Bij een recente aanval op Orange Belgium is het gevaar voor zogeheten ‘SIM-swapping’ voor klanten weer iets verhoogd. Wat is dat en kan je daar zelf iets tegen doen?
Bij een recente aanval op de IT-systemen van Orange Belgium kregen criminelen toegang tot gegevens over zo’n 850.000 klantenaccounts. ‘De hacker heeft toegang gekregen tot een van onze IT-systemen dat de volgende gegevens bevat: naam, voornaam, telefoonnummer, simkaartnummer, PUK-code, tariefplan’, zo meldde Orange zelf. En hoewel het hier niet om paswoorden en bankinformatie gaat, merkt ethisch hacker Inti De Ceukelaire op dat het gevaar voor SIM-swapping met die info wel groter wordt.
Orange Belgium slachtoffer van cyberaanval
Wat is sim-swapping?
Zogeheten SIM-swap fraude houdt in dat criminelen mobiele providers proberen te overtuigen om het telefoonnummer van het slachtoffer over te dragen naar een SIM-kaart in hun bezit. Dat laat hen toe om toegang te krijgen tot sms’jes op dat nummer en telefoongesprekken. Misschien nog belangrijker is dat het hen ook toelaat om berichten met codes voor tweestapsverificatie te onderscheppen. Zo kunnen ze inbreken in bijvoorbeeld socialemedia-accounts die met 2FA beschermd zijn.
Een van de problemen bij fraude zoals SIM-swapping is natuurlijk dat je het zelf niet helemaal in de hand hebt. Veel hangt hier af van de procedures die je provider hanteert. Zij zijn degenen die je nummer overzetten en dus hopelijk grondig onderzoeken of de account wel van de aanvrager is. Anderzijds willen ze ook niet te grondig te werk gaan, want dan wordt het overzetten van nummers (wat wettelijk mogelijk moet zijn) te moeilijk. In het geval van Orange heeft de provider al gezegd dat hij maatregelen heeft genomen, en gaat hij vermoedelijk de volgende weken extra grondig controleren wie er nummers probeert over te zetten.
Over het algemeen komt deze vorm van fraude in ons land iets minder voor, net omdat providers de laatste jaren procedures hebben ingevoerd om ze te voorkomen. Wil je een kaart vervangen in de winkel, zal je vaak je identiteitskaart moeten tonen. Aan de telefoon wordt er onder meer je rijksregisternummer gevraagd. Dat neemt natuurlijk niet weg dat, zeker met de nodige gegevens, een hacker zich voorbij een callcentermedewerker kan praten.
Kan je daar wat aan doen?
De belangrijkste tip is hier is meestal om geen gevoelige informatie vrij te geven op bijvoorbeeld sociale media, of als antwoord op verdachte mailtjes. Als je gegevens bij een lek zijn gestolen, gaat het eerder om ‘damage control’.
– Gebruik waar mogelijk tweestapsverificatie (2FA) met veiliger systemen dan sms’jes voor kritieke accounts. Denk aan systemen zoals een passkey (al dan niet fysiek), of authenticatie-apps die aan je fysieke toestel zijn gelinkt. Hoe meer van je belangrijke accounts (bank, mail, sociale media) via zo’n systeem worden beveiligd, hoe minder schade een SIM-swap kan berokkenen.
– Stel extra beveiliging in voor je provider. Sommige telco’s, zoals Proximus, laten je toe een extra 2FA in te stellen voor je provider-account (bijvoorbeeld met een authenticator). Ook dat maakt het fraudeurs lastiger om je telefoonnummer over te nemen. Bij Orange kan dit momenteel overigens niet, daar log je in op MyOrange met je telefoonnummer en een sms-code.
– Controleer je accounts regelmatig. Kijk bijvoorbeeld na of er geen vreemde berichten vanuit je sociale media of mail worden verstuurd, en scan je bankafschriften op zoek naar transacties die je niet hebt gemaakt. Een aanvaller zal vaker kleine bedragen doorsturen omdat die minder opvallen, zowel bij jou als bij de fraude-detectie van de bank .
– Let op vreemde sms’jes en het wegvallen van je verbinding. Beide zijn symptomen dat je mogelijk slachtoffer bent geworden. Activatie-sms’jes die je niet zelf gevraagd hebt, kunnen een indicatie zijn dat de fraudeur probeert accounts over te nemen. Bij een SIM-swap wordt de kaart van het slachtoffer bovendien gedeactiveerd. Als je niet meer kunt bellen of mobiele data kunt gebruiken zonder aanwijsbare oorzaak zoals geplande werken, kan dat betekenen dat je SIM-kaart is uitgezet. Als je denkt slachtoffer te zijn van een SIM-swap is het zaak om zo snel mogelijk je provider en de politie te waarschuwen, zodat je telefoonnummer kan worden geblokkeerd.