Sim-swapping: wat je moet weten om beschermd te blijven

Je telefoonnummer is krachtiger dan je denkt: het is een sleutel om toegang tot je bankrekening, e-mail, cryptowallet en sociale feed te herstellen. Maar dat gemak heeft een minpunt, aangezien criminelen je nummer kunnen stelen zonder ooit je handset aan te raken en daarna accounts overnemen die gebruikmaken van sms-codes om in te loggen of de toegang te herstellen. Ze kunnen je wachtwoord herstellen, toegang krijgen tot je accounts en de toegang tot je eigen identiteit ontzeggen.

Deze tactiek wordt sim-swapping genoemd en kostte Amerikanen bijna $ 49 miljoen in 2023. Recent is ook onthuld dat een van de grootste crypto-overvallen in de geschiedenis werd uitgevoerd met sim-swapping: $ 400 miljoen aan assets werden gestolen van de cryptobeurs FTX.

In deze gids leggen we sim-swapping uit, hoe het werkt, hoe je waarschuwingssignalen kunt zien en het belangrijkste, hoe je dit kunt tegenhouden. Je zult hier duidelijk, praktisch advies vinden dat je kunt toepassen, ongeacht of je al te maken hebt met verdachte activiteiten of jezelf gewoon wilt beschermen.

Wat is een simkaart en hoe werkt deze?

Een SIM (subscriber identity module) is een chip ter grootte van een vingernagel die je netwerk vertelt wie je bent via:

1. Identiteit en locatie: de SIM slaat je international mobile subscriber identity (IMSI) en een integrated circuit card identifier (ICCID) op. De IMSI identificeert je abonnement op het netwerk, terwijl de ICCID de unieke id van de simkaart is. Samen laten deze id's je mobiele netwerk je verbinding verifiëren en beheren.
2. Beveiligingssleutels: de SIM bevat cryptografische sleutels die worden gebruikt om je apparaat te authenticeren met het mobiele netwerk voordat een oproep, sms-bericht of datasessie begint. Deze sleutels functioneren als een gedeeld geheim tussen je SIM en het netwerk, die wordt gebruikt om je identiteit veilig te bewijzen. Deze 'wachtwoorduitwisseling' vindt elke keer achter de schermen plaats als je telefoon met het netwerk communiceert om te zorgen dat alleen geautoriseerde apparaten toegang kunnen krijgen tot mobiele diensten.

Zonder een geldig simprofiel zal je netwerk geen oproepen, sms-berichten of data omleiden. Als je je simkaart in een nieuwe telefoon plaatst, gaat je identiteit ook mee. Met eSIM's kan je nummer digitaal worden overgedragen via je provider naar een nieuw apparaat zonder dat hier een fysieke simkaart voor nodig is. Deze eenvoudige overdracht maakt sim-swapping zo verstorend.

Wat is sim-swapping?

Sim-swapping, soms ook wel een sim-swap, sim-jacking of sim-porting genoemd, vindt plaats als aanvallers een provider misleiden of omkopen om je telefoonnummer over te dragen aan een SIM die zij beheren.

Zodra die overdracht plaatsvindt, gaat elk telefoongesprek of sms-code die voor jou is bedoeld naar hun handset. Met die eenmalige toegangscodes kan de aanvaller wachtwoorden herstellen, wallets legen of crypto kopen in jouw naam.

Er is niet veel voor nodig om een doelwit te worden. Telefoonnummers zijn aan meer accounts gekoppeld dan mensen zich realiseren. Als fraudeurs toegang krijgen stelen ze niet alleen je nummer, maar ook je digitale identiteit. We zetten alles op een rijtje.

Hoe werkt sim-swapping?

Aanvallers volgen doorgaans een vierstappenplan:

1. Datamining: ze zoeken op sociale media naar berichten, versturen phishingmails of gebruiken informatie die bij datalekken is blootgesteld om je geboortedatum, adres en antwoorden op veelgestelde beveiligingsvragen te verzamelen.
2. Contact opnemen met provider: met die gegevens doen ze zich voor als jou in een online chat of callcenter en geven aan dat hun telefoon is gestolen en ze een vervangende SIM nodig hebben. Om de provider op dit moment te misleiden moeten procedures voor identiteitsverificatie worden voltooid, wat per land kan verschillen en vooral afhangt van hoe strikt de lokale registratiewetten voor simkaarten zijn.
3. Overdracht van nummer: als de medewerker het verhaal accepteert, wordt je telefoonnummer overgedragen naar een nieuw(e) SIM of eSIM-profiel en de toegang tot je apparaat verbroken. Op dit moment gaan al je oproepen en sms-berichten naar de aanvaller.
4. Overname van account: als je accounts gebruikmaken van tweestapsverificatie (2FA) via sms-berichten, kunnen aanvallers die codes gebruiken om wachtwoorden te resetten, wallets te legen of crypto in je naam te kopen.

