Stel bij de start van het account meteen tweestapsverificatie, inlogapparaten, herstelgegevens en zakelijke rechten in. Deze vier maatregelen helpen veel accountovernames en gedwongen verificaties te voorkomen en geven een vaste volgorde voor handelen bij verdachte aanmeldingen.
Een account dat wordt overgenomen, beperkt of uitgeschakeld is vaak niet alleen een kwestie van pech; sommige belangrijke instellingen zijn dan simpelweg nooit geconfigureerd. Zodra een account in gebruik wordt genomen, zijn er vier zaken die echt direct geregeld moeten worden: tweestapsverificatie, inlogactiviteit en geautoriseerde apparaten, herstelgegevens en rechten die aan zakelijke accounts zijn gekoppeld. Als die vier punten goed staan, hoef je bij een verdachte aanmelding alleen nog een vaste volgorde te volgen in plaats van onder druk te improviseren.
Welke methode voor tweestapsverificatie kies je?
Het platform biedt meerdere verificatiemethoden. Kijk bij je keuze niet alleen naar gemak, maar vooral naar de vraag of je zelf weer toegang kunt krijgen wanneer een methode uitvalt.
Een authenticator-app, dus een hulpmiddel op je telefoon dat wisselende codes genereert, is een van de meest praktische opties. Deze methode is niet afhankelijk van sms, waardoor een ander apparaat, een andere regio of een nieuw telefoonnummer niet direct tot verlies van toegang leidt. Sms-codes zijn zeer gebruiksvriendelijk, maar als het nummer wordt opgeheven of internationale sms-berichten in jouw regio niet aankomen, kan de verificatie zelf een obstakel worden en duurt herstel langer. Hardwaremethoden zoals beveiligingssleutels bieden de hoogste beveiliging en passen goed bij een klein aantal kritieke accounts, maar je moet ze zorgvuldig bewaren; bij verlies kan een bezwaar- of herstelprocedure nodig zijn.
Een veelgebruikte aanpak is een authenticator-app als primaire methode te nemen en de herstelcode direct bij het genereren op te slaan, met daarnaast een offline kopie. Die code wordt alleen tijdens het aanmaken één keer getoond en is daarna niet meer zichtbaar.
Als meerdere mensen hetzelfde account beheren, moet je verificatiecodes ook niet doorsturen naar een groepschat om ze samen te gebruiken. Zodra zo'n code breed wordt gedeeld, blijft van tweestapsverificatie weinig meer dan een formaliteit over. Het is verstandiger om met een rechtensysteem verschillende toegangsniveaus aan verschillende personen toe te kennen, in plaats van iedereen dezelfde inloggegevens te geven.
Inlogactiviteit en geautoriseerde apparaten
De pagina met inlogactiviteit toont apparaten die recent zijn gebruikt en hun globale locatie. Het is verstandig deze pagina regelmatig te controleren en vooral op twee zaken te letten: verschijnen er onbekende apparaten of steden, en zijn er apps die al lang niet meer worden gebruikt maar nog steeds toestemming hebben?
Oudere analysetools, plugins voor winacties en tools voor publiceren via derden houden hun toestemming vaak ook nadat je ermee bent gestopt. Die autorisatie laten staan betekent alleen dat er een extra toegangspad naar het account blijft bestaan. Trek de toestemming in als je de tool niet meer gebruikt.
Stel herstelgegevens niet pas in als er iets misgaat
Je herstelmailadres en hersteltelefoonnummer bepalen of je een account zelf kunt terugkrijgen nadat er iets mis is gegaan. Twee details worden bijzonder vaak vergeten.
Het e-mailadres moet op de lange termijn toegankelijk blijven. Gebruik geen tijdelijk of verlaten adres en controleer ook of je het wachtwoord nog kent. Gebruik voor het telefoonnummer geen nummer dat op elk moment kan worden beëindigd, zeker geen geleend nummer. Als herstelgegevens ongeldig worden, kan tweestapsverificatie juist de muur worden die jou zelf buitensluit.
Rechten die aan zakelijke accounts zijn gekoppeld
Als het Instagram-account is gekoppeld aan een Facebook-pagina, een platform voor bedrijfsbeheer of een advertentieaccount, reikt de beveiligingsgrens verder dan het Instagram-account zelf. Controleer drie zaken: wie beheerder is en of mensen die het bedrijf hebben verlaten of van functie zijn veranderd tijdig zijn verwijderd; welke apps van derden en advertentietools zijn geautoriseerd; en of iemand kernactiva via een persoonlijk tweede account beheert, waardoor niemand ze kan overnemen als die persoon vertrekt.
De basisregel is dat je toegang waar mogelijk met rollen regelt en niet met gedeelde wachtwoorden. Als meerdere mensen hetzelfde account moeten bedienen, kan ieder lid een eigen identiteit en een afzonderlijke browseromgeving krijgen. Daardoor blijven handelingen herleidbaar en neemt de kans af dat gelijktijdige aanmeldingen vanuit verschillende locaties extra verificatie veroorzaken. Dit is ook een veelvoorkomende manier waarop PurpleMark in omgevingen met meerdere accounts wordt gebruikt.
Handel in deze volgorde bij een verdachte aanmelding
- Verander het wachtwoord zolang je nog kunt inloggen en kies in de beveiligingsinstellingen de optie om alle andere apparaten af te melden;
- Controleer of de tweestapsverificatie is gewijzigd en of het gekoppelde nummer en de authenticator-app nog onder jouw controle staan;
- Controleer het herstelmailadres en hersteltelefoonnummer om te zien of ze zijn vervangen door gegevens van iemand anders;
- Trek de toegang in van onbekende geautoriseerde apparaten en apps;
- Controleer gekoppelde zakelijke activa om te zien of er nieuwe beheerders zijn toegevoegd aan pagina's of advertentieaccounts;
- Houd na afloop de inlogmeldingen een tijd in de gaten om te bevestigen dat de afwijkende activiteit niet terugkomt.
De volgorde is belangrijk. Een wachtwoordwijziging verwijdert alleen de huidige sessie; als de herstelgegevens al zijn vervangen, kan de andere partij via de herstelprocedure snel weer binnenkomen. Sluit eerst de toegangspaden die in het account zijn achtergelaten, bevestig daarna dat herstel- en verificatiegegevens onder jouw controle staan en ruim pas daarna de zakelijke activa op.
Welke onderdelen worden aan het einde het vaakst overgeslagen?
Van de vier onderdelen valt tweestapsverificatie het meest op, waardoor de meeste mensen die wel instellen. Herstelgegevens en zakelijke rechten worden eerder overgeslagen omdat ze tijdens normaal gebruik zelden problemen geven. Maar wanneer er echt iets misgaat, zijn juist die twee onderdelen bepalend voor de vraag of je het account kunt terugkrijgen. De echte waarde van beveiligingsinstellingen is dat je een probleem met het account nog steeds zelf kunt oplossen.
