Zojuist heb ik de thread gelezen over het al dan niet onversleuteld opslaan van de PIN-code van een tankpas. Maar wat dacht je van deze:

sinds mei 2015 wordt mijn energie geleverd door EnergieDirect. Geen enkel probleem mee, en ook geen klachten over, zelfs niet over de prijs die ze ervoor vragen. Maar omdat ik benieuwd was of zij op de één of andere manier inzicht konden geven op mijn verbruik, toch maar weer 'ns op hun website rondgekeken. Natuurlijk een omgeving "MijnEnergieDirect", waarin je je betalingsgeschiedenis en dergelijke kan bekijken. Maar daarvoor heb je wel - naast het door EnergieDirect gehanteerde email-adres - je wachtwoord nodig. En dat wist ik niet meer, blijkbaar vergeten op te slaan in KeyPass bij het aanmaken. Dus geklikt op de juiste hyperlink, en binnen de minuut een reset-mailtje. So far, so good.

Ingelogd met het tijdelijk wachtwoord, en direct het wachtwoord gewijzigd (en dit keer wel opgeslagen ;-). Er bleek achteraf nog een checkbox onder de invoervelden te staan, maar dat is me op dat moment niet opgevallen. Geklikt op "Opslaan", en vrijwel meteen een mailtje in de inbox, met bevestiging dat mijn wachtwoord gewijzigd was, en dat het nu << fZ|7Jf_+?nG7S~Tk\jFU >> was (zonder de punthaken, het is intussen gewijzigd). From now on no good!!! EnergieDirect WEET WAT MIJN WACHTWOORD IS, en ze echoën dat feilloos terug? Dat kunnen ze dan voor alle gebruikers, neem ik aan?

Een mailtje met een klacht, dat het onversleuteld opslaan van wachtwoorden toch niet zo heel veilig is, zeker niet gezien het feit dat de "gemiddelde" gebruiker niet zo erg goed met z'n wachtwoorden omgaat, en dat het voor een hacker heel interessant kan zijn de wachtwoorden die hij bij EnergieDirect buitmaakt, ook uit te proberen op andere omgevingen waarvan hij vermoedt dat gebruikers zich daar ophouden (PayPal, bank, credit card). Ik ben me ervan bewust dat daar meer gegevens voor nodig zijn, maar die zijn ook wel te verkrijgen.

Antwoord van de helpdesk: "Hartelijk dank voor uw uitgebreide uitleg in de e-mail. Ik zal overleggen of energiedirect.nl hier iets mee kan." Ik heb de helpdesk nog gebeld, maar daar konden ze me verder niet helpen met dit onderwerp. Ik ben daarna met één van de directeuren een ex-collega geworden, heb hem via een bericht de zaak voorgelegd, en werd binnen een dag teruggebeld. De beller was "gestuurd" door de directeur, zoals hij meteen toegaf. Ik heb geprobeerd hem het principe van salten en hashen uit te leggen, maar dat snapte hij allemaal niet zo goed. Hij heeft de term genoteerd (ik heb de woorden voor 'm gespeld), en zou het doorgeven aan de ICT-afdeling. En ik zou terugkoppeling krijgen.

Nou, die heb ik gehad. Hou je vast voor dit tenenkrommend antwoord:

Beste heer <mijn naam>,

Vorige week hebben we gesproken over uw klacht met betrekking tot de beveiliging van de complexiteit van onze wachtwoorden.

Ik heb hierover contact gehad met onze IT afdeling. Zij hebben mij bevestigd dat alle wachtwoorden veilig worden opgeslagen, maar dat wij geen details delen welke maatregelen energiedirect.nl hiervoor neemt. Het delen van deze maatregelen zou juist een groot beveiligingsrisico veroorzaken en dit willen wij natuurlijk ten alle tijden voorkomen.

Wij zijn continue bezig om alle mogelijke risico’s in kaart te brengen en nieuwe maatregelen te implementeren, zodat onze klantgegevens zo goed mogelijk beschermd zijn. Bedankt voor het uitspreken van uw zorg, wij waarderen het wanneer onze klanten met ons meedenken om zo onze diensten te verbeteren. Wij beschouwen uw klacht hiermee als afgehandeld.


Een zeldzaam staaltje van onverantwoord gedrag, gecombineerd met het afpoeieren van een klant die welgemeend advies geeft. Het antwoord was van 15 januari 2016, ik heb per kerende email aangegeven dat ikzelf per eerste gelegenheid bij EnergieDirect vertrek, én dat ik het wereldkundig zal maken. SIndsdien heb ik niks meer van EnergieDirect vernomen.

Wat mij tenslotte nog beangstigt, is het feit dat de directeur van EnergieDirect die ik een bericht gestuurd heb, in LinkedIn staat met een functie bij Essent, het moederbedrijf van EnergieDirect. Dat zou heel goed kunnen betekenen, dat daar dezelfde jopslagmethodes gehanteerd worden.

Oh ja, wie zich nog afvraagt waar die checkbox voor stond op het wachtwoord-wijzigscherm: of je je nieuwe wachtwoord via email teruggestuurd wilde krijgen. Ik had het dus kunnen weten, als ik beter opgelet had ;-)

In de preview zie ik dat het nogal een verhaal geworden is, maar ik denk dat het lezenswaardig is. Wie tot hier gekomen is met lezen, mag reageren met een bevestiging of een afwijzing van dat idee...