Mailadres gevonden op Havibeenpwned, wat nu?

[Crxtreem]

Ik heb op mijn mailadres 2 breaches op havibeenpwned.

Nu heb ik al een keer al mijn wachtwoorden veranderd in unieke wachtwoorden en waar mogelijk 2fa aangezet.

Maar is dit nu afdoende, of kan ik ook nog achterhalen welk wachtwoord en welke site dit is geweest?

En is het mogelijk om uit deze lijst te komen zodat een nieuwe breach ook te zoeken is op de site?
Of moet je dan een nieuw mailadres aanmaken om weer schoon te zijn.

[De Nelis]

Op havibeenpwned staat vermeld op welke websites je wachtwoorden gelekt zijn. Op die manier kun je ze op die specifieke websites aanpassen.

Volgens mij kun je je niet uit de lijst laten halen, wel kun je een notificatie in laten stellen als er een nieuw lek is op je specifieke emailadres. https://haveibeenpwned.com/NotifyMe

[Chainerator]

Op haveibeenpwned staat inderdaad vaak de "context" waar jouw gelekte gegevens aangetroffen zijn. Dit kan van een website (hack/leak/...) zijn, of van een grote e-mail/password dump op pastebin of elders.

Soms kan je inderdaad niet weten voor welke site precies jouw e-mail/password combinatie gelekt is.

Het beste wat je kan doen is er voor zorgen dat je voor elke account op elk platform een ander wachtwoord hebt. En voor de zaken waar het kan 2FA inschakelen. En indien het zo eventjes kan; wanneer je een nieuwe aanwijzing hebt (bijvoorbeeld via haveibeenpwned) dat er een e-mail/password combinatie gelekt is, dan pas je zeker jouw wachtwoord van het gelekte platform aan; of indien je niet weet van welke site precies het lek is... Al je accounts opnieuw een nieuw wachtwoord instellen...

[ Voor 2% gewijzigd door Chainerator op 06-05-2020 21:35 . Reden: let --> lek ]

[Room42]

De Nelis schreef op woensdag 6 mei 2020 @ 16:30:
Op havibeenpwned staat vermeld op welke websites je wachtwoorden gelekt zijn. Op die manier kun je ze op die specifieke websites aanpassen.

Da's een beetje laat, he. Meestal zijn die breaches van maanden geleden.

[Crxtreem]

Bij mij staat er

Pwnde on 2 breached sites and found no pastes

Als ik verder scroll kom ik de 2 breaches tegen:

Anti public combo list (unverified): in december 2016

Collection #1(unverified): in January 2019

Dit is dan toch zoeken naar een speld in een hooiberg?

Of wordt het weer alle wachtwoorden op dat mailadres vervangen?

[F_J_K]

Crxtreem schreef op donderdag 7 mei 2020 @ 09:23:
Dit is dan toch zoeken naar een speld in een hooiberg?

Of wordt het weer alle wachtwoorden op dat mailadres vervangen?

Lijst: https://haveibeenpwned.com/PwnedWebsites en zie er ook de jaartallen.

Maar als je van alle sites, diensten, programma's het wachtwoord hebt gewijzigd (en voortaan voor alles een uniek, lang, wachtwoord hebt en waar mogelijk/nodig 2FA hebt aangezet) dan kan en hoef je niets meer te doen.

Pro tip: ook een goed wachtwoord zetten op je password manager. En heb backups van de 2FA, aangezien een telefoon kapot kan (en test die backup eens, zo worden bijv. Google authenticator codes niet gebackupt).

[Compizfox]

Als je dat wachtwoord herbruikt hebt voor meerdere websites/services, zal je daar overal een nieuw wachtwoord moeten instellen.

Dit probleem had je kunnen voorkomen als je om te beginnen niet hetzelfde wachtwoord had herbruikt

[hoi1234]

TLDR: Je hebt het goed voor elkaar. Maak je er wel zeker van, dat jouw wachtwoorden voldoende sterk zijn en niet teveel op elkaar lijken.

