Je Google-account is een hoofdsleutel: zo bescherm je hem in 2026

Vraag iemand wat het belangrijkste account is dat hij heeft, en het antwoord is meestal “mijn bank”. Dat is begrijpelijk, maar niet helemaal juist. Voor de meeste mensen is het belangrijkste account hun e-mail. Want wie bij je mail kan, kan bij bijna alles wachtwoord-vergeten spelen.

Bij een Google-account is dat effect nog sterker. Het is niet alleen je mailbox: het is ook Drive met je bestanden, Foto’s, je agenda, de wachtwoorden die Chrome voor je bewaart, en al die diensten waar je ooit op “Inloggen met Google” hebt geklikt. Eén set inloggegevens, tientallen deuren.

Aanvallers weten dat, en Gmail hoort al jaren tot de meest nagebootste merken in phishingcampagnes. In dit artikel: wat er is veranderd, en welke stappen echt verschil maken. Werk je zakelijk met Google Workspace, dan gelden dezelfde punten — alleen kun je de meeste centraal afdwingen.

Wat er de laatste jaren is veranderd

Phishingmails zijn niet meer te herkennen aan taalfouten

De klassieke tip — let op kromme zinnen en rare vertalingen — is niet meer bruikbaar. Met generatieve AI kost het niets om een foutloze, persoonlijke Nederlandse mail te schrijven die precies de toon van je bank, je leverancier of Google zelf raakt. Aanvallers gebruiken openbare informatie over jou en je bedrijf om het bericht kloppend te maken.

Dat betekent dat je herkenning moet verschuiven van “ziet het er raar uit” naar “klopt de context en het afzenderdomein”. We hebben dat uitgewerkt in phishing 2.0 en in de SLAM-methode.

Nepstemmen en nepbeelden komen erbij

Bij een deel van de aanvallen volgt na de mail een telefoontje. Iemand die zich voordoet als “Google-support” en zegt dat je account is aangevallen, en of je even de code wilt voorlezen die je zojuist per sms hebt gekregen. Die stem kan tegenwoordig overtuigend nagemaakt zijn.

Onthoud één regel en je bent hier klaar: geen enkel legitiem bedrijf vraagt je ooit om een verificatiecode voor te lezen. Nooit. Ook niet als het dringend klinkt.

Toegang via omwegen in plaats van via je wachtwoord

Naast phishing zien we pogingen die je wachtwoord helemaal overslaan: het misbruiken van een app die je ooit toegang hebt gegeven, of een sessie die op een oud apparaat nog openstaat. Die routes zijn stiller en worden vaak veel later opgemerkt.

Zeven stappen die het meest opleveren

1. Zet tweestapsverificatie aan — en kies een goede vorm

Als je maar één ding doet, doe dan dit. Maar niet elke vorm is even sterk: codes via sms zijn beter dan niets, maar te onderscheppen. Een authenticator-app is beter, en een fysieke beveiligingssleutel of passkey is het sterkst, omdat die niet werkt op een nepwebsite. Zie welke vorm van MFA het veiligst is.

2. Stap over op een passkey

Google ondersteunt passkeys al langer en zet er stevig op in. Je logt dan in met je vingerafdruk, gezicht of pincode van je apparaat; er is geen wachtwoord dat gestolen of afgekeken kan worden, en phishing werkt er per definitie niet op. Voor de meeste gebruikers is dit inmiddels de makkelijkste én veiligste optie. Achtergrond in passkeys in 2026.

3. Ruim de apps op die toegang hebben tot je account

Dit is de stap die vrijwel iedereen overslaat. In je Google-accountinstellingen staat een lijst met apps en diensten die toegang hebben gekregen — soms jaren geleden, voor iets wat je één keer hebt gebruikt. Sommige daarvan mogen je mail lezen of bij je Drive.

Loop die lijst door en gooi eruit wat je niet herkent of niet meer gebruikt. Doe dit één keer per jaar. In een zakelijke Workspace-omgeving kun je bovendien centraal instellen welke apps überhaupt toegang mogen vragen.

4. Controleer je herstelopties

Staat er nog een oud telefoonnummer of een privé-adres van een ex-collega als herstelmethode? Dan is dat een achterdeur. Werk je herstel-e-mailadres en -telefoonnummer bij, en bewaar de reservecodes op een veilige plek — niet in een bestand op datzelfde account.

5. Kijk welke apparaten en sessies actief zijn

Google laat zien op welke apparaten je bent ingelogd. Herken je er een niet, gooi hem eruit en verander je wachtwoord. Doe dit standaard als iemand uit dienst gaat of als een telefoon kwijt is — zie ook de checklist voor digitale offboarding.

6. Gebruik een wachtwoordmanager, geen browsergeheugen

Wachtwoorden opslaan in je browser voelt handig, maar koppelt alles aan datzelfde ene account. Een aparte wachtwoordmanager haalt die afhankelijkheid weg en zorgt ervoor dat elk account een uniek wachtwoord heeft. Meer daarover in hoe wachtwoordmanagers je accounts beschermen.

