Een medewerker krijgt een mail van Have I Been Pwned: zijn werkadres zit in een datalek. Is dat een probleem voor het bedrijf, of alleen voor die ene account bij een webshop van jaren geleden? Het antwoord hangt af van waar het adres vandaan komt. Een oud lek bij een externe dienst vraagt iets anders dan een infostealer op een laptop die vandaag nog in gebruik is.
Dit artikel legt uit wat Have I Been Pwned wel en niet toont voor een bedrijf, waarom infostealers een ander verhaal zijn, en welk stappenplan u volgt als een bedrijfsaccount opduikt. Met een beslisschema voor de vraag of u de Gegevensbeschermingsautoriteit moet verwittigen.
In het kort
- Have I Been Pwned toont in welke bekende datalekken een e-mailadres voorkomt. Voor een bedrijf is de domeinzoekfunctie het nuttigst: na verificatie via DNS ziet u alle getroffen adressen onder uw domein.
- Een vermelding in een oud lek betekent dat een externe dienst gekraakt werd, niet dat uw computer besmet is.
- Een infostealer is malware op een toestel. Die steelt actuele wachtwoorden en actieve sessies, waardoor een aanvaller kan binnenkomen zonder nog een MFA-code te moeten invullen.
- Het stappenplan heeft vier delen: controleren, beoordelen, herstellen en voorkomen.
- Niet elk gelekt account is een meldingsplichtig datalek. Pas bij ongeoorloofde toegang tot systemen met persoonsgegevens geldt de meldtermijn van 72 uur bij de GBA.
Hoe controleert u of bedrijfsaccounts gelekt zijn?
Een bedrijf controleert gelekte accounts het best met de domeinzoekfunctie van Have I Been Pwned. Na verificatie van het domein via een DNS-record ziet u alle adressen onder dat domein die in bekende datalekken voorkomen, met een melding bij elk nieuw lek. Tot tien getroffen adressen is die opvolging gratis.
Een losse controle per medewerker op de website werkt ook, maar schaalt slecht. U mist nieuwe lekken, en elke medewerker moet het zelf doen. De domeinzoekfunctie draait dat om: de IT-verantwoordelijke of externe beheerder ziet het geheel en kan meteen beoordelen welke accounts aandacht vragen.
Wat Have I Been Pwned wel en niet toont
| Wat u ziet | Wat u niet ziet |
|---|---|
| In welke bekende datalekken een adres voorkomt, met naam en datum van het lek | Het gelekte wachtwoord zelf |
| Welke soorten gegevens in dat lek zaten, zoals wachtwoorden, namen of telefoonnummers | Lekken die nog niet in de databank zijn opgenomen |
| Alle getroffen adressen onder een geverifieerd domein | Gestolen sessies of cookies |
| Met de Pwned Passwords-functie: of een wachtwoord in gelekte lijsten voorkomt | Stealer logs, behalve in de duurste abonnementen |
Die laatste rij verdient aandacht. De Core-abonnementen, van 4,39 tot 319 dollar per maand, tonen geen gegevens uit infostealers. Die zitten pas in de Pro-abonnementen vanaf 379 dollar per maand. Een schone domeincontrole betekent dus niet dat er geen besmet toestel is.
De wachtwoordcontrole is veilig ontworpen. Uw browser stuurt alleen de eerste vijf tekens van een SHA-1-hash van het wachtwoord door, en vergelijkt de rest lokaal. Het wachtwoord zelf verlaat uw toestel nooit. Dat principe heet k-anonimiteit.
Wat is het verschil tussen een datalek en een infostealer?
Een klassiek datalek ontstaat bij een externe dienst waarvan de databank gekraakt wordt, vaak met oudere gegevens. Een infostealer is malware op een toestel van de medewerker zelf, die actuele wachtwoorden, opgeslagen formuliergegevens en actieve browsersessies steelt. Het eerste raakt een account; het tweede raakt een toestel, en daarmee alles waar die browser op ingelogd is.
Dat verschil bepaalt de ernst. Een adres dat in 2019 bij een externe dienst lekte, is vooral een probleem als het wachtwoord daarvan ook voor uw Microsoft 365 of Google Workspace gebruikt werd. Een adres in een recente dump uit infostealers wijst op een toestel dat misschien vandaag nog besmet is. Dat is vaak een privécomputer waarop een medewerker ook werkmail of gedeelde mappen opent.
