Veel bedrijven verzenden onze wachtwoorden via e-mail. Denk aan:

• SaaS leveranciers die inlog gegevens mailen voor een nieuw account.
• Hosting providers die wachtwoorden via e-mail verzenden als we een nieuw domein aanvragen.
• De service desk die vraagt om hen even ons wachtwoord te mailen zodat ze een probleem kunnen onderzoeken.

We moeten ook constant inloggen op software en internetdiensten. Het maakt niet uit op welk apparaat we werken, ons werkstation, onze laptop, onze smartphone, e-mail, Social Media of de SaaS business software, we krijgen meestal toegang met behulp van een wachtwoord. Daarbij gaat het vaak al snel over tientallen wachtwoorden die we moeten onthouden. Uit onderzoek blijkt dat het gemiddeld om 30 tot 40 unieke account gegevens per persoon gaat. Als we niet over een password manager beschikken, kan dat een echt probleem zijn. Uit hetzelfde onderzoek blijkt dat bijna 40% van de mensen minstens één keer per week een wachtwoord vergeet.

Of deze e-mails nu afkomstig zijn van onze IT-afdeling, een collega, een SaaS oplossing of ergens anders, het is een geen goed idee om wachtwoorden via e-mail te verzenden en te ontvangen.

Waarom het verzenden en ontvangen van wachtwoorden via e-mail een slecht idee is

Als we een wachtwoord zijn vergeten geven we ons e-mailadres op en klikken we eenvoudig op de “Wachtwoord vergeten” of “Reset wachtwoord” knop. Het is de enige manier waarop we nieuwe wachtwoorden krijgen. Eigenlijk net zo als we ons voor het eerst aanmelden bij een service.

Omdat we zo slecht in het onthouden zijn slaan we deze mailtjes op in de e-mailmap “Wachtwoorden”.

Beveiligingsrisico’s van wachtwoord mailen

We kunnen ons afvragen ​​waarom het een slecht idee is om wachtwoorden op deze manier via e-mail te delen. Het antwoord op die vraag is heel eenvoudig: Security. Sta eens stil bij de volgende risico’s:

• Deze e-mails krijgen we meestal in “platte” tekst toegezonden. Dat betekent vaak dat de inhoud van de e-mail niet is versleuteld. Als een hacker zo’n e-mail onderschept, is het eenvoudig om het wachtwoord eruit te halen.
• Tijdens het transport van e-mail passeert deze vaak meerdere systemen en mailservers. De e-mail wordt opgeslagen in de map “verzonden e-mail” van het account waar het vandaan komt. Tevens bewaart onze eigen e-mailserver en mogelijk alle andere systemen en mailservers waar het doorheen gaat deze e-mail. Als het lukt om een van die systemen te hacken, kan dat ons wachtwoord aan de criminelen onthullen.
• Onze e-mail staat vaak ook decrypted in platte tekst lokaal op onze laptop of computer. Als deze apparaten in verkeerde handen komen, hebben deze criminelen ook toegang tot onze wachtwoorden.
• We lopen echter de meeste risico’s als ons e-mailaccount is gehackt. Een kwaadwillende heeft dan toegang tot alle wachtwoorden die eerder naar ons zijn gemaild, simpelweg door een wachtwoordherstel aan te vragen.

Bovendien betekent het verwijderen van e-mails niet dat ze voor altijd verdwenen zijn. Ze kunnen zich nog steeds bevinden in prullenbakken of ergens in een back-up van een van de vele mailsystemen.

Wat moeten we doen als we toch passwords per e-mail hebben ontvangen?

Als we toch wachtwoorden per e-mail ontvangen, kunnen we de risico’s met een aantal acties verkleinen.