7. Overweeg het Geavanceerde Beveiligingsprogramma

Voor mensen met een verhoogd risico — directie, financiële administratie, iedereen die betalingen kan doen — biedt Google een strenger regime aan. Inloggen kan dan alleen met beveiligingssleutels of passkeys, downloads worden extra gecontroleerd en toegang van externe apps is beperkt. Het is wat strakker in gebruik, maar voor een handjevol sleutelfuncties is dat een prima ruil.

Wat betekent dit voor een bedrijf?

Als je met Google Workspace werkt, is het verschil met een privé-account dat je bovenstaande niet hoeft te hopen, maar kunt afdwingen. Je kunt tweestapsverificatie verplicht stellen, bepalen welke externe apps toegang krijgen, zien wie wanneer inlogt en vanaf waar, en een vertrekkende medewerker in één handeling buitensluiten.

Zorg daarnaast dat je eigen domein goed is ingesteld met SPF, DKIM en DMARC, zodat anderen niet zomaar mail kunnen versturen die van jou lijkt te komen. Dat beschermt je klanten en je reputatie — zie e-mailauthenticatie met DMARC en de bredere aanpak in je zakelijke e-mail beveiligen in 6 stappen.

Praktijkvoorbeeld: bij een klein bureau kreeg de office manager een mail die exact leek op een Google-melding over verlopen opslagruimte. Ze klikte, vulde in, en kreeg keurig een “bevestigingscode” die ze doorgaf aan de “helpdesk” die belde. Binnen een uur gingen er facturen met een gewijzigd rekeningnummer naar klanten. Met een passkey in plaats van een wachtwoord was die hele keten niet mogelijk geweest.

En quantumcomputers dan?

Je leest wel eens dat quantumcomputers straks alle versleuteling breken en je wachtwoorden waardeloos maken. Dat verhaal klopt half. Er wordt serieus gewerkt aan versleuteling die tegen quantumcomputers bestand is, en de grote aanbieders zijn die stap voor stap aan het invoeren — grotendeels zonder dat jij er iets van merkt.

Voor jouw dagelijkse beveiliging in 2026 is het geen praktisch risico. De aanvallen die vandaag slagen zijn phishing, hergebruikte wachtwoorden en apps met te veel toegang. Steek je energie daarin.

Veelgestelde vragen

Hoe weet ik of mijn Google-account is gehackt?

Let op mail in je verzonden items die je niet kent, nieuwe filters of doorstuurregels die je niet hebt gemaakt, gewijzigde herstelgegevens, of inlogmeldingen vanaf onbekende locaties. Doorstuurregels zijn een klassieker: de aanvaller leest zo mee zonder opnieuw in te loggen. Wat je dan doet, staat in je account is gehackt: dit doe je nu.

Is Gmail onveiliger dan andere e-maildiensten?

Nee. Gmail heeft juist sterke filters en beveiligingsopties. Het is vooral een kwestie van omvang: omdat er zoveel gebruikers zijn, loont het om er campagnes op te richten. Datzelfde geldt voor Microsoft 365. De maatregelen in dit artikel gelden voor beide.

Wat als mijn gegevens al ergens in een datalek zitten?

Dat is voor de meeste mensen inmiddels het geval. Belangrijk is dat een gelekt wachtwoord nergens anders meer in gebruik is en dat tweestapsverificatie aanstaat. Hoe je dat aanpakt lees je in gegevens gelekt: 8 stappen en heb je dark web monitoring nodig.

Kan ik dit voor mijn hele team in één keer regelen?

Met Google Workspace of Microsoft 365 wel. Tweestapsverificatie verplichten, externe apps beperken en herstelgegevens controleren zijn instellingen die je centraal doorvoert. Een middag werk, en het scheelt de meeste accountovernames.

Hoe kan ik mijn Google account beveiligen op mijn Android-telefoon?

Je telefoon is meestal het apparaat waarmee je inlogt, dus begin daar. Houd Android en je apps op de nieuwste versie, zodat beveiligingsupdates in je software niet blijven liggen, en installeer alleen apps uit Google Play. Loop daarna de apps door die je niet meer gebruikt en verwijder ze — die hebben vaak nog toegang tot je persoonlijke informatie en tot wat er in Google Drive is opgeslagen. Controleer of het e-mailadres en telefoonnummer voor herstel nog kloppen, en meld verdachte mail als spam in plaats van hem te openen. Log je in op een nieuw apparaat, kijk dan later of die sessie er nog hoort te staan.

Wil je zeker weten dat de accounts van je team goed dichtstaan? We lopen je omgeving door, zetten de instellingen goed en leggen in gewone taal uit wat er verandert voor je collega’s. Bel 030-7115791 of mail info@okayict.nl.