L'équipe Texto SMS Gratuit
10 september 2026 · 12 min leestijd
Inleiding: als het netwerk verdwijnt, is het soms al te laat
Op een dinsdagmiddag, midden in de stad, toont je telefoon plots "Geen service". Er is geen storing gemeld, collega's om je heen hebben gewoon bereik. Je herstart, je haalt de simkaart eruit, je blaast er uit bijgeloof even op. Niets. Twee uur later, thuis, log je in bij je bank: drie overschrijvingen die je nooit hebt gedaan.
Dit scenario heeft een naam: SIM-swap, oftewel nummerkaping. De oplichter heeft je telefoon niet gehackt. Hij heeft je wachtwoord niet gekraakt. Hij heeft simpelweg iemand overtuigd — een klantenservicemedewerker, een verificatie-algoritme, soms een omgekochte werknemer — dat jouw nummer van hem was. Vanaf dat moment belanden alle bevestigings-sms'jes die je banken, je mailboxen en je online accounts naar dat nummer sturen bij hem.
In Frankrijk werd het fenomeen lang als marginaal beschouwd. Dat is het niet meer. De algemene doorbraak van de eSIM, waarmee je een lijn op afstand in enkele minuten activeert zonder dat er een plastic kaartje wordt opgestuurd, heeft de tijd tussen de frauduleuze aanvraag en de daadwerkelijke overname mechanisch verkort. Wat vroeger twee werkdagen kostte, duurt nu tien minuten.
Deze gids legt uit hoe de aanval werkelijk verloopt, welke concrete beschermingen je aan de kant van je provider en van je accounts activeert, en welke procedure je precies volgt als je lijn al gekaapt is.
Hoe een SIM-swap echt werkt
De aanval verloopt bijna altijd in drie fasen. Die volgorde begrijpen is de beste manier om te zien waar je hem kunt onderbreken.
Fase 1 — Het verzamelen van informatie
De oplichter heeft een basis aan gegevens nodig om zich bij een provider voor jou uit te geven: voor- en achternaam, geboortedatum, adres, telefoonnummer, soms de laatste vier cijfers van een bankkaart of een klantnummer.
Die gegevens komen uit drie hoofdbronnen:
- Massale datalekken. De grote inbreuken bij Franse providers en retailers van de afgelopen jaren hebben bestanden met identiteiten, adressen en telefoonnummers in omloop gebracht. De CNIL heeft hierover herhaaldelijk waarschuwingen gepubliceerd, en de overheidsdienst Cybermalveillance.gouv.fr noemt dit een terugkerend startpunt in zijn waarschuwingen.
- Gerichte phishing. Een vals bezorg-sms'je, een vals bericht dat "je abonnement wordt geschorst", een valse bankadviseur aan de telefoon. Het doel is niet altijd een wachtwoord stelen: soms gaat het er alleen om een geboortedatum of adres te laten bevestigen.
- Sociale media. Een verjaardagsfoto, een publiek aangekondigde verhuizing, de naam van de hond die als geheime vraag dient. Wat je vrijelijk deelt, voedt rechtstreeks de scenario's van social engineering.
Fase 2 — De frauduleuze aanvraag
Er zijn twee wegen, en ze vragen om een verschillende aanpak.
Weg A: simvervanging bij je eigen provider. De oplichter belt de klantenservice of gebruikt de online omgeving, doet zich voor als jou en verklaart zijn telefoon te hebben verloren. Hij vraagt om een nieuwe simkaart of, veel sneller, om activatie van een eSIM op een toestel dat hij beheert. Jouw simkaart wordt op datzelfde moment gedeactiveerd: dat is het moment waarop je telefoon het netwerk verliest.
Weg B: frauduleus nummerbehoud. De oplichter bemachtigt je RIO-code (het nummer van 12 tekens dat je lijn identificeert, op te vragen via 3179) en sluit vervolgens een abonnement af bij een concurrerende provider met behoud van jouw nummer. Het nummerbehoud wordt binnen één tot drie werkdagen uitgevoerd, soms sneller. Je oorspronkelijke lijn wordt dan automatisch opgezegd.
