Accountovername

Sim-swap herkennen: je telefoonnummer overgenomen? Zo krijg je het terug

Plotseling geen bereik terwijl anderen om je heen gewoon bellen, en even later wachtwoord-resetmails die je niet hebt aangevraagd: dat is het patroon van sim-swap, waarbij je telefoonnummer feitelijk van jou naar de oplichter verhuist. De Fraudehelpdesk beschrijft hoe het begint: berichtjes en telefoontjes namens providers (KPN en Odido) over een zogenaamd vervallende simkaart die 'gevalideerd' moet worden, of die vanwege 'nieuwe wetgeving' dringend omgezet moet worden naar een eSIM (Fraudehelpdesk, valse berichten KPN en Odido). Wie daarop ingaat kan de controle over zijn eigen nummer verliezen; daarna worden vanaf dat nummer massaal valse berichten naar anderen gestuurd (Fraudehelpdesk).

De regel die dit patroon doorbreekt: je provider belt en sms't nooit over de geldigheid van je simkaart, en zodra je nummer weg is moet je een andere tweede stap hebben dan sms. De beslissing valt niet in het bericht, maar bij je provider en bij je accountbeveiliging.

Direct antwoord: vijf controles en stappen

1. Geen bereik zonder reden? Behandel het als een noodgeval, niet als een storing. "Geen service" of "alleen noodoproepen" op een plek waar je altijd bereik had, terwijl anderen om je heen wel bereik hebben, wijst volgens de sim-swap-uitleg op een mogelijke overname: je kunt ineens niet meer bellen, sms'en of internetten terwijl de fraudeur dat wel kan (Veilig Internetten, wat is sim-swapping). Wacht niet om te zien of het bereik "vanzelf terugkomt": check direct bij je provider of het om een sim-verwisseling of een tijdelijke storing gaat (Veilig Internetten).
2. Klik niet en geef nooit persoonsgegevens door via zo'n link. De Fraudehelpdesk beschrijft sms-berichten die vragen om je e-mailadres, telefoonnummer en soms je BSN te "verifiëren", en valse mails die je vragen een wachtwoord te wijzigen of via een link een eSIM aan te vragen. Klik niet op links in zulke berichten en vul geen gegevens in (Fraudehelpdesk). Een provider vraagt nooit om dit soort gegevens of om je simkaart namens hem te "valideren" (Veilig Internetten).
3. Bel je provider direct via het nummer dat je zelf hebt. Ben je de controle over je simkaart kwijt? Neem dan zo snel mogelijk contact op met je provider; zij kunnen je simkaart blokkeren (Fraudehelpdesk; Veilig Internetten). Bevestigt je provider dat het om sim-swapping gaat, doe dan aangifte bij de politie (Veilig Internetten).
4. Neem aan dat alles wat op sms-codes leunt gekaapt kan zijn. Wie jouw nummer heeft, kan accounts binnendringen die met sms-tweestapsverificatie zijn beveiligd: je ontvangt de verificatiecode niet meer, de crimineel wel. Dat raakt sociale media, DigiD en internetbankieren, en waar je nummer aan een rekening hangt mogelijk ook je geld (Veilig Internetten). Wijzig je wachtwoorden, stel je contacten op de hoogte (er kunnen berichten "van jou" onderweg zijn), en doe bij bevestiging aangifte (Veilig Internetten).
5. Vervang sms als tweede stap. Gebruik authenticator-apps en koppel zo weinig mogelijk accounts en diensten aan je telefoonnummer (Veilig Internetten). Dat is de duurzame maatregel: een code die in een app wordt gegenereerd, verhuist niet mee met je nummer.

Waarom een telefoontje of sms de provider niet kan zijn

De Fraudehelpdesk is expliciet over het patroon: de provider stuurt geen sms-berichten over een vervallende simkaart, en belt nooit om te vragen een simkaart of een eSIM-overstap te valideren of goed te keuren (Fraudehelpdesk). De nep-medewerker werkt met herkenbare trucs: een sms met een link, een mail met "wijzig je wachtwoord", het verzoek die mail door te sturen naar een ander adres, en zelfs de opdracht de app van je provider te verwijderen (Veilig Internetten). Elk van die stappen heeft hetzelfde doel: jouw nummer in handen van iemand anders.

Hoe de overname zelf werkt

Bij de eigenlijke sim-swap belt de fraudeur je provider en doet zich voor als jou, met een smoes dat de simkaart kapot is en vervangen moet worden (Veilig Internetten). De provider stelt dan checkvragen, bijvoorbeeld naar je geboortedatum; met gegevens uit bijvoorbeeld een gehackte database kan de oplichter die vaak goed beantwoorden (Veilig Internetten). Dat verklaart waarom de bescherming niet alleen aan de telefoonkant zit: hoe minder persoonlijke gegevens over jou online slingeren en hoe minder diensten aan je nummer hangen, hoe minder er te winnen valt (Veilig Internetten).

