Telefoon kwijt, account geblokkeerd: wat helpt nu echt?

Uw telefoon is kwijt. Gestolen, in een meer gevallen, het maakt niet uit. U kent nog steeds het wachtwoord van uw Google-account, maar Google eist nu de tweede verificatiefactor, en die stond op de telefoon die u niet meer hebt.

Dit is het moment dat bepaalt of u een middag verliest of een account. De beslissing zelf werd al veel eerder genomen, op de dag dat u de tweefactorauthenticatie inschakelde.

We hebben de herstelprocedures van Google, Apple en Microsoft doorgenomen, en daarna die van 1Password, Bitwarden en Dashlane. Alle zes komen ze op hetzelfde neer. Achteraf kan er niets meer worden ingesteld. Elke terugweg moet worden uitgestippeld voordat u deze nodig hebt.

In ons artikel over beveiligingssleutels wissen acht opeenvolgende verkeerde invoerpogingen alle registraties op het apparaat. Deze keer gaat het niet om een stukje hardware dat verloren gaat. Het gaat om uw inbox.

Wat de aanbieders daadwerkelijk vragen

De eenvoudigste oplossing is bij alle drie de grote aanbieders hetzelfde: een tweede apparaat waarop u nog steeds bent ingelogd. Zonder een dergelijk apparaat worden de mogelijkheden al snel beperkt.

Google accepteert een andere ingelogde telefoon, een tweede geregistreerd nummer, een back-upcode, een beveiligingssleutel of een toegangscode van een ander apparaat. De back-upcodes worden vaak onderschat. Er zijn er tien, elk bestaande uit acht cijfers, en elke code is slechts één keer te gebruiken. Genereer een nieuwe set en de oude wordt onmiddellijk ongeldig.

Apple beschouwt de toegangscode van uw iPhone als een volwaardige herstelfactor. Deze wordt „ook gebruikt om het wachtwoord van uw Apple-account te resetten en om uw end-to-end versleutelde gegevens te herstellen als u de toegang tot uw account verliest“. Het cijfer dat u invoert om uw telefoon te ontgrendelen, doet veel meer dan alleen het vergrendelingsscherm beveiligen.

Microsoft verstrekt helemaal geen reeks codes. U krijgt precies één herstelcode van 25 cijfers, en u kunt deze later niet meer opvragen: „U kunt een bestaande herstelcode voor uw Microsoft-account niet opvragen of downloaden.”

Het wachten is het echte probleem

Verliest u de tweede factor, dan belandt u in het accountherstelproces. Dat kost tijd, en dat is bewust zo opgezet.

Google geeft hier een termijn voor aan: „het kan 3 tot 5 werkdagen duren voordat Google heeft vastgesteld dat u het zelf bent”. Het op het laatste moment toevoegen van een nieuw telefoonnummer heeft geen zin, omdat „het tot 7 dagen kan duren voordat deze wijzigingen van kracht worden”.

Het nieuwste vangnet van Google heeft dezelfde valkuil. Met herstelcontacten kunt u maximaal tien personen die u vertrouwt laten bevestigen wie u bent. Het contact heeft zeven dagen de tijd om dit te accepteren, en er verstrijkt nog eens een week voordat het contact überhaupt kan worden gebruikt. Tegen de tijd dat u het nodig hebt, is de deur gesloten: „U kunt geen herstelcontact toevoegen terwijl u geen toegang hebt tot uw account of zich in het accountherstelproces bevindt.”

Apple geeft geen specifiek aantal dagen, alleen „enkele dagen of langer”, en beantwoordt de voor de hand liggende vervolgvraag zelf. „Kan de wachttijd worden verkort? Nee.”

Microsoft is de uitzondering. Het herstelformulier wordt binnen 24 uur verwerkt, mits tweefactorauthenticatie is uitgeschakeld. Als u alle beveiligingsgegevens van het account vervangt, blokkeert Microsoft het account gedurende 30 dagen.

Drie valkuilen die bijna niemand kent

De termijn van 30 dagen van Microsoft kan alleen worden verkort met hetgeen u zojuist bent kwijtgeraakt. Op de helppagina staat: „Wij kunnen het proces van 30 dagen niet versnellen, tenzij u het verzoek annuleert.” En om te annuleren: „U hebt toegang tot deze beveiligingsbewijzen nodig om het annuleringsverzoek te voltooien.” Als tweefactorauthenticatie is ingeschakeld en geen van de opgeslagen alternatieven u nog bereikt, geeft Microsoft u een zin die u zelden in een ondersteuningsdocument tegenkomt: „wij kunnen u helaas niet helpen.”

