Verander nu je wachtwoord: 3,3 miljoen Nederlandse wachtwoorden eenvoudig te vinden

Uit onderzoek van deze krant blijkt dat medewerkers van veel grote Nederlandse (overheids)organisaties en bedrijven massaal in de lijsten voorkomen, waaronder organisaties die vitale functies vervullen. Ook staan er parlementariërs en  bekende Nederlanders in de lijst. ,,Schrikken, want deze wachtwoorden gebruikte ik voor andere accounts nog steeds”, zegt ex-Tweede Kamerlid Sharon Gesthuizen.

De gegevens zijn waarschijnlijk afkomstig uit tientallen grote datalekken van de afgelopen jaren. Onder meer van LinkedIn, Dropbox, Playstation, Uber (bij Uber ging het niet om wachtwoorden) en eBay is bekend dat gegevens zijn gelekt, en daarover is al veel gepubliceerd. Maar waar die enorme lijsten eerst vooral in de krochten van het internet en tegen (forse) betaling beschikbaar waren, worden ze nu steeds makkelijker en openbaar beschikbaar.

Video: Openbare zoekmachine voor wachtwoorden: data-analist Thomas Boeschoten legt uit. Tekst gaat verder onder de video.

De database die deze krant inzag, bevat in totaal 1,4 miljard e-mailadressen en wachtwoorden uit de hele wereld. Online verschijnen nu ook zoekmachines die dergelijke enorme bestanden zorgwekkend gemakkelijk te doorzoeken maken.

(Lees verder onder de afbeelding)

In de lijst staan ook tientallen mailadressen van EPZ, dat de kerncentrale in Borssele exploiteert. Een woordvoerder meldt dat het bedrijf ‘snel op de hoogte was van de hack’ en zijn werknemers heeft geïnformeerd. ,,Bij EPZ inloggen met alleen die gegevens is niet mogelijk.”

Het ministerie van Defensie meldt ook dat 'alle medewerkers verplicht zijn om hun defensiewachtwoord periodiek te veranderen, dat gaat door een geautomatiseerd systeem. De kans dat de destijds gehackte gegevens toegang kunnen geven tot defensiesystemen is hierdoor uitgesloten'.

Security-expert Bos heeft daar nog wel een opmerking over: ,,Zelfs als mensen periodiek hun wachtwoord veranderen, is dat vaak een variant van het eerdere wachtwoord: bijvoorbeeld met een 1 erachter. Dat betekent dat het weten van een eerder wachtwoord het voor aanvallers veel makkelijker maakt om de rest van het wachtwoord te raden.”

Een van de datajournalisten van deze krant, Thomas Boeschoten, zat rechtop in zijn bed toen hij eerder deze week kort na middernacht een berichtje via Twitter kreeg: deze drie wachtwoorden, zijn die van jou? Bingo. Dat waren ze allemaal. Het bericht kwam gelukkig niet van een kwaadwillende, maar van een 'verontruste' hacker - hij noemt zich d0gberry. Enkele seconden later had Boeschoten ook wachtwoorden van zo ongeveer de hele redactie van deze krant, keurig op een lijstje.

De wachtwoorden uit dit verhaal zwerven soms al jaren rond in de krochten van het internet, en zijn dus niet door d0gberry zelf gestolen. We hebben allemaal ooit wel gehoord van hacks (computerinbraak) en lekken, maar toch passen veel mensen hun wachtwoord niet aan, of blijven ze dezelfde wachtwoorden voor verschillende doeleinden gebruiken. We lezen dan dat de gegevens 'op straat liggen', maar waar dan? Maar wie plots oog in oog staat met een lijst met al zijn wachtwoorden, schrikt zich rot. Die ervaring hadden gisteren verschillende collega's van deze krant.

Onze redactie kreeg inzage in de zoekmachine die d0gberry heeft gebouwd. Het is een soort Google voor wachtwoorden. En er zitten angstaanjagend veel gegevens in. Tik bijvoorbeeld mindef.nl, en je krijgt 1368 e-mailadressen van personeel van het ministerie van defensie te zien, met de bijbehorende wachtwoorden.

De boodschap van d0gberry: als ik dit kan, kunnen anderen dit ook. En ze zijn het waarschijnlijk aan het doen. Pas toch regelmatig je wachtwoord aan, en gebruik niet hetzelfde wachtwoord voor verschillende sites. En stel tweestapsverificatie in. 

Vanmiddag zet d0gberry zijn zoekmachine online. Daarin kan iedereen opzoeken of zijn gegevens gelekt zijn, en met welk wachtwoord. D0gberry heeft de lijsten in samenspraak met deze krant gecensureerd: alleen de eerste twee tekens van een e-mailadres en de eerste drie van het wachtwoord zijn zichtbaar (maar op deze website delen we de link naar het platform niet). Het gaat d0berry erom dat iedereen nu maatregelen neemt. Want die zijn hard nodig.