App autoriseren - vraagt om alle rechten

Een gehackt Twitter-account opruimen en in vervolg voorkomen

Als je Twitter-account is gehackt dan merk je dat waarschijnlijk doordat er privéberichten (direct messages, dm) of tweets via jouw account zijn verstuurd zonder dat je daar toestemming voor hebt gegeven.

Het kan zijn dat je de hack hebt opmerkt doordat je bepaalde accounts ineens volgt (of juist niet meer). In de meeste gevallen krijg je een seintje van iemand die jou volgt op Twitter. Of van Twitter zelf – als de hacker je e-mailadres probeert aan te passen want daar moet je – via e-mail – goedkeuring voor geven.

Het kan ook zo zijn dat je een of andere koppeling hebt gelegd. Bijvoorbeeld doordat je een andere webservice via IFTTT (If This Then That) aan Twitter hebt gekoppeld, of YouTube automatisch laat tweeten over je favoriete video’s. Wil je deze mogelijkheid uitsluiten, volg dan de stappen onder het kopje “Twitter-client achterhalen” aan het einde van dit artikel.

De meeste hacks versturen privéberichten naar de mensen die jou volgen. Zo ben je zelf misschien ook wel gehackt. Hieronder zie je een voorbeeld van een dergelijke privébericht wat in oktober 2012 rond ging:

In dit artikel lees je over de gevolgen van een gehackt account zodat je er wat aan wilt doen, daarna wat je eraan kunt doen en tenslotte hoe je het in vervolg kunt voorkomen.

Twitter spam privébericht

Gevolgen van een gehackt account

Een gehackt account kan deze gevolgen hebben:

  1. Je volgers ontvangen spamberichten in een poging hun inloggegevens te stelen
    Via Twitter kun je maximaal 250 privéberichten per dag versturen, dus in het slechtste geval heb je 250 mensen lastig gevallen.
  2. Je wachtwoord is mogelijk bekend bij hackers
    Sinds 1 september 2010 mogen applicaties niet meer om je Twitter-wachtwoord vragen. Maar toch doen hackers het nog en mensen trappen erin. Zie hieronder bijvoorbeeld het scherm wat ik kreeg na het volgen van de link uit bovenstaand privébericht:
    Twitter Video scam via Facebook
  3. Je wachtwoord is niet bekend maar hackers hebben toegang tot je Twitter-account
    Sinds 1 september 2010 horen applicaties een tussenscherm te openen op Twitter.com waarin jij toegang kunt geven tot je account. Deze inlogmethode heet oAuth. De toegang tot je account blijft vervolgens werken totdat je ‘m weer intrekt. De toegang blijft intact als jij je wachtwoord verandert!
  4. Er is misschien malware geïnstalleerd op je computer
    Oudere webbrowsers of populaire plugins die je waarschijnlijk op je computer hebt staan zoals Adobe Reader, Flash Player of Java bevatten fouten. Hackers kunnen in dat geval software installeren op je PC door je een specifieke webpagina te laten bezoeken. De geïnstalleerde software kan je toetsaanslagen doorsturen, webpagina’s van de bank veranderen (transacties meesturen) of iets als een virus zijn.

Wat te doen bij een gehackt account

De gevolgen van een gehackt account kun je als volgt ongedaan maken.

  1. Verwijder verzonden spamberichten: privéberichten én reguliere tweets
    Open je privéberichten via het tandwieltje > Privéberichten. Privéberichten kun je verwijderen – ze verdwijnen dan ook bij de ontvanger. Met de tool DMCleaner kun je DM’s sneller verwijderen, bijvoorbeeld op trefwoord of datum – nadeel is wel dat je die tool moet vertrouwen… Meldingen die mensen van privéberichten en reacties op hun telefoon of via e-mail ontvangen kun je niet intrekken. Reguliere tweets kun je gewoon per tweet van je profiel verwijderen. Omdat de meeste mensen meldingen gebruiken kun je beter wel een aparte tweet met een waarschuwing sturen, plus een linkje naar dit artikel.
  2. Verander je Twitter-wachtwoord, overal waar je het gebruikt
    Als je gehackt bent dan is het beter om je Twitter-wachtwoord te veranderen. Vaak weet je toch niet meer of het via oAuth is gegaan of via een website die sterk op Twitter leek. Lastig om een nieuw Twitter-wachtwoord uit je hoofd te leren. Hopelijk gebruik je hetzelfde wachtwoord niet op andere websites die hackers nu ook kunnen misbruiken, al is het maar om daar restjes informatie over jou te achterhalen.Bedenk dat Twitter je account voor een uur blokkeert als er een aantal keren een verkeerd wachtwoord is ingevuld. Op deze manier maakt Twitter het voor hackers lastig om je account te kraken door geautomatiseerd allerlei wachtwoorden te proberen. Het kan zijn dat andere applicaties nog proberen in te loggen op je account met je vorige Twitter-wachtwoord. Log of schakel dergelijke clients (TweetDeck, HootSuite of widgets op je website) uit. Pas als je zelf weer kunt inloggen op Twitter.com configureer je de clients opnieuw via de instellingen van de client.
  3. Trek rechten in van applicaties tot je Twitter-account
    Controleer op Twitter.com via het tandwieltje > Instellingen > Applicaties op Twitter welke applicaties toegang hebben tot je account. De laatst geautoriseerde applicaties staan bovenaan. Klik op “Toegang intrekken” als je iets niet vertrouwt of niet meer nodig hebt.
  4. Scan je computer op malware
    Goede software om een Windows-PC op malware te scannen is Malwarebytes.

