Kort samengevat: voor een volwassen homo-, biseksuele of twijfelende man die niet out is, is accountbeveiliging geen onderwerp voor nerds. Het is het slot dat een privéleven scheidt van een outing. Een wachtwoord dat je hergebruikte op een forum dat in 2019 werd gehackt, een sessie die open bleef staan op de computer van een huisgenoot, een telefoonnummer dat nog aan een oud account hangt, een mailbox zonder tweede factor: dat zijn de vier deuren waarlangs vrijwel elke inbraak binnenkomt. Zodra de mailbox gecompromitteerd is, valt al het andere, want die mailbox maakt het mogelijk om de overige wachtwoorden te herstellen. Deze gids beschrijft de echte routes van een inbraak, de instellingen die in het echte leven standhouden, en wat je moet doen — in Frankrijk en in België — wanneer het account al verloren is.
Dit artikel beschrijft persoonlijke veiligheidspraktijken, publieke voorzieningen en het algemene wettelijke kader. Het vormt geen persoonlijk juridisch advies. In Frankrijk: het publieke platform Cybermalveillance.gouv.fr (diagnose en doorverwijzing); 17 Cyber om online te worden doorverwezen; het PHAROS-platform van het ministerie van Binnenlandse Zaken voor illegale inhoud; de hulplijn van SOS homophobie 01 48 06 42 41; de CNIL (Franse gegevensbeschermingsautoriteit) voor persoonsgegevens; noodnummers 17 of 112, sms naar 114. In België: Safeonweb (Centrum voor Cybersecurity België), meldingen via suspect@safeonweb.be, Unia 0800 12 800, Lumi 0800 99 533. Alle personen die hier aan bod komen, zijn volwassenen.
Waarom een gehackt account duurder uitvalt als je niet out bent
Wanneer een krant voor het grote publiek over accounthacks schrijft, gaat het over geld: bankkaart, frauduleuze aankopen, losgeld. Voor een man die videochat met andere mannen zonder dat zijn familie, partner of werkgever dat weet, is het verlies niet financieel. Het is informatie.
Een openstaande mailbox betekent:
- de geschiedenis van je inschrijvingen (nieuwsbrieven van LGBTQ+-organisaties, accountbevestigingen, vpn-facturen);
- de mogelijkheid om de wachtwoorden van zo goed als alle andere diensten te resetten, aangezien de herstellink daar binnenkomt;
- oude bijlagen die je vergeten was;
- en vaak een volledig adresboek — met andere woorden: precies de lijst van mensen die een chanteur kan aanschrijven.
Die laatste regel verandert een technisch incident in een outingrisico. Het klassieke scenario is niet "we hebben je account overgenomen", maar "we hebben je account overgenomen en we schrijven je vanaf je eigen adres om te vertellen wat we ermee gaan doen".
Even het recht in herinnering brengen, want dat staat aan jouw kant. Seksuele gerichtheid is een gevoelig gegeven in de zin van artikel 9 van de AVG: het openbaar maken ervan zonder toestemming is geen indiscretie, het is een onrechtmatige verwerking van een bijzondere categorie persoonsgegevens. Chantage is strafbaar op grond van artikel 312-10 van de Franse strafwet (vijf jaar gevangenisstraf en 75.000 euro boete), en frauduleuze toegang tot een geautomatiseerd gegevensverwerkingssysteem op grond van artikel 323-1 (drie jaar en 100.000 euro). In België bestraft artikel 550bis van het Strafwetboek hacking. Geen van die bepalingen vereist dat je out bent om beschermd te zijn.
De vier echte toegangsdeuren
1. Het hergebruikte wachtwoord
Dit is met voorsprong oorzaak nummer één. Je maakte acht jaar geleden een account aan op een willekeurige site met het mailadres dat je nog altijd gebruikt en een wachtwoord dat je "sterk genoeg" vond. Die site is gehackt, de database circuleerde, en jouw combinatie van adres en wachtwoord staat in een bestand dat doorverkocht is. De aanvallers hoeven niets te kraken: ze proberen de combinatie elders. Dat heet credential stuffing.
De nuttige reflex: gaan controleren. De dienst Have I Been Pwned, beheerd door onderzoeker Troy Hunt, laat je zien in welke bekende datalekken een adres voorkomt. Firefox Monitor en moderne wachtwoordmanagers doen dezelfde controle doorlopend.
2. De sessie die open bleef staan
Een browser op de gezinscomputer, een gedeelde tablet, een werkplek op kantoor, een toestel dat je een avond uitleende. De sessie vraagt geen wachtwoord meer: het tabblad openen is genoeg. Er is geen enkele technische kennis nodig, en precies daarom komt dit zo vaak voor in situaties zoals beschreven in onze gids over nog bij je ouders wonen of over een studentenkot delen.
3. Gerichte phishing
Een mail die je mailprovider, je bank of een platform imiteert. De valse mails van 2026 zijn netjes: correct logo, foutloze taal, een domeinnaam die bijna juist is. De enige betrouwbare controle blijft: nooit een wachtwoord invoeren via een link die je ontving, maar het adres van de dienst zelf intypen.