In sommige zeldzamere gevallen wordt de sim-swap uitgevoerd door een insider: een medewerker van de provider die is omgekocht om de overdracht uit te voeren. Het resultaat is hetzelfde, ongeacht de methode: je digitale leven wordt overgedragen naar de broekzak van iemand anders.

💡Tip: wees proactief. Als je je in de VS bevindt, kan de gegevensverwijderingsdienst van ExpressVPN, onderdeel van het Identity Defender-pakket, helpen om te beperken hoeveel persoonsgegevens beschikbaar zijn voor datahandelaars. Hierdoor is het moeilijker voor aanvallers om gegevens over je te verzamelen.

Signalen dat je mogelijk een slachtoffer van sim-swapping bent

Hieronder bespreken we hoe je erachter kunt komen of je een slachtoffer bent van sim-swapping.

Je verliest plotseling service

Het meest directe en duidelijke signaal is een plotseling verlies van je mobiele service. Je telefoon geeft 'Geen service' of 'Alleen noodoproepen' aan, ondanks dat je een goede dekking hebt en je rekening is betaald. Als het opnieuw opstarten van je telefoon niet helpt, kan dat een teken zijn dat je nummer naar een andere SIM is verplaatst.

Je kunt geen sms-berichten versturen of oproepen doen of deze ontvangen

Als je telefoon geen mobiele service meer heeft, kun je geen telefoongesprekken voeren en geen standaard sms-berichten versturen of ontvangen. Dit geldt ongeacht of je verbonden bent met wifi. Je telefoongesprekken en sms-berichten zijn namelijk afhankelijk van je mobiele netwerk, dat tijdens een sim-swap wordt uitgeschakeld.

Verdachte activiteiten op bankrekening of sociale accounts

Sim-swappers handelen snel. Zodra ze je nummer hebben, proberen ze toegang te krijgen tot accounts met beveiligingscodes via sms-berichten. Je krijgt mogelijk veel e-mails over herstelde wachtwoorden, nieuwe aanmeldingen op onbekende apparaten of locaties of een financiële waarschuwing met een overschrijving die je niet hebt uitgevoerd.

Je ontvangt een melding dat je nummer op een nieuw apparaat wordt gebruikt

In sommige landen sturen mobiele providers nu meldingen zoals 'Sim-swap in behandeling' of een sms-bericht dat je telefoonnummer op een nieuw apparaat is geactiveerd. Als je zo'n melding ontvangt en de wijziging niet hebt aangevraagd, dan wordt je nummer mogelijk aangevallen. Houd er rekening mee om nooit een verzoek goed te keuren die je niet hebt gestart.

Wat je moet doen als je SIM geswapped wordt

Haast is je beste verdediging. Zodra je geen service meer hebt of onbekende activiteiten opmerkt, moet je de volgende stappen ondernemen en tijdens het proces aantekeningen maken:

1. Bel je mobiele provider

Gebruik een andere telefoon om contact op te nemen met de klantenservice en geef aan dat je mogelijk slachtoffer bent van sim-swapping. Vraag de medewerker om de nieuwe SIM uit te schakelen en je nummer te herstellen naar een SIM of eSIM-profiel dat jij beheert. Noteer de datum, tijd en naam van de medewerker.

2. Vergrendel je geld

Bel nu je bank of uitgever van je kaart. Leg de situatie uit, zet transacties stil en controleer de recente activiteiten terwijl een ondersteuningsmedewerker aan de lijn is. Als je onbevoegde overschrijvingen ziet, start dan meteen de geschillenprocedure. Houd realtime waarschuwingen voor uitgaven actief, zodat je nieuwe afschrijvingen niet over het hoofd ziet.

💡Tip: gebruikers in de VS kunnen ook profiteren van de identiteitsbeschermingsdienst van ExpressVPN, Identity Defender met Credit Scanner. Hiermee kun je je kredietrapporten nauwlettend in de gaten houden voor verdachte nieuwe accounts of activiteiten.

3. Herstel wachtwoorden en schakel over van 2FA via sms-berichten naar een app

Begin met je primaire e-mailaccount en ga daarna door naar je bank, sociale media en eventuele clouddiensten. Wijzig elk wachtwoord en vervang sms-codes met een authenticator-app zoals Google Authenticator die de aanvaller niet kan onderscheppen. Als de provider je service herstelt, schakel je je 2FA weer in met de nieuwe methode om het gat permanent te sluiten.

