Wat kunnen kwaadwillenden doen met uw telefoonnummer?

De meeste mensen denken niet lang na voordat ze hun telefoonnummer delen, maar als u er even over nadenkt is uw telefoonnummer een ideale ingang voor iemand die u wil benadelen. U gebruikt het voor internetbankieren, het ontvangen van tweefactorauthenticatie-codes en zelfs om in te loggen op sociale media.

Als u zich afvraagt wat iemand met uw telefoonnummer kan doen, is het antwoord genuanceerd. Het opent deuren voor aanvallers, maar het is geen acuut probleem zolang u passende beschermingsmaatregelen hebt.

Een aanvaller kan niet direct uw apparaat overnemen met alleen een telefoonnummer. Maar als dat nummer gecombineerd wordt met andere gegevens uit een datalek of openbare registers, nemen de risico’s toe. Met uw nummer kunnen ze phishingcampagnes voeren, proberen accounts over te nemen en in het uiterste geval identiteitsfraude plegen.

Wat u moet weten:

• Alleen een telefoonnummer kan uw apparaat niet rechtstreeks hacken.
• Oplichters gebruiken telefoonnummers voor phishing, identiteitsimitatie en pogingen tot wachtwoordherstel.
• Het grootste risico is een SIM-wissel, waarmee inlogcodes kunnen worden onderschept.
• Het risico stijgt wanneer uw nummer samen met andere gelekte persoonsgegevens wordt gebruikt.
• Onverwachte storingen in de dienstverlening of inlogmeldingen kunnen wijzen op problemen.
• Sterke authenticatie en beschermingen bij uw provider verminderen het risico aanzienlijk.

Wat kunnen oplichters doen met uw telefoonnummer?

Oplichters die uw telefoonnummer bemachtigen kunnen het gebruiken om phishing-sms’jes te sturen, uw beller-ID te spoofen (naam/nummer in plaats laten lijken op die van u) en pogingen doen tot wachtwoordherstel voor uw accounts. In veel gevallen is uw telefoonnummer slechts een onderdeel van een bredere strategie om u op te lichten. Belangrijk om te weten is dat geen van deze aanvallen fysieke toegang tot uw toestel vereist — uw nummer alleen is al genoeg om te beginnen.

Er zijn verschillende veelgebruikte tactieken; de meest voorkomende is smishing. Dit zijn op SMS gebaseerde phishingberichten die zich voordoen als bedrijven waarmee u vaak zaken doet, zoals banken, bezorgdiensten of overheidsinstanties. De berichten bevatten meestal een link naar een webpagina met een formulier waar om uw gegevens wordt gevraagd, of ze zetten aan tot bellen naar een nep-ondersteuningslijn. Deze sms’jes lijken van een officiële bron te komen, waardoor mensen reageren zonder er veel over na te denken.

In sommige gevallen wordt uw nummer gebruikt om een wachtwoordherstel te activeren. Het is gebruikelijk dat online diensten een eenmalige code via sms sturen wanneer gebruikers om een reset verzoeken. Als dit gebeurt en de aanvaller kent uw e-mailadres, kan die het herstelproces starten en vervolgens proberen de code te onderscheppen of via social engineering van u te krijgen.

Kunnen oplichters uw accounts openen met alleen uw nummer?

Een telefoonnummer op zich is meestal niet voldoende om direct toegang tot uw accounts te krijgen. Voor een succesvolle aanval heeft de aanvaller doorgaans minstens één ander gegeven nodig, zoals uw e-mailadres of een gelekt wachtwoord.

De belangrijkste kwetsbaarheid zit in het wachtwoordherstelproces. Als een dienst alleen sms-gebaseerde verificatie als hersteloptie gebruikt en een aanvaller uw sms’jes kan ontvangen, kan die toegang krijgen tot uw account. Hiervoor moet de aanvaller echter uw berichten bemachtigen via een SIM-wissel of door malware op uw apparaat te hebben staan.

Veel bedrijven stappen af van sms als tweede factor voor gevoelige beveiliging omdat dit soort aanvallen te vaak voorkomt. Er zijn meerdere publiek gedocumenteerde accountovernames, onder meer met slachtoffers in de cryptowereld, journalisten en anderen.