Onthoud: in beide gevallen is het plotselinge, onverklaarbare verlies van mobiel netwerk geen technisch incident. Het is symptoom nummer één van een gekaapte lijn.
Fase 3 — De exploitatie
Zodra het nummer is overgenomen, start de oplichter "wachtwoord vergeten"-procedures op je accounts. Eerst je e-mail — want die beheerst al de rest —, daarna je bank, betaalplatformen, cryptorekeningen, sociale media, en soms je klantenomgeving bij de provider om te voorkomen dat je de controle terugpakt.
De bevestigings-sms, lang gepresenteerd als de standaard voor tweestapsverificatie, wordt op dat moment de hoofdingang. Dat is de paradox van sms-authenticatie: ze steunt op een kanaal dat je provider administratief opnieuw kan toewijzen.
Waarom 2026 een kanteljaar is
Drie ontwikkelingen hebben de vergelijking veranderd.
De eSIM is de norm geworden. Vrijwel alle smartphones die sinds 2023 in Frankrijk worden verkocht, ondersteunen hem, en de meeste providers laten je online een profiel activeren, zonder menselijke tussenkomst en zonder postverzending. Uitstekend nieuws voor de legitieme gebruiker die in drie minuten van provider wisselt. Uitstekend nieuws, ook, voor de fraudeur.
De markt is geconcentreerd en volop in beweging. Overnames in de Franse telecomsector, migraties van klantenbestanden tussen providers en de komst van nieuwe MVNO's — waaronder die van supermarktketens — zorgen voor een stroom legitieme e-mails over contractwijzigingen. In die ruis valt een frauduleus bericht veel minder op.
Procedures zijn om commerciële redenen versneld. ARCEP heeft er lang op aangedrongen nummerbehoud vlotter te maken om concurrentie te bevorderen, en dat is goed voor de portemonnee van consumenten. Maar de wrijving die uit het traject van een eerlijke klant wordt weggehaald, verdwijnt ook uit dat van een oplichter.
De vijf grendels die je nu meteen moet plaatsen
Geen van deze maatregelen kost meer dan tien minuten. Samen maken ze de aanval een stuk minder rendabel.
Grendel 1 — De geheime code bij je provider
Alle Franse providers bieden, onder wisselende benamingen, een wachtwoord of geheime code voor de klantenservice aan die losstaat van die van je online account. Die wordt gevraagd bij gevoelige handelingen: simvervanging, opzegging, adreswijziging.
Concreet:
- Bel je klantenservice of ga naar je abonneeomgeving en vraag expliciet om activatie van een beveiligingscode voor elke aanvraag tot vervanging van een sim of eSIM.
- Kies een code die niet je geboortedatum, niet je postcode en niet het einde van je nummer is.
- Noteer hem ergens anders dan in een bestand "wachtwoorden.txt". Een klein wachtwoordboekje in een la blijft, paradoxaal genoeg, een robuuste oplossing tegen hacken op afstand.
Grendel 2 — De pincode van de simkaart, écht ingeschakeld
Veel gebruikers hebben de pincode van hun sim uitgeschakeld om hem niet bij elke herstart te hoeven invoeren. Dat is een fout: bij fysieke diefstal van de telefoon kan de sim eruit worden gehaald en in een ander toestel worden gestoken om je bevestigings-sms'jes te ontvangen.
Zet hem weer aan in de instellingen (Instellingen → Mobiele data → Simpincode op iOS, Beveiliging → Simkaartvergrendeling op Android) en verander de standaardcode, vaak 0000 of 1234.
