Beveiliging & privacy
Een vertrouwd afzenderadres? Ook een nette mail kan foute boel zijn
Frauduleuze mails die van een bekend bedrijf lijken te komen: het incident bij Foundation laat zien waarom ook de koppelingen achter je website aandacht verdienen
Je ontvangt een e-mail van een bedrijf waar je klant bent. De naam klopt, het afzenderadres komt je bekend voor en het bericht bevat zelfs persoonlijke gegevens. Dan zal het wel betrouwbaar zijn.
Helaas. Ook een mail die vertrouwd oogt, kan je rechtstreeks naar een oplichter sturen. De waarschuwing van technologiebedrijf Foundation op 26 oktober 2026 laat zien waarom. En waarom websitebeveiliging verder gaat dan een sterk wachtwoord voor je beheeromgeving.
Wat is er gebeurd bij Foundation?
Foundation, fabrikant van onder meer de Passport-apparaten voor het bewaren van bitcoinsleutels, waarschuwde voor frauduleuze e-mails die van officiële bedrijfsdomeinen leken te komen. Op de eigen supportpagina bevestigt het bedrijf dat berichten waarin wordt beweerd dat tegoeden gevaar lopen, onderdeel zijn van phishing.
In een verklaring die ook op het bedrijfsforum is gedeeld, koppelde Foundation de berichten aan één of meer gecompromitteerde API-sleutels bij Cloudflare. Het bedrijf meldde de sleutels te hebben ingetrokken en het kwaadaardige domein uit de berichten offline te hebben laten halen.
Ontvangers meldden op het forum dat de mails persoonlijke gegevens bevatten. Waar die gegevens precies vandaan kwamen, stond daarmee nog niet vast. Het onderzoek naar het incident liep bij het schrijven van dit artikel nog.
De les voor andere ondernemers: kijk bij beveiliging ook naar de diensten die achter de schermen toegang hebben tot je website, domein en communicatie.
Een API-sleutel: de reservesleutel van je digitale bedrijf
Een API-sleutel is een digitale toegangssleutel waarmee programma’s met elkaar kunnen samenwerken. Daarmee kan je website bijvoorbeeld een e-maildienst gebruiken of gegevens uitwisselen met een ander systeem.
Handig, want zo hoef je niet iedere handeling zelf uit te voeren. Alleen: wie zo’n geheime sleutel in handen krijgt, kan mogelijk dezelfde handelingen uitvoeren als de gekoppelde toepassing. Hoeveel iemand daarmee kan, hangt af van de rechten die bij die sleutel horen.
Vergelijk het met een sleutel voor je bedrijfspand. De schoonmaker moet naar binnen kunnen. Maar daarom hoeft die nog geen toegang tot de kluis, de boekhouding en je voorraadadministratie te krijgen.
Digitaal geldt hetzelfde: geef een koppeling alleen de toegang die nodig is.
Wat heeft dit met jouw website te maken?
Een website staat vaak in verbinding met meer diensten dan je denkt. Bijvoorbeeld:
- Een e-maildienst die formulierberichten of bestelbevestigingen verstuurt.
- Een boekingssysteem dat afspraken en klantgegevens verwerkt.
- Een nieuwsbriefprogramma dat inschrijvingen ontvangt.
- Een betaalprovider die betalingen afhandelt.
- Een dienst waarmee domeininstellingen worden beheerd.
Die koppelingen besparen tijd en maken je website nuttiger. Maar ook hun toegang moet worden bijgehouden. Een toepassing die je twee jaar geleden hebt uitgeprobeerd, hoort niet ongemerkt toegang te houden als je haar allang niet meer gebruikt.
Je voordeur op slot doen helpt weinig als er nog twaalf reservesleutels rondzwerven en niemand weet bij wie.
Vijf vragen voor je websitebeheerder
1. Welke diensten hebben toegang?
Vraag om een overzicht van de actieve koppelingen en waarvoor ze worden gebruikt. Neem ook oude toepassingen en eerdere leveranciers mee. Zonder overzicht is het lastig te bepalen welke toegang nog nodig is.
2. Heeft iedere koppeling passende rechten?
Een toepassing die alleen gegevens hoeft te lezen, heeft meestal geen toestemming nodig om die ook te wijzigen of te verwijderen. Laat beoordelen of de rechten beperkt kunnen worden tot de noodzakelijke functies en onderdelen.
3. Waar worden geheime sleutels bewaard?
Geheime toegangssleutels horen niet in openbaar toegankelijke bestanden, zichtbare websitecode of onbeveiligde gedeelde documenten. Vraag hoe ze worden opgeslagen en wie erbij kan.
4. Wordt oude toegang ingetrokken?
Een samenwerking beëindigen of een toepassing verwijderen is een goed moment om de bijbehorende toegang te controleren. Laat overbodige accounts, sleutels en toestemmingen daadwerkelijk intrekken.
5. Wat gebeurt er bij mogelijk misbruik?
Spreek af wie verdachte activiteit onderzoekt, wie toegang kan blokkeren en hoe belangrijke koppelingen daarna veilig worden hersteld. Bij een gelekte sleutel moet ook worden onderzocht hoe die kon uitlekken. Alleen een nieuwe sleutel aanmaken kan de oorzaak laten bestaan.
En hoe herken je als ontvanger een verdachte mail?
Controleer meer dan alleen de naam en het afzenderadres. Wees extra voorzichtig bij onverwachte berichten die druk zetten: je account wordt afgesloten, je geld loopt gevaar of je moet onmiddellijk iets bevestigen.
- Open de dienst via je eigen bladwijzer of het bekende webadres. Gebruik bij twijfel de knop in de mail niet.
- Controleer een onverwacht verzoek via een contactkanaal dat je al kent. Bijvoorbeeld het telefoonnummer uit je eigen administratie.
- Deel geen wachtwoorden, herstelcodes of andere geheime toegangsgegevens. Ook niet als een bericht persoonlijk en overtuigend klinkt.
- Meld een verdachte mail binnen je bedrijf. Zeker wanneer je al hebt geklikt of gegevens hebt ingevuld.
Dat een bericht jouw naam of adres bevat, bewijst niet dat de afzender te vertrouwen is. Persoonlijke gegevens kunnen een misleidend bericht juist geloofwaardiger maken.
Websitebeheer gaat ook over wat je niet ziet
Een website kan er prima uitzien terwijl niemand meer weet welke toepassingen toegang hebben. Daarom verdient bij technisch beheer ook de techniek rondom de website aandacht: gekoppelde diensten, accounts, toegangsrechten en geheime sleutels.
Wil je het beheer van je bestaande website bij Wervora onderbrengen? We bekijken hoe je website is gebouwd, welke koppelingen belangrijk zijn en wat nodig is om het beheer over te nemen. Vervolgens maken we duidelijke afspraken over de werkzaamheden en verantwoordelijkheden.
Stuur ons je webadres en vertel wat je geregeld wilt hebben. Je hoeft niet eerst alle technische termen te leren. Daar heb je als ondernemer al genoeg andere dingen voor op je lijst staan.
Bespreek je website met Wervora via WhatsApp.
Bronnen en actualiteit
Geschreven op 26 oktober 2026. Het onderzoek naar het incident bij Foundation liep op dat moment nog. De praktische adviezen voor websitebeheer zijn een algemene vertaalslag; ze beschrijven niet de vastgestelde oorzaak van dit incident.