« Ik begrijp het niet. Ik ben voorzichtig, ik klik nooit op iets, en toch krijg ik vier frauduleuze sms'jes per week. »
Die uitspraak komt voortdurend terug. En ze is volkomen logisch: voorzichtigheid beschermt tegen de gevólgen van een frauduleus sms'je, niet tegen de ontvangst ervan. Zolang je nummer in databases circuleert, blijft het bestookt worden. Het probleem is niet je gedrag tegenover die berichten, maar de blootstelling van de identificatie zelf.
De afgelopen vijftien jaar heeft het mobiele nummer geruisloos het postadres en het e-mailadres vervangen als belangrijkste identificatiesleutel. Het dient om een bankcode te ontvangen, een pakket te volgen, een account aan te maken, loyaliteitspunten te sparen, een advertentie te plaatsen, een tafel te reserveren. Eén en hetzelfde nummer, gedeeld met honderden partijen van zeer wisselende betrouwbaarheid. Dat is één enkel faalpunt — en fraudeurs weten dat.
De methode die hier wordt beschreven is niet spectaculair: ze komt erop neer dat je stopt met één enkel nummer te gebruiken. Eén nummer voor de mensen die echt tellen en de kritieke diensten, een tweede voor al de rest. Dat is geen truc voor techneuten, dat is compartimenteren — precies het principe dat we al toepassen op wachtwoorden.
Waarom één enkel nummer altijd uiteindelijk uitlekt
De lekken komen niet van jou
Een mobiel nummer belandt niet op een lijst van fraudeurs omdat jij een fout hebt gemaakt. Het komt daar door opeenhoping:
- Datalekken. Toezichthouders hebben de afgelopen jaren massale meldingen geregistreerd bij telecomoperatoren, ticketplatformen, zorgverzekeraars en winkelketens. Het telefoonnummer zit bijna altijd bij de blootgestelde velden, omdat het als « minder gevoelig » wordt beschouwd dan het wachtwoord — terwijl het juist permanent is en niet kosteloos te wijzigen.
- De doorverkoop van bestanden. Commerciële telemarketing, volkomen legaal wanneer er toestemming is, voedt een grijze economie waarin databases worden doorverkocht, gekruist en verrijkt. Zodra een nummer in dat circuit terechtkomt, raakt het er zelden nog uit.
- Het kruisen van gegevens. Je nummer, achtergelaten in een advertentie, op een wedstrijdformulier of op een reserveringssite, wordt een knooppunt waarmee verschillende datasets aan elkaar gekoppeld kunnen worden. Dat verklaart die sms'jes die je naam, je woonplaats of je bestelling « kennen ».
Het gevolg: een slachtofferprofiel
Zodra een nummer gekoppeld is aan contextuele informatie, stuurt de fraudeur geen generiek bericht meer. Hij stuurt een plausibel bericht. En die plausibiliteit is met grote voorsprong de belangrijkste succesfactor van smishing. De Banque de France wijst in haar werk voor het Observatoire de la sécurité des moyens de paiement op de toename van zogenoemde « manipulatiefraude », waarbij het slachtoffer zelf handelt, overtuigd door een geloofwaardig scenario.
Compartimenteren betekent dat je dat kruisen doorbreekt. Als je « publieke » nummer nooit gekoppeld is aan je bank, dan maakt een lek van dat nummer het niet langer mogelijk om een geloofwaardig bankbericht te fabriceren.
De drie manieren om een tweede nummer te krijgen
1. De tweede fysieke simkaart of de eSIM
Dit is de meest robuuste oplossing. Zo goed als alle smartphones die sinds 2021 verkocht worden, ondersteunen dual sim, en vaak de combinatie fysieke sim + eSIM. Een eSIM activeer je in enkele minuten via een QR-code, zonder naar een winkel te gaan.
