Actrice en zangeres Loes Haverkort was gewend aan aandacht, maar het bericht dat op een gewone dag in haar Instagram-inbox verscheen had niets met haar werk te maken. Het leek te gaan over een copyrightkwestie en zag er officieel genoeg uit om op de bijgevoegde link te klikken, precies het soort bericht dat dagelijks bij duizenden Nederlanders in de inbox belandt. Wat volgde was een phishingpagina die sprekend leek op de echte inlogpagina van Instagram. Zodra Haverkort haar gegevens had ingevuld, waren die in handen van een onbekende, en stond zij zelf buitenspel bij haar eigen account van destijds zo’n 31.000 volgers.
Pas nadat consumentenprogramma Kassa zich ermee bemoeide, kreeg ze de toegang terug.
Niet alleen een probleem voor grote namen
Het overkomt vaker bekende Nederlanders dan je zou denken, en het stopt niet bij het slachtoffer zelf. De politie waarschuwde eerder voor een vergelijkbare truc waarbij gehackte accounts van bekenden worden ingezet om ook de volgers erin te luizen: een privébericht met het verzoek om te stemmen op een nieuwe podcast bijvoorbeeld, met een link naar een valse inlogpagina erachter. Juist het vertrouwde gezicht achter het account maakt zo’n bericht overtuigend, mensen klikken sneller door als de afzender iemand is die ze al jaren volgen. Wie erin trapt, levert zijn eigen inloggegevens net zo makkelijk in als het slachtoffer dat oorspronkelijk werd gehackt.
Het echte lek zit dichterbij dan gedacht
Wat opvalt aan dit soort hacks, is hoe weinig ze te maken hebben met bekendheid en hoeveel met gewoontes waar bijna iedereen zich schuldig aan maakt. Onderzoek van Ipsos I&O in opdracht van ABN AMRO liet eind vorig jaar zien dat veertig procent van de Nederlanders hetzelfde wachtwoord, of een kleine variatie daarop, gebruikt voor zowel onbelangrijke webshops als voor kritieke diensten zoals e-mail en internetbankieren. Bijna negen op de tien mensen erkent dat dit risico’s oplevert, maar verandert er in de praktijk weinig aan. Precies dat hergebruik maakt phishing zo effectief: is één wachtwoord eenmaal buitgemaakt, dan ligt vaak meteen een hele reeks accounts open.
| Meer dan 35.000 datalekken werden in 2024 in Nederland gemeld, een aantal dat jaarlijks toeneemt. |
Voor de meeste mensen blijft die omvang een ver-van-mijn-bedshow, tot het moment dat het om hun eigen foto’s, berichten en volgers gaat.
Wat wél helpt
Het Nationaal Cyber Security Centrum adviseert daarom al jaren hetzelfde: voor elk account een uniek en sterk wachtwoord, aangevuld met tweestapsverificatie. Omdat vrijwel niemand tientallen unieke wachtwoorden onthoudt, wordt dit in de praktijk meestal overgelaten aan een wachtwoordmanager, die sterke combinaties genereert en bewaart zonder dat iemand ze zelf hoeft te bedenken.
Het is een weinig glamoureuze oplossing voor een probleem dat zich afspeelt rond zorgvuldig opgebouwde online imago’s. Steeds meer bekende Nederlanders bouwen tegenwoordig een eigen app, podcast of community rond hun naam, en die digitale aanwezigheid is nooit sterker dan het zwakste wachtwoord erachter. Wie het verhaal van Haverkort leest, doet er dan ook goed aan verder te kijken dan het nieuws van die dag, en gewoon eens na te gaan of het eigen account, en dat van de mensen die diegene volgt, net zo kwetsbaar is als dat van een BN’er die het overkwam.
