We zien het bijna elke dag in het nieuws. Een organisatie is gehackt omdat iemand een makkelijk te raden wachtwoord had, of iemand klikte op een valse link en gaf criminelen toegang tot belangrijke systemen. Chaos volgt.
Iedereen zegt meteen: “Je had multifactorauthenticatie (MFA) moeten gebruiken!” Dat is zeker slim advies. MFA vraagt niet alleen om een wachtwoord, maar ook om iets anders, zoals een bevestiging op je telefoon. Maar MFA is niet perfect. Slimme aanvallers vinden soms manieren om ook dat te omzeilen.
De mens is de grootste factor
Het rapport van Verizon over datalekken in 2023 zegt dat bij 74% van alle hacks mensen het “probleem” waren. Bijna de helft daarvan kwam door gestolen wachtwoorden en 12% door phishing. Als meer mensen MFA zouden gebruiken, zou het aandeel gestolen wachtwoorden veel lager zijn. Maar die 74%? Daar moeten we echt bij stilstaan. Wat weet jij eigenlijk over online veiligheid? En wat doe je elke dag om veilig te blijven?
Waarom MFA zo effectief is
MFA is een van de meest effectieve maatregelen die je kunt nemen. Een wachtwoord kan uitlekken of worden geraden. Met MFA is dat wachtwoord alleen niet genoeg: de aanvaller heeft ook jouw telefoon, sleutel of vingerafdruk nodig. Het verkleint de kans op misbruik enorm en maakt het werk van aanvallers vele malen moeilijker.
Welke vorm van MFA kies je?
Niet elke vorm van MFA is even sterk. In de tweede editie van Het Digitale Kompas zetten we ze op een rij:
- Sms-codes zijn beter dan niets, maar kwetsbaar voor onderschepping en simswaps, waarbij een crimineel jouw telefoonnummer naar zijn eigen simkaart laat overzetten.
- Een authenticatorapp, zoals Microsoft Authenticator, is betrouwbaarder en makkelijk in gebruik. Met een pushmelding kun je zelfs zonder wachtwoord inloggen. Lees hoe je Microsoft Authenticator instelt.
- Hardwaresleutels en passkeys zijn phishingbestendig: op een nagemaakte website werken ze simpelweg niet. Meer in Passkeys: veilig inloggen zonder gedoe.
MFA is geen 100% garantie
Het is een fabel dat MFA je onaantastbaar maakt. Met een nagemaakte inlogpagina kan een aanvaller soms je sessie overnemen, ook als je MFA gebruikt. Phishingbestendige vormen bieden de meeste bescherming, maar vragen wat meer handelingen: meer gedoe in ruil voor meer veiligheid. Lees meer fabels in “Wij zijn te klein voor hackers” en zes andere cybersecurityfabels.
Kennis maakt het verschil
We kunnen niet meer doen alsof online veiligheid ons niet aangaat. Thuis niet, en op het werk niet. Je hoeft geen expert te worden, maar de basis kennen is wel belangrijk. Weet hoe een phishingmail eruitziet, wantrouw tijdsdruk en vreemde betaalverzoeken, en meld het als iets niet klopt. Hoe zo’n aanval in de praktijk verloopt, lees je in Factuurfraude in vier fasen.
Kort gezegd
MFA is een extra slot op de deur. Maar alleen een slot is niet genoeg. Gebruik MFA waar het kan, kies voor een app of passkey in plaats van sms, gebruik unieke wachtwoorden en klik niet op vreemde links. Meer over goed inloggen lees je in Wachtwoordbeleid dat wél werkt.
Download Het Digitale Kompas, editie 2
Het Digitale Kompas, editie 2
Download pdf