Al meer dan tien jaar luidde het gangbare cybersecurity-adagium: "Elke vorm van 2FA is beter dan geen 2FA." Hoewel dat nog steeds geldt voor ongecoördineerde, grootschalige aanvallen met gestolen inloggegevens (credential stuffing), is tweestapsverificatie via sms verworden tot een catastrofaal Single Point of Failure. Door massale datalekken van persoonsgegevens op het dark web, kwetsbare winkels van telecomproviders en geautomatiseerde Adversary-in-the-Middle (AiTM) reverse proxy frameworks zoals Evilginx, biedt SMS 2FA een gevaarlijke schijnveiligheid. Dit technische dossier ontleedt hoe sms-verificatie wordt onderschept en waarom uw beveiligingsniveau een onmiddellijke overstap naar TOTP en FIDO2-sleutels vereist.
01. De illusie van SMS-beveiliging & historische erfenis
In de vroege jaren 2000 werd sms-verificatie de dominante standaard voor consumentenbeveiliging vanwege de afwezigheid van frictie voor eindgebruikers. Gebruikers hoefden geen speciale cryptografische applicaties te installeren of hardwarematige sleutels aan te schaffen. Zolang iemand een mobiele telefoon bezat, kon een 4- tot 6-cijferige verificatiecode rechtstreeks in de broekzak worden bezorgd.
Het Short Message Service (SMS)-protocol werd echter oorspronkelijk in de jaren 80 ontworpen onder de GSM-standaardisatie door het Europees Telecommunicatie en Standaardisatie Instituut (ETSI). Het is nooit gebouwd om cryptografische geheimen te transporteren of te dienen als protocol voor identiteitsbevestiging. Sms-berichten missen end-to-end encryptie, missen herkomstauthenticatie en hebben geen enkele cryptografische koppeling (channel binding) met de actieve webbrowsersessie van de gebruiker.
Telecomproviders routeren sms-berichten op basis van de International Mobile Subscriber Identity (IMSI) die op dat moment is aangemeld bij een zendmast—niet op basis van de identiteit van de persoon die het toestel vasthoudt. Wanneer u vertrouwt op SMS 2FA, wordt uw digitale identiteit niet beschermd door cryptografie; deze wordt beschermd door de slechtst betaalde medewerker van de klantenservice in een lokale telefoonwinkel.
02. Aanvalsvector 1: Het mechanisme achter SIM-swapping
SIM-swapping (ook bekend als SIM-kaping of port-outfraude) is het favoriete wapen van gerichte aanvallers die zich richten op vermogende cryptobezitters, directieleden en systeembeheerders. De aanvaller heeft geen enkele fysieke toegang nodig tot het telefoontoestel van het slachtoffer.
De aanvalscyclus van SIM-swapping:
Aanvallers schaffen samengestelde gegevens aan uit darkweb-datalekken om het burgerservicenummer (BSN/SSN), de volledige naam, geboortedatum, het woonadres en de primaire mobiele provider van het slachtoffer te bemachtigen.
De aanvaller belt de klantenservice van de provider en doet zich voor als het slachtoffer met een "verloren of beschadigde simkaart", waarbij eenvoudige verificatievragen worden beantwoord. Cybercriminele bendes kopen winkelmedewerkers ook om met bedragen van € 500 tot € 1.000 per ongeautoriseerde SIM-swap.
De provider zet het telefoonnummer (MSISDN) van het slachtoffer over naar de simkaart van de aanvaller. De telefoon van het slachtoffer verliest onmiddellijk het bereik en toont "Geen service" of "Alleen noodoproepen". De meeste slachtoffers denken aan een tijdelijke storing, waardoor het cruciale reactievenster van 10 minuten verloren gaat.
Met het telefoonnummer in handen vragen aanvallers wachtwoordresets aan voor Gmail, Microsoft, Telegram, Binance en online bankieren. Elke inkomende SMS OTP arriveert direct op de telefoon van de aanvaller, wat leidt tot onmiddellijke overname van de accounts.
- Jack Dorsey (CEO van Twitter): In augustus 2019 ruilden hackers via een AT&T-telecomwinkel de simkaart van Dorsey om. Ze gebruikten zijn gekaapte nummer om aanstootgevende berichten te publiceren via de verouderde SMS-naar-tweet gateway (Cloudhopper) van Twitter.
- X-account van de Amerikaanse beurswaakhond SEC (2024): Aanvallers voerden een ongeautoriseerde SIM-swap uit op het mobiele nummer dat was gekoppeld aan het officiële account van de SEC. Ze kondigden valselijk de goedkeuring van Spot Bitcoin ETF's aan, wat wereldwijd leidde tot honderden miljoenen dollars aan geliquideerde hefboomtransacties op de markten.
03. Aanvalsvector 2: Misbruik van SS7 & mobiele netwerkprotocollen
Waar SIM-swapping berust op menselijk falen, maken kwetsbaarheden in Signaling System No. 7 (SS7) misbruik van structurele weeffouten in de wereldwijde routering van telecommunicatie.
