Een klant wijzigt zijn wachtwoord en krijgt daarna een bevestigingsmail die hij niet heeft aangevraagd. Dat voelt voor de meeste klanten als ruis, tot het één keer niet die klant zelf was die de wijziging deed. Net als bij adresverificatie bij checkout gaat het hier om een controle die de meeste keren overbodig lijkt, maar in de uitzondering het verschil maakt.
In het kort
- Een melding na een accountwijziging is niet bedoeld voor de persoon die de wijziging deed, maar voor het zeldzame geval waarin iemand anders dat deed.
- Zo'n mail bevat het beste geen klikbare "ongedaan maken"-knop, want die knop zelf kan een aanvalsvector worden.
- Bij een wijziging van het e-mailadres verdient zowel het oude als het nieuwe adres een melding.
- Dit weegt het zwaarst vlak vóór een verzending, wanneer een adreswijziging een bestelling naar de verkeerde plek kan sturen.
Waarom deze mail niet voor de klant zelf is bedoeld
De overgrote meerderheid van accountwijzigingen is legitiem, de klant wijzigt zelf zijn wachtwoord of adres en heeft geen behoefte aan een bevestiging daarvan. De mail bestaat voor de uitzondering: het moment waarop iemand anders toegang heeft gekregen tot het account. Zonder die melding heeft een klant geen enkel signaal dat er iets is veranderd totdat de schade al zichtbaar wordt, bijvoorbeeld bij een bestelling die naar een onbekend adres wordt verzonden.
Geen actieknop, wel een duidelijke vervolgstap
Een klikbare "dit was ik niet, maak ongedaan"-knop lijkt behulpzaam, maar creëert precies het soort link waar phishingmails misbruik van maken, en een klant kan het verschil tussen de echte en een nagemaakte versie niet altijd zien. Beperk de mail tot een duidelijke tekst: neem bij twijfel direct contact op via het bekende, apart opgezochte contactkanaal, niet via een link in deze mail zelf.
Bij e-mailadreswijziging naar beide adressen sturen
Wanneer een klant zijn e-mailadres wijzigt, ontvangt doorgaans alleen het nieuwe adres een bevestiging. Het oude adres verdient dezelfde melding, want als de wijziging niet door de accounteigenaar zelf is gedaan, is het oude adres het enige kanaal waarlangs die persoon nog bereikbaar is.
Waar dit het meest telt: vlak vóór verzending
Een wachtwoordwijziging is vervelend als die niet klopt, maar een adreswijziging vlak voor een bestelling wordt ingepakt, kan een pakket naar een volledig verkeerd adres sturen. Combineer een beveiligingsmelding daarom met extra oplettendheid rond het moment van verzending, in lijn met dezelfde logica als bij transparante verzendcommunicatie.
Conclusie
Een ongevraagde bevestigingsmail bij een accountwijziging voelt overbodig totdat de uitzondering zich voordoet; zonder actieknop, naar beide adressen bij een e-mailwijziging, is dit een kleine moeite met een reële beveiligingswaarde. Wil je je accountmeldingen laten doorlichten? Vraag een gratis scan aan.