Hoe komen hackers aan je wachtwoord? 7 onverwachte routes naar je accounts

De meeste ondernemers weten inmiddels hoe een phishingmail eruitziet en waarom een wachtwoord van acht tekens niet meer volstaat. Toch worden er nog dagelijks zakelijke accounts overgenomen. Hoe komen hackers aan je wachtwoord — of aan je account zonder dat ze het wachtwoord nodig hebben? Vaak niet omdat iemand een slecht wachtwoord had, maar omdat de aanvaller een route koos die niemand in de gaten had.

Accountovername draait allang niet meer alleen om wachtwoorden raden. Aanvallers zoeken de zwakste schakel in de hele keten eromheen: je telefoonnummer, je browsersessie, een app die je drie jaar geleden een keer toegang gaf, of de helpdesk van je provider. Dat maakt het lastiger te herkennen — en juist daarom de moeite waard om te kennen.

In dit artikel lopen we zeven routes langs die minder vaak in het nieuws komen, met per route wat je er concreet tegen doet. Geen doemscenario’s: gewoon zeven plekken waar je met een half uur werk een deur dichttrekt.

Waarom een sterk wachtwoord niet het hele verhaal is

Een wachtwoord is maar één van de dingen die bewijzen dat jij jij bent. Zodra je bent ingelogd, gebruikt vrijwel elke dienst een sessietoken: een klein bestandje in je browser dat zegt “deze persoon is al gecontroleerd”. Dat token is precies waar aanvallers tegenwoordig op mikken, want daarmee slaan ze het wachtwoord én de tweede factor in één keer over.

Daarnaast hangt er van alles aan je account vast: een herstel-e-mailadres, een telefoonnummer, gekoppelde apps, oude apparaten. Elk van die dingen is een zij-ingang. Wie alleen het voordeurslot verzwaart, laat de achterdeur open staan.

Zeven routes die je minder vaak hoort

1. Je browsersessie overnemen

Malware die op een laptop draait, kan de cookies uit je browser plukken en naar de aanvaller sturen. Die plakt ze in zijn eigen browser en is meteen binnen — zonder wachtwoord, zonder inlogcode. Dit heet cookie- of sessiediefstal en is de afgelopen jaren een van de belangrijkste manieren geworden om multifactorauthenticatie te omzeilen.

Ook via nagemaakte inlogpagina’s gebeurt dit: je logt in op wat lijkt op de Microsoft-inlogpagina, vult netjes je code in, en de tussenliggende server vangt je sessie op. Wat je ertegen doet: apparaten schoon houden met fatsoenlijke endpointbeveiliging, wachtwoordmanagers laten invullen (die vullen niets in op een verkeerd domein) en in je beheerportaal actieve sessies periodiek intrekken. Lees ook welke malware je virusscanner niet ziet.

2. SIM-swap en nummerbehoud-fraude

Als je tweede factor een sms is, is je telefoonnummer je beveiliging. En een telefoonnummer is verrassend makkelijk te verhuizen. Bij nummerbehoud vraagt iemand met genoeg persoonsgegevens je nummer aan bij een andere provider. Lukt dat, dan komen alle sms-codes bij de aanvaller binnen.

Wat je ertegen doet: stap waar het kan af van sms als tweede factor en gebruik een authenticator-app of een passkey. Zet bij je provider een extra beveiligingscode of klantpincode op je abonnement. Zie ook ons overzicht van welke vorm van MFA het veiligst is.

3. Apps die je ooit toegang gaf

“Inloggen met Google” of “Deze app toegang geven tot je agenda” is handig. Maar die koppeling blijft bestaan, ook als je de app allang niet meer gebruikt. Wordt zo’n leverancier gehackt, dan heeft de aanvaller een sleutel tot jouw postvak of bestanden zonder ooit jouw wachtwoord te zien.

Wat je ertegen doet: loop één keer per jaar de lijst met gekoppelde apps langs in je Microsoft- of Google-account en gooi eruit wat je niet herkent. In een zakelijke omgeving kun je instellen dat medewerkers niet zelf apps mogen koppelen zonder goedkeuring. Voor Google-accounts staat de route stap voor stap in je Google-account beveiligen in 2026.

4. Infostealers en keyloggers

Een infostealer is malware met één taak: alles wat in je browser is opgeslagen doorsturen. Opgeslagen wachtwoorden, cookies, ingevulde formulieren, soms toetsaanslagen. Die buit belandt in bulk op handelsplaatsen, waar iemand anders er later mee inlogt.

Besmetting komt vaak binnen via een gekraakte download, een nep-installer of een advertentie die op een echte softwarepagina lijkt. Wat je ertegen doet: software alleen uit officiële bronnen, geen beheerdersrechten voor dagelijks werk, en endpointbeveiliging die op gedrag let in plaats van alleen op bekende virussen. Zie ook malvertising: kwaadaardige advertenties.

5. AI-phishing en het telefoontje van de directeur

Phishingmails zaten vroeger vol taalfouten. Dat voordeel zijn we kwijt. Een aanvaller die je website, LinkedIn en een paar oude mails heeft gelezen, schrijft met AI in vijf minuten een bericht dat klopt qua toon, project en timing. Hetzelfde geldt voor stemmen: een kort fragment is genoeg voor een geloofwaardig telefoontje.

Wat je ertegen doet: maak van verificatie een afspraak in plaats van een gevoel. Elke wijziging van rekeningnummers, elk spoedverzoek om een betaling of een inlogcode wordt via een tweede, bekend kanaal bevestigd. Meer hierover in Phishing 2.0 en CEO-fraude.