Kunnen oplichters zich als u voordoen of uw contacten benaderen?

Ja. Het spoofen van de beller-ID maakt het een aanvaller mogelijk om te bellen of sms’jes te sturen die lijken alsof ze van uw nummer afkomstig zijn. Deze methode is dankzij ontwikkelingen in AI-technologie steeds uitgebreider beschikbaar geworden. De technologie is breed toegankelijk, goedkoop en simpel in gebruik.

Zodra een oplichter uw nummer heeft gespooft, kan die uw contacten bellen en om noodbetalingen vragen, valse betaallinks sturen of verificatiecodes aanvragen. Het is makkelijk te begrijpen waarom dit werkt: uw contact ziet een vertrouwde naam en zal eerder geneigd zijn het verzoek te honoreren.

Als u ontdekt dat iemand uw nummer spoofet, informeer dan direct uw contacten. Gebruik een kanaal dat u beheert (bijvoorbeeld een groepsbericht vanaf uw eigen toestel of een e-mail) en meld het incident bij uw provider.

Kan uw nummer worden gebruikt voor identiteitsdiefstal?

Een telefoonnummer op zichzelf is niet genoeg voor identiteitsdiefstal. Het wordt problematisch als het gecombineerd wordt met andere persoonsidentificerende gegevens (PII), zoals uw volledige naam, geboortedatum of burgerservicenummer. Als een aanvaller twee of meer gegevenspunten heeft, kan die proberen kredietkaarten op uw naam te openen, frauduleuze belastingaangiften in te dienen of toegang te krijgen tot uw financiële rekeningen.

Voor gebruikers is het lastig in te schatten hoeveel van uw gegevens al openbaar beschikbaar zijn. Vaak zijn er grootschalige datalekken waarbij miljoenen telefoonnummers uitlekken, samen met klantnamen, adressen en accountgegevens.

Dergelijke gegevens kunnen op het dark web terechtkomen, waar aanvallers ze als deel van een database kunnen kopen. Om die reden behandelen veel bedrijven telefoonnummers als gevoelige gegevens; zodra een nummer in combinatie met andere persoonsgegevens wordt gebruikt, neemt de gevoeligheid sterk toe. Meestal is die blootstelling geen gevolg van iets dat u verkeerd heeft gedaan.

Hoe krijgen oplichters uw telefoonnummer in de eerste plaats?

Oplichters verkrijgen telefoonnummers via datalekken, zoeksites voor personen, phishingformulieren en automatische belsystemen die actieve lijnen detecteren. Houd er rekening mee dat er vaak veel tijd kan zitten tussen het moment dat uw nummer wordt gecompromitteerd en wanneer u verdachte activiteit opmerkt — soms jaren.

Als u zich afvraagt hoe oplichters aan uw nummer komen, leidt dat bijna altijd terug naar een van deze bronnen.

Een andere bron zijn openbare registers. Gerechtelijke stukken, stembureauregistraties en eigendomsgegevens bevatten vaak telefoonnummers en zijn in veel rechtsgebieden vrij online te raadplegen. Het invullen van een garantiebewijs of het deelnemen aan een klantenkaart kan uw nummer in marketingdatabases laten belanden die later worden gelekt of doorverkocht.

Welke rol spelen datalekken en databrokers?

Datalekken zijn de grootste bron van gelekte telefoonnummers, en databrokers verergeren het probleem door informatie uit die lekken breed toegankelijk te maken.

Wanneer een bedrijf gehackt wordt, verschijnen klantgegevens vaak binnen enkele dagen op darkwebforums en marktplaatsen. Vanaf daar refereren aanvallers die gegevens aan bestaande databases om een steeds completer profiel van personen samen te stellen.

Databrokers zoals Whitepages, Spokeo en BeenVerified verergeren het probleem door publieke en commerciële data te verzamelen in doorzoekbare databases. Tegen een kleine vergoeding kan iemand uw telefoonnummer opzoeken en uw naam, adres en andere gekoppelde gegevens terugvinden. Het is mogelijk om uw gegevens van deze sites te laten verwijderen, maar u moet elke broker afzonderlijk per e-mail om een opt-out verzoek vragen.

