Je Riot-account beveiligen: tweestapsverificatie, phishing en herstel

Alles wat telt in Teamfight Tactics woont op één plek: het Riot-account. Rank en LP, de collectie Little Legends en arena’s, de voortgang van de pass, de aankopen, en hetzelfde account opent League of Legends. Het reist met je mee van telefoon naar pc naar Mac, en het kwam zonder een schrammetje door patch 18.1. Wat een account verliest is bijna nooit een geraffineerde hack. Het is een wachtwoord getypt op een pagina die het inlogscherm van Riot nabootst, een mailbox waarvan je het wachtwoord jaren geleden vergat, of een login die je aan een vriend uitleende. Dit is wat het echt beschermt, in de volgorde die ertoe doet.

Wat een Riot-account waard is, en waarom iemand het jouwe wil

Voor we het over bescherming hebben, is het goed om te meten wat er achter een gebruikersnaam en een wachtwoord zit. Het is meer dan een TFT-profiel.

• Je rank, LP en wedstrijdgeschiedenis, die bij het account horen en niet bij de machine, zoals ons artikel over de ranks en de ladder van TFT uitlegt.
• De collectie: Little Legends, arena’s, booms en emotes, waarvan sommige niet meer te krijgen zijn zodra hun set voorbij is. Dat geeft een account doorverkoopwaarde, en daarom wordt het een doelwit.
• De pass van de huidige set, aankopen in de valuta van het spel, en alles wat je door de jaren heen betaalde.
• Hetzelfde Riot-account opent League of Legends en de andere spellen van de uitgever: een wachtwoord dat via TFT wordt gestolen, neemt al de rest mee.

Accounts worden gestolen om door te verkopen, om als wegwerpaccount te dienen voor iemand die het zijne kwijt is, of gewoon om leeg te halen. In alle gevallen heeft de dief geen slot gebroken: iemand gaf hem de sleutel.

Patch 18.1 nam macOS weg, niet je account

Een nuttige herinnering, want de vraag komt vaak terug in bezorgde vorm. Patch 18.1, de patch die Set 18 opent door Teamfight Tactics van de eigen engine van Riot naar Unreal Engine te verhuizen, heeft de ondersteuning voor macOS ingetrokken: geen ondersteuning, geen fixes. Riot noemt die intrekking tijdelijk en zegt te werken aan ondersteuning van het systeem in een toekomstige update, zonder een datum te geven. Dezelfde patch liet ook de oudere Android- en iOS-toestellen met het minste geheugen vallen.

Maar geen enkel account werd daarbij gereset of verwijderd. Rank, collectie en aankopen bleven precies waar ze waren, gekoppeld aan het Riot-account. Wat veranderde is de machine: op een Mac draait het spel nu via de Android-client, die Riot nog volledig ondersteunt, en het inloggen gebeurt op het inlogscherm van Riot zelf, binnen het spel. Het volledige verhaal staat in ons artikel over het wegvallen van macOS bij patch 18.1. Onthoud voor je accountbeveiliging één ding: een bericht dat beweert dat “je Mac-account wordt verwijderd” of “geverifieerd” moet worden vanwege de patch, liegt. Er is nooit een Mac-account geweest. Er is alleen een Riot-account.

Tweestapsverificatie: tien minuten die alles veranderen

Tweestapsverificatie, die Riot multifactorauthenticatie noemt, vraagt bij elke login een tweede bewijs: een eenmalige code bovenop het wachtwoord. Een dief die het wachtwoord heeft, strandt daar. Je zet het aan vanaf de accountpagina van Riot, op de website van Riot, niet vanuit het spel.

1. 1Log in op de pagina van je Riot-account, op het domein riotgames.com, en zoek de kaart voor multifactorauthenticatie.
2. 2Klik op de knop om in te schakelen. Riot stuurt een e-mail naar het adres van het account, en de knop die de bescherming echt aanzet, staat in die e-mail. Komt hij niet aan, kijk dan in de spam en vraag om een nieuwe.
3. 3Vanaf dan vraagt elke login om het wachtwoord en daarna om een zescijferige code die naar het e-mailadres van het account wordt gestuurd, en die je in het spel of op de site intypt.
4. 4Een vinkje laat een vertrouwd apparaat de code een beperkte tijd overslaan. Zet dat vinkje niet op een computer die niet van jou is.