Voorkomen dat je account gehackt wordt

Een gehackt account bezorgt jezelf en anderen veel werk. Daarnaast moet je een nieuw Twitter-wachtwoord onthouden. Voorkomen is beter dan genezen, dus:

  1. Pas op met het volgen van linkjes
    Klik niet zomaar op een linkje. Verdachte tweets zijn Privéberichten en Tweets met alleen maar een linkje. Privéberichten vooral als iemand die vrijwel nooit stuurt, ze in een andere taal zijn of teksten bevatten in de richting van “they got u on facebook.com”, “whatt are you doing in this vidd ?” of “This person is making up cruel things about you”. Verstuur dus zelf  ook geen tweets met alleen maar een linkje want als het goed is klikt er niemand op ;)
  2. Log alleen in op Twitter.com en gebruik op iedere website een ander wachtwoord
    Vul in principe buiten Twitter.com nergens je Twitter-wachtwoord in. iOS op iPod, iPhone en iPad is een bekende uitzondering – daar vul je eenmalig je accountgegevens in waarna iedere Twitter-applicatie ze kan gebruiken.Gebruik een tool zoals LastPass om gemakkelijk op iedere website een ander wachtwoord te gebruiken. LastPass genereert automatisch lange ingewikkelde wachtwoorden en vult ze ook zelf voor je in.
  3. Controleer de oAuth rechten die een applicatie vraagt
    Applicaties die toegang willen tot jouw account kunnen verschillende machtigingen vragen. Lezen, schrijven en toegang tot privéberichten zijn drie verschillende dingen! Twitter geeft in het tussenscherm duidelijk aan welke rechten de applicatie wél en níet vraagt, lees dit scherm dus goed. Het is bijvoorbeeld vreemd dat een applicatie die je een video of analyse van je tweets wil laten zien vraagt om tweets of privéberichten te mogen versturen. Het screenshot hieronder laat een app zien die alleen om leesrechten vraagt.
    App autoriseren om tweets te lezen uit je tijdlijn

    In het screenshot hieronder vraagt Twitter-client TweetDeck om alle rechten die er te geven zijn. Dat is logisch want het is een Twitter-applicatie waarmee gevorderden veel tweets kunnen volgen en erop reageren. Twitter expliciteert dat TweetDeck je wachtwoord zelf niet in handen krijgt.
    App autoriseren - vraagt om alle rechten

    Trek via het tandwieltje > Instellingen > Applicaties op Twitter de machtigingen van tooltjes die je eenmalig of incidenteel gebruikt, zoals DMCleaner, meteen na gebruik weer in.
  4. Zorg dat de software op je computer up-to-date is
    Klakkeloos updates installeren brengt het risico met zich mee dat er af en toe iets niet werkt. De ontwikkelaar kan in de nieuwe versie een foutje gemaakt hebben. Het veiligheidsrisico is echter groter. Omdat iedere software je op een andere manier (of niet) op de hoogte brengt van nieuwe versies installeer je Patch My PC – die houdt in de gaten of de software die je hebt geïnstalleerd up-to-date is.

In het boek “Pas op je passwords” leg ik uit waarom je voor iedere dienst een unieke wachtwoord wilt gebruiken en hoe je dat praktisch organiseert met Bitwarden.

Loginverificatie inschakelen

Om te voorkomen dat mensen met het proberen van je inlognaam en wachtwoord toegang tot je account kunnen krijgen kun je loginverificatie inschakelen.

Naast je inlognaam en wachtwoord heb je dan een code nodig die je via je telefoon krijgt aangeboden. De code kun je via SMS (helaas alleen T-Mobile of 2Degrees) of via de Twitter-app krijgen.

  • Als je de code via SMS wilt ontvangen, stel dan eerst je mobiele nummer in via Instellingen > Mobiel. Via Instellingen > Account kun je Loginverificatie inschakelen via SMS.
  • Loginverificatie via de Twitter-app schakel je in vanuit de Twitter-app > Ik > Tandwieltje > Instellingen > Beveiliging > Inlogverificatie. Bewaar de back-upcode (bijvoorbeeld in Evernote) voor het geval je je telefoon kwijt bent of geen verbinding met internet hebt.

Log vervolgens uit en weer in op de webinterface van Twitter op PC of laptop. Je zult zien dat je nu een inlogverzoek via je app goed moet keuren. Als je geen bericht ziet, open dan de instellingen om naar de inlogverzoeken te bladeren.

Sommige Twitter-applicaties kunnen nog niet overweg met de extra code: hiervoor moet je voordat je kunt inloggen een tijdelijk wachtwoord aanmaken (met de knop “Aanmaken”) welke na een uur verloopt.

Twitter-client van een tweet achterhalen

Heb je een enkele vreemde tweet aangetroffen op je eigen profiel die je niet zelf hebt verstuurd? Het kan zijn dat je een of andere koppeling hebt gelegd. Bijvoorbeeld YouTube automatisch laat tweeten over je favoriete video’s. Of misschien heb je wel een of andere webservice aan Twitter gekoppeld via IFTTT (If This Then That).

Tot medio 2012 kon je onderaan een tweet zien via welk programma deze was verstuurd. Zo kwam je ook interessante Twitter-programma’s die anderen gebruiken op het spoor. Maar het kan nog steeds, log in op TweetDeck en klik op een tweet – de naam van het verzendende programma staat dan rechtsonder.

Een gedachte over “Een gehackt Twitter-account opruimen en in vervolg voorkomen

Geef een reactie

Je reactie verschijnt pas na goedkeuring. Je e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *