Waarom het riskant is om geen wachtwoordmanager te gebruiken

Wachtwoordmanagers zijn er in alle vormen en maten — van gratis browserextensies tot enterprise-oplossingen. Toch gebruikt een groot deel van de zakelijke gebruikers ze niet. Ze vinden het onhandig, vertrouwen het niet, of denken simpelweg dat ze het niet nodig hebben.

In deze blog bespreken we waarom het niet gebruiken van een wachtwoordmanager een serieus risico vormt. Niet alleen voor individuen, maar voor complete organisaties.

Het hergebruikprobleem

Het gemiddelde persoon heeft tussen de 70 en 100 online accounts. Het is onmogelijk om voor al die accounts een uniek, sterk wachtwoord te onthouden. Het gevolg? Mensen hergebruiken wachtwoorden. En niet zo een beetje — uit onderzoek blijkt dat meer dan 60% van de gebruikers hetzelfde wachtwoord op meerdere sites gebruikt.

Het probleem is dat als één site gehackt wordt, al die andere accounts ook in gevaar zijn. Hackers kopen gelekte databases op het dark web en proberen die combinatie van e-mailadres en wachtwoord op duizenden andere sites. Dit noemt men credential stuffing.

Een wachtwoordmanager genereert automatisch unieke, sterke wachtwoorden voor elke site. Je hoeft ze nooit te onthouden — de manager onthoudt ze voor je. Credential stuffing wordt daarmee vrijwel onmogelijk.

Zwakke wachtwoorden zijn de norm

Zelfs als mensen proberen om unieke wachtwoorden te gebruiken, zijn ze vaak zwak. Wachtwoorden als "Welkom2024!", "BedrijfNaam123" of "QWERTY!" voldoen technisch gezien aan de meeste regels, maar zijn voor geautomatiseerde hackingtools kinderspel.

Een wachtwoordmanager genereert wachtwoorden van 20+ tekens met een willekeurige combinatie van letters, cijfers en symbolen. Zo\'n wachtwoord is praktisch onkraakbaar met brute-force methoden. En het mooie is: je hoeft het nooit te typen.

De beste wachtwoordmanagers — zoals 1Password, Bitwarden en Keeper — bieden ook dark web monitoring. Ze waarschuwen je als een van je wachtwoorden is gelekt, zodat je direct kunt handelen.

Fishing en social engineering

Phishing-aanvallen worden steeds geavanceerder. Aanvallers bouwen identieke kopieën van inlogpagina\'s van bekende diensten en sturen medewerkers via e-mail naar deze valse sites. Zodra iemand inlogt, zijn de credentials gestolen.

Een wachtwoordmanager beschermt tegen dit soort aanvallen. De manager herkent de echte domeinnaam en vult alleen wachtwoorden in op de juiste site. Op een phishing-site wordt het wachtwoord niet automatisch ingevuld — een duidelijk signaal dat er iets mis is.

Ook beschermt een wachtwoordmanager tegen keyloggers — malware die alles registreert wat je typt. Omdat je het wachtwoord niet zelf typt, maar de manager het invult, kunnen keyloggers het niet onderscheppen.

De zakelijke impact van wachtwoordlekken

Een wachtwoordlek bij één medewerker kan leiden tot een datalek bij de hele organisatie. Als een medewerker hetzelfde wachtwoord gebruikt voor zijn werkaccount en een fitnessapp die gehackt wordt, heeft de aanvaller mogelijk toegang tot je bedrijfsdata.

De gemiddelde kosten van een datalek liggen in Nederland tussen de € 100.000 en € 500.000, afhankelijk van de omvang. Dit omvat boetes, herstelkosten, communicatie met klanten en reputatieschade.

Een wachtwoordmanager is daarmee een van de meest kostenefficiënte beveiligingsinvesteringen die een organisatie kan doen. Voor een paar euro per gebruiker per maand voorkom je potentiële schades van honderdduizenden euro\'s.

Wachtwoordmanagers in combinatie met MFA

Een wachtwoordmanager is krachtig, maar nog krachtiger in combinatie met multi-factor authenticatie (MFA). Zelfs als een aanvaller een wachtwoord bemachtigt, kan hij zonder de tweede factor — meestal een app of SMS-code — niet inloggen.

De combinatie van unieke, sterke wachtwoorden (via een manager) en MFA vormt de gouden standaard van accountbeveiliging. Geen enkele organisatie die serieus beveiligd wil zijn, kan deze combinatie negeren.

Samenvattend

Het niet gebruiken van een wachtwoordmanager is een van de grootste beveiligingsrisico\'s in de moderne werkplek. Het leidt tot wachtwoordhergebruik, zwakke wachtwoorden, gevoeligheid voor credential stuffing, en phishing.

De oplossing is simpel: implementeer een wachtwoordmanager voor alle medewerkers, train hen in het gebruik, en combineer het met MFA. ICT Teamwork helpt je graag bij de keuze, implementatie en training.