Om de paar weken heeft dit jaar weer een nieuwe kop over een datalek opgeleverd. De eerste neiging is om je vaag blootgesteld te voelen en vervolgens niets te doen, omdat niet duidelijk is wat ‘blootgesteld’ voor jou persoonlijk eigenlijk betekent. Er is een snelle manier om die vage zorgen om te zetten in een concreet antwoord: controleer of je eigen e-mailadres of wachtwoord voorkomt in een bekend datalek, met een gratis hulpmiddel dat hier precies voor is gemaakt. Zo pak je dat goed aan — en, het deel dat de meeste mensen overslaan — wat je daadwerkelijk moet doen zodra je de resultaten hebt.

Wat Have I Been Pwned eigenlijk is

Have I Been Pwned (HIBP) is een gratis dienst om datalekken op te zoeken, ontwikkeld en onderhouden door beveiligingsonderzoeker Troy Hunt. De dienst verzamelt gegevens uit datalekken die al hebben plaatsgevonden — meldingen van bedrijven, beveiligingsonderzoekers en soms gestolen datasets die openbaar circuleren — en indexeert welke e-mailadressen en wachtwoorden daarin voorkomen, zodat je kunt zoeken zonder zelf iets te downloaden. Het is geen overheidsdienst, maar wordt wel door overheden vertrouwd: dit jaar gebruiken 47 nationale overheden de dienst om hun eigen officiële domeinen op blootstelling te controleren, waarbij Nepal zich als laatste heeft aangesloten. Dat is een redelijk signaal dat dit een legitieme, veelgebruikte dienst is en geen gimmicksite — wat belangrijk is, omdat er wel degelijk klonen en lookalikes voor het controleren van datalekken bestaan (daarover hieronder meer).

Stap 1: Controleer elk e-mailadres dat je daadwerkelijk gebruikt

Ga rechtstreeks naar haveibeenpwned.com — typ de URL zelf in in plaats van op een link uit een e-mail of advertentie te klikken. Voer je e-mailadres in en zoek. Doe dit voor elk adres dat je gebruikt, niet alleen voor je belangrijkste: je oude Hotmail- of Yahoo-account van tien jaar geleden, je werkmail en het wegwerpadres waarmee je je bij forums hebt geregistreerd. Oude, half vergeten accounts zijn vaak de accounts die voorkomen in de oudste en minst goed beveiligde datalekken. En als je ooit een wachtwoord van een daarvan ergens anders hebt hergebruikt, is juist dat hergebruik het werkelijke risico.

Stap 2: Lees wat het datalek daadwerkelijk heeft blootgelegd — kijk niet alleen vluchtig naar het aantal

Dat ‘dit e-mailadres in 6 datalekken is verschenen’ is op zichzelf niet nuttig. Klik elk datalek open. HIBP vermeldt welke gegevenscategorieën bij dat specifieke datalek zijn blootgelegd — bijvoorbeeld e-mailadressen, wachtwoorden (meestal opgeslagen als hashes, soms als platte tekst, afhankelijk van hoe slecht het bedrijf met beveiliging omging), namen, telefoonnummers, fysieke adressen of IP-adressen. Een datalek waarbij alleen je e-mailadres op een marketinglijst is gelekt, is een ander probleem dan een lek waarbij je e-mailadres, een wachtwoord in platte tekst én je thuisadres zijn buitgemaakt. Bepaal de prioriteit op basis van wat er daadwerkelijk is buitgemaakt, niet op basis van hoe bekend de naam van het datalek is.

Let er ook op dat HIBP een aparte categorie bijhoudt voor ‘gevoelige’ datalekken — sites waarbij het lidmaatschap op zichzelf gevoelig is (bijvoorbeeld diensten voor inhoud voor volwassenen of gezondheidsgerelateerde diensten). Die worden niet in de standaardresultaten weergegeven; je moet je expliciet aanmelden om ze te zien. Dat is een bewuste privacykeuze van HIBP, geen fout.

Stap 3: Controleer je wachtwoorden los van je e-mail

HIBP heeft een tweede, afzonderlijke tool met de naam Pwned Passwords, die een andere vraag beantwoordt: is dit specifieke wachtwoord ooit opgedoken in een verzameling gegevens uit een datalek, ongeacht aan welke site het was gekoppeld? Dit is belangrijk omdat een wachtwoord gecompromitteerd kan zijn, zelfs als niet jouw specifieke account het slachtoffer was — bijvoorbeeld als je hetzelfde wachtwoord ergens anders gebruikte en die site werd getroffen. De tool is zo gebouwd dat je nooit je volledige wachtwoord verstuurt om het te controleren: er wordt een techniek gebruikt (k-anonimiteit) waarbij slechts een klein gedeeltelijk fragment van de hash van het wachtwoord wordt verstuurd, waarna de overeenkomst wordt gecontroleerd zonder dat HIBP ooit het volledige wachtwoord ziet. In de praktijk is de conclusie eenvoudiger dan het mechanisme: het is veilig om een wachtwoord daar te controleren, maar typ nooit een echt wachtwoord in op een andere site die wachtwoorden op datalekken controleert en niet HIBP zelf is.