Het belangrijke punt, dat bijna iedereen overslaat: de code komt per e-mail. Dat betekent dat de mailbox de echte sleutel van het Riot-account is. Wie in je e-mail binnenkomt, kan de codes ontvangen, het wachtwoord resetten en uiteindelijk het adres van het account veranderen om je buiten te sluiten. De eerste bescherming van een Riot-account is dus tweestapsverificatie op de mailbox zelf, met een wachtwoord dat je nergens anders gebruikt. En log je bij Riot in via een Google- of Apple-account, dan wordt de beveiliging van dat account de beveiliging van je Riot-account.

Wachtwoord, gebruikersnaam en e-mailadres: drie dingen die je niet verwart

• Het wachtwoord moet uniek zijn. Het meest voorkomende scenario is niet dat Riot gehackt wordt, maar een lek bij een andere dienst waar je hetzelfde wachtwoord gebruikte. De sleutelhanger van macOS of een wachtwoordmanager onthoudt het voor je.
• De gebruikersnaam om in te loggen is niet de Riot ID. De Riot ID, die met een hekje en een tagline wordt geschreven, is openbaar: hij staat in potjes en op statistiekensites, en niemand kan ermee inloggen. De gebruikersnaam verschijnt nergens in het spel, en er is geen enkele reden om hem te delen.
• Het e-mailadres van het account moet een adres zijn dat je nog beheert. Een account dat je als tiener aanmaakte op een verlaten mailbox, is een account dat je niet terugkrijgt op de dag dat er ergens een code moet landen.
• De inlogmethode moet dezelfde blijven. Een account dat met Google werd geopend en later met een Riot-wachtwoord wordt gezocht, leidt niet naar dezelfde plek: ons artikel over de drie identiteiten die op een Mac over elkaar heen liggen legt uit waarom dat detail op een verloren account lijkt.

Phishing: gratis cosmetics bestaan niet

De diefstal van een Riot-account begint bijna altijd met een bericht. Het komt binnen op Discord, in de chat na het potje, per e-mail of als reactie onder een video, en het belooft iets: gratis RP, een cadeau-skin, een zeldzame Little Legend, vroege toegang. De link leidt naar een pagina die het inlogscherm van Riot nabootst. De speler typt zijn gebruikersnaam en wachtwoord, de pagina zegt bedankt, en het account is binnen het uur van eigenaar veranderd.

• De inlogpagina van Riot woont op het domein riotgames.com. Een pagina die je Riot-wachtwoord vraagt op welk ander domein dan ook is een kopie, hoe goed ze er ook uitziet. Lees de adresbalk voor je iets typt.
• Riot vraagt nooit om een wachtwoord via een bericht, niet op Discord, niet per e-mail, niet in het spel. Een “Riot-medewerker” die je schrijft om je account te verifiëren, is er geen.
• Een cadeau dat inloggen vereist, is geen cadeau. Echte giveaways van creators delen codes of cadeaukaarten uit, nooit een inlogformulier.
• De angstvariant werkt even goed als de cadeauvariant: “je account wordt geschorst, verifieer het binnen 24 uur”. Urgentie is het signaal, niet de uitzondering.
• Sinds patch 18.1 zit een pagina die een officiële “TFT-client voor Mac” belooft om te downloaden er op zijn best naast. Riot heeft macOS ingetrokken; de enige ondersteunde weg op een Mac is de Android-client. Een pakket dat je buiten de Play Store opraapt, is het echte risico, zoals ons artikel over wat Riot werkelijk bestraft uitlegt.

Wat een statistiekensite nooit vraagt

De sites die je wedstrijdgeschiedenis, je rank en je meest gespeelde composities tonen, lezen openbare gegevens. De Riot ID, die met het hekje, is alles wat ze nodig hebben om alles terug te vinden. Ze hebben je wachtwoord niet nodig, en ze zullen het nooit krijgen.

