De telefoon die u hebt verkocht, is nog steeds aangemeld bij uw accounts

De telefoon van twee jaar geleden is al geruime tijd in andermans bezit. Verkocht, weggegeven of ingeruild, en eerst teruggezet naar de fabrieksinstellingen. De meeste mensen beschouwen dat als het einde van de zaak.

Google doet dat niet. Op de helppagina van Google staan de redenen vermeld waarom u een apparaat mogelijk niet herkent in uw account, en een daarvan is: „U hebt onlangs uw apparaat teruggezet naar de fabrieksinstellingen. Het apparaat kan nog steeds worden weergegeven.” Door het terugzetten wordt de telefoon gewist. De vermelding in uw account wordt echter niet gewist. Toegang kan langer bestaan dan de hardware zelf, en hetzelfde geldt voor een oud mobiel nummer.

De meeste mensen hebben meer vermeldingen in deze lijsten dan zij verwachten. Oude telefoons, een laptop van een voormalige werkgever, een tv waarop men zich ooit één avond heeft aangemeld. Elke vermelding is een apparaat dat nog steeds toegang heeft tot het account.

Een nieuw wachtwoord meldt niet elk apparaat af

Algemeen wordt aangenomen dat het wijzigen van een wachtwoord ervoor zorgt dat alle anderen worden uitgelogd. Bij sommige diensten is dat het geval, bij andere niet, en de meeste aanbieders zeggen hier helemaal niets over. Actieve sessies vormen hier het zwakke punt. Met een gestolen sessiecookie kan een aanvaller toegang krijgen zonder het wachtwoord en zonder de tweede authenticatiefactor.

Google is hierover het duidelijkst. Wijzigt u daar uw wachtwoord, dan wordt u overal uitgelogd, met drie uitzonderingen: apparaten die u gebruikt om te verifiëren dat u het zelf bent wanneer u inlogt, bepaalde apparaten met apps van derden waaraan u toegang tot uw account hebt verleend, en handige slimme apparaten in huis waaraan u toegang tot uw account hebt verleend. Een slimme luidspreker behoort tot die laatste groep.

Amazon vermeldt dit effect eveneens, maar alleen in de Engelse versie van zijn helppagina’s: „Als u uw wachtwoord wijzigt, wordt u afgemeld bij Amazon-apps en -websites op alle apparaten die geen Kindle zijn.” Kindles blijven aangemeld.

Netflix maakt er een selectievakje van. In het helpcentrum staat: „Wij raden u aan het selectievakje ‚Alle apparaten afmelden‘ aangevinkt te laten.“ Als u dat vakje uitschakelt, wijzigt u het wachtwoord terwijl alle sessies actief blijven.

Microsoft, Apple en Instagram vermelden hierover niets op hun officiële helppagina’s. Apple houdt de twee zaken gescheiden. In de handleiding voor een account dat mogelijk is gekaapt, is het wijzigen van het wachtwoord stap één, en het verwijderen van onbekende apparaten volgt vier stappen later als een afzonderlijke taak. Wij stuitten onlangs op dezelfde beperking bij app-wachtwoorden, die bij het wijzigen van het wachtwoord helemaal niet worden beïnvloed.

U kunt dus niet vertrouwen op het wijzigen van het wachtwoord. U moet hoe dan ook de apparatenlijst controleren.

Waar de apparatenlijsten zich bevinden

Elke dienst heeft ze ergens anders weggestopt, en verschillende diensten houden meer dan één lijst bij. Het onderstaande overzicht brengt u rechtstreeks naar de juiste plek. Twee daarvan bieden een knop waarmee u alles kunt uitloggen. Bij de overige vijf logt u apparaat voor apparaat uit.

Wat de lijsten u niet vertellen

Een lege of korte lijst bewijst niets. Netflix vermeldt uitdrukkelijk dat er apparaten kunnen ontbreken. Alles wat de afgelopen 90 dagen niet actief is geweest, wordt helemaal niet weergegeven, evenmin als apparaten die uitsluitend voor Netflix-games of uitsluitend voor toegang tot Tudum worden gebruikt. Het kan tot 48 uur duren voordat een apparaat überhaupt in de lijst verschijnt.

Microsoft vermeldt dezelfde vertraging van maximaal 24 uur voor zijn eigen lijst, en het duurt net zo lang voordat het uitloggen effect heeft. De Xbox vormt hierop een uitzondering en blijft ingelogd.

Apple heeft een eigen addertje onder het gras. Als u een apparaat verwijdert dat nog steeds is aangemeld bij uw account, verschijnt het weer. Op de helppagina staat het als volgt: „Als u nog steeds bent aangemeld bij uw Apple-account op het apparaat, kan het zijn dat het weer verschijnt op het scherm van uw Apple-account zodra uw apparaat de volgende keer verbinding maakt met het internet.” Een telefoon die u hebt verkocht, verdwijnt pas definitief wanneer u zich daarop afmeldt bij iCloud, Media & Aankopen, iMessage, FaceTime en Game Center, of wanneer u het apparaat wist.

Ook de tijdstempels zijn minder betrouwbaar dan ze lijken. Google wijst erop dat de weergegeven tijd afkomstig kan zijn van synchronisatie op de achtergrond en niet noodzakelijkerwijs van iemand die het apparaat daadwerkelijk heeft gebruikt. Een vermelding van vanochtend betekent niet dat iemand die telefoon vanochtend in handen heeft gehad.

WhatsApp ruimt zelf op, op basis van twee verschillende timers

WhatsApp gaat beter om met gekoppelde apparaten dan de rest, omdat de dienst het opruimen voor u doet. Er zijn echter twee afzonderlijke timers, en daar ontstaat vaak verwarring over. Als uw hoofdtelefoon langer dan 14 dagen niet wordt gebruikt, worden alle gekoppelde apparaten uitgelogd. Als één gekoppeld apparaat inactief blijft, wordt dat apparaat na 30 dagen verwijderd. WhatsApp staat sowieso niet meer dan vier gekoppelde apparaten tegelijk toe.

Dat maakt WhatsApp tot de uitzondering. Bij geen van de andere diensten verloopt iets vanzelf, of in ieder geval wordt daarover niets vermeld.

10 minuten, één keer doorlopen

Werk de zeven adressen uit het overzicht één voor één door. Meld u af bij elk item dat u niet meteen kunt plaatsen. Als u per ongeluk een van uw eigen apparaten afmeldt, kost dat u een nieuwe aanmelding. Het over het hoofd zien van een apparaat dat niet van u is, kost u meer.

Houd daarbij drie zaken in gedachten. Meerdere rijen met dezelfde apparaatnaam kunnen bij één apparaat horen of bij meerdere, en Google adviseert om bij twijfel bij alle rijen uit te loggen. Bij Apple moet u ook op het apparaat zelf uitloggen, anders verschijnt het item weer. En bij Microsoft en Netflix wordt het uitloggen pas na enkele uren van kracht, dus bij een onmiddellijke tweede controle wordt nog steeds de oude status weergegeven.

Als er een apparaat opduikt dat u totaal niets zegt, is uitloggen slechts de eerste stap. Wijzig daarna het wachtwoord en controleer uw instellingen voor tweefactorauthenticatie.