Zijn uw gegevens gelekt? Zo checkt u het met Have I Been Pwned

Have I Been Pwned is een gratis website waarop u controleert of een e-mailadres voorkomt in bekende datalekken. U vult een adres in en ziet direct in welke lekken het zat, en welke gegevens daarbij zijn buitgemaakt. Voor organisaties is er domeinmonitoring: daarmee ziet u in één keer welke adressen op uw domein in een lek voorkomen.

Een treffer betekent niet dat uw organisatie is gehackt. Het betekent dat een adres, en soms een wachtwoord, bij een andere dienst is buitgemaakt. Wat u daarna doet, bepaalt of het daarbij blijft.

Hieronder leest u hoe de check werkt, wat Check je hack van de politie toevoegt en wat u doet bij een treffer. Het bredere overzicht staat in onze gids over cybercrime.

Hoe Have I Been Pwned werkt

Beveiligingsonderzoeker Troy Hunt begon Have I Been Pwned in 2013. Hij verzamelt gegevens uit datalekken en maakt de e-mailadressen daaruit doorzoekbaar. Pwned is internetjargon en betekent zoiets als te grazen genomen.

Bij de check vult u alleen een e-mailadres in, nooit een wachtwoord. De site koppelt bij het inladen van een lek ook geen wachtwoorden aan de adressen, dus u krijgt er nooit een te zien.

Sommige lekken zijn zo gevoelig dat alleen al de vermelding iemand kan schaden. Die zijn alleen zichtbaar voor wie aantoont dat het adres van hem is.

De site is Engelstalig. Wilt u de site in het Nederlands lezen, gebruik dan de vertaalfunctie van uw browser. Nodig is dat niet: de stappen staan hieronder.

Have I Been Pwned in het Nederlands: de check in vier stappen

De check kost een halve minuut. Doe hem wel op de veilige manier, want na een groot datalek gaan er vaak nepberichten rond.

• Ga zelf naar de site. Typ haveibeenpwned.com zelf in de adresbalk, en klik niet op een link uit een mail of sms.
• Vul het e-mailadres in. Meer is niet nodig. Vraagt een site om uw wachtwoord om een lek te controleren, vertrouw hem dan niet.
• Lees de uitslag. Per lek ziet u wanneer het gebeurde en welke soorten gegevens zijn buitgemaakt, zoals wachtwoorden, telefoonnummers of adressen.
• Zet een melding aan. Dan krijgt u bericht als het adres in een nieuw lek opduikt. Die melding gaat altijd naar het adres zelf, zodat niemand andermans adres kan volgen.

Voor wachtwoorden is er een aparte controle, Pwned Passwords. Uw wachtwoord gaat daarbij niet over de lijn. Het wordt op uw eigen apparaat omgezet in een hashcode, een soort digitale vingerafdruk. Alleen de eerste vijf tekens daarvan gaan naar de site. Typ een wachtwoord dat u nog gebruikt toch liever nergens in. Veel wachtwoordmanagers doen deze controle voor u.

Check je hack: de controle van de politie

Naast Have I Been Pwned is er een Nederlandse controle: Check je hack van de politie. Daarin staan gegevens die de politie in beslag nam bij onderzoeken naar cybercriminelen, bijvoorbeeld naar malware en phishing. De lijst met datasets wordt regelmatig aangevuld.

De werking is anders. U vult uw e-mailadres in en ziet niets op het scherm. Staat het adres in een van de datasets, dan krijgt u binnen enkele minuten een e-mail van de politie met uitleg en tips. Krijgt u niets, dan staat het adres niet in de datasets van de politie. Zo kan niemand andermans adres natrekken.

Voor organisaties is er een beperking: u controleert alleen losse adressen, geen heel domein. De politie deelt haar gegevens wel met andere partijen, waaronder Have I Been Pwned. Bedrijven kunnen zich ook aansluiten bij No More Leaks, een politieproject dat dezelfde gegevens krijgt.

Let wel op nepmails in naam van deze tool. De politie stuurt bewust geen mails met links om uw gegevens te controleren. Krijgt u zo’n mail toch, klik dan niet en verwijder hem.

Alle adressen van uw organisatie in één keer controleren

Losse adressen controleren werkt voor een persoon. Voor een organisatie is de domeinmonitoring van Have I Been Pwned handiger. Daarmee ziet u welke adressen op uw domein in bekende lekken voorkomen, dus alles wat eindigt op bijvoorbeeld @uwbedrijf.nl.

Eerst toont u aan dat het domein van u is. Daarvoor zijn vier manieren, waaronder een DNS-record: een regel in de technische instellingen van uw domein. Dat is meestal werk voor uw IT-beheerder. Volgens de site is de zoekopdracht gratis zolang er niet meer dan tien gelekte adressen op het domein staan. Daarboven is een abonnement nodig.

U kunt het domein ook laten bewaken, ook zonder abonnement. Duikt er een adres op in een nieuw lek, dan krijgt u bericht. Spreek wel af wie zo’n bericht oppakt.

Kijk bij de uitslag verder dan de huidige medewerkers. Ook adressen van vertrokken collega’s, gedeelde mailboxen en algemene adressen zoals info@ kunnen in een lek staan. Die worden zelden gecontroleerd, terwijl ze soms nog toegang geven.