4. Doe aangifte van het misdrijf

Doe aangifte bij je nationale eenheid voor cybermisdaad. Deel de referentienummers met je bank en provider. Officiële documenten versnellen vaak de terugbetalingen en interne onderzoeken.

5. Noteer elke stap die je onderneemt

Schrijf elk(e) oproep, ticketnummer en beloofde actie op en neem binnen 24 uur weer contact op om de voortgang te bevestigen. Een duidelijke tijdlijn helpt om later meningsverschillen op te lossen en benadrukt dat je de kwestie actief opvolgt.

Sim-swapping voorkomen

Koppel je telefoonnummer niet met online accounts

Gebruik je telefoonnummer indien mogelijk niet als aanmeldings- of herstelmethode. Gebruik in plaats daarvan een e-mailadres of authenticator-app om toegang te krijgen tot je account en deze te herstellen. Dit vermindert het risico als je telefoonnummer over wordt genomen. Vergeet echter niet dat e-mailaccounts ook kunnen worden gehackt (en dat e-mailaccounts ook vaak het doelwit zijn van hackers). Van de twee opties is een authenticator-app dus de veiligere keuze.

Gebruik multifactorauthenticatie

Naast het gebruik van alleen een wachtwoord, voegt multifactorauthenticatie (MFA) extra beveiligingslagen toe aan je accounts:

• Authenticator-apps: deze genereren codes op je apparaat, niet via sms-berichten, waardoor ze immuun zijn voor sim-swapaanvallen. Dit betekent dat zelfs als iemand de controle over je nummer krijgt, deze persoon geen toegang heeft tot je 2FA-codes. Apps zoals Google Authenticator, Authy of Microsoft Authenticator zijn goede opties.
• Biometrische gegevens: veel apparaten en apps bieden tegenwoordig biometrische authenticatie, zoals vingerafdruk- of gezichtsherkenning. Dit zorgt voor een extra beveiligingslaag op apparaatniveau, waardoor toegang tot bepaalde apps of acties wordt voorkomen, zelfs als iemand toegang krijgt tot je telefoonnummer.
• Fysieke beveiligingssleutels: hardwaretokens zoals YubiKeys bieden een zeer veilige authenticatiemethode. Ze vereisen vaak fysieke interactie en gebruiken cryptografische sleutels, waardoor ze zeer moeilijk te kraken zijn. Ze zijn vooral nuttig voor het beveiligen van e-mailaccounts en financiële rekeningen.

Vraag je provider om een pincode of vergrendeling voor je account

De meeste providers laten je een pincode voor je account of beveiligingsvraag configureren. Dit maakt het voor aanvallers moeilijker om zich als jou voor te doen.

Sommige bieden ook functies voor nummer- of accountvergrendeling, waardoor een extra verificatiestap wordt toegevoegd voordat je nummer naar een andere SIM kan worden overgedragen.

Anderen bieden terugbelverificatie, waarbij ze je geregistreerde nummer bellen om eventuele accountwijzigingen te bevestigen. Als deze extra stap is ingeschakeld, kan dit een lopende sim-swap verhinderen.

Stel waarschuwingen in op je accounts

Bij veel banken en online diensten kun je meldingen instellen voor inlogpogingen, wachtwoordwijzigingen of geldopnames. Zo krijg je tijdig een waarschuwing als er iets mis is.

Controleer je gevoelige accounts regelmatig

Controleer de beveiligingsinstellingen van je financiële rekeningen, e-mailaccounts en sociale media-accounts. Zoek naar signalen van onbevoegde toegang, werk je herstelmethoden bij en controleer welke accounts je telefoonnummer gebruiken voor aanmeldingen of herstel.

Volg de basisregels van online bescherming

Tot slot kunnen slimme online gewoonten helpen om de meeste pogingen tot sim-swapping te vermijden voordat ze überhaupt worden gestart.