Hoe merkt u of uw telefoonnummer gecompromitteerd is?

Uw telefoonnummer kan gecompromitteerd zijn als u plotseling geen mobiel signaal meer heeft of als u wachtwoordherstelberichten ontvangt die u niet hebt aangevraagd. Andere signalen zijn meldingen over accountwijzigingen die u niet heeft doorgevoerd en berichten van contacten dat ze verdachte sms’jes van uw nummer hebben ontvangen.

Let op een opeenstapeling van deze gebeurtenissen binnen korte tijd. Een enkele spamoproep is geen reden tot paniek. De alarmfase ontstaat wanneer u ineens helemaal geen ontvangst meer heeft, terwijl uw toestel en SIM-kaart fysiek intact zijn, in combinatie met inlogmeldingen of authenticatieverzoeken die u niet heeft geactiveerd. Dit patroon wijst meestal op een SIM-wissel.

Als iets verdacht lijkt, controleer dan snel uw provideraccount op ongeautoriseerde wijzigingen. Bel vanaf een ander toestel of ga naar een winkel en log daarna in op uw e-mail-, bank- en sociale media-accounts om te controleren op veranderingen die u niet heeft gemaakt.

Wat is een SIM-wissel en waarom is het de grootste dreiging?

Een SIM-wissel is een aanval waarbij een oplichter uw mobiele provider ervan weet te overtuigen uw telefoonnummer over te zetten naar een SIM-kaart die zij beheersen. Daardoor kan de oplichter alle oproepen en sms’jes die naar uw nummer gestuurd worden onderscheppen. Het is de meest ernstige dreiging op basis van telefoonnummer omdat het de veiligheidsmechanismen van sms-gebaseerde tweefactorauthenticatie volledig omzeilt.

Als een SIM-wissel succesvol is, kan de aanvaller elke sms-verificatiecode ontvangen die naar uw telefoon wordt gestuurd. Denk aan alle mogelijke voorbeelden: eenmalige wachtwoorden voor e-mail en bankzaken, verificatie van cryptobeurzen en toegang tot sociale media.

De schade kan snel escaleren zodra uw e-mailaccount gecompromitteerd is, omdat de oplichter wachtwoordresets kan starten voor tientallen andere diensten. Ter ondersteuning van gebruikers behandelt het advies van de FCC over SIM-wisselfraude beschermingsmaatregelen op provider-niveau en stappen voor het melden, en legt uit hoe zo’n aanval werkt en waar u op moet letten.

Hoe werkt een SIM-wissel?

Voor een succesvolle SIM-wissel verzamelt de aanvaller eerst persoonlijke informatie over het doelwit en doet zich vervolgens voor als u om de provider te benaderen en uw nummer over te laten zetten.

De aanvaller verzamelt gegevens zoals naam, adres, accountnummer en de laatste vier cijfers van een burgerservicenummer uit eerdere datalekken of sociale mediaprofielen. Met die informatie start de aanvaller het SIM-wissel via het onlineportaal of de klantenservice van de provider. Omdat ze over uw gegevens beschikken, kunnen ze de verificatie succesvol doorlopen en wordt de overdracht goedgekeurd.

In sommige gevallen betalen aanvallers of gebruiken ze social engineering om medewerkers van de provider direct te misleiden. Een variant van de SIM-wissel, port-outfraude genoemd, volgt een vergelijkbaar proces, maar zet het nummer over naar een andere provider.

Oplichters houden van SIM-wissels omdat elke aanval die sms-berichten omleidt onmiddellijk de beveiliging van elk account dat op sms-codes vertrouwt, omzeilt.

Moet u zich zorgen maken als iemand uw telefoonnummer heeft?

Als iemand uw telefoonnummer heeft, is dat op zichzelf nog geen reden tot paniek. U krijgt waarschijnlijk spamoproepen en af en toe een phishing-sms, maar dat alleen betekent niet dat uw accounts of identiteit direct in gevaar zijn.