Je kunt heel weinig doen als je gegevens uitgelekt zijn. Unieke wachtwoorden zijn in ieder geval een eerste stap. Zorg er wel voor dat ze echt uniek zijn (dus niet Welkom01 en welk0m02, die lijken teveel op elkaar, maar gezien jouw topicstart, zal jij dat ook wel begrijpen). Zorg er ook voor dat je alleen "sterke" wachtwoorden gebruikt. Wat sterk is, is een beetje vaag. Ik laat een passwordmanager mijn wachtwoorden genereren met 8+ tekens. Er zijn mensen die https://xkcd.com/936/ gebruiken, omdat zij van mening zijn dat random wachtwoorden te makkelijk te raden zijn. Nu ik het weer google, blijkt die methode overigens wel rejected te zijn. Maak gewoon een keuze hoe je goede wachtwoorden hanteert en let er vooral op dat deze wachtwoorden veilig blijven. Ik ben met mijn tactiek nog nooit gehackt.

Oja. Je zou ook je e-mailadres kunnen veranderen, maar het is erg vervelend om voor alle diensten een uniek e-mailadres te gebruiken en dat gaat denk ik wel heel ver. Wat je wel kunt doen is <jouw e-mailadres + [e-mail]>. Hackers zijn niet gek en begrijpen ook wel dat [e-mail] hetzelfde is als [e-mail], maar dan heb je in ieder geval iets gedaan. En het beschermt je ook tegen spam, omdat je altijd weet waar het vandaan komt.

[ Voor 20% gewijzigd door hoi1234 op 07-05-2020 09:56 ]

[hoi1234]

Oja, tegenwoordig zijn er ook al passwordmanagers op de markt die controleren of jouw wachtwoord gebreached is. Die zou je kunnen gebruiken. Jouw passwordmanager open je als het goed is iedere keer, omdat je geen enkel wachtwoord kan onthouden. Dan zie je vanzelf een melding als jouw wachtwoord in een breach voorkomt.

[F_J_K]

hoi1234 schreef op donderdag 7 mei 2020 @ 09:53:
Ik laat een passwordmanager mijn wachtwoorden genereren met 8+ tekens. Er zijn mensen die https://xkcd.com/936/ gebruiken, omdat zij van mening zijn dat random wachtwoorden te makkelijk te raden zijn. Nu ik het weer google, blijkt die methode overigens wel rejected te zijn. Maak gewoon een keuze hoe je goede wachtwoorden hanteert en let er vooral op dat deze wachtwoorden veilig blijven. Ik ben met mijn tactiek nog nooit gehackt.

Die passwordmanager heeft even weinig moeite met 50+ karakters als met 8+ dus ga voor 50+ Er is m.i. dan ook geen reden om niet dat te doen.

https://xkcd.com/936/ blijft (m.i.) wel aan te raden voor situaties waar je het wachtwoord in je hoofd moet hebben zitten. 'Correct horse battery staple' is veiliger dan 'Geh#!m'. Maar DSUJA2Z#$@$GHQ@7^%Edwguwdgh31786yWIHDSQ237UB6E7X3QTEDQJWHKsakjWefoje is nog een stuk veiliger.

[Crxtreem]

Ik heb inderdaad al een passwordmanager en heb nu op de meeste accounts een uniek pasword.

als ik zo kijk in de laatst gewijzigde datums heb ik volgens mij alles na de laatste datum van de breach gewijzigd.

Ik ga toch eens kijken of ik wel aliassen aan kan maken al dan niet op mijn icloud mailadres.
Bij ziggo kan ik er maar 10 per mailadres aanmaken dus is nog niet echt veel.

hoi1234 schreef op donderdag 7 mei 2020 @ 09:59:
Oja, tegenwoordig zijn er ook al passwordmanagers op de markt die controleren of jouw wachtwoord gebreached is. Die zou je kunnen gebruiken. Jouw passwordmanager open je als het goed is iedere keer, omdat je geen enkel wachtwoord kan onthouden. Dan zie je vanzelf een melding als jouw wachtwoord in een breach voorkomt.

Is dit bij 1Password de Watchtower functie of moet ik iets anders instellen?

