Er bestaat een heel moderne vorm van angst: die van de blik strak op een telefoonscherm, wachtend op een code van zes cijfers. De bankpagina toont een aftelklok, de betaling verloopt over 90 seconden, en de sms komt niet. Je ververst de pagina, tikt op «Code opnieuw verzenden», zet het toestel uit en weer aan. Niets.
Deze piepkleine storing heeft buitensporige gevolgen. Zonder dat bericht bevestig je geen online betaling, krijg je geen toegang meer tot je mailbox, stap je niet in het vliegtuig, onderteken je geen contract. De sms, een technologie uit 1992 die lang niet meer was dan een middel om te kletsen, is de toegangssleutel geworden tot de helft van ons administratieve en financiële leven.
En toch weet vrijwel niemand hoe zo'n bericht werkelijk zijn weg aflegt. Vandaar de indruk dat je met een magisch en grillig fenomeen te maken hebt. De realiteit is prozaïscher: een niet-ontvangen sms heeft altijd een aanwijsbare oorzaak, en die oorzaak is zelden «je telefoon is stuk».
De werkelijke route van een sms, in vier etappes
Anders dan een e-mail reist een sms niet rechtstreeks van punt A naar punt B. Hij passeert verplicht een centraal systeem, het SMSC (Short Message Service Center), een soort postkantoor dat door elke provider wordt beheerd.
Het typische traject van een verificatiecode die je bank verstuurt, ziet er zo uit:
- De zakelijke afzender (de bank) praat niet rechtstreeks met het mobiele netwerk. Hij werkt via een A2P-aggregator (Application-to-Person), een technische tussenpartij die afspraken heeft met de providers.
- De aggregator kiest een route. Er bestaan directe «premium»-routes en goedkopere «grijze» routes via buitenlandse operators. De betaalde prijs bepaalt grotendeels de betrouwbaarheid.
- Het SMSC van jouw provider ontvangt het bericht, controleert of het legitiem is en zoekt vervolgens via het HLR-register uit waar je telefoon zich bevindt.
- De uiteindelijke aflevering. Is je mobiel bereikbaar, dan wordt het bericht doorgestuurd. Zo niet, dan wordt het in een wachtrij opgeslagen en periodiek opnieuw geprobeerd, gedurende een geldigheidsduur die de afzender heeft ingesteld.
Dat laatste punt verklaart het meest verwarrende fenomeen: sms'jes die een uur later ineens allemaal tegelijk binnenstromen. Ze waren niet verloren — ze stonden te wachten in het SMSC.
Een sms kent geen enkele garantie op levertijd. Het GSM-protocol, zoals genormaliseerd door ETSI en later 3GPP, definieert een zogenoemde «best effort»-dienst: het netwerk doet zijn best, zonder toezegging over de bezorgtijd.
De zeven echte oorzaken van een sms die niet aankomt
1. De wachtrij en de geldigheidsduur
Elke zakelijke sms vertrekt met een onzichtbare parameter: de validity period. Veel verzenders van verificatiecodes stellen die bewust heel kort in — 2 tot 5 minuten — juist omdat een verlopen beveiligingscode geen enkel nut meer heeft.
Gevolg: als je telefoon even buiten bereik was (lift, ondergrondse parkeergarage, tunnel, vliegtuig), kan het bericht definitief vernietigd zijn voordat je weer bereikbaar bent. Het haalt die achterstand nooit meer in. Dat is oorzaak nummer één van codes die «nooit aankomen», terwijl gewone berichten van vrienden uiteindelijk altijd wél binnenvallen.
2. Het antifraudefilter van de provider
Sinds de explosie van smishing hebben providers hun filters flink aangescherpt. Die systemen analyseren in realtime de inhoud, de afzender, het volume en de gebruikte route. Een legitiem bericht kan onterecht worden geblokkeerd wanneer:
- het een verkorte link bevat (bit.ly, tinyurl…) — massaal geassocieerd met fraude;
- de alfanumerieke afzender niet is geregistreerd in het register van afzendernamen dat de sector heeft opgezet;
- het een verdachte internationale route neemt;
- het statistisch lijkt op een lopende fraudecampagne.
Het bericht wordt dan noch ontvangen, noch gemeld. Het verdwijnt geruisloos.
3. Blokkeringen en filterlijsten van de abonnee
Sommige gebruikers hebben, soms zonder het te weten, blokkeeropties geactiveerd: weigering van sms'jes van alfanumerieke afzenders, blokkering van korte nummers, een ingebouwd antispamfilter op de smartphone. Op Android zet de Berichten-app van Google bepaalde berichten automatisch in een tabblad «Spam en geblokkeerd» dat vrijwel niemand ooit opent. Op iOS verplaatst de optie Onbekende afzenders filteren berichten naar een onopvallend tweede tabblad.
