Les 1 van de hack van Zuckerberg: gebruik in hemelsnaam andere wachtwoorden

Vandaag werden de Twitter en Pinterest van 's werelds meest bekende online rijk persoon overgenomen door een hacker (of hackersgroep) die onder de naam OneMine gaat. Zijn wachtwoord – dat blijkbaar nog steeds geldig was – werd door OneMine gevonden in de database van gelekte LinkedIn-gegevens die onlangs te koop werden gezet door een andere hacker. Het wachtwoord was 'dadada,' melden verschillende nieuwsmedia.

Met het wachtwoord nam OneMine de controle over van Zuckerberg's Twitter-account, waar in de vier jaar daarvoor niets getweet had. De hackers tweetten "you were in Linkedin Database … DM for proof" vanaf het account. De tweet is ondertussen verwijderd. Ook zijn Pinterest werd schijnbaar overgenomen, aangezien de hackers de naam veranderden in "Hacked By OurMine Team". Dit meldt The Guardian.

Aan de ene kant is het natuurlijk best wel geinig dat iemand die zo hoog in de voedselketen van het internet zo'n beginnersfout maakt als het aankomt op zijn beveiliging, maar aan de andere kant toont het ook weer aan dat dit een van de meest over het hoofd geziene stappen in persoonlijke beveiliging is.

Volgens een onderzoek van Ofcom uit 2013, gebruikt het merendeel van de internetgebruikers hetzelfde wachtwoord bij meerdere online accounts. Dit is natuurlijk hartstikke praktisch en begrijpelijk, omdat je ondertussen zo veel verschillende accounts hebt dat het ondoenlijk wordt om ze allemaal te onthouden. Ik doe het zelf ook. Maar aan de andere kant is het ook bizar dom.

De laatste tijd wordt namelijk gekenmerkt door gigantische gehackte databases die na jaren over het darkweb gezweefd te hebben ineens te koop werden gezet. In de laatste maand in totaal honderden miljoenen accounts van onder andere datingsite Badoo, LinkedIn en VK.ru – de Facebook van Rusland. Hiertussen zaten minimaal tienduizenden accounts van Nederlanders.

Dat zijn weliswaar vaak oude accounts (wie gebruikt er nog Live-mail?), maar aangezien de meeste mensen lui zijn (niet persoonlijk opvatten, ik hoor daarbij) en geen zin hebben om iets nieuws te verzinnen, zullen veel wachtwoorden onveranderd gebleven zijn. En dan hoeft een hacker alleen het mailadres te raden waarmee je ergens ingeschreven staat om je account over te nemen.

In een gesprek dat ik eerder dit jaar had met 'BOEF,' een beveilingsonderzoeker die ook een site bijhoudt waarop mensen kunnen checken of hun account gehackt is, vroeg ik hem wat iemand kon doen als zijn of haar wachtwoord in de database stond. Zijn antwoord: niks. Je gegevens liggen al op straat. Alles wat je kan doen is de wachtwoorden veranderen bij de accounts waarbij je hetzelfde wachtwoord gebruikt.

Wel suggereert hij om "software als 1password te gebruiken," die al je wachtwoorden onthoudt en je zwakke of herhalende wachtwoorden vervangt met sterkere wachtwoorden. En dat is uitstekend advies. Want als het Mark Zuckerberg kan overkomen, dan kan het jou ook overkomen. Het enige verschil is dat het nieuws er vervolgens niet over schrijft. Gebruik dus in hemelsnaam niet hetzelfde wachtwoord voor verschillende accounts.

Lees ook:

Je kunt nu eindelijk checken of ook jouw LinkedIn-wachtwoord gehackt is

440 terabytes aan Nederlandse privébestanden zijn nu makkelijk doorzoekbaar

De inside story van de hack die MySpace opblies