Het verschil met spoofing van je nummer

Er is een tweede patroon waarin je nummer opduikt zonder dat je hem kwijt bent: spoofing. Anderen krijgen dan telefoontjes te zien die van jou lijken te komen, terwijl oplichters vanaf een ander nummer bellen (Fraudehelpdesk, iemand anders gebruikt mijn telefoonnummer). Dat kun je niet tegenhouden, en je hoeft er niets van je accounts voor te herstellen; je kunt het wel melden en je nummer bij wieheeftgebeld.nl van een opmerking voorzien (Fraudehelpdesk). Het onderscheid is praktisch: bij sim-swap ben jij je bereik kwijt en moet je direct bij je provider en je accounts zijn; bij spoofing is jouw toestel gewoon in orde en is het vooral een meld- en imagoprobleem.

Wat een detector wel en niet ziet

Het nepbericht zelf is meestal tekst: je kunt het in de tekstdetector zetten en een schermafbeelding in de afbeeldingsdetector. Dat is triage: het helpt je bepalen welk bericht je eerst natrekt. Het is geen uitspraak over de afzender. Sjablonen uit smishing-kits en korte berichten bevatten te weinig schrijfstijl voor een betrouwbaar signaal, en een laag signaal bewijst dus nooit dat het bericht van je provider komt. Bij sim-swap komt daar iets bij: het beslissende bewijs is niet een score, maar of je toestel bereik heeft en of je provider de wijziging kan laten zien. En het nummer op je scherm is geen bewijs, want nummers zijn na te maken (Fraudehelpdesk).

Wat je niet uit een bericht of telefoontje kunt afleiden

• of de beller of afzender werkelijk je provider is, ook niet als het nummer of de afzender-ID klopt;
• of er werkelijk iets met je simkaart of abonnement aan de hand is;
• of een link naar de echte provideromgeving leidt — dat zie je pas aan het domein;
• of er sprake is van oplichting; dat stelt alleen een provider of opsporingsinstantie vast.

Als je nummer al is overgenomen

• Bel je provider via een nummer dat je zelf hebt en laat de simkaart blokkeren; bevestigt de provider de overname, doe dan aangifte bij de politie (Veilig Internetten).
• Controleer je bank- en creditcardrekening op onbekende transacties en bel je bank als er iets mis is; snelheid bepaalt de kans op een blokkade (Veilig Internetten).
• Wijzig de wachtwoorden van je e-mail, bank, DigiD en sociale media, log alle sessies uit en registreer WhatsApp opnieuw zodra je nummer terug is (Veilig Internetten).
• Waarschuw je contacten: er kunnen berichten "van jou" onderweg zijn, net als bij een overgenomen WhatsApp-account (Veilig Internetten).
• Meld het bij de Fraudehelpdesk en doe bij schade aangifte bij de politie (Fraudehelpdesk; Veilig Internetten).

Meer controles staan in de gidsen over een overgenomen WhatsApp-account, een nep telefoontje namens je bank en een nep-hulpvraag met AI-stem. Wil je alleen een bericht of bestand checken, gebruik dan de gratis checker.

Veelgestelde vragen

Mijn provider zegt dat mijn simkaart verloopt of gevalideerd moet worden. Is dat echt?

Nee. De Fraudehelpdesk en Veilig Internetten zijn duidelijk: providers sturen geen sms over een vervallende simkaart en bellen nooit over validatie of een overstap naar een eSIM. Hang op of verwijder het bericht, en bel je provider via het nummer dat je zelf hebt als je twijfelt.

Waarom is een sms-code als tweede stap zo gevaarlijk bij sim-swap?

Omdat de code aankomt bij het toestel dat bij het nummer hoort, en dat toestel is na een sim-swap niet meer het jouwe. Wie je nummer heeft, kan daarmee accounts binnendringen die met sms-tweestapsverificatie zijn beveiligd, van sociale media tot DigiD en internetbankieren. Gebruik daarom waar mogelijk authenticator-apps en koppel zo weinig mogelijk accounts aan je telefoonnummer.

Bewijst een hoge detectorscore dat het bericht nep is?

Nee. De score gaat over patronen in een tekst of afbeelding en zegt niets over de afzender. Een lage score bewijst evenmin dat het bericht echt is. Gebruik de uitkomst als reden om zelf bij je provider of in je accountomgeving te controleren, niet als bewijs.