Al jarenlang berust de strijd tegen frauduleuze sms'jes op een eenvoudige aanname: een oplichtings-sms moet ergens langskomen. Via een verzendplatform, via een aggregator, via een provider. En als een bericht door een buis gaat, kun je het filteren, blokkeren en herleiden tot de afzender.
In 2026 stort die aanname in. Een nieuwe generatie oplichting gebruikt helemaal geen buis meer. Het bericht komt niet van Orange, SFR, Bouygues of Free. Het komt van helemaal geen enkele provider. Het wordt rechtstreeks de lucht in gestuurd, vanuit een kastje in de kofferbak van een auto die rijdt of vijftig meter verderop geparkeerd staat.
Dat noemen we een SMS Blaster — soms ook «nepzendmast», «fake base station» of, in het oudere jargon van inlichtingendiensten, een neef van de IMSI-catcher. En het kernprobleem is dit: uw provider kan geen bericht filteren dat hij nooit heeft zien passeren.
Wat een SMS Blaster werkelijk is
Een mobiele telefoon is geen wantrouwig apparaat. Zijn basislogica, geërfd van de eerste GSM-standaarden uit de jaren negentig, is om verbinding te maken met de zendmast die het beste signaal biedt. Hij vraagt die zendmast niet om een bewijs. In de oudste netwerkgeneraties — 2G in het bijzonder — werkt de authenticatie maar in één richting: het netwerk controleert of uw simkaart legitiem is, maar uw telefoon controleert niet of de zendmast dat is.
Een SMS Blaster buit precies dit ontwerpfout uit. Het apparaat past in een sporttas of een harde koffer: een software defined radio, een versterker, een accu en soms gewoon een laptop om het geheel aan te sturen. Het doet zich voor als een zendmast, dwingt de telefoons in de omgeving om 4G of 5G te verlaten en terug te vallen op 2G, en injecteert vervolgens rechtstreeks een sms.
Het bereik varieert naargelang het vermogen en de omgeving — doorgaans van enkele tientallen tot enkele honderden meters in een dichtbevolkt stedelijk gebied. Door langzaam door een winkelstraat, een bovengrondse metrolijn of een dichtgeslibde verkeersader te rijden, kan één enkel apparaat in een uur tijd duizenden telefoons bereiken.
Het cruciale punt: de zo verspreide sms bestaat niet in de systemen van de provider. Hij verschijnt in geen enkel facturatielogboek, geen enkel toezichtsplatform, geen enkele antispamtool. Voor het netwerk is dat bericht nooit verstuurd.
Waarom de gebruikelijke verdediging hier niets uithaalt
De Franse providers hebben hun arsenaal de afgelopen jaren aanzienlijk versterkt. Het systeem 33700, beheerd door de Association Française du Multimédia Mobile, maakt het mogelijk om een ongewenste sms te melden en misbruikte nummers te laten afsluiten. Netwerkfilters detecteren massale verzendingen, geblokkeerde URL's en repetitieve patronen. Het MAN-referentiekader (Mécanisme d'Authentification des Numéros) heeft het vervalsen van oproepnummers sterk bemoeilijkt.
Al deze mechanismen delen één vooronderstelling: het bericht loopt via een gecontroleerde infrastructuur. De SMS Blaster maakt korte metten met die vooronderstelling.
| Klassieke verdediging | Doeltreffendheid tegen een SMS Blaster |
|---|---|
| Antispamfilter van de provider | Nihil — het bericht doorkruist het netwerk niet |
| Melding bij 33700 | Nuttig voor het onderzoek, maar er is geen nummer om af te sluiten |
| Afzendernummer blokkeren | Nihil — de afzender is een willekeurig label |
| Detectie van massale verzending | Nihil — geen enkel volume zichtbaar bij de provider |
| Antispam-app op de mobiel | Gedeeltelijk — hangt af van de inhoud en de URL |
Nog een gevolg, en dat is nog perverser: de weergegeven afzender wordt volledig door de aanvaller gekozen. Dat kan een banknaam zijn, de naam van een overheidsdienst of een bekend verkort nummer. Op sommige telefoons kan het frauduleuze bericht, als het label exact overeenkomt met dat van een legitieme afzender die al in uw gesprekken staat, in het bestaande gespreksdraadje terechtkomen — pal onder de echte berichten van uw bank of uw pensioenfonds. Dit groeperingsmechanisme op basis van de afzendernaam verklaart bepaalde recente golven van valse sms'jes die de exacte naam van officiële instanties dragen.
Wat er in die berichten staat
De inhoud verschilt niet fundamenteel van gewone smishing — het is het kanaal dat verandert. We vinden de grote klassiekers terug, in onberispelijk Frans:
- Het geblokkeerde pakket: douanekosten van 1,79 € die dringend betaald moeten worden, met een link naar een gekloonde betaalpagina.
- Het valse bankbericht: «Er is een transactie van 749 € gestart. Als u dit niet zelf hebt gedaan, klik hier.»