Grendel 3 — Stap af van sms voor kritieke tweestapsverificatie
Dit is de meest doeltreffende maatregel, en de meest verwaarloosde. Vervang voor je gevoelige accounts — hoofdmail, bank, betaalplatformen, providerportaal — de sms-bevestiging door:
- een authenticatie-app (TOTP-codes van zes cijfers die elke 30 seconden vernieuwen), onafhankelijk van het mobiele netwerk;
- of, voor de meest blootgestelde accounts, een fysieke USB-C-beveiligingssleutel die je in de telefoon steekt of ertegenaan houdt. Dat is vandaag de enige methode die een SIM-swap niet omzeilt, omdat ze geen enkele band heeft met je nummer.
ANSSI raadt al lang aan deze methoden boven sms te verkiezen wanneer ze beschikbaar zijn. Veel Franse banken leggen nog steeds hun eigen mobiele bevestigingsapp op: dat is al beter dan sms, op voorwaarde dat de app aan het toestel is gekoppeld en niet enkel aan het nummer.
Grendel 4 — Ruim je herstelnummers op
Maak een inventaris van de accounts waar je nummer als "herstelmethode" staat. Vaak vind je er een vijftiental. Stel voor elk twee vragen: is dit nummer hier onmisbaar? Kan ik het vervangen door een secundair e-mailadres beveiligd met TOTP?
Weinig bekende tip: bij verschillende diensten schakelt het verwijderen van het herstelnummer, nadat je een authenticatie-app hebt geactiveerd, ook de omweg via sms uit. Controleer dat expliciet in de beveiligingsinstellingen, want de enkele aanwezigheid van een app zet de sms-optie niet altijd uit.
Grendel 5 — Houd je RIO-code en providermails in de gaten
De RIO-code vraag je op door 3179 te bellen vanaf je lijn. Het is gevoelige informatie: geef hem nooit aan iemand die jou belt, ook niet als die zich voordoet als adviseur van een concurrerende provider. Een provider vraagt nooit je RIO via een inkomend telefoontje of per sms.
Stel ook meldingen in op je mailbox: elk bericht met "portabilité", "nouvelle SIM", "changement de titulaire" of "résiliation" verdient onmiddellijke aandacht. Die meldingen zijn vaak het enige signaal vóór de onderbreking.
De alarmsignalen die je moet kennen
| Signaal | Ernst | Reactie |
|---|---|---|
| Plotseling netwerkverlies zonder bekende storing | Kritiek | Direct controleren via een ander toestel |
| Ongevraagde sms "je aanvraag tot nummerbehoud is geregistreerd" | Kritiek | De provider bellen vanaf een andere lijn |
| Bevestigingsmail van een onbekende eSIM-bestelling | Kritiek | Onmiddellijk betwisten |
| Golf van inlogpogingen op je accounts | Hoog | Wachtwoorden wijzigen, actieve sessies controleren |
| Telefoontje van een "adviseur" die om een sms-code vraagt | Hoog | Ophangen, nooit een code doorgeven |
| Je kunt niet meer inloggen op je providerportaal | Hoog | Contact opnemen met de fraudedienst |
Eén punt van bijzondere aandacht: netwerkverlies kan ook banale oorzaken hebben (geoxideerde sim, lokale storing, configuratiefout na een update). Het onderscheidende criterium is simpel: hebben andere toestellen om je heen bij dezelfde provider wél normaal bereik? Zo ja, en werkt de sim wel in een andere telefoon, dan is het een hardwareprobleem. Werkt de lijn nergens, houd dan rekening met fraude.
Je bent slachtoffer: de procedure uur na uur
In de eerste 30 minuten
- Zoek een ander kanaal. De telefoon van een naaste, een vaste lijn, of wifi om de klantenservice via de chat van je abonneeomgeving te bereiken.
- Bel de klantenservice van je provider en spreek expliciet de woorden "détournement de ma ligne" of "SIM swap" uit. Vraag om onmiddellijke blokkering van de lijn en van elke lopende aanvraag tot nummerbehoud.