1. Wijzig het wachtwoord onmiddellijk. Zodra we met het nieuwe wachtwoord zijn ingelogd, wijzigen we het. Op deze manier hebben hackers niets aan de e-mail omdat ze alleen maar aan oude wachtwoorden kunnen komen.
   – Nadeel is de menselijke factor. We moeten zelf alert blijven om het wachtwoord gelijk te wijzigen en maatregelen nemen om het te onthouden.
   – Er zijn situaties waarin één wachtwoord in meerdere systemen wordt gebruikt. Bijvoorbeeld bij webhosting. Het hostingaccount, de database user en de e-mail Postmaster hebben soms hetzelfde wachtwoord. Het wijzigen op één plek is dan niet voldoende
2. Gebruik daarbij een wachtwoordmanager om een ​​uniek, moeilijk te raden wachtwoord te genereren. Wachtwoordmanagers zijn fantastisch om wachtwoorden te genereren die moeilijk zijn te kraken. We hoeven alleen het hoofdwachtwoord te onthouden en de wachtwoordmanager vult alle gegevens voor ons in.
   – Deze maatregel vergt een extra investering.
3. Schakel 2 Factor Authenticatie in. Deze technologie maakt gebruik van een extra beveiligingslaag. We kunnen bijvoorbeeld een SMS-bericht op onze telefoon ontvangen met daarin een code die we moeten invullen tijdens het inloggen of we kunnen zoiets een beveiligingstoken of smartphone-app hebben. Zonder onze GSM, token of smartphone is het niet mogelijk om in te loggen. Criminelen hebben dus niets aan de e-mail die ze gestolen hebben en kunnen ons zo niet in gevaar brengen. Nadelen zijn:
   – De software moet 2FA ondersteunen.
   – We moeten bij iedere aanmelding extra handelingen uitvoeren.
   – Ons token of Smartphone mogen we niet laten slingeren.

Alternatieven voor het verzenden van wachtwoorden via onveilige e-mail

De verantwoordelijkheid voor de beveiliging van onze services ligt voor een groot deel in handen van de providers. Het maakt namelijk nogal wat uit hoe we de wachtwoorden krijgen aangeboden en hoe de bedrijfsprocessen rondom wachtwoorden zijn ingericht. Hier zijn enkele methodes waarop providers gebruikers een nieuw wachtwoord kunnen geven en tegelijkertijd de beveiligingsrisico’s kunnen minimaliseren.

1. Via een telefoongesprek. Voer alle wachtwoord toekenningen uit via een telefoongesprek.
   – Dit is een dure oplossing omdat er extra personeel voor nodig is. Bovendien moeten beide partijen op hetzelfde moment beschikbaar zijn.
2. Met SMS. Stuur een nieuw wachtwoorden altijd met SMS naar de mobiele telefoon van een gebruiker.
   – De gebruiker moet wel over een mobiele telefoon beschikken. Bovendien zijn er processen nodig die inwerking treden als een gebruiker de organisatie weer verlaat.
3. Het gebruik van een “eenmalig wachtwoord”. Een gebruiker kan eenvoudig inloggen op het systeem, maar hij wordt vervolgens gedwongen een nieuw, veilig wachtwoord te kiezen. Dit lijkt overeen te komen met de eerste maatregel die de gebruiker zelf kan nemen, alleen sluiten we de menselijke factor nu uit.
   – Dit maakt het onthouden van een wachtwoord vrijwel onmogelijk waardoor de gebruiker in de praktijk vrijwel altijd om een wachtwoord reset zal vragen.
4. Het versleutelen van wachtwoord e-mails met Maildigger. De inhoud van de e-mail is encrypted en werkt alleen via de Maildigger interface. Daardoor is de e-mail onleesbaar voor hackers als ze e-mail weten te onderscheppen.

Maildigger gebruiken om toch wachtwoorden per e-mail te verzenden

Bedrijven en online services kunnen Maildigger gebruiken om wachtwoorden via e-mail te verzenden. Het voordeel is dat het hier gaat om een instant service. Er is geen sleutel nodig en de mail is alleen door de geadresseerde te openen. Bovendien is Maildigger gratis voor gebruikers van de grote publieke mailservices zoals Outlook en Gmail.

Meld je dus aan bij de groep en stuur een bericht aan Maildigger. Wacht niet te lang want het verzenden van wachtwoorden via e-mail blijft een risico.