Bij simswapping probeert een fraudeur via de klantenservice van een telefoonprovider het beheer te krijgen over een 06-nummer. Als een oplichter daarin slaagt, kan hij toegang krijgen tot accounts die beveiligd waren met een tweestapsverificatie waarbij de verificatiecode per sms wordt verzonden. Hoe groot is de kans dat dat gebeurt en hoe bescherm je je online profielen? Opgelicht?! spreekt met cybercrime-expert Sanne Maasakkers van Fox-IT.
Met een tweestapsverificatie bescherm je je accounts online niet alleen met een wachtwoord, maar ook met een code die naar je telefoon wordt gestuurd of via een app wordt gegenereerd. Die methode om je gegevens te beschermen is altijd te verkiezen boven een enkele beveiliging met een wachtwoord, zo vertelt Maasakkers.
Hoe gaat simswapping in zijn werk?
Toch hebben fraudeurs een manier gevonden om die extra beveiligingslaag te omzeilen. Ze bellen dan met de klantenservice van jouw telefoonprovider, en proberen met een smoesje jouw 06-nummer over te zetten naar een ander toestel, of ze proberen in te loggen op je online account bij je provider.
Om te checken of de klantenservice echt met de juiste persoon spreekt en niet met een fraudeur, worden enkele vragen gesteld. Medewerkers vragen bijvoorbeeld naar de geboortedatum, postcode en de laatste drie cijfers van het bankrekeningnummer.
Dat lijkt veilig, maar door veel grote datalekken - denk aan het recente lek bij de GGD - kunnen ook cybercriminelen de hand leggen op die informatie. Maasakkers noemt bijvoorbeeld het grote lek bij Ticketcounter, waardoor veel van deze gegevens zijn gelekt. Bovendien gaan simfraudeurs geraffineerd te werk: weten ze een antwoord op een vraag van de klantenservice niet, dan kunnen ze daar handig omheen praten of veinzen ze paniek.
Wat kun je doen tegen simswapping?
Tegen datalekken kun je niet zoveel beginnen, vertelt Maasakkers. 'Maar het is wel verstandig het account bij je telefoonprovider goed te beschermen met een extra beveiligingslaag. Helemaal als je gebruik maakt van een e-sim. Bij e-sim kun je gebruik maken van een telefoonnummer door het scannen van QR-code, direct vanuit je online account.'
Verder adviseert Maasakkers om de tweestapsverificatie met een app in te stellen. Je krijgt dan geen sms'je met een code, maar je gebruikt een toepassing die de verificatiecodes voor je genereert.
En het is volgens Maasakkers goed om waakzaam te blijven. 'Als je een berichtje van je provider krijgt dat je nieuwe sim is geactiveerd bijvoorbeeld. Of als je geen gebruik meer kunt maken van het netwerk van je telefoonprovider. Of je hoort uit je omgeving dat er berichten vanuit jouw naam en nummer worden verstuurd. Neem in die gevallen zo snel mogelijk contact op met de klantenservice van jouw telefoonprovider.'
Waarom willen cybercriminelen graag toegang tot jouw accounts?
Hoewel het per geval kan verschillen, is de belangrijkste reden voor simswapping geld, ziet Maasakkers. 'Ze willen bijvoorbeeld in een account kunnen omdat ze dan toegang krijgen tot geld, of ze willen informatie inzien waarmee ze jou kunnen afpersen.'
Het kan ook zijn dat cybercriminelen profielen willen overnemen om vanuit daar berichten te verspreiden. Dat kan gaan om profielen van belangrijke personen, maar dat hoeft niet. Fraudeurs kunnen zich vanuit accounts voordoen als iemand anders en zo het vertrouwen wekken van mensen in de omgeving van de benadeelde. Zo kunnen kwaadwillenden nóg meer slachtoffers maken.
Een kleine geruststelling misschien: simswapping gebeurt niet op zo'n grote schaal als phishing. Voor simswapping moeten criminelen simpelweg namelijk flink meer moeite doen. Toch kan het voor kwaadwillenden een aantrekkelijke oplichtingstruc zijn, omdat de opbrengst ook vaak hoger is. Ze kunnen namelijk je hele 'digitale leven' overnemen. Een goede reden om de beveiliging van je accounts nog eens na te gaan!
