SIM swapping

SIM swapping, ook wel SIM-kaping of nummerkaping genoemd, is een vorm van fraude waarbij een crimineel het telefoonnummer van het slachtoffer overneemt door de telecomprovider te misleiden. De aanvaller overtuigt de provider om het nummer over te zetten naar een nieuwe simkaart die in bezit is van de crimineel. Zodra de overzetting is voltooid, ontvangt de aanvaller alle sms-berichten en telefoongesprekken die bestemd zijn voor het slachtoffer. In Nederland zijn honderden mensen slachtoffer geworden van SIM swapping, waarbij de financiele schade kan oplopen tot tienduizenden euro's per geval. De aanval is bijzonder gevaarlijk omdat veel diensten nog steeds sms-verificatie gebruiken als onderdeel van meerfactor authenticatie, waardoor een succesvol geswapt nummer directe toegang geeft tot bankrekeningen, e-mail, DigiD en sociale media-accounts. Met de groeiende afhankelijkheid van mobiele authenticatie neemt het risico van SIM swapping toe.

Hoe werkt SIM swapping?

Een SIM swapping-aanval verloopt in drie duidelijke fasen. In de eerste fase verzamelt de aanvaller persoonlijke informatie over het slachtoffer. Dit gebeurt via social engineering, het kopen van gegevens op het dark web, phishing-e-mails of het scrapen van sociale media-profielen. De aanvaller zoekt specifiek naar informatie die telecomproviders gebruiken om klanten te identificeren: volledige naam, geboortedatum, adres, de laatste vier cijfers van een bankrekening en soms het burgerservicenummer.

In de tweede fase belt de aanvaller de klantenservice van de telecomprovider en doet zich voor als het slachtoffer. Met de verzamelde persoonlijke gegevens beantwoordt de aanvaller de beveiligingsvragen die de provider stelt om de identiteit te verifieren. De aanvaller meldt dat de huidige simkaart verloren, gestolen of beschadigd is en vraagt om het nummer over te zetten naar een nieuwe simkaart. In sommige gevallen bezoekt de aanvaller een fysieke winkel van de provider met een vervalst identiteitsbewijs om de swap persoonlijk aan te vragen, wat voor medewerkers moeilijker te weigeren is.

Zodra de nummerverzetting is voltooid, ontvangt de aanvaller alle sms-berichten die naar dat nummer worden gestuurd. De aanvaller logt vervolgens in op accounts die sms-verificatie gebruiken: internetbankieren, e-mail, cryptocurrency wallets en andere diensten waarvan de credentials al eerder zijn verzameld of via de e-mailtoegang worden gereset. Het slachtoffer merkt vaak pas dat er iets mis is wanneer de eigen simkaart plotseling geen netwerk meer heeft, dat is het moment dat het nummer al is overgenomen en de aanvaller al bezig is met het plunderen van accounts.

Hoe herken je SIM swapping?

Het meest directe signaal van SIM swapping is een plotseling verlies van mobiel netwerk. Als je telefoon onverwacht "geen service" toont terwijl er geen storing is bij je provider en andere telefoons op hetzelfde netwerk wel werken, kan dit wijzen op een SIM swap. Neem direct contact op met je provider via een ander telefoonnummer, via de online selfservice-portal of bezoek een fysieke winkel om te verifieren of er een SIM-wijziging is aangevraagd.

Andere signalen zijn onverwachte meldingen over accountwijzigingen die je niet hebt aangevraagd. Als je e-mailnotificaties ontvangt over wachtwoordresets, adreswijzigingen of inlogpogingen die je niet hebt geinitieerd, is er mogelijk al een SIM swap uitgevoerd en is de aanvaller je accounts aan het overnemen. Controleer ook je bankrekening op ongeautoriseerde transacties en je e-mail op bevestigingen van wijzigingen die je niet hebt aangevraagd.

Op organisatieniveau kun je SIM swapping detecteren door te monitoren op ongebruikelijke locatiewijzigingen van medewerkers-accounts. Als een medewerker normaal inlogt vanuit Nederland en plotseling authenticatieverzoeken komen vanuit een ander land via hetzelfde telefoonnummer, kan dit wijzen op een gecompromitteerd nummer. Een SIEM-systeem helpt bij het correleren van dergelijke anomalieen met andere verdachte activiteiten zoals wachtwoordresets of toegang buiten kantooruren. Overweeg ook om alerts in te stellen voor sms-gebaseerde MFA-verificaties die vanuit onverwachte locaties plaatsvinden.

