Jouw wachtwoord staat al op internet.
Wat nu?

Wat er werkelijk gebeurt met gelekte data

Een datalek is niet een momentopname. Het is het begin van een keten van aanvallen die jaren kan duren. Je wachtwoord wordt gelekt bij LinkedIn in 2021. In 2026 wordt datzelfde wachtwoord gebruikt om je zakelijke e-mail te hacken. Dit is hoe dat werkt.

Credential stuffing: je hergebruikte wachtwoord is de sleutel

Credential stuffing is de meest gebruikte aanvalsmethode op internet. Het werkt zo: criminelen nemen een lijst van gelekte e-mail/wachtwoord combinaties (miljoenen per lek) en proberen die automatisch op andere diensten. Gmail, Outlook, webshop backends, WordPress admin panels, bankrekeningen, social media. Als je hetzelfde wachtwoord gebruikt op meerdere plekken — en dat doet meer dan 60% van de internetgebruikers — is het een kwestie van tijd.

Je LinkedIn wachtwoord uit 2019 wordt geprobeerd op je WordPress admin panel. Het werkt, want je gebruikt hetzelfde wachtwoord. Je website wordt gehackt. Niet door een geavanceerde hacker. Door een script dat miljoenen combinaties per uur probeert. Geautomatiseerd, onpersoonlijk, meedogenloos effectief.

Is je website eenmaal gehackt? Lees ons stappenplan voor gehackte WordPress websites.

Phishing met je echte gegevens

De oude phishing mails waren makkelijk te herkennen: slecht Nederlands, generieke aanhef, onzinnige claims. Dat is verleden tijd. Met gelekte data wordt phishing persoonlijk. Een e-mail die je naam kent, je adres, je geboortedatum, de laatste vier cijfers van je creditcard (gelekt bij een webshop). "Beste [je echte naam], we hebben een probleem geconstateerd met je bestelling op [adres waar je echt woont]." Dat is geen generieke spam meer. Dat is social engineering met echte data.

En het wordt erger. Met AI kunnen phishing mails nu perfect worden geschreven in elke taal, zonder spelfouten, in de huisstijl van het bedrijf dat wordt geimiteerd. De combinatie van gelekte persoonlijke data en AI gegenereerde berichten maakt phishing in 2026 gevaarlijker dan ooit.

Het cascade effect

Een gelekt wachtwoord leidt tot toegang tot je e-mail. Toegang tot je e-mail leidt tot wachtwoordresets op al je andere accounts. Wachtwoordresets leiden tot toegang tot je bankrekening, je webshop backend, je hosting panel, je social media. Eén zwak punt en het hele kaartenhuis valt om.

Bij bedrijven is de schade nog groter. Een medewerker wiens wachtwoord gelekt is, geeft indirect toegang tot bedrijfssystemen, klantdata, financiele gegevens. Een datalek bij een externe dienst wordt een datalek bij jouw bedrijf. En onder de AVG ben jij verplicht dat te melden bij de Autoriteit Persoonsgegevens binnen 72 uur. Boetes: tot €20 miljoen of 4% van je wereldwijde jaaromzet.

Hoe je jezelf en je bedrijf beschermt: de complete gids

Het goede nieuws: je kunt je tegen vrijwel al deze aanvallen beschermen. Niet met dure software of technische kennis, maar met gewoontes en de juiste tools. Dit is de complete checklist, van meest urgent tot nice-to-have.

1. Gebruik een wachtwoord manager

Dit is de belangrijkste stap. Een wachtwoord manager genereert en onthoudt unieke, sterke wachtwoorden voor elke dienst. Je hoeft zelf maar een wachtwoord te onthouden: het hoofdwachtwoord van je manager.

Onze aanbeveling: Proton Pass — van hetzelfde Zwitserse bedrijf als Proton Mail. End-to-end versleuteld, open source, werkt op alle apparaten. Proton Pass heeft een bijzonder nuttige functie: e-mail aliassen. Voor elke dienst waar je een account aanmaakt, genereert Proton Pass een uniek alias e-mailadres (bijv. random123@proton.me) dat doorstuurt naar je echte e-mail. Als die dienst gehackt wordt, is het alias gelekt, niet je echte e-mailadres. En je kunt het alias direct uitschakelen om spam te stoppen.

Belangrijk: sla je wachtwoorden NOOIT op in je browser. Chrome, Firefox, Safari — ze bieden allemaal aan om wachtwoorden op te slaan. Doe het niet. Browser wachtwoorden kunnen worden geextraheerd door browser extensies, malware en zelfs door iemand met fysieke toegang tot je computer. Een dedicated wachtwoord manager met end-to-end encryptie is fundamenteel veiliger.

2. Gebruik sterke, unieke wachtwoorden

Een sterk wachtwoord is minimaal 18 tekens lang en bevat kleine letters, hoofdletters, cijfers en speciale tekens. Niet "Welkom123!" (dat is in milliseconden gekraakt). Laat je wachtwoord manager ze genereren: een willekeurige string van 21+ tekens die je niet hoeft te onthouden.

