Je nummer kan worden overgenomen zonder je telefoon: zo werkt simswapping

Je telefoon ligt naast je, maar bellen of sms’en lukt ineens niet meer. Misschien is er gewoon een storing. Toch is onverwacht verlies van mobiel bereik ook een mogelijk teken van simswapping: iemand anders heeft jouw nummer naar een andere simkaart laten verplaatsen. Die persoon kan dan nieuwe sms-codes voor jouw accounts ontvangen, zonder ooit jouw telefoon vast te houden. Dat raakt vooral accounts die inloggen per sms bevestigen. Het draait om wie je nummer beheert.

Een nummer verplaatsen is op zichzelf normaal. Wie een telefoon verliest, een nieuwe simkaart nodig heeft of naar een eSIM overstapt, wil hetzelfde nummer houden. Een eSIM is een digitale sim in het toestel. De provider koppelt het nummer dan aan de nieuwe sim en de oude verliest de verbinding. Bij fraude doet een ander zich voor als de eigenaar of krijgt toegang tot diens klantaccount. ENISA beschreef dit al in 2021. Het is een bestaand risico, geen nieuwe aanval van vandaag.

Het begint vaak vóór de simwissel

Een oplichter heeft vaak eerst persoonlijke gegevens nodig om overtuigend over te komen bij een provider. Die kunnen uit openbare profielen, gestolen gegevens of een nepbericht komen. De Belgische federale politie beschreef in 2022 hoe iemand zich met zulke informatie als abonnee kan voordoen. Welke controles een provider precies uitvoert, verschilt en kan veranderen. Een code op je fysieke simkaart helpt niet tegen een onterecht goedgekeurde overdracht bij de provider. Ook de eSIM is niet automatisch het probleem: de zwakke plek zit in het laten overnemen van het nummer.

Dat klinkt abstract, maar de Nederlandse Fraudehelpdesk meldde in 2025 concrete valse berichten uit naam van KPN en Odido. Mensen moesten zogenaamd hun sim verifiëren of dringend naar een eSIM overstappen. Bij zulke berichten probeerden fraudeurs gegevens te krijgen of een echte providerboodschap te laten doorsturen. Dit voorbeeld uit 2025 bewijst niet dat die berichten nu opnieuw rondgaan. Controleer een onverwacht providerbericht via een zelf geopende app of website.

Een sms-code is nog geen sleutel tot alles

Als de overdracht lukt, komen volgende sms’jes en oproepen bij de aanvaller terecht. Het wachtwoord van je e-mail of Instagram krijgt die daarmee niet vanzelf. Maar als dat wachtwoord al is gestolen, kan de sms-code de laatste hindernis wegnemen. Ook herstel per sms kan dan kwetsbaar zijn. Je bankrekening is niet automatisch leeg zodra je nummer weg is: Nederlandse bankapps gebruiken volgens het voorlichtingsplatform van de banken eigen toegangscodes en aanvullende controles. Controleer toch je bank: de gevolgen hangen af van je diensten en wat de aanvaller al weet.

Vergroot illustratie ↗

Voor accounts die de keuze geven, is een code uit een authenticator-app minder afhankelijk van het telefoonnummer. De Nederlandse politie noemt die route veiliger tegen simswapping dan een sms-code. Google bevestigt voor zijn Authenticator dat zo’n code zelfs zonder mobiele verbinding kan worden gemaakt. Dat betekent niet dat sms-beveiliging zinloos is: twee stappen blijven beter dan alleen een wachtwoord. Ook beschermt een code-app niet tegen iemand die jou misleidt om een code zelf door te geven. Het praktische verschil is precies waar de tweede code vandaan komt.

Een overstap heeft een prijs in gemak. Als je telefoon verloren gaat en de codes alleen daarop staan, kun je zelf buitengesloten raken. Sommige apps kunnen codes via een account synchroniseren; bij Google Authenticator is dat optioneel, maar dan vertrouw je ook op dat account en de opslag van die aanbieder. Zonder synchronisatie moet je codes zelf overzetten. Google biedt voor zijn eigen accounts eenmalige reserve-inlogcodes aan. Dat is een voorbeeld, geen garantie dat elke dienst hetzelfde herstel biedt. Bewaar dus een herstelmogelijkheid die niet van hetzelfde nummer afhangt.

Wat doe je bij onverwacht bereikverlies?

Controleer eerst of anderen bij dezelfde provider ook geen verbinding hebben. Blijft het alleen bij jou mis en klopt er iets niet in je provideraccount, neem dan via een ander toestel of wifi onmiddellijk contact op met je provider. Vraag of er een simwissel is geweest en laat een ongewenste overdracht terugdraaien. Kijk daarna naar e-mail, sociale media en banktransacties; verander wachtwoorden als je vreemde activiteit ziet en neem bij mogelijke fraude contact op met je bank. De Nederlandse politie zegt dat aangifte van simswapping via een bureauafspraak loopt. Belgische politiediensten adviseren bij bankfraude eerst de bank te bellen en daarna aangifte te doen.

Mijn oordeel: de grootste winst zit niet in paniek over eSIM, maar in het weghalen van het telefoonnummer als enige reservepoort tot belangrijke accounts. Voor veel jongeren is een authenticator-app bij e-mail en sociale media een haalbare stap, mits de herstelroute vooraf is geregeld. Een provider blijft verantwoordelijk voor een zorgvuldige nummeroverdracht; die controle kan een gebruiker niet zelf vervangen. Wie onverwacht zijn bereik verliest, hoeft dus niet meteen van fraude uit te gaan, maar moet wel snel nagaan of het nummer nog op de eigen sim staat.