[ Voor 39% gewijzigd door Crxtreem op 07-05-2020 10:47 ]

[Bastiaan]

Crxtreem schreef op donderdag 7 mei 2020 @ 10:46:
Ik ga toch eens kijken of ik wel aliassen aan kan maken al dan niet op mijn icloud mailadres.
Bij ziggo kan ik er maar 10 per mailadres aanmaken dus is nog niet echt veel.

Op iCloud zijn dat er ook maar 3

Crxtreem schreef op donderdag 7 mei 2020 @ 10:46:Is dit bij 1Password de Watchtower functie of moet ik iets anders instellen?

Klopt! Resultaten staan dan vanzelf bij de gecompromitteerde wachtwoorden of kwetsbare wachtwoorden.

[ Voor 36% gewijzigd door Bastiaan op 07-05-2020 10:59 ]

[Blokker_1999]

hoi1234 schreef op donderdag 7 mei 2020 @ 09:53:
Zorg er ook voor dat je alleen "sterke" wachtwoorden gebruikt. Wat sterk is, is een beetje vaag. Ik laat een passwordmanager mijn wachtwoorden genereren met 8+ tekens. Er zijn mensen die https://xkcd.com/936/ gebruiken, omdat zij van mening zijn dat random wachtwoorden te makkelijk te raden zijn. Nu ik het weer google, blijkt die methode overigens wel rejected te zijn.

Of het nu true randomness is of een wachtzin maakt eigenlijk niet heel veel uit. het probleem is dat mensen vroeger dachten van: er moet een hoofdletter in en er moet een cijfer in en er moet een speciaal teken in. Vandaag zeggen we: niets moet, maar alles moet kunnen. Spijtig genoeg zijn er nog vele implementaties die puur afgaan op die oude mengelmoes om te bepalen of een wachtwoord veilig is. Van zodra je iets anders gaat verplichten dan enkel en alleen lengte, haal je statistisch gezien het aantal mogelijke combinaties net gevoellig naar beneden.

Oja. Je zou ook je e-mailadres kunnen veranderen, maar het is erg vervelend om voor alle diensten een uniek e-mailadres te gebruiken en dat gaat denk ik wel heel ver. Wat je wel kunt doen is <jouw e-mailadres + [e-mail]>. Hackers zijn niet gek en begrijpen ook wel dat [e-mail] hetzelfde is als [e-mail], maar dan heb je in ieder geval iets gedaan. En het beschermt je ook tegen spam, omdat je altijd weet waar het vandaan komt.

En daar heeft een beetje tweaker weer een voordeel. Ik gebruik tegenwoordig gewoon [e-mail]. Daar kan niemand iets mee. Stuur je mij te veel spam zonder dat ik goed kan unsubcriben? Dan ga je terug uit de lijst. Ben ik opgedoken in een hack? Dan weet ik direct wie er gehacked is. En men heeft geen enkele optie om vanaf dat adres mijn eigenlijke adres te herleiden.

[Arunia]

@F_J_K Er zijn wel sites die niet alles accepteren, of nog slechter. Sites die wel alles accepteren, maar je daarna niet meer in kunt loggen omdat je wachtwoord te groot is.
Ik wissel nog wel eens van lengte van wachtwoorden. Maar moet daar nog eens eenduidig in worden denk ik.

@Crxtreem Ikzelf heb ook wel gebreachte mailadressen met sites, maar daar komen de sites dan wel gewoon op.

[Crxtreem]

Blokker_1999 schreef op donderdag 7 mei 2020 @ 11:02:
En daar heeft een beetje tweaker weer een voordeel. Ik gebruik tegenwoordig gewoon [e-mail]. Daar kan niemand iets mee. Stuur je mij te veel spam zonder dat ik goed kan unsubcriben? Dan ga je terug uit de lijst. Ben ik opgedoken in een hack? Dan weet ik direct wie er gehacked is. En men heeft geen enkele optie om vanaf dat adres mijn eigenlijke adres te herleiden.

Het lijkt mij ook wel wat om voor iedere shop een uniek mailadres aan te maken maar volgens mij moet je dan al een eigen domein hebben waarmee je dit kan uitvoeren.
Met de huis tuin en keuken mailadressen is dit volgens mij niet te doen.

En zijn eigen domeinen weer veilig genoeg voor hacks?
Bij Icloud krijg ik bijvoorbeeld een melding dat er iemand is ingelogd op mijn icloud.

