Zet accounts om van tweestapsverificatie via SMS naar authenticator app. Waarom?

Gepubliceerd op 8 december 2021 om 15:00

Wegens het risico van sim-swapping doen zowel eindgebruikers als banken er verstandig aan om codes voor tweefactorauthenticatie (2FA of tweestapsverificatie), waarmee erop een account kan worden ingelogd, niet via sms te versturen, maar hiervoor een app te gebruiken. Dat adviseert het Europees Agentschap voor cyberbeveiliging (ENISA).

Gevaren sim-swapping

Bij sim-swapping weten criminelen het telefoonnummer van een slachtoffer over te zetten op een simkaart waarover zij beschikken. De oorspronkelijke simkaart heeft daardoor geen toegang meer tot het netwerk, waardoor slachtoffers niet meer kunnen bellen, berichten versturen of mobiel internetten. Via het overgenomen telefoonnummer kunnen vervolgens accounts van het slachtoffer worden overgenomen, bijvoorbeeld door het opvragen van 2FA-codes en het uitvoeren van wachtwoordresets.

Social engineering

Om de sim-swap uit te voeren doen criminelen zich voor als het slachtoffer en bellen de telecomprovider om het nummer van het slachtoffer over te zetten. Ook komt het voor dat medewerkers van telecombedrijven worden omgekocht en vervolgens de sim-swap op verzoek van criminelen uitvoeren. Aangezien aanvallers gebruikmaken van persoonlijke informatie van het slachtoffer adviseert ENISA om geen privé data te verstrekken aan mensen die zich als medewerker van de telecomprovider voordoet en de hoeveelheid dat op websites en social media te beperken.

Sim Swap Aanval
Afbeelding – 1,4 MB 181 downloads

Authenticator

Verder wordt eindgebruikers aangeraden om bij het gebruik van tweefactorauthenticatie niet voor sms te kiezen, maar de 2FA-codes via een app te genereren. Ook geeft ENISA banken het advies om te stoppen met sms voor tweefactorauthenticatie en over te stappen op app-gebaseerde 2FA. "De laatste bankfraudes die met sim-swapping verband houden suggereren dat sms-2FA geen voldoende beveiligingsniveau biedt", aldus het Europees agentschap.

Aangezien app-gebaseerde 2FA afhankelijk is van biometrie, een pincode of wachtwoord gebaseerde authenticatie van de gebruiker, is er geen risico dat de 2FA-code wordt onderschept zoals met sms het geval is.

ENISA voegt toe dat veel banken al 2FA-apps voor het autoriseren van transacties gebruiken en zo tweefactorauthenticatie via sms aan het vervangen zijn.

ENISA REPORT Countering SIM Swapping
PDF – 2,3 MB 225 downloads

Bron: enisa.europa.eu, security.nl

Meer info over sim swapping 》

Meer info over tweestapsverificatie

Bekijk alle vormen en begrippen 》

 

Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.

Meer nieuws over sim swapping

Tien verdachten aangehouden voor 'Sim-swapping'

Criminelen hebben vorig jaar door middel van 'sim-swapping' meer dan 100 miljoen dollar (83 miljoen Euro) gestolen, zo laat Europol gisteren weten. In totaal zijn er in deze zaak inmiddels tien verdachten aangehouden. Acht verdachten werden eergisteren door de Britse politie opgepakt. De overige twee verdachten konden eerder al in België en Malta worden aangehouden.

Lees meer »

Europol: "Sim-swapping een belangrijke 'nieuwe' trend"

Het afgelopen jaar wisten criminelen door middel van 'sim-swapping' miljoenen euro's te stelen en deze vorm van cybercrime vormt dan ook een serieus risico, zo stelt Europol in een nieuwe editie van het jaarlijkse Internet Organised Crime Threat Assessment (IOCTA). Daarin maakt de opsporingsdienst ook de zorgen kenbaar die het heeft over de impact van encryptie op onderzoeken, bijvoorbeeld in het geval van DNS over HTTPS.

Lees meer »

Tweestapsverificatie (2FA) via SMS niet waterdicht

Onderzoekers ontdekten slechte authenticatie technieken voor prepaid-accounts. Vijf grote Amerikaanse prepaid telecom providers - AT&T, T-Mobile, Verizon, Tracfone en US Mobile - gebruiken slechte account verificatie procedures en technieken die hun klanten open laten staan ​​voor SIM-swapping-aanvallen, volgens onderzoekers van Princeton University.

Lees meer »

Aanhoudingen voor Sim-Swapping

De Amerikaanse autoriteiten hebben 14 november twee mannen opgepakt en aangeklaagd voor het stelen van cryptovaluta via 'sim-swapping'. De twee zouden naar verluidt 550.000 dollar hebben buitgemaakt of hebben geprobeerd dit bedrag te stelen, zo meldt het Amerikaanse Openbaar Ministerie.

Lees meer »

E-sim maakt overnemen mobiel nummer door hackers eenvoudiger

Een e-sim is een elektronische simkaart die al in je telefoon of tablet zit. Het enige wat je hoeft te doen, is een abonnement op de e-sim zetten. Door een e-sim kun je meerdere abonnementen tegelijkertijd op één toestel gebruiken, bijvoorbeeld een zakelijk en privé-abonnement, maar ook een tijdelijke databundel voor gebruik in de VS. De smartphones die in Nederland verkrijgbaar zijn en e-sim ondersteunen, zijn de iPhone XS, XS Max en XR. Bij tablets gaat het om de iPad Pro en iPad Air. Het maakt voor de aanval niet uit welk apparaat het slachtoffer heeft: elke klant van T-Mobile kan een e-sim activeren. Het is niet duidelijk hoeveel Nederlanders gebruikmaken van een e-sim. Wanneer andere providers de e-sim gaan aanbieden en op welke manier, is ook nog niet bekend.

Lees meer »

Malware ontvreemd pincodes voor Sim Swapping

Cybersecurity onderzoekers hebben een nieuwe variant van de 'TrickBot-malware' ontdekt die pincodes probeert te ontvreemden om zo het telefoonnummer van het slachtoffer over te nemen. Een aanval die ook wel 'sim-swapping' wordt genoemd. De malware heeft het vooralsnog alleen op Amerikaanse telecomklanten voorzien.

Lees meer »