Apple beëindigt een lopend herstelproces op het moment dat u het account gebruikt. Geen waarschuwing, geen bericht: „Als uw Apple-account in gebruik is tijdens uw verzoek, wordt het herstel van uw account automatisch geannuleerd.” Een iPad die in de woonkamer ligt en waarop u nog steeds bent aangemeld, is al voldoende. Het enige apparaat dat u mag blijven gebruiken, is het apparaat waarop u het verzoek hebt gestart.

De back-up van de Authenticator mislukt juist voor het account waarvan u zou verwachten dat het hierdoor wordt gedekt. Voor wachtwoordloze Microsoft-accounts bevat de back-up alleen de accountnaam en verder niets: „dan wordt alleen de accountnaam geback-upt. Wanneer u de back-up terugzet, moet u zich opnieuw aanmelden.” Daarnaast is er nog een platformbeperking: „Accounts waarvan een back-up is gemaakt met een iOS-apparaat, kunnen niet worden hersteld op een Android-apparaat.” Stapt u over van iPhone naar Android, dan is de back-up waardeloos.

Met wachtwoordbeheerders is het echt voorbij

Google en Apple zullen u uiteindelijk weer toegang verlenen, mits u voldoende bewijs kunt leveren. Bij wachtwoordbeheerders bestaat een dergelijke instantie niet. Familie- en teamabonnementen vormen hierop een uitzondering, waarbij een organisator of beheerder uw toegang kan herstellen. Betaal voor uw eigen account en er staat niemand boven u.

Bitwarden zegt het zonder omwegen: „Medewerkers en systemen van Bitwarden hebben geen kennis van, geen mogelijkheid om uw hoofdwachtwoord op te vragen of te resetten.” Over het kwijtraken van de tweede factor: „Bitwarden heeft geen enkele mogelijkheid om het account of de gegevens ervan te herstellen. U zult uw account moeten verwijderen en een nieuw account moeten aanmaken.” De herstelcode die u zou kunnen redden, bevindt zich in de instellingen, achter de prompt voor het hoofdwachtwoord. Deze helpt alleen degene die deze van tevoren heeft opgeschreven.

1Password wijst op een wijdverbreid misverstand. De geheime sleutel van 34 tekens lijkt op een noodcode, maar is dat niet: „Uw geheime sleutel is geen back-upcode. Hiermee kunt u zich niet aanmelden als u het wachtwoord van uw 1Password-account bent vergeten.” Sinds 2024 bestaat er een echte herstelcode. Deze werkt meer dan één keer, maar alleen als u nog steeds toegang hebt tot het geregistreerde e-mailaccount.

Dashlane is de enige van de drie die u nieuwe codes via sms verstuurt wanneer de tweede authenticatiefactor niet meer beschikbaar is. Het hoofdwachtwoord wordt hiermee evenmin gereset. In plaats daarvan biedt het een herstelsleutel plus biometrische herstelmogelijkheden op Android en iPhone.

Wat u vandaag moet regelen

Druk uw reservecodes af. Maak er geen foto van en sla ze niet op in de wachtwoordbeheerder die u juist wilt beveiligen. Apple benadrukt dit nadrukkelijk voor de herstelsleutel: niet in de Wachtwoorden-app, niet in iCloud Drive, want „als u de toegang tot uw Apple-account verliest, kunt u deze apps niet meer openen om de sleutel terug te vinden”.

Stel een tweede verificatiefactor in op een tweede apparaat. Een tablet, een oude reservesleutel, een authenticator op uw werkcomputer. Eén telefoon die de enige verificatiefactor bevat, is de fout waaruit al het andere voortvloeit, en het is het eerste wat wij mensen vertellen die vragen hoe zij een account op de juiste manier kunnen beveiligen.

Voeg nu uw vertrouwde contactpersonen toe. Google staat tien herstelcontacten toe, Apple vijf. Voor beide is voorbereidingstijd nodig, en bij Google betekent dat tweemaal zeven dagen.

Denk goed na over de herstelsleutel. Schakelt u deze bij Apple in, dan wordt het normale proces uitgeschakeld. Raakt u daarna de sleutel en uw apparaten kwijt, dan „wordt u permanent buitengesloten van uw account“.