- Beveilig je hoofdmail vóór al het andere: wachtwoord wijzigen, alle sessies uitloggen, het nummer als herstelmethode verwijderen.
- Bel je bank en laat je kaart blokkeren. Het interbancaire noodnummer, 0 892 705 705, laat je 24 uur per dag kaarten blokkeren.
Binnen 24 uur
- Doe aangifte. Dat kan bij het politiebureau of de gendarmerie, en er bestaat een online voor-aangifte. Bewaar het ontvangstbewijs: de rest van je dossier hangt ervan af.
- Meld de bankfraude. Bij een niet-geautoriseerde transactie verplicht artikel L133-18 van de Franse Code monétaire et financier de bank om de afgeschreven bedragen onmiddellijk terug te betalen, tenzij grove nalatigheid van de klant wordt bewezen. Dat je slachtoffer bent van een buiten je medeweten uitgevoerde nummerkaping speelt in je voordeel.
- Meld het op Cybermalveillance.gouv.fr, dat je naar de juiste instanties doorverwijst, en op Perceval (officiële onlinedienst) voor bankkaartfraude.
- Vraag je provider om een schriftelijk spoor van de frauduleuze aanvraag: datum, kanaal, gebruikte identificatiegegevens. Dat document is doorslaggevend als de bank haar aansprakelijkheid betwist.
Binnen de week
- Loop alle accounts na die aan het nummer gekoppeld zijn: sociale media, e-commerceplatformen, opslagdiensten, overheidsaccounts (impôts, Ameli, CAF, France Connect).
- Controleer of er op je herstelde lijn geen doorschakeling van oproepen of sms'jes is ingesteld.
- Overweeg registratie in het incidentenbestand van de Banque de France als er kredietaanvragen kunnen zijn gedaan, en houd je post in de gaten.
- Als je gevoelige inloggegevens bewaart, laat een wachtwoordmanager je al je toegangen vernieuwen zonder dezelfde combinaties te hergebruiken.
Wat de wet en de providers wel of niet moeten doen
Het kader blijft onvolmaakt. Geen enkele Franse tekst beschrijft precies welke verificaties een provider moet uitvoeren voordat hij een lijn opnieuw toewijst. De Code des postes et des communications électroniques regelt nummerbehoud en de bijbehorende termijnen, maar laat de authenticatiemodaliteiten aan het oordeel van de providers.
In de praktijk bestaan er wel verhaalsmogelijkheden:
- Schriftelijke klacht bij de provider, aangetekend met ontvangstbevestiging, met een beroep op een tekortkoming in de beveiligingsplicht bij de verwerking van persoonsgegevens (artikel 32 AVG).
- Inschakelen van de médiateur des communications électroniques als het antwoord na twee maanden onbevredigend blijft.
- Klacht bij de CNIL als je gegevens onrechtmatig zijn gebruikt of verspreid.
Een nuttige opmerking: bewaar systematisch bewijs van al je stappen. Een eenvoudige draagbare documentscanner of een archiveringsapp volstaat om een net dossier op te bouwen, vaak doorslaggevend tegenover een juridische afdeling.
Samengevat
SIM-swap is geen geraffineerde technische aanval. Het is een procedurelek dat via social engineering wordt uitgebuit, en dat sneller is geworden door de dematerialisatie van de sim. De doeltreffende beschermingen zijn ook procedureel:
- activeer een geheime providercode voor elke aanvraag van een sim of eSIM;
- schakel de pincode van je simkaart weer in en pas hem aan;
- haal sms uit de authenticatieketen van je kritieke accounts;
- geef nooit je RIO-code of een per sms ontvangen code door;
- reageer binnen het uur op elk onverklaard netwerkverlies.
Je mobiele nummer is in tien jaar tijd de hoofdsleutel van je digitale identiteit geworden. Het verdient een behandeling die daarbij past: met dezelfde ernst als een sleutelbos, niet als een gegeven dat je bij elk formulier weggeeft.
