Een wachtwoordresetmail die niet aangevraagd is

Een ongevraagde resetmail kan drie dingen betekenen. Iemand heeft jouw e-mailadres ingevuld bij een dienst, per ongeluk of om te testen. Iemand probeert in te breken en heeft jouw adres als doelwit gekozen. Of de mail is nep en bedoeld om je naar een valse pagina te sturen. Vanuit de inhoud alleen kun je die drie niet betrouwbaar uit elkaar houden, ook niet als het logo en de afzender kloppen.

Daarom is je eerste regel eenvoudig: de mail is een aanleiding om te controleren, niet een route om te gebruiken. Klik niet op de knop, de link of de bijlage, ook niet om "te kijken waar die naartoe gaat". Voer geen code uit de mail in op een pagina die je via die mail hebt bereikt. Als de reset echt is, merk je dat in je eigen account.

Ga stap voor stap, zonder iets uit de mail over te nemen.

1. Sluit de mail zonder te reageren. Beantwoord hem niet en bel geen nummer uit de mail.
2. Typ het adres van de dienst zelf in je browser of open de app die je al kende, bijvoorbeeld via een bladwijzer die je eerder zelf maakte.
3. Log in met je gewone gegevens. Lukt dat zoals normaal, dan is je wachtwoord vermoedelijk niet gewijzigd. Dat blijft een indicatie, geen bewijs.
4. Zoek in de accountinstellingen naar recente aanmeldingen, apparaten en meldingen over wachtwoordwijzigingen. De exacte namen verschillen per dienst, dus controleer ze zelf in de beheeromgeving.
5. Beslis daarna met de matrix verderop of je je wachtwoord wijzigt.

Lukt inloggen niet meer, gebruik dan het herstelproces op de officiële site die je zelf hebt geopend, niet de link uit de mail.

Aanvallers richten zich vaak op de herstelgegevens, omdat wie die beheert het account kan overnemen. Controleer daarom naast het wachtwoord ook je herstelmailadres, je herstelnummer en je aangemelde apparaten. Herken je iets niet, verwijder het of wijzig het via de officiële omgeving.

Voor Google-accounts beschrijft de pagina over tweestapsverificatie aanzetten dat je dit instelt via je Google-account, onder Beveiliging en inloggen. Daar staat ook dat een nieuw telefoonnummer voor tweestapsverificatie tot 7 dagen nodig kan hebben om als vertrouwd te gelden en dat een verdacht nummer wordt uitgezet. Je krijgt dan 30 dagen om te bevestigen dat jij het hebt toegevoegd. Wie een toegangssleutel gebruikt, slaat de tweede stap over, omdat die sleutel op je apparaat staat. Een werk- of schoolaccount kan andere regels hebben, vraag dan de beheerder.

Stel dat je drie resetmails ontvangt van dezelfde dienst, terwijl je niets hebt aangevraagd. Dit is een verzonnen invoer om de controlevolgorde te tonen, zonder uitkomst.

Invoer: drie mails, een knop "Wachtwoord opnieuw instellen", een afzendernaam die je herkent.

Controles in volgorde: klik niets aan. Open de dienst via je eigen bladwijzer. Log in en bekijk recente aanmeldingen en herstelgegevens. Vergelijk het herstelnummer met je eigen nummer. Controleer of tweestapsverificatie aanstaat en welke methode je gebruikt. Noteer tijdstip, afzenderadres en wat je ziet in een korte notitie, zodat je het later of voor de dienst kunt navertellen.

De verwachte uitkomst hangt van wat je ziet en kan hier niet worden voorspeld. De matrix hierboven bepaalt je volgende stap.

Heb je zelf een klantenportaal, dan ontvangen jouw klanten dit soort mails mogelijk ook in jouw naam. De pagina over webbeveiliging beschrijft aanvallen en verdedigingen voor websites en raadt aan bij authenticatie niet alleen op wachtwoorden te vertrouwen. Passkeys zijn volgens die pagina de veiligste methode en tijdgebonden eenmalige codes zijn veiliger dan alleen een wachtwoord. Bespreek dit met wie je portaal beheert.

Zorg ook dat je klanten weten via welke route ze altijd inloggen, en dat jij nooit om een wachtwoord vraagt per mail. Wil je zien welke publieke signalen je eigen website uitstuurt, dan kun je die bekijken via Marketing Scan. Zo'n publieke blik meet alleen wat zichtbaar is en bewijst niet hoe je login of herstelproces technisch is ingericht.