Controleer voordat je de klantenservice belt altijd eerst die twee verborgen mappen. In de meeste gevallen stond de code er gewoon.
4. Het volle geheugen van de simkaart
Dit is zeldzaam geworden maar nog altijd reëel, vooral bij toestellen met fysieke toetsen en oudere modellen. Als het simgeheugen vol is, weigert het toestel de ontvangst en probeert het netwerk het tevergeefs opnieuw. Op een seniorentelefoon met grote toetsen die als tweede toestel wordt bewaard, komt deze blokkade vaak voor na een paar honderd berichten. Het volstaat het geheugen te legen om de wachtrij in één keer te laten leeglopen.
5. Roaming en korte nummers
In het buitenland is sms-ontvangst normaal gesproken gegarandeerd, maar twee uitzonderingen zorgen voor problemen:
- korte nummers (4-5 cijfers) zijn niet altijd routeerbaar vanuit het buitenland;
- codes van een alfanumerieke afzender kunnen worden gefilterd door de bezochte lokale provider.
Vandaar de klassieke verhalen van reizigers die vanuit een hotel in Bangkok geen bankbetaling kunnen bevestigen. De oplossing is een tweede lijn aanhouden en een lokaal databundel activeren, wat soms een universele reisstekkeradapter vereist om niet op het slechtst denkbare moment met een lege telefoon te zitten.
6. Storing bij de provider of de aggregator
Incidenten met A2P-platformen bestaan en treffen soms miljoenen abonnees, urenlang. Ze halen zelden het nieuws omdat ze alleen zakelijk verkeer raken: je persoonlijke sms'jes komen aan, alleen de verificatiecodes ontbreken. Statuspagina's van providers en community-platformen waar storingen worden gemeld, bevestigen in twee minuten of het om een collectieve storing gaat en niet om een persoonlijk probleem.
7. Een verouderd nummer bij de afzender
Een banale maar zeer frequente oorzaak: de organisatie stuurt de code naar het juiste nummer… van acht jaar geleden. Een nieuw abonnement, een slecht verwerkte nummerbehoud, een typefout bij de inschrijving. Aan gebruikerszijde wijst niets erop; het scherm meldt simpelweg «Er is een code verzonden naar 06 •• •• •• 42» — net genoeg gemaskeerd om de fout niet op te merken.
Snelle diagnose: vijf minuten om uitsluitsel te krijgen
Bij een ontbrekende sms wijst deze volgorde in de overgrote meerderheid van de gevallen de oorzaak aan.
| Test | Wat het onthult |
|---|---|
| Ontvang je sms'jes van een bekende? | Zo ja, dan ligt het probleem bij de afzender of bij filtering, niet bij je lijn |
| Is het tabblad «spam» van je Berichten-app leeg? | Lokale filtering op de smartphone |
| Vliegtuigmodus 30 s en dan terug op het netwerk | Forceert een nieuwe bezorgpoging vanuit het SMSC |
| Is het nummer dat de dienst toont het juiste? | Verouderd nummer aan de kant van de afzender |
| Stuurt een andere dienst je wel een code? | Onderscheidt een algemene storing van gerichte blokkering |
De truc met de vliegtuigmodus verdient toelichting: door zich opnieuw op het netwerk te registreren, meldt de telefoon zijn beschikbaarheid aan het HLR, wat meteen het leeglopen van de wachtrij in gang zet. Dat is doeltreffender en sneller dan een volledige herstart.
Een laatste, vaak vergeten reflex: controleer de werkelijke signaalkwaliteit en niet het aantal streepjes op je scherm. Zowel op iOS als op Android toont de servicemodus (via een code die je intoetst) het vermogen in dBm. Voorbij -110 dBm wordt de signaleringslaag die sms'jes transporteert instabiel. In slecht gedekte gebieden lost een goedgekeurde mobiele signaalversterker of, eenvoudiger nog, het activeren van bellen en sms'en via wifi (VoWiFi) het probleem duurzaam op.
Het bijzondere geval van bankcodes en PSD2
Sinds de inwerkingtreding van de Europese betaaldienstenrichtlijn (PSD2) moet elke online betaling worden onderworpen aan sterke authenticatie. Banken zijn massaal overgestapt op hun mobiele apps, maar de sms blijft als terugvaloptie in gebruik — en juist daar concentreren de blokkades zich.
