Bescherm het nummer, maar onderzoek ook elke toegangsroute die het nummer als identiteitsbewijs behandelt.
Een SIM-swap draagt de controle over uw telefoonnummer over aan een simkaart of eSIM die door een aanvaller wordt beheerd. Als een berichtenaccount sms accepteert als voldoende bewijs voor registratie, aanmelding of herstel, kan de aanvaller die route mogelijk misbruiken.
De uitkomst is niet bij elke berichtendienst hetzelfde. Een extra registratievergrendeling, passkey, wachtwoord of onafhankelijk herstelgeheim kan veranderen wat de aanvaller kan doen. Een nummer overnemen ontsleutelt ook niet automatisch alle oude gesprekken die op uw apparaten zijn opgeslagen.
Hoe nummercontrole accountcontrole wordt
De SIM-swap-richtlijnen van de Amerikaanse Federal Trade Commission beschrijven hoe aanvallers een provider overhalen om het nummer van een slachtoffer op een andere simkaart te activeren. Inkomende verificatieberichten en oproepen kunnen dan bij de aanvaller terechtkomen.
De relevante zwakte is de beslissing van het account om dat nummer te vertrouwen. Een dienst kan het gebruiken voor de eerste registratie, een extra verificatiestap of het opnieuw instellen van een wachtwoord. Dit zijn verschillende bevoegdheden. Bekijk ze allemaal, inclusief terugvalopties, in plaats van alleen het normale aanmeldscherm te controleren.
Plotseling verlies van mobiele verbinding of een onverwachte melding over simactivering kan een waarschuwingssignaal zijn, hoewel storingen en gewone accountproblemen vergelijkbaar kunnen lijken. Controleer dit bij de provider via een bekend officieel kanaal.
Identiteitsmisbruik onderscheiden van toegang tot oude berichten
Een nieuw geregistreerd apparaat onder controle van een aanvaller kan zich mogelijk als u voordoen of toekomstige communicatie ontvangen, afhankelijk van de regels van de app. Toegang tot oude geschiedenis vereist een aanvullende verklaring: een leesbare serverkopie, toegang tot een versleutelde back-up en de bijbehorende sleutel, een gekoppeld apparaat of een lokale kopie.
| Middel | Geeft alleen controle over het nummer hier noodzakelijkerwijs toegang toe? |
|---|---|
| Inkomende sms-verificatiecodes | Mogelijk, zodra het nummer is overgedragen |
| Accountregistratie of opnieuw instellen | Alleen als de dienst die route zonder onafhankelijke vereiste accepteert |
| Bestaande apparaatsessies | Niet automatisch; de regels voor sessiebeheer zijn van belang |
| Oude E2EE-chatgeschiedenis | Niet automatisch; de aanvaller heeft nog steeds een toegankelijke kopie en de benodigde sleutels nodig |
| Toekomstige berichten aan een nieuw geaccepteerde identiteit | Een risico dat afhangt van identiteitsverificatie en accountgedrag |
Waarschuwingen voor sleutelwijzigingen en het onafhankelijk controleren van de identiteit van een contact kunnen helpen een onverwacht nieuw eindpunt te ontdekken. Ze mogen niet worden genegeerd alleen omdat het vertrouwde telefoonnummer hetzelfde blijft.
Wat SRP bijdraagt en wat het niet kan beloven
SRP authenticeert kennis van een wachtwoord zonder dat wachtwoord tijdens de bedoelde uitwisseling te versturen. Als aanmelding werkelijk een onafhankelijk wachtwoord vereist en geen sms-terugvalroute dit omzeilt, voldoet alleen het stelen van het nummer niet aan die vereiste.
SRP bepaalt op zichzelf niet het telefoonnummerbeleid, de herstelprocedure of de ondersteuningsprocessen van de app. Het maakt een zwak wachtwoord niet sterk en voorkomt niet dat phishingcode tekst leest die op een kwaadaardige pagina is ingevoerd. Ook de verifier van de server blijft gevoelig: sectie 3.3 van RFC 5054 beschrijft het raden van wachtwoorden na diefstal van de verifier.
Passkeys en beveiligingssleutels zijn andere mogelijke manieren om de afhankelijkheid van sms te verminderen, waar de dienst ze ondersteunt. De uitleg over passkeys van de FIDO Alliance beschrijft aanmeldgegevens met publieke sleutels en phishingbestendigheid. De feitelijke accountherstelroute moet nog steeds worden onderzocht, ongeacht welke normale aanmeldmethode wordt gebruikt.
Livara’s gedocumenteerde scheiding
Livara’s beveiligingspagina beschrijft SRP-aanmelding los van de versleutelde identiteitsback-up. Versie 7 verzegelt identiteitsmateriaal vóór het uploaden onder een aparte herstelsleutel en herstelt de identiteit, niet de chatgeschiedenis. Volgens het dreigingsmodel kan alleen een gestolen wachtwoord die versleutelingssleutels niet herstellen.
Deze grenzen helpen authenticatie van ontsleuteling te onderscheiden. Ze rechtvaardigen niet de belofte dat elke route voor accountovername is geaudit of dat een incident bij de provider geen gevolgen kan hebben. Controleer de huidige aanmeld- en herstelopties in de client; leid geen ongedocumenteerd gedrag af uit de naam van een protocol.
Postkwantum-sleutelvaststelling pakt een ander probleem aan: toekomstige aanvallen op onderschept versleuteld verkeer. Het houdt een provider niet tegen een telefoonnummer over te dragen en voorkomt niet dat een account een onderschepte sms vertrouwt.
Het risico vóór een incident verkleinen
- Bescherm het account bij de mobiele provider met een aparte pincode of een wachtwoord en beschikbare controles tegen ongewenste nummerportering.
- Geef waar ondersteund de voorkeur aan sterke authenticatie zonder sms en bewaar herstelmogelijkheden veilig.
- Controleer of accountherstel stilzwijgend terugvalt op het telefoonnummer.
- Gebruik unieke wachtwoorden en bescherm het e-mailaccount dat voor herstel wordt gebruikt.
- Leer hoe de berichtendienst gekoppelde apparaten, registratiewijzigingen en sleutelwijzigingen van contacten weergeeft.
Als u vermoedt dat uw nummer is overgenomen
- Neem onmiddellijk via een geverifieerd kanaal contact op met de provider en vraag om onderzoek en herstel van het nummer.
- Beveilig de getroffen accounts vanaf een vertrouwd apparaat en bekijk onbekende sessies. Het terugkrijgen van het nummer beëindigt niet noodzakelijk een bestaande sessie van de aanvaller.
- Controleer herstelinstellingen op wijzigingen en stel gecompromitteerde aanmeldgegevens opnieuw in via officiële procedures.
- Waarschuw belangrijke contacten via een andere vertrouwde route als identiteitsmisbruik mogelijk is. Verifieer gewijzigde cryptografische identiteiten opnieuw.
- Bewaar relevante meldingen en tijdstippen voor ondersteuning of een melding. Stuur nooit een eenmalige code, wachtwoord of herstelzin naar iemand die in een bericht aanbiedt het probleem te “verhelpen”.
Nuttige bescherming is een accountontwerp waarbij één gestolen factor niet alle andere controles kan omzeilen, gecombineerd met een duidelijk plan voor herstel en maatregelen rond sessies.
