Sommige Colibris-gebruikers krijgen de melding sommige van je opgeslagen wachtwoorden zijn online gevonden te zien, of het wachtwoord dat je zojuist hebt ingevoerd is gevonden in een datalek.
We hebben sinds de start in 2002 geen indicaties van datalekken in ons systeem.
Zo’n waarschuwing betekent ook niet automatisch dat het wachtwoord via Colibris is gelekt.
Beproefde beveiliging
De beveiliging van kritische gegevens in Colibris is heel sterk, met een Bcrypt / Blowfish éénrichtings-hash die ervoor zorgt dat we zelf niet eens het originele wachtwoord kunnen achterhalen. Wie doorheen de extra beveiligingslagen geraakt en toegang zou verkrijgen tot onze databanken, zal daat enkel een onleesbaar wachtwoord aantreffen zoals YofM1ZHr35M/tIHV9Y/$OO57QRNoJWxq/$sGCYiKYBpZyECBE3/$2vHCC. We kunnen achteraf enkel nog verifiëren of een wachtwoord correct is door het te vergelijken met wat je ingeeft bij het inloggen, maar we kunnen het nooit actief “decrypteren”.
De melding “gevonden op een openbaar gepubliceerde lijst” is typisch afkomstig van de ingebouwde wachtwoordcontrole van een browser of van een wachtwoordbeheerder. Die vergelijkt het wachtwoord zélf (los van waar het wordt gebruikt) met verzamellijsten van wachtwoorden die ooit bij andere diensten zijn uitgelekt, in grote historische hacks zoals die van Linkedin, Adobe, Canva, Instagram, Duolingo, Twitter, Facebook, enzovoort. Wanneer (een variant van) hetzelfde wachtwoord ook in Colibris wordt gebruikt, dan zal dit ook deze melding geven.
Om maar één concreet voorbeeld te geven: het wachtwoord colibris komt duizenden keren voor in dit soort lijsten met gecompromitteerde wachtwoorden. Het is sowieso een zwak wachtwoord (te kort, enkel letters, woord uit het woordenboek), maar het is dus bij uitstek een wachtwoord dat aanleiding zal geven tot deze melding. Varianten zoals colibris123 zijn even onveilig omdat je gemakkelijk afgeleiden kunt uittesten.
Maatregelen
Wanneer je zo’n melding ziet, raden we aan om:
- het getroffen wachtwoord te wijzigen, zowel in Colibris als elders
- voor elke dienst een uniek wachtwoord te gebruiken
- eventueel de betrokken computers te scannen op malware, zeker als de melding rond dezelfde datum bij meerdere gebruikers opduikt.
Heb je toch concrete aanwijzingen hebben van ongeautoriseerde toegang tot Colibris-accounts?
Laat het ons meteen weten, dan zullen we dit grondig onderzoeken.