• Sommige bieden “Inloggen met Riot” aan om je profiel te koppelen. Die knop stuurt je naar een pagina op het domein riotgames.com, die aangeeft wat de site mag lezen, en brengt je daarna terug. Het wachtwoord typ je bij Riot, nooit op de site.
• Een site, een overlay of een app die een eigen veld “Riot-wachtwoord” in een eigen venster toont, is over de lijn gegaan. Sluit hem.
• Wat die sites over je weten, is wat iedereen in een lobby ziet: de Riot ID, de rank, de geschiedenis. Niets waarmee iemand kan inloggen.

Wat die tools wel en niet kunnen als je op een Mac speelt, en waarom de desktop-overlay in dat geval niet bestaat, lees je in ons artikel over TFT-statistieken en overlays op een Mac.

Je account uitlenen: wat het echt kost

Je gebruikersnaam en wachtwoord geven aan een vriend, een Double Up-partner of een dienst die belooft je rank omhoog te spelen, kost twee dingen, en het eerste is erger dan het tweede.

• De controle. Wie je inloggegevens heeft, kan het e-mailadres en het wachtwoord veranderen. Vanaf dan ziet Riot twee mensen die hetzelfde account claimen, en wordt herstel een geschil dat je moet bewijzen, geen klik.
• Het account zelf. Accounts delen en boosting horen bij de overtredingen die een account echt kosten, op EUW net als op elke andere server en los van welke hardware dan ook.
• Op een Mac die je met het gezin deelt, blijft het spel ingelogd van de ene sessie naar de andere. Uitloggen doe je vanuit de instellingen van het spel, en dat is de enige handeling die nodig is zodat een andere speler jouw account niet erft.
• Op een Mac, waar het spel sinds 18.1 via de Android-client draait, gebeurt het inloggen op het scherm van Riot binnen het spel: OSFT Launcher ziet of bewaart het Riot-wachtwoord nooit, en het Google-account van de Play Store is een aparte identiteit die het Riot-account niet opent.

Gestolen account: de stappen op volgorde

Als je niet meer kunt inloggen, of als er potjes in je geschiedenis staan die je nooit speelde, telt de volgorde van de stappen meer dan hun snelheid.

1. 1Neem eerst de mailbox terug. Verander het wachtwoord, zet de tweestapsverificatie aan en controleer of er geen automatische doorstuurregel is toegevoegd: zo blijft een dief je codes ontvangen nadat jij bent langs geweest.
2. 2Reset het Riot-wachtwoord via de pagina “wachtwoord vergeten” op de website van Riot, op het domein riotgames.com, nooit via een link die je per bericht kreeg.
3. 3Zet tweestapsverificatie aan als dat nog niet zo was, en verander het wachtwoord bij elke andere dienst waar je hetzelfde gebruikte.
4. 4Is het e-mailadres van het account al veranderd, dan bereikt de reset je niet. Dan blijft Riot Support over, via een ticket voor accountherstel, waar je moet bewijzen dat het account van jou is: datum en plaats van aanmaak, speelregio, gedane aankopen.
5. 5Betaal nooit een “hersteldienst” die belooft het account tegen geld terug te geven. Dat is de tweede scam, gebouwd op de eerste.

De routine, in vijf regels

• Tweestapsverificatie aan op het Riot-account en op de mailbox die de codes ontvangt.
• Eén uniek wachtwoord, bewaard door de sleutelhanger of een manager, nergens hergebruikt.
• Het Riot-wachtwoord typ je alleen op het domein riotgames.com, nergens anders.
• Een cadeau, een giveaway of een waarschuwing die vraagt om in te loggen, is een scam, zonder uitzondering.
• Op een gedeelde Mac log je aan het eind van de sessie uit via de instellingen van het spel.

Het account overleefde het wegvallen van macOS en het overleeft de volgende set. Wat het niet overleeft, is een weggegeven wachtwoord, en dat is het enige wat deze vijf regels voorkomen. Hoe het account over platformen werkt, wat synchroniseert en wat niet, staat in ons artikel over het Riot-account en cross-progressie.