- De overheid: onbetaalde boete, update van de zorgpas, terugbetaling door de aanvullende verzekering, regularisatie van een pensioenrekening.
- De tol- of parkeerdienst: bijzonder doeltreffend wanneer de blaster langs een verkeersader rijdt.
- De valse verificatiecode, gevolgd door een telefoontje: «Goedendag, fraudedienst van uw bank, wij zien een poging op uw rekening.»
De emotionele trigger is altijd dezelfde: financiële of administratieve urgentie, gekoppeld aan een actie die binnen vierentwintig uur moet worden ondernomen.
Waarom deze techniek zich heeft verspreid
Drie factoren zijn samengekomen.
De apparatuur is betaalbaar geworden. Programmeerbare software defined radio's, oorspronkelijk onderzoeks- en zendamateurgereedschap, kosten vandaag enkele honderden euro's. De knowhow om ze te misbruiken circuleert in gesloten gemeenschappen, in de vorm van kant-en-klare kits.
De marginale kostprijs is nul. Een sms versturen via een provider kost geld en laat een boekhoudkundig spoor na. Honderdduizend berichten uitzenden vanaf een blaster kost alleen elektriciteit. Het verdienmodel van de oplichting verandert daardoor volledig: geen stromanrekeningen, simboxen of medeplichtige aggregators meer nodig.
De traceerbaarheid is vrijwel nul. Het apparaat heeft geen abonnement, geen bruikbare netwerkidentificatie, geen IP-adres. De enige manier om het uit te schakelen, is het fysiek lokaliseren — radiopeilingswerk dat tijd, materiaal en coördinatie vergt tussen het ANFR (Agence nationale des fréquences), de providers en de politie. Zulke operaties bestaan en leveren resultaat op, maar ze veronderstellen wel dat iemand de anomalie eerst meldt.
Laten we er terloops aan herinneren dat het gebruik van zo'n apparaat in Frankrijk strafrechtelijk zwaar weegt: uitzenden op toegewezen frequenties zonder vergunning, belemmering van de werking van een elektronisch communicatienetwerk, oplichting in bendeverband. De strafmaten worden in jaren gevangenisstraf uitgedrukt.
De instellingen die echt verschil maken
Er bestaat geen «anti-SMS Blaster»-knop. Maar er is wel één maatregel met een direct en meetbaar effect: 2G uitschakelen.
Aangezien de aanval berust op het geforceerd terugvallen naar een protocol waarin de zendmast zijn identiteit niet hoeft te bewijzen, wordt een telefoon die 2G botweg weigert veel moeilijker te misleiden.
Op Android
De meeste recente Android-versies bieden een specifieke schakelaar. Het pad verschilt per fabrikant, maar lijkt op: Instellingen → Netwerk en internet → Simkaarten → simkaart selecteren → «2G toestaan», uit te schakelen. Sommige fabrikanten plaatsen de optie in een menu «Beveiliging en privacy».
Android biedt in de meest recente versies ook een modus voor netwerkbeveiliging die niet-versleutelde verbindingen weigert en kan waarschuwen wanneer de telefoon een basisstation met afwijkend gedrag detecteert. Als uw toestel dat aanbiedt, schakel het dan in.
Op iPhone
iOS biedt geen aparte 2G-schakelaar. Wel schakelt de Lockdown-modus (Instellingen → Privacy en beveiliging → Lockdown-modus) onder meer het terugvallen op onbeveiligde mobiele netwerken uit. Het is een restrictieve modus, bedoeld voor blootgestelde profielen — journalisten, advocaten, politici — en die bepaalde dagelijkse toepassingen beperkt. Voor de meeste gebruikers is hij niet aan te raden voor dagelijks gebruik, maar hij kan punctueel worden ingeschakeld in een risicovolle context.
De overige nuttige instellingen
- Schakel het filteren van onbekende afzenders in (iOS: Instellingen → Apps → Berichten; Android: Berichten → Instellingen → Spambeveiliging).
- Weiger systematisch de installatie van apps buiten de App Store of Play Store. Dat is de belangrijkste toegangspoort voor de tweede fase van een aanval.
- Controleer of de tweefactorauthenticatie van uw gevoelige accounts niet uitsluitend op sms berust. Een authenticatie-app, of beter nog, een fysieke FIDO2-beveiligingssleutel, doorbreekt de hele keten: zelfs met uw inloggegevens komt de aanvaller niet verder.
Nog een woord over de netwerkdekking, trouwens: in zones waar het 4G-signaal zwak is, valt uw telefoon vanzelf terug op 2G — wat u kwetsbaarder maakt. Als u in een gebied met gedeeltelijk gebrekkige dekking woont, vermindert een door ARCEP goedgekeurde mobiele signaalversterker, correct geïnstalleerd, dat permanente terugvallen. Let op: alleen goedgekeurde en aangemelde modellen zijn legaal in Frankrijk.