Drie concrete aanbevelingen:
- Activeer bevestiging via de app zodra je bank die aanbiedt. Die werkt via mobiele data of wifi, omzeilt het sms-netwerk volledig en is bestand tegen SIM swapping.
- Vraag niet drie codes achter elkaar aan. Elke nieuwe aanvraag maakt de vorige ongeldig; de codes komen dan door elkaar binnen en geen enkele werkt. Wacht minstens 60 seconden.
- Geef een ontvangen code nooit door, ook niet aan iemand die zich voordoet als je adviseur of als de antifraudedienst. Geen enkele instelling heeft die code nodig: hij is bedoeld om door jou te worden ingevoerd, op het scherm waar je je al bevindt.
Dat laatste punt is de dominante werkwijze geworden bij bankfraude. Toezichthouders en waarnemingsposten voor de veiligheid van betaalmiddelen herhalen regelmatig dat fraude «via de adviseur», waarbij de oplichter het slachtoffer zelf een transactie laat bevestigen, een groeiend aandeel van de schade vertegenwoordigt.
Loskomen van de afhankelijkheid van sms
De sms werd om een eenvoudige reden omarmd als tweede authenticatiefactor: iedereen heeft er een. Maar hij is er nooit voor ontworpen. Hij is niet end-to-end versleuteld, hij hangt af van een nummer dat gekaapt kan worden, en de aflevering is niet gegarandeerd.
Er bestaan alternatieven die vandaag betrouwbaarder zijn:
- Authenticatie-apps (TOTP) genereren elke 30 seconden een code, offline, zonder enig netwerk. Ze werken in het vliegtuig, in een parkeergarage, in het buitenland.
- Fysieke beveiligingssleutels volgens de FIDO2/WebAuthn-standaard vormen het hogere niveau: een FIDO2-beveiligingssleutel met USB-C steek je in of houd je bij je telefoon, en maakt phishing technisch onmogelijk omdat hij het adres van de site controleert voordat hij antwoordt.
- Herstelcodes die je krijgt bij het activeren van tweestapsverificatie: afdrukken en buiten je telefoon bewaren. Een brandwerende documentenkluis of gewoon een verzegelde envelop in een lade is beter dan een schermafbeelding in je fotogalerij.
Zowel nationale cybersecurityautoriteiten als privacytoezichthouders komen in hun publieksadviezen over wachtwoorden tot dezelfde conclusie: sms is een aanvaardbare noodoplossing, nooit een ideaal.
Wanneer sms-stilte een alarmsignaal is
Tot slot een belangrijke nuance. Als je plotseling al je sms'jes en oproepen niet meer ontvangt, zonder dat er een netwerkstoring is gemeld, zoek het dan niet bij filtering: dat is het klassieke symptoom van SIM swapping. Een fraudeur heeft je nummer laten overzetten naar zijn eigen simkaart, je lijn is uitgeschakeld en hij ontvangt voortaan jouw verificatiecodes in jouw plaats.
De signalen die je niet mag negeren:
- aanhoudend «Geen dienst» of «Zoeken…» terwijl de andere telefoons in huis wel werken;
- een sms of e-mail over een aanvraag tot nummerbehoud of een duplicaat-simkaart die jij niet hebt gedaan;
- gemelde inlogpogingen op je accounts.
De reactie moet onmiddellijk zijn: bel de provider vanaf een andere lijn om de simkaart te laten blokkeren, waarschuw je bank en doe aangifte. Publieke instanties zoals Cybermalveillance.gouv.fr bieden een speciaal hulptraject, en via 17 Cyber kun je online melding doen.
Ontbreekt daarentegen alleen een code terwijl de rest gewoon werkt, dan is er niets alarmerends aan de hand: het gaat vrijwel altijd om een probleem met de route, een filter of de wachtrij. De gewoonte om die twee situaties te onderscheiden — totale stilte tegenover selectieve stilte — voorkomt zowel onnodige paniek als te late reacties.
Het belangrijkste op een rij
- Een niet-ontvangen sms heeft een aanwijsbare technische oorzaak, het is geen noodlot.
- Verificatiecodes hebben een zeer korte levensduur: ben je op het verkeerde moment buiten bereik, dan worden ze vernietigd, niet vertraagd.
- Dertig seconden vliegtuigmodus is de doeltreffendste handeling om aflevering af te dwingen.
- Controleer altijd eerst het spam-tabblad van je berichtenapp, vóór elke andere diagnose.
- Zet je gevoelige accounts over naar een authenticatie-app of een fysieke sleutel.
- Volledige stilte op de lijn, inclusief oproepen, moet je aan SIM swapping doen denken en tot een onmiddellijk telefoontje naar je provider leiden.
