Moet ik een dienst voor identiteitsbescherming betalen na een inbreuk?

Waarschijnlijk niet. Hun waardepropositie is het monitoren van diensten die u zelf gratis kunt doen. Een bevroren kredietbestand (gratis in de VS) plus een wachtwoordbeheerder plus 2FA op belangrijke accounts biedt het grootste praktische voordeel. De dure diensten bestaan voornamelijk uit verzekeringen voor juridische tijd en vergoedingen, die de meeste gebruikers niet nodig hebben.

Waarom zijn er inbreuken op mijn inloggegevens waar ik nog nooit van heb gehoord?

Combolisten. Oudere inbreuken worden gebundeld in bulkdatabases die jarenlang worden verkocht en opnieuw worden verspreid. Sommige door HIBP genoemde "inbreuken" zijn combolists en geen originele incidenten. De gegevens zijn nog steeds reëel: alleen de bronnaam is de aggregator, niet de oorspronkelijke site.

Zijn gecodeerde wachtwoorden veilig bij een inbreuk?

Het hangt af van de hashing. bcrypt- of Argon2-hashes zijn vrijwel voor onbepaalde tijd bestand tegen offline kraken voor unieke sterke wachtwoorden; zwakke wachtwoorden ("password123", "qwerty") vallen onder woordenboekaanvallen, zelfs tegen sterke hashes. Ongezouten MD5 wordt vrijwel onmiddellijk verbroken voor elk redelijk wachtwoord. De hash-keuze van de site is net zo belangrijk als uw wachtwoord.

Moet ik accounts sluiten na een inbreuk?

Als u de service niet gebruikt, ja: minder accounts = kleiner aanvalsoppervlak. Als je het nog steeds nodig hebt, verander dan het wachtwoord en voeg 2FA toe. Als u een account verwijdert, worden de geschonden gegevens niet met terugwerkende kracht verwijderd, maar wordt de toekomstige blootstelling beperkt.

Wat is het meest schadelijke datalek?

Moeilijk te rangschikken, maar de Yahoo-inbreuk van 2013-2014 (3 miljard accounts), de Equifax-inbreuk van 2017 (147 miljoen SSN's en kredietgegevens) en verschillende combolists hebben elk enorme gebruikerspopulaties blootgelegd. De schade varieert afhankelijk van de gegevensgevoeligheid: Blootstelling aan SSN/tegoed is moeilijker te herstellen dan e-mail + wachtwoord.

Gegevenslekken uitgelegd: hoe ze gebeuren, hoe u erachter komt en wat u moet doen

Bijna elke volwassene heeft wel eens te maken gehad met een datalek. Waarschijnlijk meerdere. De mechanismen variëren van geavanceerde inbraken op staatsniveau tot eenvoudige S3-buckets die openstaan voor internet, maar de gevolgen zijn hetzelfde: uw gegevens zijn in de handen van iemand anders. Als u de categorieën begrijpt, weet u wat u er daadwerkelijk aan kunt doen.

De volledige artikeltekst vindt u hieronder in het Engels.

A datalek is elk incident waarbij persoonlijke of vertrouwelijke gegevens die door een organisatie worden bewaard, worden blootgesteld aan mensen die deze niet mochten hebben. De gegevens kunnen bestaan uit namen, e-mailadressen, wachtwoorden (gehasht of platte tekst), betaalkaarten, burgerservicenummers, medische dossiers, browsegeschiedenis, locatiegegevens – alles wat over gebruikers is opgeslagen. De cijfers zijn verbluffend: HaveIBeenPwned indexeert meer dan 14 miljard individuele geschonden records vanaf 2026, en dat is een fractie van het werkelijke totaal.

