Die meeste van ons het 'n geestelike struikeldraad vir "my rekening is gekaap": 'n wagwoordherstel-e-pos wat ons nie aangevra het nie, 'n boodskap oor 'n aanmelding vanaf 'n onbekende stad, 'n rekening wat skielik gesluit is. Daardie struikeldraad het sin gemaak toe die hoofgevaar was dat iemand jou wagwoord raai of met brute krag probeer kraak. Dit doen byna niks vir die toegangsmetodes wat in onlangse voorvalle opduik nie, wat spesifiek ontwerp is om te vermy dat dit dit ontlok.

Twee voorbeelde van die afgelope paar weke illustreer die patroon. Malwarebytes het 'n WhatsApp-fopdiens gedokumenteer (gepubliseer 3 Augustus 2026) waar slagoffers deur wat soos 'n "WhatsApp Web-opstelling" lyk, gelei word — soms op die werklike wa.me-domein — en eindig deur 'n kode in te voer wat die aanvaller se toestel aan hul rekening koppel. Geen wagwoord word ooit iewers ingetik nie, so daar word geen wagwoordherstel-e-pos gestuur nie en geen waarskuwing vir 'n mislukte aanmelding word ontlok nie. Die aanvaller se toestel word bloot nog 'n stil inskrywing op die rekening se lys van gekoppelde toestelle, met volle lees- en stuurtoegang, wat hulle dan gebruik om dieselfde fopdiens op die slagoffer se kontakte uit te voer. Afsonderlik het Microsoft gewaarsku oor 'n veldtog wat dit "CaptiveCrunch" noem, wat reisigers op hotel- en konferensie-Wi-Fi-vasvangportale onderskep en hulle na vals aanmeldbladsye herlei wat nie net wagwoorde nie, maar ook toestelkodes en OAuth-tekens invorder — geloofsbriewe wat toegang verleen sonder om ooit die soort "nuwe aanmelding"-kennisgewing te genereer wat 'n wagwoordverandering sou veroorsaak.

Die gemeenskaplike draad: albei aanvalle teiken sessie- en magtigingsmeganismes — gekoppelde toestelle, OAuth-toekennings, toestelkodes — eerder as die wagwoord self. Jou rekening se ingeboude waarskuwingstelsel is ontwerp om die voordeur dop te hou. Hierdie metodes kom deur 'n systeur binne wat dit nie monitor nie.

Wat om werklik daaromtrent te doen

Jy kan nie wag vir 'n kennisgewing wat nie gaan kom nie. Behandel dit eerder as 'n roetine wat jy self uitvoer om jou eie gekoppelde toestelle en gemagtigde toepassings na te gaan, net soos jy die batterye van 'n rookdetektor sou nagaan. Hier is 'n konkrete deurloop, in volgorde:

1. Gaan gekoppelde/aktiewe toestelle op boodskaptoepassings na

  • WhatsApp: Instellings → Gekoppelde Toestelle. As jy iets nie herken nie, tik daarop en "Meld af."
  • Telegram: Instellings → Toestelle. Dieselfde idee — beëindig enige sessie wat nie 'n toestel is wat op hierdie oomblik fisiek in jou hand is nie.
  • Signal: Instellings → Gekoppelde Toestelle, dieselfde kontrole.

2. Gaan aktiewe sessies en derdeparty-toepassingtoegang op jou kernrekeninge na

  • Google: myaccount.google.com/security → "Your devices" en "Third-party apps with account access." Herroep enigiets wat onbekend is, en gee spesiale aandag aan toepassings waaraan jy maande of jare gelede toegang verleen het en toe vergeet het — 'n ou toekenning is net so bruikbaar vir 'n aanvaller as 'n nuwe een.
  • Microsoft: account.microsoft.com/security → "Sign-in activity" en "App permissions."
  • Apple ID: Instellings → [jou naam] → gaan die toestellys onderaan na.
  • Facebook/Instagram: Instellings → "Where you're logged in" / "Active sessions," plus "Apps and websites" vir gekoppelde derdeparty-toegang.

3. Wees agterdogtig oor enige proses wat jou vra om 'n kode eerder as 'n wagwoord in te voer

Wettige "koppel hierdie toestel"-prosesse gebruik wel kodes — dit is nie op sigself 'n waarskuwingsteken nie. Wat jou behoort te laat stilstaan, is die aanleiding: as 'n kode-invoerversoek verskyn as gevolg van 'n boodskap van 'n kontak ("stem vir my," "kyk hierna"), 'n openbare Wi-Fi-vasvangportaal, of enige skakel wat jy nie self begin het nie, behandel dit as vyandig totdat die teendeel bewys is. Maak dit toe en navigeer direk na die toepassing of rekening toe, eerder as om vanaf die skakel voort te gaan.

4. Gaan na of jou e-posadres in 'n bekende datalek opgeduik het

Have I Been Pwned (haveibeenpwned.com), bedryf deur sekuriteitsnavorser Troy Hunt, is 'n gratis, gevestigde diens waarmee jy kan nagaan of jou e-posadres in bekende datalekke voorkom — dit is geloofwaardig genoeg dat nasionale regerings dit vir hul eie domeine gebruik (Nepal se nasionale kubersekuriteitsentrum het volgens berigte hierdie week die 47ste regering geword om aan te sluit). Dit sal nie 'n gekoppelde-toestel-kompromie opspoor nie, maar dit is 'n vinnige, gratis kontrole wat die moeite werd is om op jou primêre e-posadresse uit te voer, en dit is die regte eerste stap as jy enige rekeningprobleem vermoed en nie weet waar om te begin nie.

5. Op onbetroubare netwerke — hotel-Wi-Fi, konferensie-Wi-Fi, lughawe-Wi-Fi — vermy dit om via die vasvangportaalbladsy self by enigiets sensitief aan te meld

As 'n hotel of lokaal se Wi-Fi-aanmeldbladsy jou vra vir 'n sagteware-opdatering, 'n "sekuriteitskontrole"-dialoog, of 'n Microsoft/Google-aanmelding voordat dit internettoegang verleen, wees versigtig — koppel eers, en doen dan jou werklike aanmeldings op jou foon se selfoonverbinding of 'n VPN, eerder as via watter bladsy ook al die netwerk vir jou gee.

Sit dit op 'n kalender

'n Enkele opruimingsronde los vandag se probleem op, maar nie dié van volgende kwartaal nie. Kies 'n herhalende herinnering — kwartaalliks is 'n redelike ritme, of koppel dit aan iets wat jy reeds gereeld doen, soos 'n seisoenverandering of 'n herhalende rekening — en loop deur stappe 1 en 2 hierbo vir jou twee of drie belangrikste rekeninge: primêre e-pos, watter boodskaptoepassing jy ook al die meeste gebruik, en enige rekening wat aan jou finansies gekoppel is. Dit neem minder as vyftien minute sodra jy weet waar die kieslyste is, en dit is die enigste betroubare manier om toegang op te spoor wat spesifiek ontwerp is om jou nie te waarsku nie.