6. De herstelroute in plaats van de voordeur

Waarom een wachtwoord kraken als je het gewoon opnieuw kunt instellen? Als het herstel-e-mailadres van een zakelijk account een oud privé-adres is, of als de beveiligingsvragen te achterhalen zijn via social media, dan is dat de makkelijkste weg naar binnen. Ook helpdesks zijn een doelwit: iemand belt overtuigend, en krijgt een reset.

Wat je ertegen doet: controleer bij elk belangrijk account welk herstel-adres en welk nummer eraan hangen. Haal privé-adressen van vertrokken medewerkers eruit — zie de checklist digitale offboarding. En spreek intern af hoe je iemand identificeert voordat je een wachtwoord reset.

7. Een lek bij een dienst die je privé gebruikt

Gebruikt iemand hetzelfde wachtwoord voor een webshop en voor zijn werkaccount, dan is een lek bij die webshop meteen een probleem voor jouw bedrijf. Aanvallers proberen gelekte combinaties geautomatiseerd bij honderden diensten — dat heet credential stuffing en kost ze vrijwel niets.

Wat je ertegen doet: een wachtwoordmanager, zodat elk account een eigen wachtwoord heeft dat niemand hoeft te onthouden. Kijk ook eens naar dark web monitoring om te zien of adressen van je bedrijf in bekende lekken voorkomen.

Hoe dat er in de praktijk uitziet

Een installatiebedrijf met vijftien medewerkers krijgt een melding van een klant: er is een factuur betaald op een ander rekeningnummer. Bij navraag blijkt de mailwisseling echt van het bedrijf te komen — verstuurd vanuit het eigen postvak van de administratie.

Wat er was gebeurd: de administratief medewerker had weken eerder ingelogd op een nagemaakte inlogpagina. Haar wachtwoord klopte, haar inlogcode klopte, en de aanvaller ving de sessie op. Vanaf dat moment las hij rustig mee, wachtte op een lopende offerte en stuurde op het juiste moment een factuur met een ander rekeningnummer. Geen malware, geen gekraakt wachtwoord — een gestolen sessie en veel geduld.

Wat het had voorkomen: een wachtwoordmanager die niets invult op een vreemd domein, actieve sessies die na een paar dagen aflopen, en een vaste regel dat gewijzigde rekeningnummers telefonisch worden geverifieerd.

Zo pak je het aan

1. Inventariseer de belangrijkste accounts. E-mail, boekhouding, bank, domeinnaam en beheerportalen. Dat zijn er meestal minder dan tien.
2. Zet sterkere MFA aan. Vervang sms door een authenticator-app of passkeys waar dat kan.
3. Controleer herstelopties. Welk mailadres en telefoonnummer hangen eraan? Kloppen die nog?
4. Ruim gekoppelde apps op. Weg met alles wat je niet herkent of niet meer gebruikt.
5. Rol een wachtwoordmanager uit. Zie hoe wachtwoordmanagers je accounts beschermen.
6. Spreek een verificatieregel af. Betaal- en rekeningwijzigingen altijd via een tweede kanaal bevestigen.
7. Oefen het één keer. Weet iedereen wat te doen als het misgaat? Zie wat te doen als een account is gehackt.

Veelgestelde vragen

Hoe komen hackers normaal gesproken aan een wachtwoord?

Via vier bekende routes. Phishing met een valse inlogpagina, waarbij je het wachtwoord zelf invult. Een datalek bij een dienst die je gebruikt, waarna de gelekte wachtwoorden in bulk worden verhandeld. Een brute force-aanval, waarbij software alle combinaties afgaat — alleen kansrijk bij korte wachtwoorden. En een woordenboekaanval, die gangbare woorden en voorspelbare variaties met je bedrijfsnaam, een seizoen of een jaartal probeert. De zeven routes hierboven komen daar bovenop; die werken juist wanneer het wachtwoord zelf op orde is.

Ben ik veilig als ik multifactorauthenticatie gebruik?

Veiliger, maar niet onaantastbaar. MFA houdt aanvallers tegen die alleen je wachtwoord hebben. Het helpt niet tegen een gestolen sessie of een gekoppelde app met te veel rechten. Zie MFA als een sterke voordeur, niet als het hele huis.

Is sms als tweede factor nu waardeloos?

Nee. Sms is duidelijk beter dan alleen een wachtwoord. Maar het is de zwakste van de gangbare methodes, omdat een telefoonnummer overgezet of onderschept kan worden. Gebruik het waar niets beters beschikbaar is, en kies elders voor een app of passkey.

Hoe weet ik of iemand meekijkt in mijn postvak?

Let op doorstuurregels die je niet zelf hebt aangemaakt, mappen waar mail automatisch heen verdwijnt, en actieve sessies of aanmeldingen vanaf onbekende locaties. In Microsoft 365 en Google Workspace zie je dat in de beveiligingsinstellingen van het account.

Hoe vaak moet ik dit nalopen?

Twee keer per jaar is voor de meeste bedrijven prima, plus altijd direct bij vertrek van een medewerker of na een melding dat gegevens zijn gelekt. Zet het als terugkerende taak in de agenda, dan blijft het niet liggen.

Wil je weten welke van deze zeven deuren bij jou nog openstaan? We lopen de belangrijkste accounts van je bedrijf met je door en zetten in één ronde de instellingen goed. Bel 030-7115791 of mail info@okayict.nl.