Op een dinsdagochtend kreeg ik een e-mail: nieuwe inlog op mijn spelersaccount, vanaf een apparaat dat ik niet kende, vanuit een stad honderden kilometers verderop. Ik had op dat moment € 140 op het account staan. Het liep goed af, maar alleen omdat ik een half jaar eerder twee instellingen had aangezet waar ik destijds eigenlijk geen zin in had.
Wat er was gebeurd
https://inkybetcasino.eu/bonus/
Mijn wachtwoord voor het casino was hetzelfde als voor een webwinkel waar ik jaren geleden een keer iets had besteld. Die webwinkel bleek gehackt en de combinatie van e-mailadres en wachtwoord was in een lijst terechtgekomen die automatisch op honderden sites wordt geprobeerd. Het wachtwoord klopte dus. Wat niet klopte voor de inbreker, was de tweede stap: de app op mijn telefoon vroeg om een bevestigingscode, en die had hij niet. De inlogpoging bleef steken en ik kreeg de melding.
De twee instellingen die het verschil maakten
De eerste was tweestapsverificatie via een authenticator-app. Bij het instellen leek het omslachtig: een code bij elke inlog, herstelcodes bewaren, telefoon bij de hand. Achteraf was het de enige reden dat er niets gebeurde. Bij Inkybet zit de instelling in het beveiligingsgedeelte van het account en geldt ze na activering ook voor uitbetalingsverzoeken, wat betekent dat zelfs een geslaagde inlog nog geen geld had kunnen verplaatsen.
De tweede was de e-mailmelding bij inloggen vanaf een nieuw apparaat. Zonder die melding had ik de poging nooit opgemerkt en was ik pas gaan nadenken als het wachtwoord ergens anders wél zonder tweede stap had gewerkt.
Wat ik daarna heb gedaan
Eerst heb ik in het accountoverzicht alle actieve sessies beëindigd. Daarna een nieuw wachtwoord gekozen, gegenereerd door een wachtwoordbeheerder, achttien tekens, nergens anders in gebruik. Vervolgens alle andere accounts nagelopen waar hetzelfde oude wachtwoord nog stond; dat waren er meer dan ik wilde toegeven. Tot slot de klantenservice geïnformeerd, zodat de poging in mijn dossier staat voor het geval er later vragen komen.
Wat ik iedereen zou aanraden
Een uniek wachtwoord per site, een tweede stap via een app en niet via sms, en meldingen aan voor nieuwe apparaten en voor elke uitbetaling. Dat is een kwartier werk en het is de enige reden dat die dinsdag een anekdote is geworden in plaats van een schadepost. Een spelersaccount staat op naam van een meerderjarige en bevat een kopie van een identiteitsbewijs; dat alleen al is reden genoeg om het beter te beveiligen dan een webwinkelaccount.