Ook elke 2 jaar wijzigen is zinloos. Wijzigen doe je alleen na (vermoeden van) een inbreuk op je account of wachtwoord. Ehm. Dus zolang je niet weet dat je compromised bent, dan steek je je kop in het zand ? Door deze houding blijven accounts soms jarenlang compromised. Maarja, wat niet weet, wat niet deert ? Je kan er beter vanuit gaan dat je hoe dan ook 'mogelijk' compromised bent. Waarbij je periodiek voor de zekerheid dus wel wachtwoorden enzo aanpast. Hoe veel mensen die menen dat ze veilig zijn kunnen denk je hun credentials terugvinden in bijvoorbeeld de HaveIBeenPowned database ? Password complexiteit maakt daarbij verder niet zo heel veel uit; als je compromised wordt t.g.v. een keylogger, of phishing om maar wat te noemen, dan is ieder password kwetsbaar, hoe 'complex' ook. Het beste zou zijn om altijd gebruik te maken van multifactor authenticatie, zodat je naast je wachtwoord nog een extra code nodig hebt om in te loggen (via een soft- of hardtoken, sms authenticatie etc). Gelukkig zijn er ...