4. Fysieke toegang tot het toestel
Een telefoon die vijftien seconden ontgrendeld is, volstaat om een spionage-app te installeren of berichten te lezen. Zowel het Franse ANSSI als de CNIL herhalen dat schermvergrendeling de eerste veiligheidsmaatregel is, ruim vóór geavanceerde instellingen. Een beveiligingskabel voor laptops is zinvol in een gedeeld kantoor; een simpele code van zes cijfers in plaats van vier is dat net zo goed.
De basis: drie instellingen die alles veranderen
Een wachtwoordmanager, en één wachtwoord om te onthouden
Het principe is eenvoudig: één uniek, lang wachtwoord per dienst, versleuteld opgeslagen en beschermd door één enkele wachtwoordzin die jij onthoudt. De CNIL beveelt sinds 2022 wachtwoorden van minstens 12 tot 15 tekens aan, of het gebruik van een manager precies om ze niet meer te hoeven memoriseren.
Twee punten die specifiek voor ons onderwerp gelden:
- Kies een manager die zijn inhoud niet verraadt. Veel apps tonen bij het openen meteen een lijst met sites in leesbare tekst. Als iemand je telefoon ontgrendelt, ziet hij de namen. Kies liever een tool die bij elke opening biometrie of een code vraagt, niet alleen bij de eerste start.
- Schrijf je hoofdwachtwoordzin ergens fysiek en neutraal op. Een notitieboekje met cijferslot bij je administratieve papieren is minder riskant dan een bestand "wachtwoorden.txt" op je bureaublad. Als je die zin kwijtraakt, raak je alles kwijt.
Tweestapsverificatie, maar niet via sms
Een tweede factor activeren op je mailbox is de meest rendabele handeling uit dit artikel. Het voorkomt dat een gestolen wachtwoord volstaat. Maar niet alle tweede factoren zijn gelijkwaardig:
| Methode | Weerstaat wachtwoorddiefstal | Weerstaat phishing | Weerstaat fysieke toegang tot de telefoon |
|---|---|---|---|
| Sms | Ja | Nee | Nee |
| Authenticatie-app (codes van 6 cijfers) | Ja | Gedeeltelijk | Afhankelijk van de vergrendeling |
| Fysieke beveiligingssleutel (FIDO2) | Ja | Ja | Ja (de sleutel blijft bij jou) |
Sms blijft kwetsbaar voor simswapping: een derde bemachtigt een nieuwe simkaart op jouw nummer en ontvangt jouw codes. ANSSI en ENISA raden al jaren aan om authenticatie-apps te verkiezen of, nog beter, hardwaresleutels. Een FIDO2-beveiligingssleutel met USB-C, aan je sleutelbos, blokkeert ook phishing: zelfs op een perfect nagemaakte valse site weigert de sleutel te authenticeren, omdat de domeinnaam niet overeenkomt.
Kies je voor een sleutel, neem er dan twee: één bij je, één geregistreerd als back-up en elders opgeborgen. Je enige sleutel verliezen zonder geprinte noodcodes is een snelle manier om jezelf buiten te sluiten.
Herstelgegevens, de blinde vlek
Open de herstelinstellingen van je belangrijkste mailbox en kijk wat er staat. Heel vaak: een oud adres dat je niet meer gebruikt en waarvan het wachtwoord zwak is, of een telefoonnummer dat niet langer het jouwe is. Een aanvaller valt de muur niet aan, hij valt de dienstingang aan. Ruim op: één enkel herstelenadres, actief, en zelf ook beschermd met een tweede factor.
Identiteiten netjes scheiden
Discreet zijn betekent niet alles achter één zwaar beveiligd account verstoppen, maar compartimenteren. Als één deur bezwijkt, mag die niet het hele huis openen.
Een realistische compartimentering bestaat uit drie niveaus:
- De administratieve identiteit: bank, belastingen, werkgever, zorg, familie. Eén mailadres op je naam, een nummer dat iedereen kent, een wachtwoordmanager, een tweede factor.
- De gewone sociale identiteit: aankopen, nieuwsbrieven, allerlei inschrijvingen. Idealiter met aliassen (de meeste providers laten je wegwerpadressen aanmaken die doorsturen naar je hoofdadres).
- De intieme identiteit: alles wat je gevoels- en seksleven betreft, LGBTQ+-organisaties, dating- of videochatplatforms. Een apart adres, zonder je naam erin, dat niet als herstelenadres van het eerste staat ingesteld, en met een wachtwoord dat nooit elders is gebruikt.
De meest gemaakte fout: het adres van niveau 3 gebruiken voor een levering, of het nummer van niveau 1 om je op een platform in te schrijven. Omgekeerd zoeken op telefoonnummer werkt uitstekend, en dat is een van de mechanismen die we uitleggen in het artikel over wat gay datingapps en videochat echt blootleggen.
Voor het toestel zelf kun je met een versleutelde microSD-kaart of een hardwarematig versleutelde externe schijf buiten de telefoon houden wat daar niet permanent hoeft te staan. Volledige versleuteling van de opslag staat op recente telefoons standaard aan; op een computer moet je die vaak handmatig activeren (BitLocker, FileVault, LUKS).