Hoe u herkent dat u zojuist bent geviseerd
Enkele signalen, elk afzonderlijk onschuldig, krijgen samen betekenis:
- Uw telefoon schakelt abrupt over naar 2G of «E» terwijl u midden in de stad bent, in een gebied dat normaal goed gedekt is.
- U verliest enkele seconden het netwerk, en meteen na de herverbinding komt er een sms binnen.
- Het bericht staat nergens in de geschiedenis van uw klantenaccount bij de provider.
- Meerdere mensen om u heen — in dezelfde treinwagon, dezelfde hal, dezelfde wachtrij — ontvangen op hetzelfde moment hetzelfde bericht.
- De weergegeven afzender is volstrekt legitiem, maar de link verwijst naar een domein dat lichtjes afwijkt van het officiële domein.
Dat laatste punt verdient een vaste reflex: beoordeel een sms nooit op de weergegeven afzender, altijd op de gevraagde actie. Een overheidsinstantie vraagt u nooit uw volledige bankgegevens per sms. Ameli herinnert daar uitdrukkelijk aan op zijn website: de ziekteverzekering vraagt nooit om bankgegevens of een socialezekerheidsnummer via een bericht.
De juiste reflex in drie stappen
Klik niet. Het klinkt banaal, maar het is het enige breekpunt dat volledig van u afhangt. Een ongelezen sms doet niets. Een gelezen sms doet niets. Alleen de klik zet het vervolg in gang.
Controleer via een kanaal dat u zelf hebt gekozen. Niet het nummer in het bericht, niet de link: uw bank-app die u zelf opent, het nummer op de achterkant van uw kaart, de officiële site die u zelf in de browser intypt.
Meld het. Stuur het bericht door naar 33700 (gratis, alle providers) en dien bij schade klacht in via de daarvoor bestemde onlinedienst. Het portaal Cybermalveillance.gouv.fr verwijst u naar de juiste aanspreekpunten en biedt heldere actiefiches. Zelfs zonder bruikbare afzender voeden deze meldingen de statistieken die de lokalisatieoperaties van het ANFR in gang zetten.
Als het kwaad al is geschied
De klik is gebeurd, de inloggegevens zijn ingevoerd. Er blijft een venster om te handelen, en het is kort.
- Blokkeer onmiddellijk bij uw bank, en vervolgens via de interbancaire dienst voor kaartblokkering op 0 892 705 705.
- Wijzig de wachtwoorden van de betrokken accounts vanaf een ander toestel — een computer, als u vermoedt dat de telefoon is gecompromitteerd. Een wachtwoordmanager voorkomt meteen de kettingbesmetting van accounts die hetzelfde wachtwoord delen.
- Controleer uw oproepdoorschakelingen en sms-doorstuurregels. Een veelgebruikte praktijk is om discreet een doorschakeling in te stellen om verificatiecodes te onderscheppen.
- Documenteer alles: screenshots met tijdstempel van het bericht, het nummer, het tijdstip. Die elementen maken het verschil bij het indienen van een klacht en bij de terugbetalingsaanvraag bij de bank, geregeld door de artikelen L.133-18 en volgende van de Code monétaire et financier.
Als u een naaste begeleidt die minder vertrouwd is met deze reflexen, doet een praktische gids over cyberveiligheid in het dagelijks leven op de salontafel vaak meer werk dan een lang betoog: het maakt het mogelijk om meerdere keren op het onderwerp terug te komen, zonder dat het als een lesje overkomt.
Wat er de komende jaren gaat veranderen
Het goede nieuws is dat het technische kanaal aan het uitsterven is. 2G wordt officieel uitgefaseerd bij de Franse providers — Orange en SFR hebben hun afsluitkalender opgestart, de anderen volgen. De dag dat geen enkele telefoon in omloop nog op 2G kan terugvallen, verliest deze specifieke categorie aanvallen het grootste deel van haar speelveld.
Het slechte nieuws is dat onderzoekers nu al varianten documenteren die zich op 4G richten, waarbij ze signaleringsberichten van vóór de volledige authenticatie uitbuiten. Het principe blijft hetzelfde: tussen het moment waarop een telefoon een zendmast ontdekt en het moment waarop hij haar legitimiteit controleert, bestaat een venster. Het wordt bij elke generatie kleiner, maar het verdwijnt nog niet.
Tot dan is de gedachtegang om vast te houden eenvoudig, en hij geldt ruimschoots buiten de SMS Blaster: de schijnbare herkomst van een bericht is nooit een bewijs. Niet de naam van de afzender, niet het gespreksdraadje waarin het verschijnt, niet de kwaliteit van de tekst. Alleen de vraag telt wat het bericht u vraagt te doen — en als die actie uw geld, uw inloggegevens of uw persoonlijke gegevens raakt, verdient ze het om elders te worden geverifieerd, via een weg die u zelf hebt gekozen.
