Wachtwoorden veranderen we. Van e-mailadres wisselen we soms. Maar bijna niemand verandert van telefoonnummer. Dat van jou gaat al tien, vijftien, soms twintig jaar mee: het diende om accounts aan te maken, bankcodes te ontvangen, bezorgformulieren in te vullen, klantenkaarten te activeren en mee te doen aan een prijsvraag die je allang vergeten bent.
Het gevolg: dat nummer van tien cijfers is een permanente identificator geworden, net zo onthullend als een dossiernummer. En anders dan een wachtwoord kun je het niet intrekken. Wanneer het lekt — en statistisch gezien is dat al gebeurd — belandt het in databases die jarenlang worden doorverkocht, gekoppeld en opnieuw geactiveerd.
Het goede nieuws is dat een lek geen noodlot is. Het vraagt om een methodische reactie, niet om paniek. Zo kom je erachter waar je staat, en wat je concreet kunt doen.
Waarom een telefoonnummer meer waard is dan een e-mailadres
Op de parallelle datamarkten is een e-mailadres alleen bijna niets waard. Een geverifieerd mobiel nummer, gekoppeld aan een naam en een postcode, brengt aanzienlijk meer op. Drie redenen verklaren dat verschil.
Het is uniek, stabiel en gekoppeld aan een echte identiteit
De toewijzing van mobiele nummers is wettelijk geregeld — in Frankrijk door de ARCEP — en het openen van een lijn vereist identificatie van de houder. Een actief nummer is voor een fraudeur dus een impliciet bewijs dat er een mens aan de andere kant zit. Anders dan een wegwerpmailbox laat het zich niet met duizenden tegelijk aanmaken.
Het is de spil van authenticatie
Sms blijft, ondanks de bekende zwakheden, wereldwijd de meest gebruikte tweede authenticatiefactor. De Europese richtlijn PSD2 heeft sterke authenticatie voor betalingen algemeen verplicht gesteld, en de meeste banken leunen nog altijd geheel of gedeeltelijk op het versturen van een code per bericht. Je nummer kennen betekent de voordeur kennen — de sleutel moet dan nog gevonden worden, via social engineering of SIM swapping.
Het maakt kruisverbanden mogelijk
Een nummer fungeert als koppelsleutel tussen bestanden. Een database van een webshop, een andere van een boekingsplatform, een derde van een forum: gekoppeld op het nummer vormen ze samen een gedetailleerd profiel — naam, adres, aankoopgeschiedenis, geschatte leeftijd. Juist die koppeling maakt spear smishing zo overtuigend: het frauduleuze sms'je noemt je echte naam, je echte woonplaats, soms je echte bestelling.
Een generiek oplichtingsbericht herken je binnen twee seconden. Een bericht dat je naam, je provider en je laatste aankoop kent, vraagt om een veel hoger niveau van waakzaamheid.
Hoe weet je of je nummer is gelekt
Er bestaat geen officieel register van gecompromitteerde nummers. Maar verschillende signalen en tools geven wel een serieus beeld.
Diensten om lekken te controleren
De dienst Have I Been Pwned, beheerd door beveiligingsonderzoeker Troy Hunt, accepteert sinds enkele jaren voor bepaalde datalekken ook zoekopdrachten op telefoonnummer in internationaal formaat (+31...), naast het zoeken op e-mailadres. Het Hasso-Plattner-Institut biedt eveneens een controledienst per e-mail aan, waarbij het resultaat wordt toegestuurd. Deze tools zijn niet volledig: ze dekken alleen publiek gedocumenteerde lekken.
Een paar voorzorgsmaatregelen:
- gebruik alleen bekende, goed gedocumenteerde diensten; obscure sites die beloven "het dark web te scannen" zijn vaak zelf dataverzamelaars;
- voer het nummer in internationaal formaat in, zonder spaties;
- herhaal de controle een- tot tweemaal per jaar, want databases worden achteraf bijgewerkt.
Gedragssignalen
Vaak wordt een lek zichtbaar voordat het gedocumenteerd is. Drie klassieke aanwijzingen:
| Waargenomen signaal | Waarschijnlijke verklaring |
|---|---|
| Plotselinge toename van verkoopgesprekken | Je nummer is net in een doorverkocht prospectiebestand beland |
| Oplichtingssms met je naam of een echte bestelling | Lek uit een handelsdatabase, met bijbehorende gegevens |
| Ongevraagde verificatiecodes (OTP) | Iemand probeert toegang te krijgen tot een account dat aan je nummer is gekoppeld |
| "Ping"-oproepen die maar één keer overgaan | Test of het nummer actief is, voorafgaand aan doorverkoop |
Dat laatste punt is belangrijk: een oproep die meteen wordt verbroken, of een leeg sms'je, dient soms simpelweg om te bevestigen dat de lijn actief is. Bel nooit een onbekend nummer met een exotisch tarief terug.
