links, ook al ben ik daar ook geen fan van.

[bytemaster460]

Jij gaf aan dat de Europese unie hierbij voorop moet lopen. Ik gaf vervolgens aan dat een heel groot deel van Europa nog niet zo ver is als Nederland.

[FiberSam]

LOL. Een ruzzische hacker die mijn account binnendringt en mijn maandelijks voorschotbedrag verhoogt... Of de chinezen die binnendringen en heimelijk te weten komen hoeveel ik per maand verstook. Goed, 2FA is idd veiliger, maar dit soort diensten zie ik nu niet als bijzonder risicovol. De schade als hackers de admin van Vandebron binnendringen en alle data op straat gooien is vele malen groter.

[Marc H]

Gebruik Vandebron niet en dus ook niet de mogelijkheden van hun software, maar vaak kan je ook je abo opzeggen. Dat lijkt mij toch vervelend als je thuiskomt en niets doet het meer.....

[daanoosters]

Dan krijg je eerst nog een vrachtlading bevestigingsbrieven en nieuwe aanbiedingen, zal wel loslopen denk ik. Mee eens dat voor dit soort nutteloze toepassingen niet erg nodig is.

[FiberSam]

Leuk weetje: je krijgt je electriciteit helemaal niet van je energieleverancier, maar van een groot aantal producenten, Tennet en vervolgens je lokale distributeur. Dus als je opzegt, krijg je nog steeds gewoon electriciteit (je mag zelfs meestal helemaal niet afgesloten worden). Je leverancier is in de praktijk vooral een energiehandelaar, die energie inkoopt bij producenten en weer aan jou doorverkoopt. Dat wordt door Tennet en zo met hen verrekend. Uiteindelijk is de herkomst van jouw electriciteit niet te onderscheiden van die van je buurman, zelfs niet als jij voor 'groene' energie hebt gekozen.

[Reactie gewijzigd door FiberSam op 30 september 2026 20:49]

[PaulHelper]

Nog een leuke use case naast de al genoemde, kijken wanneer iemand op vakantie is. Bij de meeste huishoudens heb je dan een ander 'patroon' vaak veel vaster. Als je al meerdere dagen ziet dat het evenveel energie gebruikt kunnen inbrekers hiermee huishoudens uitzoeken.

Dusja er zijn ergere dingen maar liever 2FA dan niet.

[DonChaot]

Dit lijkt me alleen interesant als je dit grootschalig kan doen en dan moet je Vandenbron zelf aanvallen. Of je moet iemand van de happy few kunnen targetten maar dan moet je maar weer net hopen dat hij bij Vandenbron zit.

[PaulHelper]

Opzich waar maar was ook niet echt duidelijk waar we over aan het praten waren. Verder denk ik altijd de kans dat ze 1 iemand zijn account krijgen is vrij klein tenzij het specifiek iemand is. Dus al dan zit je al snel aan iets van gelekte gegevens, ofwel van password managers, ofwel een andere vulnerability waardoor de inlog gegevens van een deel bekend worden. In die gevallen kun je dit allemaal doen.

[gerritjan]

Of je contract beëindigt (met eventuele boete) of je contract verlengt met 2 jaar, maar dan op een ander adres.
Heel gedoe om dat weer ongedaan te maken.

[EricBruggema]

Leuk voor jou, maar er zijn zat verbruikers die hun gegevens toch graag privé houden. De wereld draait niet om die ene consument, daar is het hacken meestal ook niet om. Maar wel om de massa, dus ja voor iedereen gelijk 2FA, goed plan!

[Doesnotcompute]

AUB niet zeg. Elke poep en scheet heeft 2fa verplicht.

De keren dat ik "gehacked" ben.. is NUL. De keren dat een bedrijf gehacked is, en mijn data onversleuteld op straat heeft geknald.. minimaal 4x.

Hou je beveiliging zelf op orde en laat mij verdorie met rust met die duizend stappen. Knettergek word ik er van. Zelfs mijn loonstrookje heeft 2fa gekregen, verplicht. Net nu we een beetje van die captcha af waren overal, krijgen we dit weer.

Nog even en je moet je DigiD gebruiken om op je mail te komen.

[Reactie gewijzigd door Doesnotcompute op 30 september 2026 20:49]

[bytemaster460]

Punt is dat het invoeren van 2fa niet om jou draait maar om de gemiddelde klant en dat een bedrijf de zorgplicht heeft om een veilige online omgeving op te zetten.

[Doesnotcompute]

Blijf ik erbij, gehacked worden via een gebruikersaccount is lariekoek. Dat gebeurd niet. immers registreert een hacker dan zelf wel een account.

Admins e.d. hebben 2FA nodig.

[Keypunchie]

TOTP is veiliger, maar Vandebron moet ook rekening houden met minder digitaal onderlegde klanten. Dan is e-mail 2FA afdwingen al een hele stap vooruit en zelfs dan nog gaat de servicedesk het druk krijgen…

[AnonymousGerbil]

Wat dit soort grapjes doet is mensen dresseren om dergelijke procedures zonder nadenken te volgen, wat ze juist gevoeliger zal maken voor phishing.

[EricBruggema]

Daar ben ik het dus niet volledig mee eens, want mensen hebben sowieso al geen idee of wat ze doen goed is, al gaan ze er voor het gemak maar vanuit.

Ook experts trappen wel eens in dit soort fratsen, en juist dit soort procedures zorgen voor meer veiligheid voor veel mensen.

[Thijs_Rallye]

Ik heb geen problemen met 2FA zo lang het maar niet met een eigen app is. Want die miljarden apps die voor iedere ruft worden uitgebracht daar heb ik de neus wel een beetje van vol.

[PaulHelper]

Wat ik zelf mis is, wanneer?

Ik kan zelf nog 2FA gewoon aan of uit zetten.

Zojuist nog aangemeld en niks van 2FA hoeven invullen. Ik wist ook eigenlijk niet dat het kon omdat ik het nog nergens had gezien en er vanuit ging dat ze het niet hadden.

Ook nog geen mail gehad hierover.

[Reactie gewijzigd door PaulHelper op 30 september 2026 20:24]

[PtrO]

tldr; maak dingen tot keuze.

Fijn dat anderen bepalen wat voor iemand veilig is met dat ik vind dat de betrokkenen dat helemaal zelf moet weten als die dat anders wil inrichten.

Om dus een eigen account in te loggen moet je van alles gaan hebben of (extra) doen ?
Iets dat wmb totaal niets te maken heeft met al of niet digitaal vaardig.

Beter is sws dit als keuze te maken, inclusief de keuze dat iemand alleen vanaf bepaalde apparaten en/of locaties kan inloggen. Waar het gaat om onomkeerbare besluiten of gevolgen, zou een dienstverlener die altijd bij de contractant expliciet moeten verifiëren ipv daarin iets aan te nemen.

[combikoelkast]

De gewekte suggestie klopt echter niet, zegt een woordvoerder van de provider tegen Tweakers. Die noemt de beschrijving 'ongelukkig opgeschreven'.

Typisch een woordvoerder aan het werk. Als ik de uiting uit de e-mail lees gaat het niet om een 'suggestie', maar om een onjuiste uiting. Dat is niet 'ongelukkig opgeschreven'.

Zou dezelfde woordvoerder ook e-mails over 2FA opstellen?