SS7 werd in 1975 ontworpen en beheert gespreksopbouw, nummeromzetting, sms-aflevering en internationale roaming tussen honderden telecomaanbieders wereldwijd. Cruciaal is dat SS7 is gebouwd op een model van blind vertrouwen: elke provider die is aangesloten op de SS7-backbone wordt beschouwd als betrouwbaar en geautoriseerd.
Hierdoor kunnen vijandige inlichtingendiensten of geavanceerde criminele organisaties bank- en crypto-OTP's over landsgrenzen heen onderscheppen zonder dat het slachtoffer ook maar iets merkt. Zelfs met upgrades naar LTE Diameter zorgt de achterwaartse compatibiliteit met het verouderde SS7 voor aanhoudende blootstelling.
04. Aanvalsvector 3: Real-time AiTM-phishing (Evilginx Framework)
Veel gebruikers denken ten onrechte: "Als mijn simkaart niet geswapt is, zijn mijn sms-codes veilig." Deze aanname vervalt volledig bij moderne Adversary-in-the-Middle (AiTM) reverse proxy tools zoals Evilginx 3.0, Modlishka en Muraena.
Traditionele phishingmethoden maakten gebruik van statische inlogformulieren. Hedendaagse reverse proxies fungeren echter als realtime transparante tussenpersonen:
Steelt statische wachtwoorden. Faalt direct als 2FA is ingeschakeld, omdat de aanvaller de verlopende OTP-code niet op tijd kan hergebruiken.
Dient als live intermediair tussen de gebruiker en de legitieme server. Wanneer de gebruiker de sms-code invoert, stuurt de proxy deze direct door, voltooit de authenticatie en steelt de geauthenticeerde sessiecookies en OAuth-tokens.
login.example.com en login.examp1e.com. FIDO2/WebAuthn daarentegen koppelt public-key-handtekeningen rechtstreeks aan de URL van de browser, waardoor phishingaanvallen direct onmogelijk worden.
05. Aanvalsvector 4: IMSI-catchers & Android-trojans
Op het niveau van radiofrequenties en eindpunten kent sms verdere ernstige kwetsbaarheden:
-
●
IMSI-catchers (Stingrays) & 2G-downgrade-aanvallen: Valse draagbare zendmasten zenden krachtige signalen uit die telefoons in de buurt dwingen los te koppelen van 4G/5G en terug te vallen op verouderd 2G (GSM). Omdat GSM de zendmast niet authenticeert richting het mobiele toestel, kraken aanvallers de zwakke A5/1-encryptie om spraakoproepen en leesbare sms-tokens direct uit de lucht te plukken.
-
●
Android SMS-sniffing malware: Misleidende apps of handmatig geïnstalleerde APK's vragen om de machtigingen
android.permission.RECEIVE_SMSofBIND_NOTIFICATION_LISTENER_SERVICE. Zodra deze zijn geïnstalleerd, onderscheppen achtergrondprocessen verificatiecodes bij binnenkomst en sturen deze direct door via versleutelde Telegram-bots of Command & Control-servers.
06. Richtlijnen van NIST SP 800-63B voor uitfasering
Vanwege deze catastrofale aanvalsvectoren heeft het gezaghebbende National Institute of Standards and Technology (NIST) sms-authenticatie formeel afgekeurd en beperkt in zijn toonaangevende identiteitsstandaard, Special Publication 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management):
"Out-of-band (OOB) authenticatie via openbare telefonienetwerken (PSTN, via sms of spraak) is formeel aangemerkt als BEPERKT (RESTRICTED). Systemen die sms-verificatie inzetten, moeten expliciet de existentiële risico's documenteren en accepteren van SIM-swapping, nummer-spoofing, signaalonderschepping en het klonen van apparaten. Voor organisaties die voldoen aan Authenticator Assurance Level 2 (AAL2) of hoger is het gebruik van cryptografische meervoudige authenticators (TOTP-apps of hardwarematige FIDO-tokens) dringend vereist."
Ook Europese instanties zoals het Agentschap van de Europese Unie voor cyberbeveiliging (ENISA) en het Amerikaanse CISA hebben dit beleid overgenomen en adviseren overheidsinstanties en bedrijven met klem om sms-authenticatie uit te faseren in vitale infrastructuren.
