Enkele Colibris-gebruikers krijgen dit soort meldingen te zien in Google Chrome:
“sommige van je opgeslagen wachtwoorden zijn online gevonden”
“het wachtwoord dat je zojuist hebt ingevoerd is gevonden in een datalek“
We hebben sinds de start in 2002 geen indicaties van datalekken in ons systeem.
Dit soort waarschuwing betekent niet dat jouw wachtwoord via Colibris is gelekt.
De melding betekent dat de combinatie van gebruikersnaam en wachtwoord overeenkomt met gegevens die Google als gecompromitteerd kent. Chrome kan daarbij niet vaststellen via welke website of dienst die gegevens oorspronkelijk zijn uitgelekt.
Antwoord van Google
We waren in contact met Google support hierover, en zij gaven dit antwoord:
Google controleert wachtwoorden niet één voor één handmatig, maar doet dit met grote, geautomatiseerde veegacties. De melding gaat dus niet over de specifieke combinatie van organisatie + wachtwoord + Colibris. Wat er waarschijnlijk is gebeurd, is dat Google een recent, groot datalek van een externe website (denk aan een populaire webtool, webshop of platform waar jijzelf of een collega een account had) heeft geanalyseerd en toegevoegd aan hun controlesysteem.
Deze melding betekent dus niet dat er op dit moment een actieve aanval op jullie organisatie gaande is, of dat er een beveiligingsprobleem is bij Colibris. Het betekent puur dat Google een database-update heeft gedaan waarin hetzelfde wachtwoord voorkomt, en direct je accounts beschermt. Het systeem bewijst dat het ontzettend alert is en grootschalig misbruik proactief voorkomt!
Maatregelen
Wanneer je zo’n melding ziet, hebben we deze aanbevelingen:
- Wijzig het getroffen wachtwoord, zowel in Colibris als elders. Dat kan gemakkelijk via de functie Wachtwoord vergeten. Je ontvangt dan meteen een nieuw (veilig) wachtwoord.
- Gebruik voor elke dienst en elke website een uniek wachtwoord
- Als je zelf een wachtwoord kiest, neem dan steeds een voldoende sterk wachtwoord
- Gebruik de wachtwoord check van Google om andere mogelijke problemen te identificeren
Gebruik voldoende sterke wachtwoorden
Veel gebruikers hanteren een wachtwoord dat té eenvoudig is, bijvoorbeeld simpelweg colibris.
Dit zal meteen aanleiding geven tot waarschuwingen rond lekken, want het wachtwoord colibris komt duizenden keren voor in lijsten met gecompromitteerde wachtwoorden. Het is te kort, het bevat enkel letters, en is bovendien een woord uit het woordenboek. Ook varianten zoals colibris123 zijn onveilig.
Beproefde beveiliging
De beveiliging van kritische gegevens in Colibris is heel sterk. Colibris bewaart wachtwoorden als een eenrichtingshash met bcrypt, wat ervoor zorgt dat we zelf niet eens het originele wachtwoord kunnen achterhalen. We kunnen achteraf enkel nog verifiëren of een wachtwoord correct is door het te vergelijken met wat je ingeeft bij het inloggen, maar we kunnen het nooit actief “decrypteren”. Wie doorheen de extra beveiligingslagen geraakt en toegang zou verkrijgen tot onze databanken, zal daat enkel een onleesbaar wachtwoord aantreffen.
De melding “gevonden op een openbaar gepubliceerde lijst” is typisch afkomstig van de ingebouwde wachtwoordcontrole van een browser of van een wachtwoordbeheerder. Die vergelijkt het wachtwoord zélf (los van waar het wordt gebruikt) met verzamellijsten van wachtwoorden die ooit bij andere diensten zijn uitgelekt, in grote historische hacks zoals die van Linkedin, Adobe, Canva, Instagram, Duolingo, Twitter, Facebook, enzovoort. Wanneer (een variant van) hetzelfde wachtwoord ook in Colibris wordt gebruikt, dan zal dit ook deze melding geven.
Nog vragen?
Heb je toch concrete aanwijzingen hebben van ongeautoriseerde toegang tot Colibris-accounts? Zie je onbekende transacties, gewijzigde instellingen, onverwachte e-mails of andere aanwijzingen voor ongeautoriseerde toegang? Neem dan onmiddellijk contact op met Colibris Support, zodat wij dit gericht kunnen onderzoeken.