[hoi1234]

Crxtreem schreef op donderdag 7 mei 2020 @ 10:46:

Is dit bij 1Password de Watchtower functie of moet ik iets anders instellen?

Dat zou ik eerlijk gezegd niet weten. Ik heb alleen Lastpass en keepass gebruikt en weet eigenlijk alleen dat het mogelijk is.

[BannerFigurezZz]

Crxtreem schreef op donderdag 7 mei 2020 @ 11:15:
[...]


Het lijkt mij ook wel wat om voor iedere shop een uniek mailadres aan te maken maar volgens mij moet je dan al een eigen domein hebben waarmee je dit kan uitvoeren.
Met de huis tuin en keuken mailadressen is dit volgens mij niet te doen.

En zijn eigen domeinen weer veilig genoeg voor hacks?
Bij Icloud krijg ik bijvoorbeeld een melding dat er iemand is ingelogd op mijn icloud.

Tijd om een trucje wat ik ooit dankzij een mede-Tweaker heb geleerd door te geven.

Je kunt bij veel mail services een plus teken achter het unieke deel van je emailadres zetten gevolgd door iets unieks. Je kan dan een 'uniek' mailadres per website/service hebben en alles blijft in dezelfde mailbox binnenkomen.

Voorbeeld: [e-mail] wordt dan [e-mail].

Dit werkt helaas niet overal. Maar toch bij een groot deel en met name bij de vaak wat zwakker/minder professioneel ogende services.

[mgizmo]

BannerFigurezZz schreef op donderdag 7 mei 2020 @ 12:34:
[...]


Tijd om een trucje wat ik ooit dankzij een mede-Tweaker heb geleerd door te geven.

Je kunt bij veel mail services een plus teken achter het unieke deel van je emailadres zetten gevolgd door iets unieks. Je kan dan een 'uniek' mailadres per website/service hebben en alles blijft in dezelfde mailbox binnenkomen.

Voorbeeld: [e-mail] wordt dan [e-mail].

Dit werkt helaas niet overal. Maar toch bij een groot deel en met name bij de vaak wat zwakker/minder professioneel ogende services.

Ik heb dit in Office365 geconfigureerd met regels met ieder een naam die voor de @ verwacht wordt op een apart domein. Die mail stuur ik door naar de persoon waar de naam van dus voor de @ staat. Werkt perfect.

[fyr0]

mgizmo schreef op donderdag 7 mei 2020 @ 13:17:
[...]


Ik heb dit in Office365 geconfigureerd met regels met ieder een naam die voor de @ verwacht wordt op een apart domein. Die mail stuur ik door naar de persoon waar de naam van dus voor de @ staat. Werkt perfect.

Ik ben hier erg benieuwd naar, hoe gaat dit te werk?

[DutchJohnDoe]

BannerFigurezZz schreef op donderdag 7 mei 2020 @ 12:34:
[...]


Tijd om een trucje wat ik ooit dankzij een mede-Tweaker heb geleerd door te geven.

Je kunt bij veel mail services een plus teken achter het unieke deel van je emailadres zetten gevolgd door iets unieks. Je kan dan een 'uniek' mailadres per website/service hebben en alles blijft in dezelfde mailbox binnenkomen.

Voorbeeld: [e-mail] wordt dan [e-mail].

Dit werkt helaas niet overal. Maar toch bij een groot deel en met name bij de vaak wat zwakker/minder professioneel ogende services.

Dit gebruik ik zelf ook al geruime tijd. Laatste keer dat een van m'n wachtwoorden uitlekte kon ik direct achterhalen door welke site dit kwam

Zeker in combinatie met een password manager fijn om te doen.

[BertV]

Mijn gewoonte om vaker hetzelfde wachtwoord te gebruiken werd voor het eerst afgestraft:

Ik zou plots in Amsterdam wonen en een witte hoody hebben gekocht bij Zalando.

Gelukkig was Zalando wel wakker en ze vonden dit verdacht.
Mijn account daar werd direct geblokkeerd.

De nep-hacker misbruikte een oud lek bij myheritage waarbij inloggegevens op straat lagen.

