Hoe het werkt
Deze tool controleert of een wachtwoord voorkomt in de database van gelekte gegevens van Have I Been Pwned. Het wachtwoord wordt in je browser gehasht met SHA-1 en alleen de eerste vijf tekens van die hash worden naar de API gestuurd. De dienst retourneert alle overeenkomende hash-suffixen en je browser vindt de match lokaal — het wachtwoord, en zelfs de volledige hash, verlaten je apparaat nooit. Deze techniek heet k-anonimiteit.
Als een wachtwoord hier verschijnt, stop het overal te gebruiken: gelekte wachtwoorden zijn het eerste wat aanvallers proberen. Een wachtwoord dat niet in de database staat, is nog steeds niet veilig als het kort of voorspelbaar is — gebruik de sterktetest en een wachtwoordmanager.
Wat te doen als je wachtwoord is gevonden
Een match betekent dat precies dit wachtwoord al op de lijsten van aanvallers staat. Handel nu:
- Verander het overal waar je het gebruikte, vanaf een apparaat dat je vertrouwt, in deze volgorde: eerst e-mail (dat kan al het andere resetten), dan bankzaken en alles met een opgeslagen kaart, dan sociale accounts.
- Als je het hergebruikte, beschouw dan elk account dat dit wachtwoord had als gecompromitteerd — niet alleen het gelekte.
- Stel een uniek gegenereerd wachtwoord in per site en schakel tweestapsverificatie in (een authenticator-app of hardwaresleutel, geen sms).
- Zoek ook je e-mailadres op bij Have I Been Pwned — een lek onthult meestal meer dan alleen het wachtwoord.
- Verwacht phishing in de weken erna: aanvallers hebben nu je e-mail en een oud wachtwoord en gebruiken die als lokmiddel. Handel nooit naar aanleiding van een onverwachte link met een “beveiligingswaarschuwing”.
Een wachtwoord dat niet is gevonden, is nog steeds niet veilig als het kort of voorspelbaar is — lengte en willekeurigheid beschermen het.
Een sterk wachtwoord gegenereerd? Je hebt een veilige plek nodig om het te bewaren →
Gerelateerde termen: Credential stuffing · Datalek · Hash · Salt (salten) · Wachtwoordmanager