De regel: elk account, elke dienst, elke website krijgt een uniek, willekeurig gegenereerd wachtwoord. Geen uitzonderingen. Het hergebruiken van wachtwoorden is de nummer een reden waarom datalekken leiden tot gehackte accounts.

3. Gebruik tweefactorauthenticatie (2FA)

2FA voegt een tweede beveiligingslaag toe bovenop je wachtwoord. Zelfs als je wachtwoord gelekt is, kan een aanvaller niet inloggen zonder de tweede factor. Zet 2FA aan op alles wat het ondersteunt: e-mail, hosting, webshop backend, social media, bankrekening.

Gebruik een offline authenticator app, niet cloud-based 2FA. Sommige wachtwoord managers bieden 2FA codes aan die gesynchroniseerd worden via de cloud. Dat is handig maar minder veilig: als je wachtwoord manager gehackt wordt, heeft de aanvaller zowel je wachtwoorden als je 2FA codes. Gebruik een aparte authenticator app zoals Proton Authenticator die lokaal op je telefoon draait, niet in de cloud.

Vermijd SMS als tweede factor. SMS is fundamenteel onveilig als beveiligingslaag. Het SS7 protocol waar het telefonienetwerk op draait heeft bekende kwetsbaarheden waarmee SMS berichten onderschept kunnen worden zonder dat je het merkt. Geen fysieke toegang nodig, gewoon meelezen op afstand. Een authenticator app genereert codes lokaal op je telefoon, onafhankelijk van het telefonienetwerk, en is niet kwetsbaar voor deze aanval.

4. Wees alert op phishing

De belangrijkste verdediging tegen phishing is gezond verstand:

• Klik nooit op links in onverwachte e-mails. Als je bank zegt dat er een probleem is, open je browser en ga zelf naar de website van je bank. Klik niet op de link in de e-mail.
• Controleer het afzenderadres. Niet de weergavenaam ("ING Bank") maar het werkelijke e-mailadres (info@ing-securlty-check.com is niet ING).
• Urgentie is een rode vlag. "Uw account wordt binnen 24 uur geblokkeerd" of "directe actie vereist" is bijna altijd phishing. Echte bedrijven geven je tijd.
• Bij twijfel: bel. Bel het bedrijf op het telefoonnummer dat je al kent (van hun website, niet uit de e-mail) en vraag of het bericht echt is.
• Open geen bijlagen die je niet verwacht. Factuur.pdf.exe is geen factuur.

5. Minimaliseer je digitale voetafdruk

• Maak niet overal een account aan. Elke account is een potentieel datalek. Heb je echt een account nodig bij die webshop voor een eenmalige aankoop? Bestel als gast als het kan.
• Gebruik e-mail aliassen. Proton Pass genereert unieke e-mailadressen per dienst. Als een dienst je alias lekt, weet je precies welke dienst het was en kun je het alias uitschakelen.
• Verwijder oude accounts. Die Myspace van 2008, dat forum waar je in 2015 een vraag stelde, die webshop waar je een keer iets kocht. Log in, verwijder je account en vraag om volledige verwijdering van je data. Dat is je recht onder de AVG.
• Check Have I Been Pwned regelmatig. Meld je aan voor notificaties: je krijgt een e-mail zodra je adres in een nieuw lek opduikt.

6. Maak een offline backup van je wachtwoorden

Je wachtwoord manager is een single point of failure. Als je het hoofdwachtwoord vergeet of als de dienst onbereikbaar is, verlies je toegang tot alles. Maak een offline backup: print je belangrijkste wachtwoorden (e-mail, hosting, bank) op papier en bewaar ze in een kluis of op een veilige fysieke locatie. Niet op een post-it op je monitor. Niet in een Word document op je bureaublad. Op papier, in een kluis.

7. Sla wachtwoorden nooit op in platte tekst

Geen Excel sheets met wachtwoorden. Geen notities app op je telefoon. Geen tekstbestand op je bureaublad genaamd "wachtwoorden.txt." Dit klinkt voor de hand liggend maar het is nog steeds een van de meest voorkomende manieren waarop wachtwoorden worden gestolen. Een wachtwoord manager versleutelt je wachtwoorden. Een Excel sheet niet.

8. Specifiek voor bedrijven

• Train je medewerkers. De meeste hacks beginnen bij een medewerker die op een link klikt. Een jaarlijkse phishing awareness training voorkomt meer schade dan welke security software dan ook.
• Gebruik een zakelijke wachtwoord manager. Proton Pass for Business, Bitwarden of 1Password. Deel nooit wachtwoorden via e-mail, chat of post-its.
• Beperk admin toegang. Niet iedereen hoeft overal bij te kunnen. Geef medewerkers alleen de rechten die ze nodig hebben.
• Heb een incident response plan. Wat doe je als een medewerker op een phishing link klikt? Wie bel je? Hoe isoleer je het probleem? Wie meldt het bij de AP? Bedenk dit nu, niet tijdens de paniek.
• Controleer je leveranciers. Je website, je e-mail, je hosting, je boekhoudsoftware: wie heeft er allemaal toegang tot je bedrijfsdata? Vallen ze onder Europese wetgeving? We hebben hier een uitgebreid artikel over geschreven.