07. Architectuurvergelijking: SMS vs TOTP vs FIDO2
Waarom is een Time-based One-Time Password (RFC 6238 TOTP) fundamenteel superieur aan sms? De onderstaande matrix vergelijkt de architecturale beveiligingskenmerken:
| Beveiligingsdimensie | SMS-verificatie | TOTP-authenticator (RFC 6238) | Hardware FIDO2 / YubiKey |
|---|---|---|---|
| Afleverkanaal | Mobiel telecomnetwerk | 100% lokale wiskunde aan clientzijde | Lokale beveiligde chip (Secure Element) |
| Bestendigheid tegen SIM-swap | Geen (Direct gekaapt) | Immuun (Onafhankelijk van telefoonnummer) | Immuun (Hardwarematig geïsoleerd) |
| SS7-signaalonderschepping | Kwetsbaar | Immuun (Geen netwerkpakketten) | Immuun (Geen netwerkverkeer) |
| IMSI-catcher / 2G-downgrade | Kwetsbaar | Immuun | Immuun |
| AiTM Reverse Proxy (Evilginx) | Eenvoudig te omzeilen | Gemiddeld (Vereist alertheid) | Perfect (Origin binding) |
| Vliegtuigstand / Offline gebruik | Niet beschikbaar | Volledig functioneel (Alleen tijdstempel) | Volledig functioneel |
| Implementatiekosten | Providerkosten per sms | Gratis & Open standaard | Hardwaresleutel (€ 45 - € 80) |
08. Praktische verdediging & migratiestappenplan
Wacht niet totdat uw mobiele bereik plotseling verdwijnt om deze kwetsbaarheid aan te pakken. Neem vandaag nog deze concrete maatregelen:
Meld u aan bij Google, Apple ID, GitHub, Binance, Kraken en uw primaire e-mailproviders. Koppel een authenticator-app (zoals Aegis, 2FAS of Bitwarden) of een hardwarematige beveiligingssleutel. Schakel, indien het platform dit toestaat, sms als herstelmethode uitdrukkelijk uit.
Neem contact op met uw mobiele provider (KPN, Vodafone, Odido, enz.) en activeer een verplichte overstap-pincode (Port-Freeze PIN) of een blokkade tegen accountovername. Schakel tevens een pincode op uw fysieke simkaart in via de instellingen van iOS/Android, zodat een gestolen simkaart niet in een andere telefoon kan worden geplaatst.
Wanneer u een authenticator instelt, bewaart u de ruwe 16-tekens Base32-geheime sleutel op een offline fysiek medium (papier of versleutelde koude opslag) en archiveert u de 10 eenmalige noodherstelcodes van het account.
09. Veelgestelde vragen (FAQ)
V1: Is SMS 2FA niet nog altijd beter dan helemaal geen tweede factor? ▼
Voor eenvoudige geautomatiseerde botaanvallen die zoeken naar zwakke hergebruikte wachtwoorden biedt SMS 2FA een minimale basisbescherming. De paradox van SMS 2FA is echter dat veel diensten uw telefoonnummer beschouwen als een onfeilbare hoofdsleutel voor herstel. Als een gerichte aanvaller uw simkaart overneemt, is sms geen verdediging meer, maar juist het breekijzer waarmee al uw wachtwoorden worden gereset.
V2: Beschermt een eSIM mij tegen SIM-swapping? ▼
Nee. Een eSIM beschermt tegen de fysieke diefstal van een kaartje, maar biedt geen enkele bescherming tegen social engineering. Aanvallers die een providermedewerker ervan overtuigen uw nummer over te zetten, ontvangen simpelweg een digitale eSIM-QR-code en downloaden uw telefoonnummer binnen enkele seconden via internet naar hun toestel.
V3: Waarom verplichten banken dan nog steeds sms-verificatie? ▼
Vanwege demografische inertie en operationele kosten bij klantenservices. Miljoenen niet-technische consumenten verplichten om over te stappen op authenticator-apps zou klantenservices overbelasten. Banken dekken daarom liever honderden miljoenen euro's per jaar aan fraudeverliezen af en vertrouwen op achterliggende risicomodellen (zoals het controleren bij telecomproviders of een simkaart in de afgelopen 24 uur is overgezet).
V4: Wat moet ik onmiddellijk doen als mijn smartphone "Geen service" aangeeft? ▼
Behandel dit direct als een ernstig beveiligingsincident. Maak onmiddellijk verbinding met een vertrouwd wifi-netwerk, bel uw mobiele provider via een vaste lijn of ander toestel en controleer of uw nummer is overgedragen. Blokkeer gelijktijdig uw crypto-accounts en wijzig uw primaire e-mailwachtwoorden vanaf een desktopcomputer.
V5: Kan een aanvaller die mijn simkaart heeft geswapt mijn TOTP-authenticator compromitteren? ▼
Nee. Authenticator-apps berekenen codes lokaal met een vooraf gedeelde cryptografische sleutel die is opgeslagen in de geïsoleerde beveiligde hardwareopslag van uw apparaat. Het mobiele netwerk heeft hier geen enkele toegang toe. Zelfs als een aanvaller de volledige controle heeft over uw telefoonnummer, kan deze uw TOTP-codes niet genereren.
Genereer veilige TOTP-codes rechtstreeks in uw browser
Zeg vaarwel tegen de risico's van mobiele onderschepping. 2FA-Tool gebruikt de W3C Web Crypto API om RFC 6238-codes puur binnen uw lokale browsersandbox te berekenen, zodat uw sleutels privé en offline blijven.