Controleer wat je zelf blootgeeft
Voordat je een lek de schuld geeft, is het nuttig om je vrijwillige blootstelling te meten. Typ je nummer tussen aanhalingstekens in een zoekmachine. Controleer:
- je advertenties op marktplaatsen, die vaak online blijven staan met het nummer letterlijk in de tekst;
- omgekeerde telefoongidsen, die niet-vermelde lijnen alleen opnemen als de abonnee geen geheim nummer heeft aangevraagd;
- je zakelijke en verenigingsprofielen, pdf's van verslagen, contactlijsten die door een club of school zijn gepubliceerd.
Veel lekken zijn geen hacks: het zijn vergeten publicaties.
Wat er concreet gebeurt na een lek
Golf 1: telefonische verkoop
Dit is het meest directe en meest onschuldige gevolg. Telefonische verkoop is wettelijk aan banden gelegd: commerciële oproepen zijn verboden in het weekend, op feestdagen en buiten vastgestelde tijdvakken doordeweeks. Gratis inschrijving op een officieel bel-me-niet-register (in Frankrijk Bloctel) blijft de eerste stap. Het blokkeert geen oplichting en evenmin bedrijven waarmee je een lopend contract hebt, maar het schoont een deel van de stroom op.
Voor sms-marketing geldt een ander kader: de AVG en de telecomwetgeving vereisen voorafgaande toestemming voor commerciële berichten aan particulieren, plus een eenvoudige afmeldmogelijkheid — het beroemde "STOP" gevolgd door een code.
Golf 2: gericht smishing
Dit is het echte gevaar. Smishing (phishing via sms) gebruikt gelekte gegevens om een geloofwaardig scenario op te bouwen: een pakket dat klaarligt, een boete die betaald moet worden, een geblokkeerde bankrekening, een update van je zorgpas. De dienst Cybermalveillance.gouv.fr publiceert regelmatig waarschuwingen over lopende campagnes en stelt gratis, behoorlijk goed gemaakte instructiekaarten beschikbaar.
De enige reflex om te onthouden: je klikt nooit vanuit het bericht. Je opent de officiële app opnieuw of typt het adres handmatig in. Wie deze reflex wil verankeren en de mechanismen van social engineering wil begrijpen, vindt in een boek over cybersecurity voor particulieren veel meer structuur dan in een stapel losse artikelen.
Golf 3: de poging tot overname
Het uiterste stadium is het overnemen van de lijn zelf, via SIM swapping of frauduleuze nummerportering, om authenticatiecodes te onderscheppen. Deze aanval veronderstelt dat de aanvaller al over voldoende persoonsgegevens beschikt — vandaar het belang om koppeling van gegevens vooraf te beperken.
Je blootstelling beperken zonder van nummer te veranderen
Van nummer veranderen is een zware ingreep, voorbehouden aan situaties van stalking of herhaalde fraude. In de overgrote meerderheid van de gevallen kun je compartimenteren.
Kies een strategie met twee nummers
Het principe is eenvoudig: één privénummer, gereserveerd voor familie en vrienden, de bank, je werkgever en overheidsinstanties; één openbaar nummer voor bezorgingen, aanmeldingen, advertenties, klantenkaarten en onlinediensten.
Dat tweede nummer kan verschillende vormen aannemen:
- een aparte prepaid simkaart, de eenvoudigste en goedkoopste oplossing;
- een tweede eSIM op een dual-sim-compatibele telefoon;
- voor incidenteel gebruik een online sms-dienst zonder registratie, waarmee je je persoonlijke lijn niet hoeft bloot te geven voor één enkel bericht.
Als je toestel geen dual sim ondersteunt, vervult een instap-smartphone met dual sim als tweede apparaat die rol prima, en voorkom je dat je gebruiksdoelen door elkaar lopen.
Opruimen wat al online staat
De AVG geeft je een recht op wissing (artikel 17) en een recht van bezwaar tegen verwerking voor direct marketing (artikel 21). Concreet:
- Breng in kaart welke sites je nummer tonen of bewaren.
- Stuur een schriftelijk verzoek tot wissing, met vermelding van je identiteit en de betreffende verwerking. Toezichthouders zoals de CNIL stellen gratis voorbeeldbrieven beschikbaar op hun website.
- De verwerkingsverantwoordelijke heeft in beginsel één maand om te reageren.
- Blijft een antwoord uit of volgt een ongemotiveerde weigering, dan kun je een klacht indienen bij de toezichthouder (in Frankrijk de CNIL) via het onlineformulier.
