Wat is SIM-swapping en hoe bescherm je je telefoonnummer?

Je telefoonnummer is meer waard dan je denkt. Veel diensten sturen er sms-codes naartoe voor tweestapsverificatie en wachtwoordherstel. Wie jouw nummer overneemt, kan die codes onderscheppen — en daarmee soms je e-mail, sociale media of zelfs bankzaken binnendringen. Precies dat is het doel van SIM-swapping.

Hoe werkt SIM-swapping?

Bij SIM-swapping (ook wel sim-swap-fraude) vraagt een crimineel bij jouw provider een nieuwe simkaart of een overzetting van je nummer aan, terwijl hij zich voordoet als jou. Lukt dat, dan wordt jouw simkaart gedeactiveerd en komen al je oproepen en sms'jes — inclusief verificatiecodes — binnen op de simkaart van de aanvaller.

Om zich geloofwaardig als jou voor te doen heeft de crimineel persoonlijke gegevens nodig: je naam, geboortedatum, adres of klantnummer. En daar komen datalekken in beeld. Wanneer bij een lek naam en telefoonnummer samen op straat liggen — zoals bij het Odido-datalek — hebben aanvallers precies de combinatie in handen waarmee ze bij een klantenservice of in een webshop-achtige selfservice-omgeving een simwissel kunnen proberen. Soms wordt de rest van de benodigde informatie via gerichte phishing bijeengesprokkeld.

Waarom sms-codes hierdoor kwetsbaar zijn

Tweestapsverificatie via sms is beter dan geen tweestapsverificatie. Maar de zwakke plek is duidelijk: de code gaat naar je telefoonnummer, niet naar je telefoon. Wie het nummer overneemt, ontvangt de codes. Daarom geldt sms-2FA als de zwakste vorm van tweestapsverificatie, en is een authenticator-app of hardwaresleutel de betere keuze. Hoe je dat instelt lees je in ons artikel over tweestapsverificatie instellen.

Zo herken je een sim-swap

Het belangrijkste signaal is opvallend simpel: je telefoon heeft plots geen bereik meer, terwijl er niets mis is met het netwerk. Bellen en sms'en lukt niet, ook niet na opnieuw opstarten, terwijl anderen in dezelfde ruimte gewoon bereik hebben. Andere signalen:

• Je ontvangt een bevestiging van je provider over een simwissel of nummerbehoud die je zelf niet hebt aangevraagd.
• Je wordt onverwacht uitgelogd bij accounts, of ziet meldingen over wachtwoordwijzigingen die je niet zelf deed.
• Vrienden melden dat ze je niet kunnen bereiken.

Herken je dit? Neem dan direct contact op met je provider (via een ander toestel of de website) om de wissel terug te draaien, en wijzig daarna de wachtwoorden van je belangrijkste accounts — te beginnen bij je e-mail. Controleer ook je bankrekening en doe bij schade aangifte bij de politie.

Zo bescherm je je telefoonnummer

Vraag een blokkade of extra verificatie aan bij je provider. Meerdere Nederlandse providers bieden de mogelijkheid om nummerportering en simwissels extra te beveiligen, bijvoorbeeld met een blokkade die je alleen persoonlijk kunt opheffen of een extra wachtwoord op je klantaccount. Vraag je provider wat er mogelijk is — zeker als je gegevens in een lek hebben gezeten.

Stap af van sms-codes waar het kan. Gebruik voor tweestapsverificatie een authenticator-app, hardwaresleutel of passkey in plaats van sms. Dan levert een overgenomen nummer de aanvaller veel minder op.

Koppel wachtwoordherstel niet alleen aan je nummer. Controleer bij je belangrijkste accounts welke herstelopties er ingesteld staan. Een herstelmethode die alleen op sms leunt, is zo sterk als je simkaart.

Wees zuinig met je nummer. Hoe minder plekken je telefoonnummer kennen, hoe kleiner de kans dat het samen met je naam in een volgend lek belandt.

Weet of jouw nummer al gelekt is

SIM-swapping begint bijna altijd met gelekte gegevens. Wil je weten of jouw gegevens — en mogelijk je telefoonnummer — in bekende datalekken voorkomen? Doe de gratis check op Datalekchecker.nl: je ziet direct in welke lekken je e-mailadres opduikt en welke gegevens daarbij zijn buitgemaakt.