Hoe bescherm je je tegen SIM swapping?

De belangrijkste bescherming is het vermijden van sms als tweede authenticatiefactor voor kritieke diensten. Gebruik in plaats daarvan authenticator-apps als Google Authenticator of Microsoft Authenticator, of hardware security keys als YubiKey. Deze methoden zijn niet afhankelijk van je telefoonnummer en daardoor volledig immuun voor SIM swapping. Waar sms-verificatie niet uitgeschakeld kan worden, combineer het met aanvullende beveiligingslagen.

Beveilig je account bij je telecomprovider met een extra wachtwoord of pincode. Bij Vodafone en T-Mobile kun je een telefonisch wachtwoord instellen dat je moet opgeven voordat wijzigingen aan je account worden doorgevoerd. KPN heeft eveneens verificatieprocedures aangescherpt. Dit voorkomt dat een aanvaller telefonisch een SIM swap kan aanvragen met alleen publiek beschikbare persoonlijke gegevens. Neem contact op met je provider om te vragen welke extra beveiligingsopties beschikbaar zijn en activeer ze direct.

Beperk de persoonlijke informatie die je online deelt, zowel op sociale media als op andere platforms. Hoe minder informatie een aanvaller kan verzamelen, hoe moeilijker het wordt om beveiligingsvragen te beantwoorden. Gebruik unieke, sterke wachtwoorden per dienst en sla deze op in een wachtwoordmanager. Monitor je accounts actief op verdachte activiteit en stel meldingen in voor inlogpogingen en accountwijzigingen via e-mail. Voor organisaties is het raadzaam om een beleid op te stellen dat sms-gebaseerde authenticatie uitfaseert ten gunste van phishing-resistente MFA-methoden en medewerkers te trainen in het herkennen van de signalen van SIM swapping.

De juridische en technische aanpak van SIM swapping evolueert voortdurend. Europese regelgeving dwingt telecomproviders om hun verificatieprocedures aan te scherpen bij SIM-wijzigingen. De eIDAS 2.0-verordening en de bijbehorende technische standaarden stellen strengere eisen aan identiteitsverificatie bij telecomdiensten. Sommige providers implementeren inmiddels biometrische verificatie of video-identificatie bij SIM-wijzigingen, wat het voor aanvallers aanzienlijk moeilijker maakt om een swap uit te voeren via social engineering alleen.

Voor organisaties is het raadzaam om een incident response-procedure specifiek voor SIM swapping op te stellen. Deze procedure beschrijft hoe medewerkers een vermoedelijke SIM swap melden, welke accounts prioritair worden beveiligd en hoe de communicatie verloopt met de telecomprovider en eventueel de politie. Een snelle respons is cruciaal omdat aanvallers binnen minuten na een succesvolle SIM swap beginnen met het overnemen van accounts. Hoe sneller het nummer wordt teruggedraaid, hoe beperkter de schade.

Veelgestelde vragen over SIM swapping

Is SIM swapping strafbaar in Nederland?

Ja, SIM swapping valt onder computervredebreuk en identiteitsfraude volgens het Wetboek van Strafrecht. Daders riskeren gevangenisstraffen tot vier jaar. Doe altijd aangifte bij de politie als je slachtoffer bent geworden.

Hoe snel kan een aanvaller toeslaan na een SIM swap?

Binnen minuten. Geautomatiseerde tools testen direct na de SIM swap alle bekende accounts van het slachtoffer. Snelle actie bij verlies van netwerksignaal is daarom cruciaal om de schade te beperken.

Kan mijn werkgever slachtoffer worden van SIM swapping?

Ja, als zakelijke accounts sms-verificatie gebruiken. CEO-fraude gecombineerd met SIM swapping is een groeiend probleem. Implementeer zakelijk beleid dat sms-authenticatie verbiedt voor kritieke systemen.

Welke providers bieden extra bescherming tegen SIM swapping?

Vodafone en T-Mobile bieden een telefonisch wachtwoord. KPN heeft verificatieprocedures aangescherpt na eerdere incidenten. Neem contact op met je provider om te vragen naar beschikbare beveiligingsopties.

Wat doe je als je slachtoffer bent van SIM swapping?

Bel direct je provider om het nummer terug te zetten. Wijzig wachtwoorden van alle belangrijke accounts. Controleer bankrekeningen op ongeautoriseerde transacties. Doe aangifte bij de politie en meld fraude bij je bank.

Bescherm je organisatie tegen SIM swapping. Vergelijk Identity & Access Management aanbieders op IBgidsNL.