Het account is al verloren: de procedure
De volgorde doet ertoe. Elke minuut die je besteedt aan het zoeken van hulp, is een minuut waarin de indringer je berichten leest.
1. Eerst de mailbox terugnemen. Niet de sociale media, niet het platform: de mail, omdat die al het andere bestuurt. Start vanaf een toestel dat je vertrouwt de herstelprocedure, verander het wachtwoord en ga dan — en dat is het deel dat bijna iedereen vergeet — naar de beveiligingsinstellingen om alle actieve sessies af te melden.
2. Nagaan wat de indringer heeft achtergelaten. Controleer in de instellingen van je mail systematisch:
- de regels voor automatisch doorsturen (een filter dat je mails stil doorkopieert naar elders is het favoriete instrument van chanteurs);
- de automatische antwoorden;
- de toegelaten externe apps;
- de hersteladressen en -nummers, die vaak gewijzigd zijn;
- de inloggeschiedenis, die je als schermafbeelding bewaart.
3. Wachtwoorden wijzigen op volgorde van gevoeligheid, te beginnen met wat tegen je gebruikt kan worden: sociale accounts, online fotoopslag, platforms die met je intieme leven te maken hebben. Daarna de bank.
4. Documenteren vóór je verwijdert. De drang om alles te wissen is sterk. Maar zonder sporen leidt geen enkele klacht tot iets. We beschrijven de volledige methode in melden, blokkeren, bewijs bewaren: schermafbeeldingen met datum en tijd waarop de volledige URL zichtbaar is, export van de berichten, bewaring op een drager die alleen jij beheert. Een kleine versleutelde externe harde schijf, opgeborgen los van het betrokken toestel, doet precies dat werk.
5. Melden en klacht neerleggen. In Frankrijk biedt Cybermalveillance.gouv.fr een diagnosetraject en verwijst het je door; via 17 Cyber kun je online een eerste contact met de politie leggen. Frauduleuze toegang tot een account en chantage zijn afzonderlijke strafbare feiten: ze beide in de klacht vermelden voorkomt een minimale herkwalificatie. Als persoonsgegevens zijn blootgesteld door een fout van een dienst, kan de CNIL worden ingeschakeld. In België bundelt Safeonweb de meldingen, en behandelt Unia discriminatie op grond van seksuele gerichtheid.
6. Nooit betalen. Een chanteur die betaald wordt, komt terug. Dat is de constante vaststelling van zowel opsporingsdiensten als verenigingen. Is de dreiging van outing expliciet, dan beschrijft onze gids homofobe valstrik en chantage na een videochat de volledige reeks stappen, inclusief de mogelijkheid om zelf het initiatief te nemen bij de mensen die voor jou belangrijk zijn.
Drie gewoonten die meer waard zijn dan tien tools
Twee keer per jaar een audit doen. Een half uur, een koffie en een lijstje: welke accounts bestaan er nog op mijn naam, welke bevatten iets gevoelig, welke hebben geen tweede factor. Vergeten accounts zijn het gevaarlijkst, want niemand houdt hun waarschuwingen in de gaten.
Je scherm altijd vergrendelen. Niet "als ik de kamer verlaat": elke keer dat het toestel je handen verlaat. Het is de meest effectieve en goedkoopste maatregel, en ze vraagt geen enkele aankoop. Een privacyfilter voor je scherm vult dat nuttig aan in de trein of in een landschapskantoor, doordat het scherm vanaf de zijkant onleesbaar wordt.
Vooraf beslissen wie je belt. Het slechtste moment om een nummer te zoeken is net nadat je een inbraak hebt ontdekt. Bewaar ergens, buiten je telefoon, twee of drie contacten: een vertrouwenspersoon, de hulplijn van SOS homophobie (01 48 06 42 41) of Lumi in België (0800 99 533), en het adres van Cybermalveillance.gouv.fr. Heeft het incident psychologische gevolgen — en dat heeft het vaak —, dan somt ons artikel na een homofobe aanval online de beschikbare hulplijnen op.
Wat je moet onthouden
Accountbeveiliging is geen eindeloze discipline. Ze komt neer op een klein aantal beslissingen die je één keer neemt: een wachtwoordmanager, een tweede factor op je hoofdmailbox die geen sms is, opgeschoonde hersteladressen, drie gescheiden identiteiten, en een scherm dat vergrendelt. De rest is onderhoud.
En als de inbraak al heeft plaatsgevonden: eerst de mailbox, dan de doorstuurfilters, het bewijs vóór het verwijderen, de klacht vóór de onderhandeling, en nooit één euro betalen. De pagina veiligheid van deze site vat de basishandelingen samen, en het videochatlexicon definieert de technische termen die hier voorbijkwamen.
Nog één ding, dat niets technisch heeft: een gehackt account is niet jouw fout. Datalekken komen van bedrijven die hun databases slecht beveiligden, valse mails worden door professionals ontworpen, en de overgrote meerderheid van de slachtoffers deed precies wat hen was aangeraden. Schaamte is een wapen van de chanteur. Hem dat wapen afnemen is deel van het weerwerk.