De belangrijkste categorieën van inbreuken

Credential database-lekken. Een aanvaller steelt de gebruikerstabel: gebruikersnamen, e-mails, wachtwoord-hashes. Soms zijn de hashes sterk (bcrypt met hoge kosten), soms schrikbarend zwak (MD5, ongezouten SHA-1). Zelfs sterke hashes lekken het feit dat je een account bij die service hebt.
Misconfigureerde cloudopslag. S3-buckets, MongoDB-instanties, Elasticsearch-clusters opengelaten voor het openbare internet. Beveiligingsonderzoekers vinden deze regelmatig en rapporteren erover; criminelen vinden ze ook. Geen exploitatie nodig - gewoon open toegang.
SQL-injectie en directe applicatie-aanvallen. Kwetsbare webapps laten aanvallers rechtstreeks de database doorzoeken. Nu minder gebruikelijk dan twintig jaar geleden, maar niet uitgestorven.
Inbreuken op de toeleveringsketen. Aanvallers brengen de afhankelijkheid van een leverancier of software in gevaar en gebruiken die toegang vervolgens naar veel klantomgevingen. SolarWinds, Codecov en Kaseya zijn de bekende voorbeelden.
Insider-bedreigingen. Werknemers met legitieme toegang nemen gegevens mee – voor verkoop, leverage of klokkenluiden.
Phishing en accountovername. Eén gecompromitteerd beheerdersaccount in een klantgerichte tool kan leiden tot bulkgegevens export.
Ransomware dubbele afpersing. Ransomware-operators exfiltreren gegevens voordat ze worden gecodeerd. Zelfs als u niet betaalt, zijn de gegevens verdwenen; zelfs als u wel betaalt, heeft u geen garantie dat de gegevens worden vernietigd.

De levenscyclus van de inbreuk

De meeste inbreuken volgen een voorspelbaar pad:

Initiële toegang — phishing, blootgestelde service, toeleveringsketen
Intern escalatie — aanvaller verplaatst zich lateraal en krijgt toegang tot datastores
Exfiltratie — gegevens gekopieerd, vaak in de loop van weken om detectie te voorkomen
Discovery — beveiligingsteam of derde partij merkt iets vreemds op, meestal maanden na exfil gestart
Notificatie – betrokken gebruikers op de hoogte gebracht, toezichthouders gewaarschuwd, publieke openbaarmaking
Resale – de gegevens verschijnen op darkweb-markten, worden gecombineerd met eerdere inbreuken op combolists

De mediane tijd tussen initiële inbraak en ontdekking is gedaald van meer dan 200 dagen per jaar tien jaar geleden tot minder dan 100 dagen vandaag – nog steeds veel te lang, maar een betekenisvolle verbetering.

Hoe je erachter komt

De meest betrouwbare kanalen:

HaveIBeenPwned (HIBP) — De gratis service van Troy Hunt indexeert het grootste bekende inbreukcorpus. Voer een e-mailadres in; kijk of er bekende inbreuken zijn. Abonneer u op proactieve meldingen. Onze -inbreuktest maakt gebruik van de HIBP API.
Directe kennisgeving — Bedrijven die wettelijk verplicht zijn om openbaar te maken op grond van de AVG (Europa), staatswetten (Californië enz.) en diverse sectorregelgeving. De melding arriveert vaak maanden nadat de inbreuk heeft plaatsgevonden.
Waarschuwingen voor wachtwoordbeheer – 1Password, Bitwarden en dergelijke controleren uw opgeslagen inloggegevens op databases met inbreuken en brengen getroffen accounts naar boven.
Waarschuwingen voor browserinbreuk – Chrome, Safari en Edge waarschuwen proactief wanneer een opgeslagen wachtwoord in een bekend wachtwoord verschijnt inbreuk.
Nieuwsberichtgeving — Grote inbreuken halen het nieuws, maar specifieke getroffen gebruikers worden vaak pas later genoemd.

Wat u moet doen als er sprake is van een inbreuk

Het standaardantwoord, in volgorde:

Wijzig het wachtwoord op de getroffen service. Gebruik een nieuw, sterk, uniek wachtwoord.
Wijzig wachtwoorden voor elke andere service waar u hetzelfde of een vergelijkbaar wachtwoord hebt gebruikt.
Schakel 2FA in voor de getroffen service als u dat nog niet heeft gedaan.
Houd u bezig met gerelateerde aanvallen: phishing-e-mails waarin wordt verwezen naar inbreukgegevens komen vaak voor in de dagen na een openbare openbaarmaking.
Monitor financiële rekeningen als er betalingsgegevens bij betrokken waren. In veel landen kunt u uw kredietbestand kosteloos bevriezen.
Overweeg een dienst voor identiteitsmonitoring als de inbreuk SSN-equivalente gegevens blootlegt, hoewel hun waarde meer gemoedsrust biedt dan daadwerkelijke bescherming.

