MFA Irritant? Klopt! Dat vinden wij ook, zeker als we ergens als beheerder willen inloggen en we jouw verificatiecode nodig hebben. Maar noodzakelijk is het helaas ook om veilig te kunnen werken. Inloggen met alleen een gebruikersnaam (vaak je e-mailadres) en een wachtwoord is dan onvoldoende, want vaak is de helft van die combinatie (datzelfde e-mailadres) al bekend en gaat het dus alleen nog maar om het 'raden' van het wachtwoord. En met diverse automatische technieken is dat steeds makkelijker om te doen.

MFA (wat staat voor Multi Factor Authentication) of 2FA (Two Factor Authentication) is een oplossing die steeds vaker vereist wordt bij het inloggen op diverse online omgevingen. Concreet voorbeeld in ons werkveld is het inloggen bij Microsoft 365. Het toepassen van MFA past ook in de trend van 'wachtwoordloos inloggen', waarbij het dus nagenoeg altijd draait om die verificatiecode die gegenereerd wordt op een apart apparaat (doorgaans in een Authenticator App zoals de Microsoft Authenticator of Google Authenticator). 

Waarom is het nodig om MFA te gebruiken?

Vooral e-mailadressen zoals die van Microsoft (365) of Google (Workspace) zijn erg interessant voor internetcriminelen voor het verspreiden van spam en/of phishing mails. Door in te breken in e-mailaccounts worden soms vanuit jouw naam mails gestuurd en/of alle contacten uit jouw adresboek gehaald en vervolgens op spam maillijsten toegevoegd. Op die manier krijgen steeds meer mensen steeds meer ongewenste e-mail en vaak ook met een commercieel doel (koop nu beveiliging, of betaal je openstaande boete, etc.). Allemaal vals uiteraard. Dit zijn maar een paar voorbeelden wat er met mailaccounts gedaan kan worden. Een ander voorbeeld is aankopen doen in webshops met achteraf betalen, maar dan wel met jouw e-mailadres als contactgegeven. De order wordt dan snel afgehandeld, alle mails erover vakkundig verwijderd en zodra je zelf weer toegang tot het account hebt, krijg jij vervolgens de rekening. Leg dan maar eens uit dat jij het niet besteld hebt. 

Hoe werkt MFA?

De basis is eigenlijk vrij simpel; naast je inlognaam en wachtwoord, moet je ook een verificatiecode invoeren. Die code kan je ontvangen per e-mail, SMS, Authenticatie app op je smartphone of via een fysiek aparte code generator. Die laatste 2 zijn verreweg het veiligst. Per e-mail is niet perse handig, zeker niet als je juist op dat bewuste mailadres probeert in te loggen. En per sms is niet altijd veilig genoeg en wordt ook steeds vaker nu afgewezen als alternatief (recent heeft Twitter dat bijvoorbeeld besloten).

Wanneer je die verificatiecode moet invoeren, verschilt per situatie. Maar steeds vaker komt het voor dat je alleen maar je gebruikersnaam hoeft op te geven en dat je dan direct om de code gevraagd wordt. In andere gevallen moet je wel gebruikersnaam, wachtwoord en code opgeven. Steeds vaker komt het voor dat je overigens ook die code niet meer hoeft in te voeren. Gebruik je bijvoorbeeld de Microsoft Authenticator app op een smartphone waarop je ook biometrische verificatie hebt (oftewel kan inloggen met gezichtsherkenning of vingerafdruk), dan is het vaak al voldoende om je inlogpoging goed te keuren in de app door bijvoorbeeld je vingerafdruk te laten scannen. 

Ik heb niets te verbergen, dus waarom zou ik?

Als het gaat om wachtwoorden instellen of toegangscodes op bijvoorbeeld smartphones, tablets en computers, krijgen we dat vaak te horen; Zo belangrijk ben ik niet, wat ik heb nu te verbergen. Maar dat berust op een groot misverstand. Het draait namelijk in veel gevallen niet om jou, maar om jouw netwerk (doelgerichte aanvallen uitgezonderd). En dat heeft altijd veel te bieden. Want hoe meer mensen gevangen worden in de phishing netten, hoe meer mensen een groter risico hebben om opgelicht te worden hoe meer kans de criminelen hebben om geld te verdienen. Bovendien kunnen ze wel degelijk jouw mailadres dus gebruiken om er illegale activiteiten mee uit te voeren en dat kan zich juist ook weer tegen jou keren.

Hoe stel je MFA in?

Dat verschilt per situatie. Maar je begint in ieder geval met het downloaden van een Authenticatie app voor op je smartphone of tablet (bijvoorbeeld de Microsoft Authenticator voor Apple of Android). Na installatie kan je inloggen met je Microsoft (365) account. Let op! Bij zakelijke accounts kies je voor 'Werk- of schoolaccount' om op in te loggen. Wil je de app koppelen aan je privé Microsoft account, kies dan voor 'Persoonlijk account'. Heb je geen van beide type accounts? Dan kan je er een aanmaken. Heb je wel een Google account, dan kan je ook overwegen de Google Authenticator app te gebruiken. 

Nadat je bent ingelogd, is dat account vaak al direct toegevoegd als eerste in de lijst met accounts waarop je MFA kan gebruiken. Bovenaan je scherm zie je een + staan. Tik daarop om nieuwe accounts te kunnen toevoegen. Let op! Het is vaak praktischer om MFA accounts in te stellen als je zowel op je computer als je telefoon werkt. Op je computer staat welke stappen je moet volgen en hoe je het account kan bevestigen. Naast Microsoft accounts kan je deze authenticator app ook gebruiken voor andere diensten zoals Twitter, Facebook, Google, etc. Vaak krijg je de mogelijkheid om een QR afbeelding te scannen of een specifieke code in je verificatie app naar keuze in te voeren en krijg je direct daarna het account in je lijst erbij. 

Heb je vragen hoe je daarmee om moet gaan? Neem dan contact met ons op!