Het risico is groter wanneer u uw nummer gebruikt voor sms-gebaseerd accountherstel (voor e-mail, bankzaken of andere accounts). En het risico neemt toe als uw telefoonnummer samen met andere persoonsgegevens in een lek is blootgelegd. Als een telefoonnummerhacker uw e-mail en een gelekt wachtwoord heeft, heeft hij veel meer mogelijkheden dan iemand die alleen uw nummer van sociale media heeft gevonden.

Wat is normale spam versus een serieuze dreiging?

Normale spam is een algemene aanpak: robotoproepen, telemarketing en generieke scam-sms’jes die naar duizenden nummers tegelijk worden gestuurd. Die zijn vervelend maar meestal niet gevaarlijk; de acties die u hoeft te nemen zijn blokkeren en melden.

Serieuze bedreigingen zijn vaak gerichte berichten met uw echte naam, verwijzingen naar uw bank of recente transacties, wat suggereert dat de afzender meer weet dan alleen uw nummer. Herhaalde wachtwoordresetcodes zijn een teken dat iemand actief probeert uw accounts te bereiken. Bij een SIM-wissel kan uw telefoon plotseling “Geen service” tonen.

Wat moet u doen als een oplichter uw telefoonnummer heeft?

Als u denkt dat een oplichter uw telefoonnummer heeft, moet u direct uw provideraccount vergrendelen, de wachtwoorden van uw belangrijkste accounts wijzigen en uw authenticatiemethoden verbeteren. Meld het incident ook zo snel mogelijk.

Dit moet allemaal met spoed gebeuren, omdat de tijd tussen een SIM-wissel en een volledige accountovername soms slechts enkele minuten bedraagt. Snelheid is cruciaal wanneer u weet wat u moet doen als een oplichter uw telefoonnummer heeft.

Weet u niet precies wat te doen als een hacker uw nummer heeft, begin dan met het beveiligen van uw provideraccount. Bel vanaf een ander toestel (een vaste lijn of het toestel van een familielid) of ga naar een winkel en vraag hen direct een blokkade te plaatsen op SIM-wijzigingen en port-outverzoeken.

Zodra uw account veilig is, controleer eerst uw e-mailaccounts (omdat die de resets voor alles regelen), daarna uw bankzaken en vervolgens sociale media. Bent u bang dat u slachtoffer bent van identiteitsdiefstal, bevries dan uw krediet bij alle drie de bureaus (Equifax, Experian, TransUnion) en dien een melding in bij IdentityTheft.gov.

Als u de melding indient, documenteer dan alles zo gedetailleerd mogelijk. Voeg screenshots, tijdstempels en referentienummers van providergesprekken toe, want u heeft die mogelijk nodig om later frauduleuze kosten aan te vechten.

Hoe beveiligt u uw provideraccount?

Om uw provideraccount te beschermen, stelt u een SIM-pincode in, maakt u een sterk en uniek accountwachtwoord en schakelt u overdrachtsbeveiliging voor nummers in.

Een SIM-pincode is een code die correct ingevoerd moet worden voordat uw SIM-kaart op een nieuw apparaat kan worden gebruikt. U kunt deze instellen in de instellingen van uw telefoon of door de klantenservice te bellen. Daarnaast moet uw provideraccount (waar u inlogt voor facturering) een sterk toegangswachtwoord hebben dat anders is dan uw SIM-pincode.

Tot slot bieden de meeste providers een optie voor nummervergrendeling of een port-freeze om ongeautoriseerde overdrachten te voorkomen. U kunt deze instellingen inschakelen in uw online account. Voor een uitgebreide leidraad over mobiele beveiliging bieden de aanbevelingen van NIST voor mobiele apparaatbeveiliging een nuttig kader dat de meeste scenario’s dekt.

Hoe beveiligt u uw online accounts?

Vervang sms-gebaseerde tweefactorauthenticatie door een app-gebaseerde of hardware-gebaseerde oplossing. Gebruik een authenticator-app zoals Google Authenticator, Microsoft Authenticator of Authy om tijdgebaseerde codes op uw toestel te genereren; dat maakt uw accounts immuun voor SIM-wisselaanvallen.

Om uw belangrijkste accounts extra te beschermen, kunt u een hardwarebeveiligingssleutel gebruiken, zoals een YubiKey. Deze sleutels maken remote accountovernames onmogelijk omdat ze fysieke inbezitname van de sleutel vereisen om een login te autoriseren.

