Het wisselen van SIM-kaarten vindt nu plaats via uw account bij uw provider, niet in een winkel

De telefoon geeft geen signaal weer. Geen streepjes, geen noodoproepen, niets. Twintig minuten later komt er een e-mail binnen waarin staat dat iemand zich heeft aangemeld bij uw inbox, en dat de code daarvoor is verzonden naar een nummer dat zojuist nog van u was. Zo beschrijft het Staatspolitiebureau van Nedersaksen de uitkomst, en de rechercheurs noemen de kaping van een mobiele telefoon en een e-mailaccount een totaal verlies. In één bij hen bekend geval bleek uit de gekaapte inbox dat het slachtoffer cryptovaluta bezat, en het geld was daarna verdwenen.

Het gangbare beeld van SIM-swapping ziet er als volgt uit: iemand vervalst een identiteitsbewijs, loopt een winkel binnen en krijgt een vervangende kaart overhandigd. Dat gebeurt inderdaad, maar de werkwijze waarvoor de rechercheurs waarschuwen, vereist geen winkel en geen papierwerk.

Drie stappen, en voor geen enkele daarvan is een identiteitsbewijs nodig

De toegangspunt is uw online account bij de provider, en de aanvallers krijgen daar toegang met alleen het telefoonnummer. Bij sommige providers kunt u bij dat account inloggen met een eenmalige code in plaats van een wachtwoord, en iedereen die het nummer kent, kan deze opvragen. Die code is wat de aanvallers van u verzamelen.

Ze bellen dus op en doen zich voor als een koerier. Er is een pakket onderweg, zeggen ze, en het kan om veiligheidsredenen alleen worden afgeleverd als u een code uit een sms-bericht voorleest. Het bericht komt inderdaad binnen, maar het is afkomstig van de provider en niet van de koerier, wat op dat moment gemakkelijk over het hoofd wordt gezien. Door de code voor te lezen wordt uw account ontgrendeld.

Vanuit dat account bestellen zij een eSIM voor het lopende contract. Er hoeft geen plastic kaartje te worden verzonden; het profiel is een bestand en is binnen enkele minuten actief. Zodra het op het apparaat van de aanvaller draait, schakelt de kaart in de telefoon van het slachtoffer zich doorgaans automatisch uit.

Vanaf dat moment komt elke tekst op het andere apparaat terecht, en aangezien u bij de meeste online diensten uw wachtwoord via e-mail of sms kunt resetten, volgt de rest vanzelf. Aan de hand van het voorbeeld van oude telefoonnummers hebben wij onderzocht hoe snel een nummer een hoofdsleutel wordt.

U kunt geen blokkering tegen nummeroverdracht inschakelen

Op dit moment ligt het voor de hand om uw eigen nummer vast te zetten. In de VS is dat mogelijk. Verizon noemt de nummeroverdrachtsvergrendeling „Number Lock“, T-Mobile biedt deze aan als „Port Out Protection“ en AT&T bundelt verschillende vergrendelingen in „Wireless Account Lock“, dat uitsluitend in de eigen app beschikbaar is.

Een vergrendeling die specifiek gericht is op nummeroverdracht en simkaartwissels bestaat in Duitsland niet, en daar is een reden voor. Nummerportabiliteit is hier een wettelijk recht op grond van artikel 59 van de Telecommunicatiewet, en sinds 1 december 2021 mogen providers hiervoor geen kosten in rekening brengen. Een permanente grendel die de klant zelf dichtschuift, past niet goed bij een recht dat de wetgever juist gemakkelijk uitoefenbaar wilde maken. Wat Duitse providers in plaats daarvan bieden, is een wachtwoord voor de hotline en de mogelijkheid om een simkaart te blokkeren nadat deze verloren is geraakt. Beide maatregelen treden pas in werking nadat er iets is gebeurd.

De schakelaar die er wel is, bevindt zich bij het account

De aanval begint bij het online account, dus daar wordt de verdediging beslist. Alle drie de grote providers hanteren nu een tweede authenticatiefactor voor het inloggen, maar de verschillen zijn hier van belang.

Bij Telekom heet deze functie „Mehr-Faktor-Authentifizierung“ en treedt deze pas in werking zodra u deze zelf hebt ingesteld. U kiest de methode – app of sms – en daarnaast het moment waarop deze wordt toegepast: bij elke aanmelding of alleen bij belangrijke handelingen. Vodafone adviseert om direct bij het inschakelen back-upcodes te genereren, zodat u bij verlies van uw telefoon niet ook uw account kwijtraakt. Bij O2 is de tweede factor verplicht, en daar verloopt de controle via het klantnummer wanneer er noch een O2-nummer, noch een geverifieerd e-mailadres in het bestand staat.

Waarom een SMS-tweede verificatiefactor hier de verkeerde kant op wijst

Zet nu de aanval en de instellingen naast elkaar. Wat wordt gestolen, is het telefoonnummer, en de tweede factor die bedoeld is om het account te beveiligen, is een sms naar datzelfde nummer – standaard bij O2 en op verzoek bij Telekom. Zolang alleen het wachtwoord kwijt is, werkt het. Zodra het nummer kwijt is, beschermt de tweede factor de aanvaller in plaats van u.

In dezelfde aankondiging waarin de tweede factor verplicht wordt gesteld, schrijft O2 een zin die gemakkelijk over het hoofd wordt gezien. Geef de code nooit door via de telefoon of in een chat, zo staat er, het serviceteam vraagt er daar nooit om. Dat is precies waar de valse koerier belt.

Wie de keuze heeft, kiest voor de app. Een code uit een authenticator-app blijft op het apparaat staan en reist niet mee met het nummer. Wie geen keuze heeft, verlegt het zwaartepunt naar het e-mailaccount. Dat account heeft dan zelf een sterk wachtwoord nodig en een tweede factor die niet opnieuw aan hetzelfde nummer is gekoppeld.

Vijf minuten om dit te regelen

Log in op het portaal van uw provider en controleer of er een tweede authenticatiefactor is ingesteld. Bij Telekom vindt u dit in de inloginstellingen, bij Vodafone onder „Mein Konto“ en „Login-Daten“, bij O2 is deze standaard al actief. Als er „SMS“ staat en er een app wordt aangeboden, schakel dan over. Stel bij Telekom ook in dat de tweede factor bij elke aanmelding wordt gevraagd.

Controleer terwijl u daar bent of het wachtwoord voor het provideraccount nergens anders wordt gebruikt. Het is de sleutel tot een eSIM-bestelling en behoort dus tot dezelfde categorie als uw wachtwoord voor internetbankieren. Kijk vervolgens wat op de telefoon als beveiligingsfactor fungeert. Bij Telekom is dat het ‘Kundenkennwort’, dat via het contactformulier wordt ingesteld en gewijzigd. Vodafone heeft dit in de mobiele app vervangen door de ‘Service-PIN’, die u kunt zien in ‘MeinVodafone’ maar niet kunt wijzigen; u kunt deze alleen opnieuw aanvragen, waarna deze per post wordt toegestuurd.

En dan is er nog de regel die geen instelling is. Niemand die u belt, heeft een code uit uw sms-berichten nodig. Geen koerier, geen serviceteam, geen bank. Wie er ook om vraagt, heeft de code nodig omdat hij of zij op dit moment iets in uw naam bevestigt. Hang op, bel zelf het officiële nummer en vraag het na. Dezelfde logica geldt voor het wachtwoord voor tweestapsverificatie bij WhatsApp, dat sinds eind augustus de oude zescijferige pincode vervangt.