Is je wachtwoord gelekt? Zo controleer je het – en wat dat echt betekent

Waar gelekte wachtwoorden vandaan komen

Een website bewaart genoeg informatie om je wachtwoord te herkennen wanneer je inlogt. Goede sites bewaren een langzame, gezouten hash, niet het wachtwoord zelf. Lekken leggen toch wachtwoorddatabases bloot, en slechte implementaties, oude algoritmes of zwakke wachtwoorden laten aanvallers veel van de originele waarden terughalen. Die waarden komen terecht in kraaklijsten die elders worden geprobeerd.

Een treffer zegt dus iets over het wachtwoord, niet over de staat van het toestel in je hand. Het bewijst niet dat malware je toetsenbord heeft afgeluisterd, en ook niet dat het account dat je controleert de gelekte site was. Het wachtwoord kan jaren geleden van een heel andere dienst komen.

Hoe controleren werkt zonder het wachtwoord prijs te geven

Sealby’s controle berekent in je browser een SHA-1-vingerafdruk van het volledige wachtwoord. SHA-1 dient hier alleen als het zoekformaat dat de Pwned Passwords-database vereist, niet om je wachtwoord op te slaan of te beveiligen. De pagina stuurt alleen de eerste vijf hexadecimale tekens van die vingerafdruk — nooit het wachtwoord en nooit de volledige vingerafdruk.

De dienst stuurt honderden vingerafdruk-uitgangen terug die dat voorvoegsel delen, aangevuld om de omvang van de respons minder onthullend te maken. Je browser vergelijkt lokaal het echte einde en negeert de opvulling. Dit heet k-anonimiteit: de server ziet een menigte mogelijke wachtwoorden, terwijl jouw toestel weet naar welke volledige vingerafdruk het moet zoeken.

Wat een treffer eerlijk betekent

Een treffer betekent dat de exacte wachtwoordvingerafdruk voorkomt in bekende gecompromitteerde wachtwoorddata. Aanvallers kunnen dat wachtwoord vooraan op een gokkenlijst zetten. Het vertelt niet wie het gebruikte, uit welk lek het kwam, en niet of een bepaald account al is geopend.

Het gevaar zit vooral in hergebruik. Geautomatiseerde credential-stuffing-tools proberen een gelekt e-mail-wachtwoordpaar uit bij mail, winkels, sociale netwerken en financiële diensten. Zo wordt één oud lek meerdere overgenomen accounts, omdat het wachtwoord meereisde.

Los het in deze volgorde op

1. Stop het hergebruik. Verander het wachtwoord overal waar het voorkomt. Begin bij e-mail en accounts die andere accounts kunnen herstellen, gevolgd door financiële diensten, werk, sociale accounts en webshops. Meld onbekende sessies af terwijl je toch bezig bent.

2. Maak elke vervanger uniek. Een wachtwoordmanager kan willekeurige wachtwoorden genereren en onthouden. Gebruik voor geheimen die je zelf moet typen of onthouden meerdere willekeurig gekozen woorden uit de wachtzin-generator. Maak niet één sterk wachtwoord om dat vervolgens overal te hergebruiken.

3. Voeg een tweede barrière toe. Schakel 2FA in, bij voorkeur met een authenticator of hardware-sleutel in plaats van sms als de dienst je laat kiezen. Een passkey is nog beter waar die wordt ondersteund, omdat die uniek is voor de site en phishing weerstaat.

Wat “geen treffer” niet bewijst

Geen enkele lekdatabase bevat elk gestolen wachtwoord. Een site weet soms niet dat ze gelekt is, een aanvaller kan de data privé houden, en een zwak wachtwoord kan geraden worden zonder ooit in een lek te verschijnen. “Niet gevonden” is een nuttig signaal, geen bewijs van sterkte.

Beoordeel het hele geheel: uniek per site, lang of willekeurig gegenereerd, veilig bewaard en aangevuld met 2FA of passkeys. Wil je zien waarom lengte en opslagalgoritmes de gok-tijd veranderen, lees dan hoe brute-force-aanvallen werken.