Wat je daadwerkelijk met de resultaten moet doen

Dit is de stap die mensen overslaan — ze controleren het, schrikken even en sluiten het tabblad. Loop deze lijst af voor alles wat naar voren kwam:

  • Wachtwoord als blootgesteld weergegeven: Wijzig het nu op die specifieke site — en op elke andere site waar je hetzelfde of een vergelijkbaar wachtwoord hebt gebruikt. Wees hier eerlijk tegen jezelf; hergebruik van wachtwoorden is verreweg de belangrijkste reden dat één oud datalek tegenwoordig leidt tot meerdere gecompromitteerde accounts.
  • Account met een blootgesteld wachtwoord: Schakel tweefactorauthenticatie (2FA) in of stap, als die optie wordt aangeboden, over op een passkey. Dit is de stap die de schade daadwerkelijk beperkt als een wachtwoord in de toekomst opnieuw uitlekt — het is duurzamer dan elke afzonderlijke wachtwoordwijziging.
  • Beveiligingsvragen of -antwoorden maakten deel uit van het datalek: Behandel die specifieke antwoorden vanaf nu als permanent openbaar. Gebruik het echte antwoord nergens anders opnieuw; vervang het, als de site dat toestaat, door een willekeurige tekenreeks die je in een wachtwoordmanager opslaat, in plaats van door een waar feit over jezelf.
  • Financiële gegevens, overheidsidentificatienummers of SSN maakten deel uit van het datalek: Dit gaat verder dan alleen een wachtwoord wijzigen. Informeer bij de grote kredietbureaus naar het instellen van een kredietblokkade of fraudewaarschuwing en controleer de afschriften van die rekening in de daaropvolgende maanden op onbekende activiteiten.
  • Het datalek is oud en je hebt het wachtwoord sindsdien al gewijzigd: Waarschijnlijk hoef je niet opnieuw actie te ondernemen — maar het is de moeite waard om nogmaals te controleren of je dat oude wachtwoord nooit hebt meegenomen naar een nieuwer account.
  • Je hebt verschillende oude, hergebruikte wachtwoorden gevonden: Dit is het moment om een wachtwoordmanager te gaan gebruiken die voortaan unieke wachtwoorden genereert en opslaat, zodat deze oefening volgend jaar niet opnieuw een brandalarmoefening hoeft te worden.

Stel waarschuwingen in, zodat je dit niet voor altijd handmatig hoeft te doen

HIBP heeft een gratis abonnement met de optie ‘waarschuw mij’: registreer je e-mailadres(sen) en de dienst stuurt je automatisch een e-mail als ze in een toekomstig datalek opduiken, in plaats van erop te vertrouwen dat je eraan denkt om zelf te controleren. Dit is de moeite waard voor elk e-mailadres dat je in Stap 1 hebt opgezocht — zo verander je een eenmalige controle in voortdurende dekking, zonder terugkerende inspanning van jouw kant.

Wat deze tool je niet kan vertellen

Het is de moeite waard om eerlijk te zijn over de beperkingen. HIBP kan alleen rapporteren over datalekken die zijn ontdekt, bekendgemaakt en in de database zijn opgenomen — de dienst heeft geen zicht op gegevens die wel zijn gestolen maar nog niet zijn gevonden, privé worden verkocht of in dumps van stealerlogs staan die nooit openbaar zijn geworden. Een schoon resultaat (‘goed nieuws — geen pwnage gevonden!’) betekent dat er geen *bekend* openbaar datalek is waarin dat e-mailadres voorkomt; het is geen garantie dat je accounts onaangetast zijn en het is geen vervanging voor basale hygiëne, zoals unieke wachtwoorden en 2FA. Beschouw een schone zoekopdracht als één datapunt, niet als een bewijs van volledige veiligheid.

Nog één ding: vertrouw alleen de echte site

Omdat oplichters juist misbruik maken van de angst voor datalekken, moet je bewust kiezen waar je controleert. Gebruik rechtstreeks haveibeenpwned.com, niet een link die in een e-mail of sms wordt doorgestuurd en beweert een ‘waarschuwing voor een datalek’ te zijn — dat is een klassieke phishingopzet. De legitieme tool voor het controleren van wachtwoorden heeft nooit je volledige wachtwoord nodig; als een site je vraagt een volledig wachtwoord in te voeren om te ‘controleren of het is gelekt’, is dat een alarmsignaal en geen functie.

Snelle checklist

  • Zoek elk e-mailadres dat je ooit regelmatig hebt gebruikt op bij haveibeenpwned.com
  • Open elk resultaat van een datalek en lees welke gegevens er daadwerkelijk zijn buitgemaakt
  • Controleer je veelgebruikte wachtwoorden in de afzonderlijke tool Pwned Passwords
  • Wijzig elk blootgesteld wachtwoord overal waar je het opnieuw hebt gebruikt
  • Schakel 2FA of passkeys in voor je belangrijke accounts, vooral voor je e-mail
  • Laat je krediet blokkeren als financiële gegevens of identiteitsgegevens zijn buitgemaakt
  • Meld je voor elk e-mailadres aan voor gratis meldingen over toekomstige datalekken
  • Begin een wachtwoordmanager te gebruiken als je dat nog niet doet