DAT wachtwoord had ik daarna op andere sites al direct veranderd.
Zalando had ik over het hoofd gezien.

Nu gebruik ik een keepass, overal (?) andere wachtwoorden en minimaal op 100bits sterkte.

[_--[]--__]

mgizmo schreef op donderdag 7 mei 2020 @ 13:17:
[...]


Ik heb dit in Office365 geconfigureerd met regels met ieder een naam die voor de @ verwacht wordt op een apart domein. Die mail stuur ik door naar de persoon waar de naam van dus voor de @ staat. Werkt perfect.

Kun je dat nog iets uitgebreider uitleggen, office365 ondersteund toch geen "+" adressen?

[HyperH]

BannerFigurezZz schreef op donderdag 7 mei 2020 @ 12:34:
[...]
Tijd om een trucje wat ik ooit dankzij een mede-Tweaker heb geleerd door te geven.

Je kunt bij veel mail services een plus teken achter het unieke deel van je emailadres zetten gevolgd door iets unieks. Je kan dan een 'uniek' mailadres per website/service hebben en alles blijft in dezelfde mailbox binnenkomen.

Voorbeeld: [e-mail] wordt dan [e-mail].

Google biedt de mogelijkheid ook maar wat voegt het toe? Uiteindelijk gaat het om dezelfde mailbox en door alles na de + te negeren weet je het originele email adres. Niets weerhoud een kwaadwillende om op je 'mijnnaamisjan'@kpn.nl te emailen? Dan weet je dus nog steeds niet waar je email adres gelekt is.

Je kunt ook aliassen aanmaken. Voor elke service waar je een e-mailadres moet invoeren een aparte alias. Je zou er ook voor kunnen kiezen om je eigen inlog / accountnaam helemaal niet als email adres te gebruiken, maar overal een alias te gebruiken.

Bijvoorbeeld een email account [e-mail], maar dan maak je een alias aan, bijvoorbeeld [e-mail]. Die alias gebruik je online. Als die ergens uitlekt dan weet niemand dat je inlognaam 'mijnnaamisjan' was.

[Blokker_1999]

Crxtreem schreef op donderdag 7 mei 2020 @ 11:15:
[...]


Het lijkt mij ook wel wat om voor iedere shop een uniek mailadres aan te maken maar volgens mij moet je dan al een eigen domein hebben waarmee je dit kan uitvoeren.
Met de huis tuin en keuken mailadressen is dit volgens mij niet te doen.

En zijn eigen domeinen weer veilig genoeg voor hacks?
Bij Icloud krijg ik bijvoorbeeld een melding dat er iemand is ingelogd op mijn icloud.

Dat helpt inderdaad. Net even gekeken en ik zit op dit moment rond de 200 aliassen. En dan weet ik dat er nog vele sites zijn waar ik het nog niet heb aangepast. Net zoals er nog vele sites zijn waar ik al jaren niet meer ben geweest die nog allemaal een variatie op hetzelfde, oude wachtwoord hebben.

Of een eigen domein veilig is hangt natuurlijk niet van het domein af, maar of je die server en de applicaties veilig weet te houden. Mijn webmail heeft bijvoorbeeld 2FA opstaan. Veel plezier als je daar door wenst te komen.

[mgizmo]

_--[]--__ schreef op donderdag 7 mei 2020 @ 13:48:
[...]

Kun je dat nog iets uitgebreider uitleggen, office365 ondersteund toch geen "+" adressen?

fyr0 schreef op donderdag 7 mei 2020 @ 13:36:
[...]


Ik ben hier erg benieuwd naar, hoe gaat dit te werk?

Even voor de duidelijkheid, + wordt inderdaad niet ondersteund. Maar ik heb in Exchange online regels gedefinieerd en daarbij gebruik ik gewoon de punt in de format:
<website>.<voornaam>@domein -> mail omleiden/divert

In exchange heb ik regels gebouwd met patroon:
\.naam@domein$

Helpt dit jullie? Anders zal ik het uitschrijven, maar meer dan dit is het eigenlijk niet.

[fyr0]

mgizmo schreef op donderdag 7 mei 2020 @ 13:59:
[...]


[...]


