Een verloren werktelefoon: welke sessies trek je in?

Meld het verlies meteen aan je beheerder en begin vanaf een vertrouwd toestel met de belangrijkste accounts. Maak daarnaast een korte inventaris; wacht niet met het intrekken van bekende risicovolle toegang totdat de lijst compleet is. Noteer per account: waarvoor het dient, of het een privé- of werkaccount is, en hoe de tweede stap werkt (prompt op de telefoon, sms-code, toegangssleutel, back-upcode of fysieke sleutel).

Denk aan wat je makkelijk vergeet: de mailbox, de opslag en agenda, het advertentie- en analysekanaal, het sociale-mediabeheer, de boekhoudapp en de wachtwoordbeheerder. Kijk ook welk telefoonnummer als herstelnummer bij welke account staat. Verlies je het toestel en dus dat nummer, dan is dat nummer zowel een risico als je herstelweg.

Vraag bij werkaccounts meteen wie de beheerder is. Google meldt dat de stappen voor accounts via werk of school anders kunnen werken en dat je daarvoor bij je beheerder terechtkunt.

De hulppagina over problemen met tweestapsverificatie (Google over een verloren telefoon bij tweestapsverificatie) raadt twee dingen aan: meld je af op de verloren of gestolen telefoon en wijzig het wachtwoord van je Google-account. Maak daar een vaste volgorde van.

1. Meld je vanaf een ander toestel aan en beheer de sessies van de verloren telefoon.
2. Wijzig het wachtwoord van de account.
3. Verwijder een toegangssleutel die op het verloren toestel staat.
4. Controleer welke verificatiemethoden nog bestaan en voeg een nieuwe toe.
5. Ga daarna pas de andere accounts van je lijst af, te beginnen met mail, want daar komen herstelberichten aan.

Waar precies deze opties in je accountinstellingen staan, kan wijzigen. Controleer dat in je eigen account of vraag het je beheerder, zoals bij de officiële pagina.

Controleer volgens Google over apparaten en sessies alle sessies die bij het verloren toestel horen. Een vermelding kan na afmelden nog zichtbaar blijven; controleer de afgemelde status in plaats van alleen te zoeken of de toestelnaam verdwenen is.

Heb je Advanced Protection aangezet, dan meldt de bron dat enkel een back-up beveiligingssleutel volstaat. Zonder die sleutel loop je het accountherstel door.

Heb je geen andere tweede stap of ben je je wachtwoord vergeten, dan blijft accountherstel over. De genoemde bron bespreekt een mogelijke controleperiode van 3 tot 5 werkdagen bij verloren beveiligingssleutels zonder andere tweede stap. Dat is geen algemene termijn voor iedere verloren telefoon; volg het herstelpad dat Google voor jouw situatie aanbiedt. Je beantwoordt vragen over de account en kunt gevraagd worden een e-mailadres of telefoonnummer op te geven en een code in te voeren die daar aankomt.

Plan zo nodig een overbrugging. Wie moet tijdens een eventuele herstelperiode de gedeelde mailbox of de advertentieaccount beheren? Wie is tweede beheerder? Het is verstandig om dit te regelen vóór het incident.

Let ook op nieuwe nummers. Volgens de pagina over tweestapsverificatie (Google over tweestapsverificatie aanzetten) kan het tot 7 dagen duren voor Google een toegevoegd telefoonnummer vertrouwt, en kan een nummer dat verdacht lijkt worden uitgezet. Voeg bij voorkeur eerder een tweede methode toe, zoals een toegangssleutel of beveiligingssleutel, waarmee dat proces volgens de bron sneller kan verlopen.

Invoer, fictief: een medewerker meldt dat de werktelefoon gisteren verloren is. Op het toestel staan de werkmailbox, een gedeelde agenda en een toegangssleutel. Het telefoonnummer is het enige herstelnummer.

Verwachte controles na je ingrepen:

• De sessie van de verloren telefoon is afgemeld en het wachtwoord is gewijzigd.
• De toegangssleutel van dat toestel is uit de account verwijderd.
• Er is minstens één tweede methode die niet aan de verloren telefoon hangt.
• Het herstelnummer is nagekeken en vervangen indien nodig.
• Voor de gedeelde agenda is gecontroleerd wie nog toegang heeft.
• De beheerder heeft de incidentdatum en uitgevoerde stappen genoteerd.

Deze lijst zegt niets over hoe snel Google of een operator reageert. Beloof de medewerker dus geen vaste termijn. Wat je overdraagt is een volgorde en een controle, geen tijdschema.

Controleer meteen na de ingrepen en later opnieuw: staan er nog onbekende apparaten bij de actieve toestellen? Komen er meldingen binnen die je niet herkent? Werkt de nieuwe verificatiemethode op een tweede toestel?

Voor volgende keren:

• Bewaar back-upcodes of een extra beveiligingssleutel op een veilige plaats, niet op de telefoon.
• Zorg voor een tweede beheerder per belangrijke account.
• Bewaar de lijst met accounts en verificatiemethoden up-to-date, zonder wachtwoorden erin te zetten.
• Test jaarlijks of herstel via een tweede methode werkt.

Wil je nagaan welke publiek zichtbare signalen je website geeft, ook rond vertrouwen en veiligheid, dan kan je die bekijken via Marketing Scan. Een publieke scan ziet je accountinstellingen niet en vervangt dit incidentproces niet. Dit is geen juridisch of beveiligingsadvies op maat.