Verander nu je wachtwoord: 3,3 miljoen Nederlandse wachtwoorden eenvoudig te vinden
VIDEO'SEen grote hoeveelheid e-mailadressen en 3,3 miljoen wachtwoorden van Nederlanders liggen op straat. Ze blijken sinds eind vorig jaar betrekkelijk eenvoudig in te zien in lijsten die online circuleren. Een hacker maakt ze vandaag via een speciale zoekmachine zelfs nog toegankelijker: een 'Google' voor wachtwoorden.
Uit onderzoek van deze krant blijkt dat medewerkers van veel grote Nederlandse (overheids)organisaties en bedrijven massaal in de lijsten voorkomen, waaronder organisaties die vitale functies vervullen. Ook staan er parlementariërs en bekende Nederlanders in de lijst. ,,Schrikken, want deze wachtwoorden gebruikte ik voor andere accounts nog steeds”, zegt ex-Tweede Kamerlid Sharon Gesthuizen.
De gegevens zijn waarschijnlijk afkomstig uit tientallen grote datalekken van de afgelopen jaren. Onder meer van LinkedIn, Dropbox, Playstation, Uber (bij Uber ging het niet om wachtwoorden) en eBay is bekend dat gegevens zijn gelekt, en daarover is al veel gepubliceerd. Maar waar die enorme lijsten eerst vooral in de krochten van het internet en tegen (forse) betaling beschikbaar waren, worden ze nu steeds makkelijker en openbaar beschikbaar.
Video: Openbare zoekmachine voor wachtwoorden: data-analist Thomas Boeschoten legt uit. Tekst gaat verder onder de video.
Variëren helpt nauwelijks
De database die deze krant inzag, bevat in totaal 1,4 miljard e-mailadressen en wachtwoorden uit de hele wereld. Online verschijnen nu ook zoekmachines die dergelijke enorme bestanden zorgwekkend gemakkelijk te doorzoeken maken.
Zelfs als mensen periodiek hun wachtwoord veranderen, is dat vaak een variant van het eerdere wachtwoord
De organisaties die zijn gehackt, zoals LinkedIn, hebben toentertijd allemaal hun gebruikers geïnformeerd over de hacks en de wachtwoorden laten aanpassen. ,,Maar het blijft een gevaar, omdat mensen heel vaak wachtwoorden hergebruiken. Mensen staan op zoveel websites geregistreerd, dat ze vaak geen idee meer hebben hoeveel, vaak met hetzelfde wachtwoord”, zegt Herbert Bos, hoogleraar Systems en Network Security, aan de VU in Amsterdam. ,,Zelfs als je een beetje varieert met de cijfers in je wachtwoord, kunnen kwaadwillenden dat via geautomatiseerde programma’s snel achterhalen. En als mensen je e-mail en een wachtwoord hebben, hebben ze je identiteit.”
Dat houdt in dat criminelen of andere kwaadwillenden accounts kunnen misbruiken door er nog meer persoonlijke informatie uit te halen of er bijvoorbeeld aankopen mee proberen te doen. Op techwebsites melden verschillende reageerders dat onbekenden met hun wachtwoorden hebben ingelogd op bijvoorbeeld wehkamp.nl en daar artikelen hebben besteld, als betaaloptie werd dan voor ‘betalen achteraf’ gekozen.
(Lees verder onder de afbeelding)
Snel veranderen
Ook het mailadres en wachtwoord van voormalig SP-Tweede Kamerlid Sharon Gesthuizen staat in de lijst. Het gaat om haar Tweede Kamer-mail. ,,Ik schrok dat jullie ze hadden gevonden. Ik gebruikte dat e-mailadres en wachtwoord een paar jaar geleden, niet voor de Tweede Kamer, maar om in te loggen bij LinkedIn. Daar heb ik het inmiddels veranderd”, zegt Gesthuizen. Even later appt ze: ,,Een snelle check leerde dat ik dat oude wachtwoord nog steeds gebruikte voor Europcar, het Rotterdamse filmfestival en een andere (belangrijke!) dienst. Dat ga ik nu dus snel veranderen.”
Ook AD-columniste en publiciste Fidan Ekiz schrok zich rot toen ze hoorde dat haar wachtwoorden online te vinden waren: ,,Je hoort vaak van die verhalen over datalekken, maar je denkt: het loopt wel los. Ik verander sommige wachtwoorden best vaak, maar niet die van slapende accounts.”