Even voor de duidelijkheid, + wordt inderdaad niet ondersteund. Maar ik heb in Exchange online regels gedefinieerd en daarbij gebruik ik gewoon de punt in de format:
<website>.<voornaam>@domein -> mail omleiden/divert

In exchange heb ik regels gebouwd met patroon:
\.naam@domein$

Helpt dit jullie? Anders zal ik het uitschrijven, maar meer dan dit is het eigenlijk niet.

Ah jij hebt een eigen domein lees ik?
Ik interpreteerde het alsof je dat deed met je outlook mail. Die gebruik ik nu namelijk.

[mgizmo]

fyr0 schreef op donderdag 7 mei 2020 @ 14:01:
[...]


Ah jij hebt een eigen domein lees ik?
Ik interpreteerde het alsof je dat deed met je outlook mail. Die gebruik ik nu namelijk.

Ahja het is wel business inderdaad.

[copywizard]

BannerFigurezZz schreef op donderdag 7 mei 2020 @ 12:34:
[...]


Tijd om een trucje wat ik ooit dankzij een mede-Tweaker heb geleerd door te geven.

Je kunt bij veel mail services een plus teken achter het unieke deel van je emailadres zetten gevolgd door iets unieks. Je kan dan een 'uniek' mailadres per website/service hebben en alles blijft in dezelfde mailbox binnenkomen.

Voorbeeld: [e-mail] wordt dan [e-mail].

Dit werkt helaas niet overal. Maar toch bij een groot deel en met name bij de vaak wat zwakker/minder professioneel ogende services.

dit is wat ik ook al enige tijd doe inderdaad en werkt erg goed eerst een week de tijd erin gestoke alles om te zetten en met unieke password en nu is het gewoon bijhouden in mijn password manager en dan weet ik dat ik net even een stukje extra doe om het hackers lastiger te maken.

en zoals je al zegt viel mij dat ook op dat minder grote sites vaker die + wel accepteren en grote sites juist minder heel apart.

aliexpress, banken, en bijvoorbeeld bol.com werkt het niet
terwijl randomwebwinkel.nl wel die + accepteert.

[Jazzy]

Modbreak:

Heb de titel een klein beetje aangepast, het leek net of Havibeenpwned ge-breached was.

[BannerFigurezZz]

HyperH schreef op donderdag 7 mei 2020 @ 13:48:
[...]


Google biedt de mogelijkheid ook maar wat voegt het toe? Uiteindelijk gaat het om dezelfde mailbox en door alles na de + te negeren weet je het originele email adres. Niets weerhoud een kwaadwillende om op je 'mijnnaamisjan'@kpn.nl te emailen? Dan weet je dus nog steeds niet waar je email adres gelekt is.

Je kunt ook aliassen aanmaken. Voor elke service waar je een e-mailadres moet invoeren een aparte alias. Je zou er ook voor kunnen kiezen om je eigen inlog / accountnaam helemaal niet als email adres te gebruiken, maar overal een alias te gebruiken.

Bijvoorbeeld een email account [e-mail], maar dan maak je een alias aan, bijvoorbeeld [e-mail]. Die alias gebruik je online. Als die ergens uitlekt dan weet niemand dat je inlognaam 'mijnnaamisjan' was.

Bij grote datasets die geheel automatisch verhandeld worden wil dit nog wel eens de mogelijkheid bieden om zo de oorspronkelijke bron van het lek te achterhalen. Dit is mij al meerdere malen gebeurd. Je hebt gelijk dat een kwaadwillende die dit handmatig doet of moeite wil investeren, waarschijnlijk alles achter het plusteken weg haalt.

Verder ga ik er eigenlijk van uit dat ik vrijwel geen enkel emailadres geheim kan houden. Een goed wachtwoordbeleid in combinatie met 2FA in verschillende vormen vormt voor mij de vervanging van een onbekende username.

[Basvde]

Zelf heb ik veel baat gehad bij https://www.avast.com/hackcheck

Daarbij krijg je een mail met link waar je uitgebreide informatie krijgt over de leaks (incl. Wachtwoord) - wachtwoorden hergebruiken is uiteraard not-done, toch gebeurt het en kun je zo snel vinden welk wachtwoord gelekt is