De meesten van ons hebben een mentale struikeldraad voor 'mijn account is gehackt': een wachtwoord-resetmail die we niet hebben aangevraagd, een sms over een inlog vanuit een onbekende stad, een account dat plotseling is vergrendeld. Die struikeldraad had zin toen de belangrijkste dreiging was dat iemand je wachtwoord raadde of via brute force probeerde te kraken. Voor de toegangsmethoden die in recente incidenten opduiken, doet hij vrijwel niets, want die zijn juist ontworpen om hem niet te laten afgaan.

Twee voorbeelden van de afgelopen weken illustreren dit patroon. Malwarebytes documenteerde een WhatsApp-oplichting (gepubliceerd op 3 augustus 2026) waarbij slachtoffers worden meegenomen door wat lijkt op een 'WhatsApp Web-installatie' — soms zelfs op het echte domein wa.me — en uiteindelijk een code invoeren die het apparaat van de aanvaller aan hun account koppelt. Er wordt nergens een wachtwoord getypt, dus er gaat geen wachtwoord-resetmail uit en er wordt geen melding van een mislukte inlogpoging getriggerd. Het apparaat van de aanvaller wordt gewoon nog een stille vermelding op de lijst met gekoppelde apparaten van het account, met volledige lees- en verzendtoegang, die vervolgens wordt gebruikt om dezelfde oplichting los te laten op de contacten van het slachtoffer. Los daarvan waarschuwde Microsoft voor een campagne die het 'CaptiveCrunch' noemt en die reizigers onderschept via captive portals van wifi-netwerken in hotels en op congressen, waarbij ze worden doorgestuurd naar nepinlogpagina's die niet alleen wachtwoorden maar ook apparaatcodes en OAuth-tokens buitmaken — inloggegevens die toegang verschaffen zonder ooit het soort melding van een 'nieuwe login' te genereren dat een wachtwoordwijziging wel zou opleveren.

De rode draad: beide aanvallen richten zich op sessie- en autorisatiemechanismen — gekoppelde apparaten, OAuth-machtigingen, apparaatcodes — in plaats van op het wachtwoord zelf. De ingebouwde meldingen van je account zijn ontworpen om de voordeur in de gaten te houden. Deze methoden komen binnen via een zijdeur die niet wordt gecontroleerd.

Wat je hier concreet tegen kunt doen

Je kunt niet wachten op een melding die niet komt. Behandel het controleren van je eigen gekoppelde apparaten en geautoriseerde apps in plaats daarvan als een routine die je zelf uitvoert, net zoals je de batterijen van je rookmelder zou controleren. Hier is een concrete aanpak, stap voor stap:

1. Controleer gekoppelde/actieve apparaten in je berichten-apps

  • WhatsApp: Instellingen → Gekoppelde apparaten. Tik op alles wat je niet herkent en kies 'Uitloggen'.
  • Telegram: Instellingen → Apparaten. Zelfde principe — beëindig elke sessie die niet hoort bij een apparaat dat je op dit moment fysiek in handen hebt.
  • Signal: Instellingen → Gekoppelde apparaten, dezelfde controle.

2. Controleer actieve sessies en toegang van apps van derden bij je belangrijkste accounts

  • Google: myaccount.google.com/security → 'Jouw apparaten' en 'Apps van derden met toegang tot je account'. Trek de toegang van alles in wat je niet herkent, en let vooral op apps waaraan je maanden of jaren geleden toegang hebt gegeven en die je vergeten bent — een oude autorisatie is voor een aanvaller net zo bruikbaar als een verse.
  • Microsoft: account.microsoft.com/security → 'Aanmeldactiviteit' en 'App-machtigingen'.
  • Apple ID: Instellingen → [jouw naam] → controleer de apparatenlijst onderaan.
  • Facebook/Instagram: Instellingen → 'Waar je bent ingelogd' / 'Actieve sessies', plus 'Apps en websites' voor gekoppelde toegang van derden.

3. Wees achterdochtig bij elke flow waarbij je een code moet invoeren in plaats van een wachtwoord

Legitieme flows om 'dit apparaat te koppelen' maken inderdaad gebruik van codes — dat is op zich geen alarmsignaal. Waar je op moet letten, is de aanleiding: als er een verzoek om een code in te voeren verschijnt naar aanleiding van een bericht van een contact ('stem op mij', 'kijk dit eens'), een captive portal van openbare wifi, of een link die je niet zelf hebt geïnitieerd, behandel het dan als kwaadaardig totdat het tegendeel bewezen is. Sluit het venster en navigeer rechtstreeks naar de app of het account in plaats van door te gaan vanaf de link.

4. Controleer of je e-mailadres is opgedoken in een bekend datalek

Have I Been Pwned (haveibeenpwned.com), beheerd door beveiligingsonderzoeker Troy Hunt, is een gratis en gevestigde dienst waarmee je kunt controleren of je e-mailadres voorkomt in bekende datalekken — het is betrouwbaar genoeg dat nationale overheden het gebruiken voor hun eigen domeinen (het nationale cybersecuritycentrum van Nepal werd deze week, volgens berichtgeving, de 47e overheid die zich aansloot). Het vangt geen compromittering via gekoppelde apparaten op, maar het is een snelle, gratis controle die de moeite waard is om op je belangrijkste e-mailadressen uit te voeren, en het is de juiste eerste stap als je een probleem met een account vermoedt maar niet weet waar je moet beginnen.

5. Log op onvertrouwde netwerken — wifi in hotels, op congressen, op vliegvelden — nooit ergens gevoeligs in via de captive portal-pagina zelf

Als een wifi-inlogpagina van een hotel of locatie je vraagt om een software-update, een 'beveiligingscontrole'-venster toont, of om in te loggen met Microsoft/Google voordat je internettoegang krijgt, wees dan op je hoede — maak eerst verbinding, en voer je daadwerkelijke logins vervolgens uit via de mobiele dataverbinding van je telefoon of een VPN, in plaats van via de pagina die het netwerk je voorschotelt.

Zet het in je agenda

Eén opschoonronde lost het probleem van vandaag op, maar niet dat van volgend kwartaal. Kies een terugkerende herinnering — elk kwartaal is een redelijke frequentie, of koppel het aan iets wat je toch al regelmatig doet, zoals een seizoenswisseling of een terugkerende rekening — en doorloop bovenstaande stappen 1 en 2 voor je twee of drie belangrijkste accounts: je primaire e-mailadres, de berichten-app die je het meest gebruikt, en elk account dat aan je financiën gekoppeld is. Zodra je weet waar de menu's staan, kost het je minder dan een kwartier, en het is de enige betrouwbare manier om toegang op te sporen die er specifiek op is ontworpen om je niet te waarschuwen.