Een treffer: zo pakt u het aan

Kijk bij een treffer eerst welke gegevens zijn buitgemaakt. Een lek met alleen namen en e-mailadressen vraagt vooral alertheid. Een lek met wachtwoorden vraagt actie, zeker als dat wachtwoord ook ergens anders werd gebruikt.

Criminelen proberen gelekte combinaties van e-mailadres en wachtwoord namelijk automatisch uit bij andere diensten. Dat heet credential stuffing. Wie overal hetzelfde wachtwoord gebruikt, geeft met één lek dus meerdere sleutels weg.

• Vervang het wachtwoord. Bij de getroffen dienst en overal waar u hetzelfde wachtwoord gebruikte. Laat een wachtwoordmanager een nieuw, uniek wachtwoord maken.
• Zet MFA aan. Bij meerfactorauthenticatie (MFA) is naast het wachtwoord een tweede stap nodig, zoals een code in een app. Een gelekt wachtwoord alleen is dan niet genoeg.
• Log overal uit. Beëindig alle actieve sessies, zodat wie al binnen was er ook uit ligt.
• Loop de mailbox na. Zoek naar doorstuurregels of filters die u niet kent. Volgens het NCSC is een doorstuurregel een veelgebruikte manier om ongemerkt mee te lezen.
• Beoordeel de gevolgen. Gaf het wachtwoord toegang tot systemen van uw organisatie, en heeft iemand daar gebruik van gemaakt?

Wanneer een treffer een datalek van uw organisatie wordt

Een treffer in Have I Been Pwned gaat meestal over een lek bij een andere organisatie. Denk aan een webshop waar een medewerker zich met zijn werkadres had aangemeld. Dat lek is van die organisatie, en de meldplicht ligt daar ook.

Dat verandert als de gegevens uit uw eigen systemen komen, of als iemand met een gelekt wachtwoord in uw omgeving bij persoonsgegevens kon. Dan is er mogelijk een datalek in uw organisatie, en geldt de meldplicht van de AVG. U beoordeelt zelf of het lek een risico oplevert voor de mensen om wie het gaat. Is dat zo, dan meldt u het bij de Autoriteit Persoonsgegevens.

Leg elk datalek vast in uw interne datalekregister, ook als u het niet meldt. Ook dat vraagt de AVG. Wat u in de eerste uren doet en welke termijnen gelden, staat in gehackt, wat nu.

Zo voorkomt u dat een lek doorwerkt

Lekken bij andere diensten kunt u niet tegenhouden. Wel kunt u zorgen dat een gelekt wachtwoord bij u weinig oplevert. Drie maatregelen doen het meeste werk.

• Unieke wachtwoorden. Een wachtwoordmanager maakt per dienst een eigen wachtwoord, en waarschuwt vaak zelf als een opgeslagen wachtwoord in een lek opduikt.
• MFA op alles wat van buiten bereikbaar is. Denk aan e-mail, VPN, cloudopslag en beheerportalen. Meerfactorauthenticatie staat ook in de NIS2 zorgplicht uit de Cyberbeveiligingswet (CBW).
• Afspraken over het werkadres. Gebruik het zakelijke adres alleen voor zakelijke diensten. Hoe minder plekken een adres kennen, hoe kleiner de kans op een treffer.

Werkt u met Microsoft 365, dan zit veel hiervan in het pakket, maar een deel moet u zelf aanzetten. Zie Microsoft 365 beveiligen.

Houd na een lek ook rekening met gerichte phishing. Een e-mailadres of telefoonnummer lijkt onschuldig, maar volgens de Autoriteit Persoonsgegevens misbruiken criminelen zulke gegevens voor gerichte phishing. Hoe u die berichten herkent en meldt, staat in phishing-mail melden. Zijn er ook adressen of kopieën van identiteitsbewijzen gelekt, lees dan over identiteitsfraude bij bedrijven.

Veelgestelde vragen over Have I Been Pwned

Is Have I Been Pwned betrouwbaar?

Ja. De site bestaat sinds 2013 en organisaties wereldwijd gebruiken hem om hun domeinen te bewaken. U vult alleen een e-mailadres in. Ook de Nederlandse politie deelt gegevens uit haar onderzoeken met Have I Been Pwned.

Wat betekent het als mijn e-mailadres in een lek staat?

Dat het adres bij een andere dienst is buitgemaakt, niet dat uw mailbox is gehackt. Het risico zit in een wachtwoord dat u ook elders gebruikte. Gebruikt u het getroffen account niet meer, verwijder het dan.

Kan ik alle e-mailadressen van ons bedrijf tegelijk controleren?

Ja, met de domeinmonitoring van Have I Been Pwned, nadat u heeft aangetoond dat het domein van u is. Voor kleine aantallen getroffen adressen is dat gratis. Check je hack werkt alleen met losse adressen.

Hoe vaak moet ik opnieuw controleren?

Liever niet handmatig: zet meldingen aan voor uw adres of uw hele domein, dan hoort u het vanzelf. Check je hack kunt u na een paar weken opnieuw proberen, omdat de politie er geregeld gegevens aan toevoegt.

Moeten wij een treffer melden bij de Autoriteit Persoonsgegevens?

Meestal niet, want de meeste treffers gaan over een lek elders. Komen de gegevens uit uw eigen systemen, of kon iemand met het wachtwoord bij persoonsgegevens in uw omgeving? Beoordeel dan of het een meldplichtig datalek is. Leg het in elk geval vast in uw register.