Het is geen aankondiging geweest, maar een omslag. Nederlandse hostingdiensten dwingen gebruikers steeds vaker tot tweestapsverificatie. Hosting.NL maakte het nu verplicht; TransIP voegde een extra beveiligingscheck toe bij wie inlogt zonder 2FA. De aanleiding is geen losse hype, maar een combinatie van een hardnekkige phishinggolf en Europese regelgeving die providers dwingt hun accounts beter af te schermen.
Hosting.NL schrijft in zijn log dat tweestapsverificatie "vanaf nu verplicht" is voor het Mijn Hosting klantportaal. Wie inlogt, wordt meteen gevraagd de tweede factor in te stellen: een tijdgebaseerde code uit een authenticator-app, of een code via SMS. Dat is een harde verplichting.
TransIP koos een iets zachter pad: een "nieuwe beveiligingscheck bij inloggen zonder 2FA." Het bedrijf motiveert dat met phishing en datalekken die "steeds vaker voorkomen," en zegt expliciet dat de extra controle ervoor zorgt dat alleen jij toegang krijgt tot je account, "zelfs als" je wachtwoord zou lekken. Het verschil is subtiel maar echt: bij TransIP kun je inloggen zónder 2FA, maar dan volgt een extra controle; bij Hosting.NL is 2FA gewoon verplicht.
De aanleiding is geen geheim. Fraudehelpdesk waarschuwt voor een stroom valse TransIP-e-mails met onderwerpen als "Actie vereist," "Verifieer TransIP-toegang" en "Domein verlopen." Dat is precies het patroon van account-overnames: een aanvaller lokt je wachtwoord weg, pikt daarna je domein of panel in, en kan je hosting hierdoor stilleggen of misbruiken. Voor wie zijn bedrijfswebsite of domein via zo'n panel beheert, is dat een direct risico — met Greenhosts datalek uit mei 2026 als recente herinnering: daar werden klantgegevens, IBAN-nummers en domeinregistraties blootgesteld.
Daarnaast speelt regulering mee. De NIS2/Cyberbeveiligingswet schaalt hosting- en cloudproviders in als essentiële entiteiten en noemt multi-factorauthenticatie als onderdeel van de verplichte maatregelen, met incidentmelding binnen 24 en 72 uur. Die wet ligt in april 2026 nog bij de Tweede Kamer, maar oefent wel druk uit op de sector om MFA nu al in te voeren.
De verplichting is goed nieuws, maar er is een adder. 2FA via SMS is kwetsbaar voor SIM-swap, waarbij een aanvaller je telefoonnummer kaapt. Een authenticator-app (TOTP) is al beter; phishing-bestendige methoden zoals passkeys zijn het sterkst. Niet alle hosts maken duidelijk welke vorm ze aanbieden. En er is nog een juridische kant: minister Van Weel denkt na over een Europese KYC-verplichting voor hostingproviders tegen "bad hosting" — een andere maatregel die ook de identiteit van de klant raakt.
Voor wie een website of domein draait, is dit een kleine moeite met grote gevolgen. Werkt 2FA, dan ben je met een gelekt wachtwoord nog geen slachtoffer van een overname. Maar houd in gedachten dat SMS-codes niet het hoogste niveau zijn, en dat de echte winst ligt in phishingbestendige methoden.
Voor de meeste gebruikers is het besluit simpel. Zet 2FA aan — bij de App Store of een authenticator-app — en kies bij voorkeur een app-gebaseerde methode (TOTP) boven SMS, omdat SMS kwetsbaarder is voor sim-swap. Controleer daarna of je provider ook een phish-bestendig alternatief aanbiedt, zoals passkeys, en gebruik dat waar mogelijk. Let ook op de valse e-mails: een "actie vereist"-bericht dat je naar een inlogpagina lokt, is juist het scenario waartegen 2FA je moet beschermen — maar alleen als je die code écht bij je provider invoert en niet op een nagemaakte site. De verplichting is dus geen last, maar een kans om één kwetsbare schakel uit je loginfunnel te halen.
Bevestigd (primaire bronnen van de providers):
Nog niet bevestigd:
Elke editie één prikkelende stelling — van AI tot economie. Eén klik, volkomen anoniem.
Geschreven door AI · gecontroleerd door mensen