SIM-swapaanvallen: zo kapen hackers je telefoonnummer om crypto te stelen

Bij een SIM-swapaanval neemt een crimineel je mobiele nummer over door je provider zover te krijgen dat die het overzet naar een simkaart die de crimineel beheert. Met je nummer ontvangt hij je inlogcodes per sms en links om wachtwoorden te resetten, en kan hij binnen enkele minuten inbreken in je accounts bij crypto-exchanges, e-mail en sociale media.

Cryptobezitters zijn aantrekkelijke doelwitten, omdat gestolen crypto snel te verplaatsen en moeilijk terug te halen is. Mensen die openlijk over hun bezit praten, lopen extra risico. Het goede nieuws: een paar aanpassingen in hoe je je accounts beveiligt, maken SIM-swaps een stuk minder gevaarlijk.

Zo werkt een SIM-swapaanval

1. 1Onderzoek. De aanvaller verzamelt persoonsgegevens — naam, adres, geboortedatum, telefoonnummer — uit datalekken, sociale media of phishing.
2. 2Overname bij de provider. Hij neemt contact op met je mobiele provider, doet zich voor als jou, beweert dat zijn telefoon kwijt of kapot is en vraagt een nieuwe simkaart aan. Bij sommige aanvallen zijn omgekochte medewerkers of gehackte accounts bij de provider betrokken.
3. 3Nummeroverdracht. Je nummer gaat over naar zijn simkaart. Je telefoon verliest het bereik.
4. 4Accountresets. Hij vraagt wachtwoordresets aan voor je e-mail- en exchange-accounts, ontvangt de codes per sms en logt in.
5. 5Diefstal. Hij wijzigt je beveiligingsinstellingen, haalt crypto op naar zijn eigen wallets en plaatst soms oplichtersberichten via je socialemedia-accounts.

Het hele proces kan minder dan een uur duren. Ook spraakmakende accounts zijn getroffen: in januari 2024 meldde de Amerikaanse beurstoezichthouder Securities and Exchange Commission dat een onbevoegde partij de controle had gekregen over het telefoonnummer dat aan haar X-account was gekoppeld, kennelijk via een SIM-swap, en het account daarna had gebruikt om een valse aankondiging te plaatsen.

Wat aanvallers wel en niet kunnen

Daarom is de belangrijkste verdediging ervoor zorgen dat je telefoonnummer niet langer de sleutel tot je accounts is.

Waarschuwingssignalen dat je slachtoffer kunt zijn

• Je telefoon toont plotseling geen service of alleen noodoproepen, terwijl wifi nog werkt.
• Je krijgt onverwachte sms’jes of e-mails over simwijzigingen, verzoeken tot nummerbehoud of wachtwoordresets.
• Je wordt zonder verklaring uitgelogd bij accounts of apps.
• Vrienden vertellen dat ze vreemde berichten van je hebben ontvangen.

Zie je deze signalen, handel dan direct — elke minuut telt.

Zo bescherm je jezelf tegen SIM-swaps

Repareer je tweefactorauthenticatie

1. 1Stap over van sms naar een authenticator-app of hardwarebeveiligingssleutel bij exchanges, e-mail en elk account dat aan geld gekoppeld is. Onze gids over tweefactorauthenticatie voor crypto-accounts vergelijkt de opties.
2. 2Verwijder je telefoonnummer als herstelmethode overal waar de dienst dat toestaat.
3. 3Bewaar back-upcodes offline, niet in je e-mail.

Versterk je mobiele account

• Vraag je provider om een pincode voor nummerbehoud, een account-pincode of een simlock. Namen en opties verschillen per provider en land.
• Gebruik een uniek, sterk wachtwoord voor je online account bij de provider.
• Vraag of de provider extra verificatie biedt bij simwijzigingen.

Beperk je zichtbaarheid

• Deel niet openlijk hoeveel crypto je bezit.
• Gebruik indien mogelijk een apart, privé telefoonnummer of e-mailadres voor financiële accounts.
• Scherm socialemediaprofielen af die je verjaardag, adres of telefoonnummer prijsgeven.

Houd langetermijnbezit in eigen beheer

Tegoeden op een exchange zijn maar zo veilig als je login bij die exchange. Langetermijnspaargeld in een hardware wallet is niet bereikbaar via je telefoonnummer. Lees hoe je je exchange-account beveiligt voor exchange-specifieke instellingen.

Veelvoorkomende mythes over SIM-swaps

• ‘Mijn provider zou daar nooit in trappen.’ Aanvallers gebruiken gestolen persoonsgegevens, social engineering en soms insiders. Providers hebben hun beveiliging verbeterd, maar geen enkel systeem is perfect.
• ‘Ik ben niet bekend genoeg om doelwit te zijn.’ Veel slachtoffers zijn gewone mensen van wie het telefoonnummer opdook in een datalek of op een cryptoforum.
• ‘Ik gebruik 2FA, dus ik ben veilig.’ Als die 2FA op sms is gebaseerd, wordt hij door een SIM-swap omzeild.
• ‘Een sterk wachtwoord is genoeg.’ Wachtwoordresets via sms omzeilen zelfs het sterkste wachtwoord.

Wat te doen als je slachtoffer bent van een SIM-swap

1. 1Bel je provider vanaf een andere telefoon en meld de fraude. Vraag om je nummer te herstellen en het account te blokkeren.
2. 2Beveilig eerst je e-mail, omdat die wachtwoordresets elders bepaalt. Wijzig wachtwoorden en log andere sessies uit.
3. 3Neem contact op met je exchanges om accounts en opnames te bevriezen.
4. 4Wijzig wachtwoorden en 2FA op alle financiële accounts.
5. 5Waarschuw je contacten dat berichten vanaf je nummer of je socialemedia-accounts frauduleus kunnen zijn.
6. 6Doe aangifte bij de politie en eventuele bevoegde instanties voor cybercriminaliteit, en bewaar alle documentatie. Onze gids over wat je moet doen als je wallet is gecompromitteerd behandelt verwante stappen.

Wees op je hoede voor iedereen die daarna contact met je opneemt en aanbiedt je crypto tegen betaling terug te halen — dat is een veelvoorkomende vervolgoplichting. Zodra je accounts weer veilig zijn, loop je elke beveiligingsinstelling na die je in haast hebt gewijzigd en noteer je welke herstelmethoden elk account nu gebruikt, zodat je de volgende keer niet overvallen wordt.

Conclusie

SIM-swapaanvallen misbruiken het feit dat veel accounts je telefoonnummer als bewijs van je identiteit beschouwen. Neem die zwakke plek weg: stap over van sms naar een authenticator-app of beveiligingssleutel, beveilig je account bij de provider, beperk wat je openbaar deelt en bewaar je spaargeld in eigen beheer. Dan wordt een gekaapt nummer een ongemak in plaats van een ramp. Meer verdedigingsmaatregelen vind je in onze beveiligingsgidsen.