SIM-swap fraude

GESCHREVEN DOOR: Sjoerd Peters OP 14-10-2020

“Meneer, ik heb sinds vanmorgen geen bereik meer, kan u mij helpen?” 

Deze heb ik de afgelopen 15 jaar regelmatig gehoord. Als echte telecom-man gaan er natuurlijk meteen een boel scenario’s door je hoofd, want je wil immers meteen het probleem van je klant oplossen. Antenne stuk, sim defect, software problemen, een cyber security issue of simpelweg de rekening niet betaald?  

Sim-swap fraude bezig met opmars 

Ooit wel eens gedacht aan sim-swap fraude? Dit fenomeen is iets van alle tijden, echter is het zichtbaar bezig aan een opmars. In het geval van deze klant: Ja dat was te laat, het kostte haar d’r inlog gegevens van haar Instagram account, maar gelukkig geen 24 miljoen dollar aan Bitcoins zoals deze Amerikaanse cryptobelegger. Twee weken geleden waarschuwde Europol dat het aantal sim-swaps langzaam aan het toenemen is. In Spanje is in 2019 alleen al voor meer dan 3 miljoen euro in een reeks sim-swapaanvallen buitgemaakt. 

2 factor authenticatie 

Een truc die oplichters eigenlijk al jaren toepassen, is doen alsof ze jou zijn. In het geval van een sim-swap om een nieuwe simkaart met jouw nummer te kunnen bemachtigen. Vaak weten ze op dit moment al veel van je, zoals je naam adres en woonplaats. Maar ook bijvoorbeeld inloggegevens van je creditcardmaatschappij of je (virtuele)bank. Het allerlaatste stapje is dan de 2-factor authenticatie: en dat stapje is wel erg makkelijk als de oplichter jouw simkaart heeft. Vaak controleren telecomwinkels aan de hand van het identiteitsbewijs of je een nieuwe sim krijgt, een solide check. Het wordt voor de oplichter ietwat eenvoudiger als dit telefonisch kan, want hoe kan jij bewijzen dat je bent wie je zegt dat je bent.  

Online accounts 

En hier hebben slimme oplichters vaak een grote voorsprong. Jouw gegevens worden online verhandeld, door bijvoorbeeld deze slimme Amsterdamse student. Je naam, adres, geboortedatum of je bankrekeningnummer: het is allemaal te koop voor een prikkie. Dat wachtwoord wat zo makkelijk te onthouden was, en je vaak gebruikt hebt op verschillende websites? Die hebben ze inmiddels ook al buitgemaakt via verschillende datalekken, zoals bij LinkedIn (2012) en eBay (2014).  

Dataset compleet 

Leg alle puzzelstukjes bij elkaar (dit noemen we een dataset) en die callcenter medewerker van een provider gaat snel overstag om een nieuwe sim aan je te verstrekken. Hij wil immers geen gezeur en zijn call snel en tevreden afhandelen, dat is beter voor zijn Average Call Time-target & NPS. Nederlandse telecomproviders geven zelf aan ‘verschillende beveiligingslagen’ te hebben ingevoerd om sim-swapping tegen te gaan, echter menselijk falen blijft hierin toch de zwakste schakel, er zijn nou eenmaal situaties dat die callcenter medewerker toch over stag gaat. En vraag je je nu af: Wat kost dat nou, zo’n dataset? Die slimme Amsterdamse student bood 100 Nederlandse/Belgische sets (dat zijn dus setjes informatie van 100 personen) aan voor zo’n 100 euro.  

Is de nieuwe E-SIM dan de oplossing? 

Telefoonfabrikanten zijn naarstig op zoek naar ruimte voor een grotere batterij of scherm, en die hebben ze gevonden door de simkaart te integreren in de vorm van een E-SIM. Eind dit jaar bieden alle grote providers de E-SIM aan, en deze is te activeren via een beveiligde verbinding. Iedere provider heeft hier weer zijn of haar eigen manier voor. Soms door gewoon in te loggen op het account van je provider waardoor je de E-SIM direct op je telefoon kan zetten. Zie hier dan ook meteen de zwakte van de E-SIM, is dat toevallig hetzelfde wachtwoord als dat je vaker gebruikt? Nee, de E-SIM is niet de dé oplossing: Tenzij jij jezelf wapent doormiddel van een strikt en doordacht wachtwoordbeleid.  

Persoonlijk contact en Authenticatie apps 

De echte sleutel tot succes? Dat is niet stoppen met 2 factor authenticatie, maar wel met SMS als de 2de factor. Er zijn diverse alternatieven via speciale apps, zoals 1Password of Authy, of vervangen voor een hardware–matige beveiligingssleutel afhankelijk van welke dienst je gebruikt. Welke sleutel je ook kan gebruiken tegen het weren van ongeoorloofde sim-swaps, persoonlijk contact met ons Support en Beheer team. Wij kennen onze klanten (in het) écht, waardoor jouw bedrijfseigendommen altijd beschermd worden tegen mensen die doen alsof ze jou zijn.  

Wil je met mij van gedachten wisselen over cyber security en ervaring delen. Ik ga graag met je in gesprek.

Delen op social media