Waarom een infostealer MFA niet tegenhoudt
Na een geslaagde aanmelding met MFA bewaart de browser een sessiecookie, zodat u niet bij elke klik opnieuw moet inloggen. Een infostealer kopieert die cookie. Wie ze in de eigen browser laadt, is voor de dienst al aangemeld. Google bouwde in juli 2024 met Chrome 127 een extra versleuteling in om dat te bemoeilijken, maar makers van malware vonden daar later omwegen voor. Hoe aanvallers MFA op andere manieren omzeilen, leest u in ons artikel over MFA-bypass en hoe u zich beschermt.
Wat de politie deed tegen infostealers
Politiediensten pakken de grootste families aan. Bij Operation Magnus in oktober 2024 werden de infostealers RedLine en META verstoord. In België voerde de Federal Computer Crime Unit huiszoekingen uit in de regio Charleroi en werden twee personen aangehouden. Operation Endgame richtte zich vanaf mei 2024 op de malware die aanvallers gebruiken om binnen te komen, en in november 2025 onder meer op de infostealer Rhadamanthys. Microsoft en Europol verstoorden in mei 2025 de infrastructuur van Lumma. Nieuwe varianten nemen de plaats wel snel in.
Aparte Belgische cijfers over infostealers bestaan niet. Het Centrum voor Cybersecurity België registreert ze niet als eigen categorie. Wel was accountovername met 144 dossiers de grootste incidentcategorie bij het CCB in 2025. Wereldwijd speelden gestolen inloggegevens volgens het Verizon Data Breach Investigations Report 2025 een rol in 22 procent van de inbreuken, en in 88 procent van de aanvallen op webapplicaties.
Stappenplan: wat doet u als een bedrijfsaccount gelekt is?
Dit stappenplan werkt voor een kmo met Microsoft 365 of Google Workspace.
- Controleren. Verifieer uw domein bij Have I Been Pwned en maak een lijst van alle getroffen adressen. Noteer per adres uit welk lek het komt en wanneer dat lek plaatsvond. Vraag medewerkers die een melding kregen om die door te sturen in plaats van ze te negeren.
- Beoordelen. Deel elk adres in: een oud lek bij een externe dienst, een recent lek, of een vermelding in infostealerdata. Bekijk voor de twee laatste de aanmeldlogs van het account in Microsoft Entra ID of de Google-beheerconsole. Zoek naar aanmeldingen vanuit ongewone landen, onbekende toestellen of tijdstippen waarop niemand werkt.
- Herstellen. Voor een oud lek volstaat een nieuw wachtwoord als het oude ook voor het bedrijfsaccount gebruikt werd. Bij infostealerdata of verdachte aanmeldingen gaat u verder. Trek alle actieve sessies en tokens van het account in via de beheerconsole, zodat gestolen cookies niet meer werken. Zet daarna een nieuw wachtwoord. Neem het toestel uit gebruik tot het grondig gecontroleerd of opnieuw geïnstalleerd is: wie enkel het wachtwoord wijzigt terwijl de malware nog draait, geeft de aanvaller meteen het nieuwe.
- Voorkomen. Laat werkaccounts alleen gebruiken op toestellen die het bedrijf beheert, en schakel het opslaan van wachtwoorden in de browser uit voor werkaccounts. Een wachtwoordmanager voor het hele team is daarvoor een beter alternatief. Voor beheerders en financiële profielen is phishing-resistente MFA met passkeys of FIDO2-sleutels de sterkste stap. De afspraken daarover horen in uw wachtwoordbeleid.
Houd bij elke stap bij wat u vaststelde en deed: het tijdstip van ontdekking, welke sessies ingetrokken werden en wat de controle van het toestel opleverde. Dat verslag heeft u nodig voor de volgende vraag.
Is een gelekt account een meldingsplichtig datalek?
Niet altijd. De AVG verplicht een melding bij de Gegevensbeschermingsautoriteit binnen 72 uur na ontdekking wanneer er een inbreuk is op persoonsgegevens die u verwerkt, en die inbreuk waarschijnlijk een risico inhoudt voor de betrokkenen. Een adres in een lek bij een externe dienst is op zich geen inbreuk op uw eigen verwerking.