Waarom dezelfde gegevens bij veel inbreuken voorkomen

Zodra gegevens zijn geschonden en op illegale markten terechtkomen, is dat het geval. gecombineerd met eerdere inbreuken op combolists – bulkdatabases met e-mail-/wachtwoordparen voor honderden inbreuken. Nieuwe inbreuken worden toegevoegd aan de stapel; oude gegevens circuleren voor onbepaalde tijd. Uw LinkedIn-wachtwoord uit 2015 staat nog steeds in de huidige combolijsten. Dit is de reden waarom zelfs tien jaar oude inbreuken vandaag de dag nog steeds gevolgen hebben voor gebruikers, vooral degenen die wachtwoorden hergebruiken.

Wat organisaties moeten doen

Trie structurele verdedigingen die de schaal van inbreuken op zinvolle wijze verkleinen:

Sterk wachtwoordhashing. bcrypt, scrypt of Argon2 tegen de juiste kosten. Mislukte inbreuken die alleen sterke hashes blootleggen, zijn veel minder schadelijk dan inbreuken die platte tekst of MD5 blootleggen.
Encrypted at rest. Encryptie op databaseniveau, gecodeerd op een hardwarebeveiligingsmodule. De aanvaller die een databaseback-up krijgt, heeft ook nog steeds HSM-toegang nodig.
Gegevensminimalisatie. Verzamel niet wat u niet nodig hebt. De inbreuk op de Tea-app in 2024 was pijnlijk, vooral omdat de app identiteitsdocumenten van vrouwen verzamelde; als dat niet het geval was geweest, zou de inbreuk een fractie zo erg zijn geweest.

Veelgestelde vragen

Moet ik een dienst voor identiteitsbescherming betalen na een inbreuk?: Waarschijnlijk niet. Hun waardepropositie is het monitoren van diensten die u zelf gratis kunt doen. Een bevroren kredietbestand (gratis in de VS) plus een wachtwoordbeheerder plus 2FA op belangrijke accounts biedt het grootste praktische voordeel. De dure diensten bestaan voornamelijk uit verzekeringen voor juridische tijd en vergoedingen, die de meeste gebruikers niet nodig hebben.
Waarom zijn er inbreuken op mijn inloggegevens waar ik nog nooit van heb gehoord?: Combolisten. Oudere inbreuken worden gebundeld in bulkdatabases die jarenlang worden verkocht en opnieuw worden verspreid. Sommige door HIBP genoemde "inbreuken" zijn combolists en geen originele incidenten. De gegevens zijn nog steeds reëel: alleen de bronnaam is de aggregator, niet de oorspronkelijke site.
Zijn gecodeerde wachtwoorden veilig bij een inbreuk?: Het hangt af van de hashing. bcrypt- of Argon2-hashes zijn vrijwel voor onbepaalde tijd bestand tegen offline kraken voor unieke sterke wachtwoorden; zwakke wachtwoorden ("password123", "qwerty") vallen onder woordenboekaanvallen, zelfs tegen sterke hashes. Ongezouten MD5 wordt vrijwel onmiddellijk verbroken voor elk redelijk wachtwoord. De hash-keuze van de site is net zo belangrijk als uw wachtwoord.
Moet ik accounts sluiten na een inbreuk?: Als u de service niet gebruikt, ja: minder accounts = kleiner aanvalsoppervlak. Als je het nog steeds nodig hebt, verander dan het wachtwoord en voeg 2FA toe. Als u een account verwijdert, worden de geschonden gegevens niet met terugwerkende kracht verwijderd, maar wordt de toekomstige blootstelling beperkt.
Wat is het meest schadelijke datalek?: Moeilijk te rangschikken, maar de Yahoo-inbreuk van 2013-2014 (3 miljard accounts), de Equifax-inbreuk van 2017 (147 miljoen SSN's en kredietgegevens) en verschillende combolists hebben elk enorme gebruikerspopulaties blootgelegd. De schade varieert afhankelijk van de gegevensgevoeligheid: Blootstelling aan SSN/tegoed is moeilijker te herstellen dan e-mail + wachtwoord.