Google Workspace account beveiligen na een hack of datalek

Je ontvangt een melding van een verdachte aanmelding, een medewerker meldt dat iemand in zijn account heeft gekeken, of je ziet in de rapporten onbekende inlogactiviteit. Dit zijn de stappen die je onmiddellijk moet nemen, gevolgd door structurele maatregelen om herhaling te voorkomen.

Onmiddellijke stappen bij een vermoedelijke hack

Handel binnen het eerste uur. Elke minuut dat een aanvaller toegang heeft, kan leiden tot meer datadiefstal of verdere verspreiding.

1. Wachtwoord resetten en sessies beeindigen

Admin Console > Gebruikers > [getroffen gebruiker] > Beveiliging
> Wachtwoord opnieuw instellen > Aanmelding bij volgende aanmelding vereisen
> Aanmeldingen intrekken (alle actieve sessies beeindigen)

2. Herstel e-mails en apparaten controleren

Controleer of de aanvaller doorstuurregels heeft ingesteld:

Inloggen als de gebruiker (via Admin Console > Gebruiker impersoneren)
Gmail-instellingen > Doorsturen en POP/IMAP
Verwijder alle onbekende doorstuurregels

Controleer ook verbonden apparaten:

Admin Console > Apparaten > Overzicht
Verwijder alle onbekende of verdachte apparaten

3. Overbodige OAuth-autorisaties intrekken

Aanvallers installeren soms kwaadaardige OAuth-apps om ook na wachtwoordwijziging toegang te houden:

Admin Console > Beveiliging > API-besturing > App-toegang beheren
Intrekken van verdachte of onbekende apps

Tip: Controleer ook de persoonlijke OAuth-autorisaties van de gebruiker via myaccount.google.com/permissions.

De aanval analyseren

Nadat je de onmiddellijke bedreiging hebt gestopt, analyseer je wat er is gebeurd.

Alert Center raadplegen:

Admin Console > Beveiliging > Alert Center
Zoek naar: Verdachte aanmelding, Phishing e-mail, Malware

Aanmeldingsactiviteit bekijken:

Admin Console > Rapporten > Gebruikersrapporten > Beveiliging
Klik op de gebruiker > Recente aanmeldingsactiviteit

Noteer IP-adressen, tijdstippen en locaties van verdachte aanmeldingen voor je incident report.

Structurele beveiliging implementeren

2-stapsverificatie verplicht maken

Dit is de meest effectieve maatregel. Zonder 2FA is een wachtwoord alleen niet voldoende.

Admin Console > Beveiliging > 2-stapsverificatie
Instelling: Verplicht maken
Nieuwe gebruikers inschrijvingsperiode: 1 week

Tip: Kies voor hardware-sleutels (bijv. YubiKey) als de sterkste vorm van 2FA, zeker voor Super Admins. Phishing-resistente authenticatie voorkomt dat aanvallers 2FA-codes onderscheppen.

Context-Aware Access instellen

Met Context-Aware Access kun je instellen dat toegang alleen mogelijk is vanuit bepaalde locaties of apparaatcondities:

Admin Console > Beveiliging > Context-Aware Access
Maak een toegangsniveau aan: Alleen toegestane landen (bijv. Nederland)
Pas toe op Google Workspace apps

Wachtwoordbeleid aanscherpen

Admin Console > Beveiliging > Wachtwoordbeheer
Minimale wachtwoordlengte: 12 tekens
Verloop instellen: 90 dagen (optioneel, maar niet aanbevolen als 2FA actief is)
Hergebruik voorkomen: Aan

Verdachte e-mail meldingen activeren

Admin Console > Beveiliging > Alert Center > Instellingen
E-mailmeldingen inschakelen voor: Verdachte aanmelding, Phishing, Brute force

Incident response documenteren

Voor AVG/GDPR-compliance moet een datalek binnen 72 uur gemeld worden bij de Autoriteit Persoonsgegevens als er persoonsgegevens zijn gelekt. Documenteer:

• Datum en tijdstip ontdekking
• Welke accounts zijn getroffen
• Welke data mogelijk is ingezien (e-mails, bestanden in Drive)
• Welke maatregelen zijn genomen
• Of klanten of medewerkers genotificeerd moeten worden