• Denk na voordat je klikt: klik niet op links en open geen bijlagen in onverwachte berichten, zelfs als deze er bekend uitzien. Dit voorkomt dat phishers de persoonlijke informatie kunnen stelen die ze gebruiken om zich voor te doen als jou tijdens een sim-swap.
• Houd details voor jezelf: plaats of deel je telefoonnummer, adres of identiteitsnummers niet op openbare sites. Minder blootgestelde informatie betekent dat fraudeurs minder antwoorden hebben om de veiligheidscontrole van een provider te voltooien.
• Verifieer elke oproep: als iemand beweert van je provider te zijn, hang dan op en bel de officiële klantenservice van je provider. Terugbellen naar een geverifieerd nummer voorkomt dat sociale ingenieurs je dienst in realtime hacken.
• Overhandig nooit accountgegevens: je provider vraagt niet om wachtwoorden, pincodes of bankgegevens via de telefoon, e-mail of een sms'je. Door deze codes te beschermen kun je voorkomen dat aanvallers de benodigde gegevens in handen krijgen om je nummer te migreren.
• Gebruik overal unieke wachtwoorden: door verschillende inloggegevens te gebruiken voor elke online dienst, waaronder het account voor je provider, beperk je de schade van een datalek aanzienlijk. Als één site wordt blootgesteld, krijgen criminelen geen toegang tot je overige gevoelige accounts. Een wachtwoordmanager zoals ExpressVPN Keys helpt je om sterke wachtwoorden te maken en op te slaan zonder ze opnieuw te gebruiken.
• Gebruik geen automatisch invullen van een app: maak geen gebruik van de ingebouwde functies voor automatisch invullen van browsers en apps. Deze kunnen namelijk minder veilig zijn dan het gebruik van een speciale wachtwoordmanager. Als je je telefoon kwijtraakt of deze wordt blootgesteld door malware, kunnen opgeslagen gegevens voor automatisch invullen aanvallers makkelijke toegang verschaffen.

Praktijkvoorbeelden van sim-swapfraude (en wat er echt op het spel staat)

Sim-swapping is niet alleen een technisch probleem: het is persoonlijk. Voor veel slachtoffers begint het met een kleine verstoring en leidt het uiteindelijk tot gestolen geld, reputatieschade en jarenlang herstel.

Neem bijvoorbeeld Jack Dorsey, voormalig CEO van Twitter. In 2019 gebruikten aanvallers sim-swapping om zijn telefoonnummer over te nemen. Binnen enkele minuten gebruikten ze een sms-naar-berichten-dienst om beledigende tweets vanaf zijn account te publiceren. De inbreuk duurde niet lang, maar haalde wereldwijd de krantenkoppen en liet zien hoe kwetsbaar zelfs technologische leiders kunnen zijn.

Of neem Michael Terpin, een crypto-investeerder die meer dan $ 20 miljoen verloor nadat zijn telefoonnummer werd gehackt. De aanvaller omzeilde de beveiliging van zijn account, kreeg toegang tot zijn digitale wallet en maakte deze leeg. Terpin klaagde later zijn mobiele provider aan omdat volgens hem zwakke interne controles de diefstal mogelijk hadden gemaakt.

Dit zijn geen op zichzelf staande situaties. Sim-swapping wordt in verband gebracht met grootschalige aanvallen op mensen, van prominente beroemdheden tot gewone gebruikers. Dit is wat de aanvallers kunnen doen:

• Identiteitsdiefstal: zodra iemand je telefoonnummer overneemt, kan deze persoon zich online voordoen als jou, je e-mailadres overnemen, inloggen bij je bank en wachtwoorden herstellen. Ze kunnen de persoonsgegevens van je accounts ook gebruiken om leningen of kredietlijnen op je naam aan te vragen.
• Financieel verlies: een gestolen nummer kan leiden tot leeggehaalde bankrekeningen, ongeoorloofde creditcardaankopen en zelfs diefstal van cryptovaluta. Als je financiële rekeningen gebruikmaken van tweestapsverificatie via sms, geeft een sim-swap oplichters precies wat ze nodig hebben om toegang te krijgen.
• Inbreuk op privacy: een succesvolle sim-swap kan je sms-berichten, foto's die zijn opgeslagen in aan de cloud gekoppelde berichtenapps en je contactenlijst blootstellen. De aanvaller kan je nummer gebruiken om vrienden berichten te sturen, toegangscodes op te vragen of zonder dat je het weet persoonlijke gesprekken te bekijken.
• Reputatieschade: iemand die je nummer gebruikt, kan berichten op je sociale media plaatsen, zich in berichten voordoen als jou of je contacten oplichten. Afhankelijk van de situatie kan dit relaties schaden of je carrière beïnvloeden.

Conclusie: mobiele fraude voorblijven

Een gestolen telefoonnummer is niet alleen vervelend, maar ook een gevaar voor je digitale leven. Van bankieren tot e-mail en sociale media, met je nummer kun je bijna alles ontgrendelen. Daarom is het erg belangrijk om jezelf te beschermen.

Gebruik authenticatie-apps, stel pincodes voor accounts in, gebruik je nummer niet om in te loggen en houd verdachte activiteiten in de gaten. Preventie kost slechts een paar minuten, maar weer herstellen van identiteitsdiefstal kan jaren duren.

Hoewel een VPN sim-swapping niet kan voorkomen, is het toch een slimme manier om je online activiteiten te beveiligen, vooral op openbare wifi-netwerken. ExpressVPN versleutelt je verkeer en voegt een sterke privacylaag toe, zodat je gegevens worden beschermd terwijl je verbonden blijft.