Extra pijnlijk is dat veel mensen zichzelf op de sites met hun zakelijke e-mail hebben geregistreerd. Dat houdt in dat er ook talloze mailadressen van bijvoorbeeld de ministeries van Buitenlandse Zaken en Defensie, de kerncentrale in Borssele en het Openbaar Ministerie in de database staan. Het wachtwoord dat daarbij staat, is niet per se het wachtwoord dat die personen gebruiken om op hun werksystemen in te loggen. Maar dat die e-mailadressen op straat liggen, maakt hen extra kwetsbaar.
Inlichtingendiensten waarschuwen ervoor dat pogingen van buitenlandse staten of cybercriminelen om te infiltreren in systemen, steeds vaker via persoonlijke mailadressen plaatsvinden. Ook waarschuwde de dienst recent nog voor spionagepogingen via LinkedIn-connecties. Dat kan makkelijker plaatsvinden als iemands account is gehackt.
Van het ministerie van Defensie staan honderden mailadressen van medewerkers in de database. Het ministerie weet dat er in het verleden gegevens van werknemers in hacks zijn buitgemaakt. ,,We hebben onze werknemers toen met klem verzocht hun wachtwoorden te wijzigen en ze meegegeven dat het niet wenselijk is om defensiegegevens zoals een mailadres te gebruiken voor commerciële accounts, maar verboden is het niet”, zegt een woordvoerder.
Het Nationaal Cyber Security Centrum (NCSC), de overheidsorganisatie die de cruciale, digitale infrastructuur van Nederland in de gaten houdt, zegt dat het verstandig is om voor privédiensten een privé e-mailadres te gebruiken. ,,Het uitlekken van de gegevens zorgt ervoor dat er mogelijk onbedoeld inzicht kan worden verkregen in de medewerkers van een bepaalde organisatie.”
In de lijst staan ook tientallen mailadressen van EPZ, dat de kerncentrale in Borssele exploiteert. Een woordvoerder meldt dat het bedrijf ‘snel op de hoogte was van de hack’ en zijn werknemers heeft geïnformeerd. ,,Bij EPZ inloggen met alleen die gegevens is niet mogelijk.”
Het ministerie van Defensie meldt ook dat 'alle medewerkers verplicht zijn om hun defensiewachtwoord periodiek te veranderen, dat gaat door een geautomatiseerd systeem. De kans dat de destijds gehackte gegevens toegang kunnen geven tot defensiesystemen is hierdoor uitgesloten'.
Security-expert Bos heeft daar nog wel een opmerking over: ,,Zelfs als mensen periodiek hun wachtwoord veranderen, is dat vaak een variant van het eerdere wachtwoord: bijvoorbeeld met een 1 erachter. Dat betekent dat het weten van een eerder wachtwoord het voor aanvallers veel makkelijker maakt om de rest van het wachtwoord te raden.”
Hoe kwam dit verhaal tot stand?
Een van de datajournalisten van deze krant, Thomas Boeschoten, zat rechtop in zijn bed toen hij eerder deze week kort na middernacht een berichtje via Twitter kreeg: deze drie wachtwoorden, zijn die van jou? Bingo. Dat waren ze allemaal. Het bericht kwam gelukkig niet van een kwaadwillende, maar van een 'verontruste' hacker - hij noemt zich d0gberry. Enkele seconden later had Boeschoten ook wachtwoorden van zo ongeveer de hele redactie van deze krant, keurig op een lijstje.
De wachtwoorden uit dit verhaal zwerven soms al jaren rond in de krochten van het internet, en zijn dus niet door d0gberry zelf gestolen. We hebben allemaal ooit wel gehoord van hacks (computerinbraak) en lekken, maar toch passen veel mensen hun wachtwoord niet aan, of blijven ze dezelfde wachtwoorden voor verschillende doeleinden gebruiken. We lezen dan dat de gegevens 'op straat liggen', maar waar dan? Maar wie plots oog in oog staat met een lijst met al zijn wachtwoorden, schrikt zich rot. Die ervaring hadden gisteren verschillende collega's van deze krant.
Onze redactie kreeg inzage in de zoekmachine die d0gberry heeft gebouwd. Het is een soort Google voor wachtwoorden. En er zitten angstaanjagend veel gegevens in. Tik bijvoorbeeld mindef.nl, en je krijgt 1368 e-mailadressen van personeel van het ministerie van defensie te zien, met de bijbehorende wachtwoorden.