Vraag voor omgekeerde telefoongidsen bij je provider een geheim nummer aan — dat is gratis en gaat in bij de volgende uitgave.
De lijn vergrendelen bij je provider
Drie weinig bekende maatregelen die je rechtstreeks bij de klantenservice kunt aanvragen:
- het activeren van een pincode op de simkaart (vaak uitgeschakeld voor het gemak);
- het instellen van een wachtwoord of geheime vraag op je klantaccount, verplicht vóór elke gevoelige handeling;
- alertheid rond de porteercode (in Frankrijk de RIO-code), die nummerbehoud mogelijk maakt: geef die nooit aan derden.
Geleidelijk afstappen van sms als authenticatiefactor
Vervang waar mogelijk sms-verificatie door een authenticatie-app (TOTP-codes) of, nog beter, door een fysieke beveiligingssleutel. Nationale cyberautoriteiten zoals de ANSSI adviseren al jaren om deze methoden te verkiezen voor gevoelige accounts. Een FIDO2-beveiligingssleutel past aan je sleutelbos, kost niet meer dan een etentje en maakt phishing van je inloggegevens praktisch kansloos bij diensten die de sleutel ondersteunen.
Voor herstelcodes en bijbehorende wachtwoorden blijft een wachtwoordmanager het basisgereedschap: hij voorkomt hergebruik, de belangrijkste oorzaak van kettingreacties na een lek.
Wat te doen binnen 48 uur na een bevestigd lek
Als een bedrijf je op de hoogte stelt van een datalek waarbij je nummer betrokken is — een verplichting uit de AVG wanneer het risico hoog is — dan is dit een verstandig stappenplan.
Dag 1 — Inventariseren. Maak een lijst van accounts die dit nummer gebruiken als herstelmethode of voor tweestapsverificatie: bank, berichtendiensten, sociale media, je hoofdmailbox, betaalplatforms.
Dag 1 — Versterken. Wijzig de wachtwoorden van de meest kritieke accounts, te beginnen met je mailbox, die de sleutel tot alle andere is. Schakel overal waar het kan een niet-sms-authenticatie in.
Dag 2 — Monitoren. Stel een melding in op je bankmutaties. Noteer de datum van het lek: verwijst een verdacht sms'je enkele dagen later naar een betrokken dienst, dan is het verband gelegd.
Dag 2 — Melden. Meld frauduleuze sms'jes bij de nationale meldpunten voor spamoproepen en -berichten (in Frankrijk het nummer 33700). Melden is gratis: je stuurt het bericht door en verstuurt daarna het nummer van de afzender als antwoord. Bij financiële schade kun je aangifte doen en melding maken via een officieel platform voor onlinefraude (in Frankrijk THESEE van het ministerie van Binnenlandse Zaken).
Een beveiligd notitieboekje, op papier en buitenshuis bewaard voor je herstelcodes, blijft een verrassend doeltreffende voorzorgsmaatregel: het valt niet op afstand te hacken.
De schijnbaar goede ideeën
Een paar wijdverbreide reflexen doen meer kwaad dan goed.
- "STOP" antwoorden op een oplichtingssms. Bij een legitieme afzender is dat de juiste zet. Bij een fraudeur is het een bevestiging dat de lijn actief is. Maak onderscheid: een echt commercieel bericht vermeldt de adverteerder duidelijk.
- Nummers één voor één blokkeren. Smishingcampagnes gebruiken wegwerpnummers die voortdurend worden vervangen. Individueel blokkeren is een sisyfusarbeid; het filteren van onbekende afzenders, standaard beschikbaar op iOS en Android, werkt beter.
- Een opdringerige "antispam"-app installeren. Veel apps voor oproepfiltering eisen volledige toegang tot je adresboek en uploaden je contacten. Je beschermt je eigen nummer door dat van je naasten bloot te geven.
- Denken dat een "afgeschermd" nummer beschermt. Het verbergen van je nummer beïnvloedt alleen de weergave. Het voorkomt noch de koppeling van gegevens, noch de opslag door het netwerk.
Eén eenvoudig principe: behandel je nummer als gevoelige data
Het telefoonnummer werd lang gezien als een alledaags contactgegeven dat je zonder nadenken weggaf. In de praktijk is het een identificator van bankniveau geworden: het opent accounts, bevestigt betalingen en bewijst een identiteit.
De praktische conclusie past in drie vragen die je jezelf stelt vóór elke invoer:
- Heeft deze dienst mij echt telefonisch nodig?
- Kan ik mijn secundaire nummer gebruiken?
- Als dit bestand morgen lekt, wat onthult het dan over mij zodra het met de rest wordt gekoppeld?
Drie vragen, een paar seconden. Dat is de beste verhouding tussen moeite en bescherming in de hele digitale hygiëne — met afstand.