| Scenario A: oud lek bij een externe dienst | Scenario B: hergebruikt wachtwoord, geen sporen van toegang | Scenario C: infostealer of bevestigde toegang | |
|---|---|---|---|
| Situatie | Het adres staat in een lek van een webshop of platform; het wachtwoord werd nergens anders gebruikt | Het gelekte wachtwoord werd ook voor een bedrijfsaccount gebruikt, maar de logs tonen geen ongewone aanmeldingen | Wachtwoorden en sessies zijn gestolen via malware, of de logs tonen aanmeldingen door een onbevoegde |
| Wat u doet | Medewerker informeren, wachtwoord bij die dienst laten wijzigen | Wachtwoord resetten, sessies intrekken, logs bewaren | Stappenplan volledig doorlopen, nagaan welke persoonsgegevens bereikbaar waren |
| Melding bij de GBA | Nee, het is geen inbreuk op uw verwerking | Nee, zolang er geen aanwijzing is van toegang en het risico voor betrokkenen onwaarschijnlijk blijft | Ja, binnen 72 uur, tenzij het risico voor betrokkenen onwaarschijnlijk is |
| Documentatie | Kort noteren wat u vaststelde | Afweging en genomen maatregelen vastleggen | Opnemen in uw register van gegevensinbreuken, ook als u besluit niet te melden |
Valt uw organisatie onder NIS2, dan kan een ernstig incident daarnaast een melding bij het CCB vereisen: een eerste waarschuwing binnen 24 uur en een incidentmelding binnen 72 uur. Hoe u een melding bij de GBA concreet indient, staat in ons artikel over een datalek melden bij de GBA binnen 72 uur.
“Iedereen staat toch in een datalek?”
Dat klopt grotendeels, en daarom lijkt opvolging soms zinloos. Wie een domein verifieert, ziet vaak tientallen adressen in lekken van jaren geleden. Maar het doel is niet om elk oud lek weg te werken. Het doel is om het ene adres te vinden dat in recente infostealerdata zit, of het ene wachtwoord dat ook voor het bedrijfsaccount gebruikt werd. De indeling uit stap 2 maakt van een lange lijst een korte.
Weet u welke bedrijfsgegevens al buiten liggen?
Een domeincontrole toont een deel van het beeld. Welke accounts nog geen MFA hebben, welke toestellen onbeheerd toegang krijgen en welke systemen van buitenaf zichtbaar zijn, ziet u er niet in. Cyberplan zet dat met een gratis scan op een rij, en een cybersecurity-audit gaat verder in op toegangsbeheer en accountbeveiliging. Zo weet u welke accounts eerst aandacht verdienen.
Veelgestelde vragen
Is Have I Been Pwned betrouwbaar en veilig?
Ja, Have I Been Pwned is een gevestigde dienst die sinds 2013 door beveiligingsonderzoeker Troy Hunt wordt uitgebaat. Een e-mailadres opzoeken is gratis. De wachtwoordcontrole stuurt alleen een deel van een hash door, zodat het wachtwoord uw toestel nooit verlaat. De dienst toont nooit gelekte wachtwoorden zelf.
Wat moet ik doen als mijn zakelijk e-mailadres in een datalek staat?
Kijk eerst uit welk lek het adres komt en wanneer dat plaatsvond. Werd het wachtwoord van die dienst ook voor uw bedrijfsaccount gebruikt, wijzig het dan meteen en trek actieve sessies in. Komt het adres uit infostealerdata, laat dan ook het toestel controleren voor u opnieuw inlogt.
Hoe controleer ik alle e-mailadressen van mijn bedrijf tegelijk?
Met de domeinzoekfunctie van Have I Been Pwned controleert u alle adressen onder uw bedrijfsdomein tegelijk. U verifieert het domein via een DNS-record, waarna u een overzicht krijgt van alle getroffen adressen en meldingen bij nieuwe lekken. Tot tien getroffen adressen is dat gratis.
Wat is een infostealer?
Een infostealer is malware die op een computer opgeslagen wachtwoorden, formuliergegevens en actieve browsersessies steelt en doorstuurt naar criminelen. Die gegevens worden verhandeld en gebruikt om in te breken op cloudaccounts. Omdat ook sessiecookies gestolen worden, kan een aanvaller binnenkomen zonder een MFA-code in te vullen.
Moet elk gelekt bedrijfsaccount gemeld worden aan de GBA?
Nee. Een melding bij de Gegevensbeschermingsautoriteit binnen 72 uur is pas verplicht als er een inbreuk is op persoonsgegevens die uw organisatie verwerkt, met een waarschijnlijk risico voor de betrokkenen. Een adres in een lek bij een externe dienst, zonder hergebruik van het wachtwoord, valt daar niet onder.
Beschermt MFA tegen gestolen wachtwoorden?
MFA beschermt goed tegen gestolen of geraden wachtwoorden, maar niet tegen gestolen sessies. Een infostealer kopieert de sessiecookie die na een geslaagde aanmelding met MFA wordt aangemaakt. Daarom trekt u bij een infostealermelding altijd alle actieve sessies in, naast het wijzigen van het wachtwoord.
