Een inlogcode op de telefoon, een vingerafdruk of een sleutel in de browser: tweestapsverificatie is voor veel mensen al gewoon geworden. Dit stuk legt uit hoe de methoden werken, hoe een vergunde aanbieder als veiligheidskader dient en waar phishing, openbare wifi en gedeelde apparaten het inloggen kunnen raken.
Biometrie en toegangssleutels als nieuwe stap
Naast een wachtwoord worden steeds vaker biometrische kenmerken gebruikt, zoals een vingerafdruk of gezichtsherkenning op een telefoon. Het apparaat slaat die gegevens meestal lokaal op en controleert alleen of ze overeenkomen, zodat ze niet naar de aanbieder worden gestuurd. Een toegangssleutel, in het Engels passkey, gaat een stap verder: daarbij hoort een sleutelpaar, waarvan de privesleutel op het apparaat blijft en die wordt ontgrendeld met een vingerafdruk, gezicht of pincode. Omdat zo’n sleutel aan het webadres van de dienst is gekoppeld, werkt hij niet op een nagemaakte site, wat phishing lastiger maakt.
De werking van codes, apps en sms
Bij tweestapsverificatie komt naast het wachtwoord een tweede bewijs dat iemand de rechtmatige gebruiker is. Een code per sms is het bekendst: de aanbieder stuurt een eenmalig nummer dat kort geldig blijft. Een authenticatie-app maakt zelf codes aan die ongeveer elke halve minuut wisselen en die ook zonder mobiel bereik werken. Een Nederlandse aanbieder met een KOA-vergunning moet de identiteit van spelers vaststellen, en een betaling vraagt in de Europese Unie vaak om sterke klantauthenticatie, zoals vastgelegd in de PSD2-regels. Een voorbeeld van een aanbieder is 1Red.
De methoden verschillen in gemak en bescherming:
- Sms-codes zijn eenvoudig, maar kunnen worden onderschept of omgeleid.
- Codes uit een app zijn minder afhankelijk van het mobiele netwerk.
- Toegangssleutels combineren gemak met bescherming tegen nagemaakte sites.
Legaal aanbod als veiligheidskader
Een vergunning is een eerste controlepunt voor de veiligheid van een omgeving. In Nederland mogen online kansspelen alleen worden aangeboden met een KOA-vergunning van de Kansspelautoriteit (KSA), en het officiele overzicht van verleende vergunningen heet Kansspelwijzer. Wie die lijst raadpleegt, kan nagaan of een aanbieder erin staat. Een vergunninghouder moet bovendien in de Europese Unie of de Europese Economische Ruimte zijn gevestigd en voldoen aan eisen voor identiteitscontrole en gegevens.
Phishing herkennen voor het inloggen
Phishing is het nabootsen van een bekende afzender om inloggegevens of codes los te krijgen. Verdachte berichten dringen vaak aan op haast, bijvoorbeeld met een dreigende blokkade, en bevatten een link naar een webadres dat net afwijkt van het echte. Een afwijkende afzender, taalfouten of een vraag naar een verificatiecode zijn aanwijzingen dat het bericht niet klopt. Het slotje in de adresbalk laat alleen zien dat de verbinding versleuteld is, niet dat de site betrouwbaar is.
Wie een melding over een verdachte inlogpoging ontvangt, kan deze stappen doorlopen:
- Volg de link in het bericht niet, maar open de dienst via het eigen opgeslagen adres.
- Controleer in het account of er recente inlogpogingen staan.
- Wijzig het wachtwoord en schakel indien nodig de tweede stap opnieuw in.
- Meld verdachte berichten bij de aanbieder en vraag zo nodig om hulp.
Een verstandige gewoonte is het webadres letter voor letter te lezen voordat gegevens worden ingevoerd. Wie het adres altijd via een eigen bladwijzer opent, loopt minder risico dat een nagemaakte pagina onbedoeld wordt geopend, en kan een afwijking sneller opmerken. Ook helpt het om meldingen van de aanbieder alleen te vertrouwen als ze ook in het account zelf zichtbaar zijn, zodat een bericht van buitenaf nooit het enige bewijs hoeft te zijn.
Let op: verificatiecodes zijn voor niemand bedoeld, ook niet voor iemand die zich als medewerker voordoet.
Openbare wifi en gedeelde apparaten
Op een openbaar wifinetwerk is niet altijd duidelijk wie meekijkt of wie het netwerk beheert. Versleuteling beperkt de risico’s, maar de veiligste keuze blijft inloggen op een vertrouwd netwerk of via een mobiele verbinding, zeker voor diensten met een betaalfunctie. Een aanbieder die verbindingen beveiligt, maakt dit niet overbodig: een nagemaakt netwerk met een bekende naam kan gegevens onderscheppen. Op gedeelde apparaten, zoals een computer op school of op het werk, geldt dat inloggegevens kunnen achterblijven, en dat een browser aanbiedt om wachtwoorden op te slaan.
Handige voorzorgen op een gedeeld of openbaar apparaat:
- gebruik zo mogelijk een eigen apparaat of een eigen verbinding;
- log na afloop uit en sluit het venster;
- laat de browser geen wachtwoorden bewaren;
- gebruik geen openbare computer voor betalingen.
Samengevat rust accountbeveiliging op meerdere lagen: een wachtwoord, een tweede stap en alertheid bij berichten en netwerken. Toegangssleutels en biometrie maken het inloggen eenvoudiger, terwijl codes via app of sms nog veel worden gebruikt. Wie daarnaast een aanbieder met een vergunning kiest, gecontroleerd via de Kansspelwijzer, heeft een extra kader om op te steunen.