De boodschap van d0gberry: als ik dit kan, kunnen anderen dit ook. En ze zijn het waarschijnlijk aan het doen. Pas toch regelmatig je wachtwoord aan, en gebruik niet hetzelfde wachtwoord voor verschillende sites. En stel tweestapsverificatie in.
Vanmiddag zet d0gberry zijn zoekmachine online. Daarin kan iedereen opzoeken of zijn gegevens gelekt zijn, en met welk wachtwoord. D0gberry heeft de lijsten in samenspraak met deze krant gecensureerd: alleen de eerste twee tekens van een e-mailadres en de eerste drie van het wachtwoord zijn zichtbaar (maar op deze website delen we de link naar het platform niet). Het gaat d0berry erom dat iedereen nu maatregelen neemt. Want die zijn hard nodig.
Gratis onbeperkt toegang tot Showbytes? Dat kan!
Log in of maak een account aan en mis niks meer van de sterren.Lees Meer
-
PREMIUMeigen tuin eerst
Dit moet je weten over snoeien: ‘Bomen en struiken hebben geen voordeel bij het afhakken van ledematen’
Snoeien, stekken, planten, verpotten, zaaien en schoffelen. Tuingoeroe Romke van de Kaa helpt een handje. -
PREMIUM7 landen
Wij betalen 4,16 euro voor pot Nutella, Belgen maar 2,75 euro: dit kosten boodschappen in Europa
In welk Europees land doe je de voordeligste boodschappen? Deze site deed boodschappen in zeven landen. De verschillen zijn best groot. Waar een pot Nutella in Nederland 4,16 euro kost, is die in België met 2,75 euro het goedkoopst. Voor een fles zonnebloemolie (hier: 3,69 euro) moet je in Spanje zijn: 2,20 euro. -
Is mijn voorschotbedrag wel of niet aangepast naar het prijsplafond?
De overheid heeft besloten consumenten op weg te helpen met de hoge energieprijzen. Begin dit jaar is daarom het prijsplafond ingegaan, waardoor je een maximaal tarief betaalt voor energie. Betekent dit dat het voorschotbedrag nu ook is aangepast? Twee experts leggen uit hoe het zit. -
CBS trekt omstreden conclusie over uithuisplaatsingen toeslagenkinderen in
Het CBS trekt een omstreden conclusie in, over uithuisplaatsingen van kinderen in gezinnen die slachtoffer werden in de toeslagenaffaire. Het CBS stelde: ‘Gedupeerdheid verhoogt de kans op kinderbeschermingsmaatregelen niet’, en zette zo de deur open voor harde kritiek. -
PREMIUMReportage met video
Nu de koninklijke familie naar Bonaire komt, worden ineens alle kuilen in de weg gedicht
Twee weken lang trekt het koningspaar vanaf zaterdag met prinses Amalia over de Antillen, om haar voor te stellen op de zes eilanden. Een beladen reis. Niet alleen door de bedreigingen rond Amalia, maar vooral ook door de discussies rond het Nederlandse slavernijverleden. Dat is ook op startpunt Bonaire merkbaar.
-
Beter Eten
Maca-poeder zou wonderen doen in de slaapkamer, maar ‘sekskroket’ werkt misschien beter
In de rubriek Beter Eten schrijft gezondheidsjournalist Tijn Elferink over wat hem opvalt op het gebied van eten en drinken. Een Peruaans poedertje zou zorgen voor een boost van je libido. Waarom je een spannende avond toch beter met een sekskroket kunt beginnen. -
-
-
PREMIUM
Iets trok aan Remko's onderarm, het bleek een bijtend everzwijn: ‘Heb ze nog nooit gezien hier’
Zijn dochter wilde de voorbeschouwing van Feyenoord-Ajax zien. Hij wilde nog even wandelen door het Limburgse bos voor zijn huis. Niemand die dacht dat hij thuis zou komen met diepe wonden door een everzwijn die in z'n linkeronderarm hapte. ,,Had ik maar naar m'n dochter geluisterd”, blikt de geschrokken Remko terug. -
met foto's
‘Totale verwarring’ in Parijs door modeshow Viktor & Rolf: ‘Bizar en onvergetelijk’
Het Nederlandse ontwerpersduo Viktor & Rolf heeft de show gestolen bij de Haute Couture Week in Parijs door te bewijzen dat het altijd excentrieker kan. Hun bizarre show is een van de meest onvergetelijke momenten van het evenement dit jaar, oordeelt het toonaangevende Britse Vogue.