De meeste account-overnames beginnen met één gelekt wachtwoord. Multi-factor authentication (MFA) haalt die single point of failure weg — en het is de beste beveiligingsmaatregel die een gewoon mens in vijf minuten kan regelen. Maar “bijna altijd”, want er zijn uitzonderingen. Die hoor je ook te kennen.
Wat is MFA?
Inloggen vraagt dan twee van drie dingen: iets dat je weet (wachtwoord), iets dat je hebt (telefoon, authenticator, sleutel) en iets dat je bent (vingerafdruk, gezicht). Een gelekt wachtwoord alleen is dan niet meer genoeg — de aanvaller mist de tweede factor.
De opties, van sterk naar zwak
- Passkeys en beveiligingssleutels (FIDO2/WebAuthn): cryptografisch gekoppeld aan het domein, dus een nep-inlogpagina krijgt de code niet te zien. De sterkste optie.
- Authenticator-app (TOTP): codes van 30 seconden in een app als Aegis of de app van je dienst. Sterk, mits je de herstelcodes veilig bewaart.
- Push-meldingen: handig, maar gevoelig voor “MFA-fatigue”: de aanvaller die je wachtwoord al heeft, blijft push-sturen tot je uit irritatie goedkeurt.
- SMS-codes: beter dan niets, maar gevoelig voor SIM-swap: de aanvaller laat je nummer overzetten naar zijn simkaart en vangt je codes af.
Waarom het bijna altijd wint
Omdat de meeste aanvallen schaal zijn: gelekte wachtwoordlijsten worden machinaal op duizenden diensten tegelijk geprobeerd (credential stuffing). MFA stopt die stroom op de deur die hij het vaakst passeert.
De uitzonderingen
- SIM-swap: tegen SMS-codes. Oplossing: waar kan, authenticator-app of passkey.
- MFA-fatigue: onverwachte push-meldingen midden in de nacht? Weiger, en verander je wachtwoord — het betekent dat iemand het al heeft.
- Phishing-proxy’s: geavanceerde aanvallers klonen de inlogpagina en sturen jouw code in real-time door. Tegen dergelijke tools helpen alleen passkeys en sleutels.
Praktisch: waar begin je?
- E-mail — wie je mailbox beheerst, herstelt alle andere wachtwoorden. Begin hier.
- Wachtwoordmanager — de kluis van al je wachtwoorden.
- Alles met betalen of persoonlijke gegevens.
Heb je hem overal aanstaan, dan heb je in een kwartier het grootste deel van je aanvalsoppervlak weggehaald. Zie ook onze wachtwoordgids voor de eerste factor.