Wachtwoorden hergebruiken maakt uw accounts ook kwetsbaarder: als één website gehackt wordt, heeft de aanvaller uw wachtwoord om op meerdere plekken in te loggen. Gebruik daarom een wachtwoordmanager om unieke wachtwoorden voor elk account te genereren en op te slaan.

Voor sterkere bescherming stelt u multifactorauthenticatie in met een app-gebaseerde of hardware-gebaseerde methode in plaats van sms. Deze aanpak koppelt uw verificatiecodes aan uw apparaat in plaats van aan uw telefoonnummer, waardoor het aanzienlijk moeilijker wordt voor aanvallers om ze te onderscheppen.

Hoe beschermt u uw telefoonnummer op de lange termijn?

Om uw telefoonnummer op de lange termijn te beschermen, is het doel te beperken waar het wordt blootgesteld en de rol ervan in uw accountbeveiliging te minimaliseren. Helaas is het geen eenmalige oplossing en moet u dit mogelijk meerdere keren per jaar doen.

Begin met het verwijderen van uw nummer overal waar het online staat. Dat omvat uw socialmediaprofielen en zakelijke directories. U moet mogelijk ook uit databroker-sites stappen, handmatig via opt-out verzoeken of met een dienst zoals DeleteMe.

Maak daarna een lijst van accounts die uw telefoonnummer voor herstel gebruiken en zet die over op app-gebaseerde authenticatie.

Voor een extra beschermingslaag kunt u kiezen voor een secundair nummer met een prepaid SIM of een VoIP-dienst om te gebruiken bij aanmeldingen voor bezorgapps en winkels. Dit is een nummer dat u eenvoudig kunt vervangen als het gecompromitteerd raakt.

Controleer regelmatig uw privacy-instellingen, want platforminstellingen kunnen na updates veranderen. Een profielveld dat eerder privé was, kan stilletjes openbaar worden. Als u weet welke informatie iemand uit uw telefoonnummer kan halen, kunt u beter beslissen welke gegevens u afschermt of geheel verwijdert. Dit kost maar ongeveer 10 minuten per kwartaal, maar voorkomt later veel schoonmaakwerk. Overweeg een uitgebreide beveiligingsoplossing zoals Kaspersky Premium om te monitoren op datalekken die uw persoonlijke gegevens, inclusief uw telefoonnummer, betreffen.

Gerelateerde artikelen:

• Hoe kunt u SIM-wisselaanvallen effectief voorkomen?
• Hoe beschermt u zich tegen mobiele oplichting?
• Wat zijn de risico’s van smishing-aanvallen?
• Hoe verhoogt u vandaag nog de beveiliging van uw telefoon?

Aanbevolen producten:

• Kaspersky Premium
• Download een gratis proefversie van 30 dagen van Kaspersky Premium

FAQs

Kan iemand mijn locatie traceren met mijn telefoonnummer?

Nee. Locatiebepaling via een telefoonnummer vereist ofwel toegang tot infrastructuur op provider-niveau of de installatie van spyware op uw apparaat. Locatietracking is beperkt tot opsporingsdiensten met een huiszoekingsbevel. Er bestaan scamwebsites die tracking op basis van telefoonnummer aanbieden; dit zijn bijna altijd phishingvallen of fraude.

Kan iemand mijn bankrekening benaderen met mijn telefoonnummer?

Een telefoonnummer op zichzelf is niet genoeg om uw bankrekening te openen. Als het echter gecombineerd wordt met andere persoonlijke informatie, kan het gebruikt worden voor een SIM-wissel. Daardoor kan een aanvaller sms-verificatiecodes onderscheppen en mogelijk toegang krijgen tot uw accounts.

Moet ik mijn telefoonnummer veranderen na identiteitsdiefstal?

Nee. Het heeft alleen zin uw nummer te wijzigen als u slachtoffer bent van een SIM-wissel of van bedreiging of chantage. De meeste kwetsbaarheden lost u op door uw provideraccount te beveiligen, uw authenticatie te verbeteren en uw krediet te bevriezen. De FTC’s stappen voor identiteitsherstel kunnen u helpen bij uw beslissing.