Een goedkoop bijkomend abonnement van 2 of 3 € per maand is ruim voldoende: je hoeft er alleen sms'jes op te ontvangen en af en toe te bellen. Sommige operatoren bieden zelfs geblokkeerde abonnementen van minder dan 2 € aan, die voor deze rol perfect volstaan.
Op een ouder toestel dat geen eSIM ondersteunt, blijft een tweede apparaat een geldige oplossing: een goedkope dual-sim mobiele telefoon, die je in een lade bewaart en één keer per week aanzet, doet uitstekend dienst als « brievenbus » voor secundaire aanmeldingen.
2. Het virtuele nummer via een app
Verschillende diensten bieden een softwarematig toegekend nummer aan, dat je via een app gebruikt. Dat is handig, maar let op twee beperkingen: sommige bank- en overheidsdiensten weigeren nummers die niet aan een klassieke mobiele operator gekoppeld zijn voor het versturen van verificatiecodes, en de duurzaamheid van het nummer hangt af van het voortbestaan van de dienst. Een virtueel nummer dat verloopt, betekent een account die je mogelijk nooit meer terugkrijgt.
3. De vaste lijn of het nummer van een oud abonnement
Een armeluisoplossing, maar wel effectief: veel formulieren accepteren een vast nummer. Als je er een hebt via je internetmodem, kan dat een deel van de niet-kritieke aanmeldingen opvangen. Het nadeel: het ontvangt geen sms'jes, waardoor tweestapsverificatie onmogelijk wordt.
Hoe je je gebruik verdeelt: de regel van de twee kolommen
Het principe is simpel: het privénummer mag nooit in een onlineformulier worden ingevuld, behalve in de opgesomde uitzonderingen.
| Gebruik | Privénummer | Publiek nummer |
|---|---|---|
| Familie, vrienden, collega's | ✅ | ❌ |
| Bank, verzekering, belastingen, zorgverzekering | ✅ | ❌ |
| Huisarts, apotheek, laboratorium | ✅ | ❌ |
| School, kinderdagverblijf, werkgever | ✅ | ❌ |
| Bezorgingen, e-commerce | ❌ | ✅ |
| Klantenkaarten, prijsvragen | ❌ | ✅ |
| Tweedehandssites, Vinted, Leboncoin | ❌ | ✅ |
| Reserveringen (restaurants, kapper, verhuur) | ❌ | ✅ |
| Aanmeldingen bij weinig bekende sites | ❌ | ✅ |
| Openbare wifi die een nummer vraagt | ❌ | ✅ |
Dit schema is geen blijvende last. Het vraagt de eerste twee weken wat inspanning, tot de reflex erin zit, en daarna gaat het automatisch.
Het bijzondere geval van tweestapsverificatie
Hier moet je streng zijn. De codes die je per sms ontvangt om een betaling of een login te bevestigen, moeten op het privénummer aankomen, nooit op het publieke nummer. De reden: het publieke nummer is het nummer dat in gelekte databases voorkomt, en dus het nummer dat het doelwit wordt van een poging tot lijnovername (fraude via nummerportabiliteit of simswap).
En nu je bezig bent: maak van de gelegenheid gebruik om waar mogelijk van sms af te stappen. De ANSSI beveelt al lang authenticatie-apps aan in plaats van sms-codes, omdat sms niet end-to-end versleuteld is. Voor de meest gevoelige accounts vormt een fysieke FIDO2-beveiligingssleutel het niveau daarboven: die maakt phishing structureel onwerkzaam, aangezien er geen enkele code aan een derde kan worden doorgegeven.
Wat compartimenteren echt oplost — en wat niet
Wat het oplost
- Het volume. De ervaringen lopen gelijk: na zes tot twaalf maanden ontvangt het privénummer nog een restje spam, vaak bijna nul, terwijl het publieke nummer alles opvangt.
- De geloofwaardigheid van aanvallen. Een sms'je « je pakket is geblokkeerd » dat binnenkomt op een nummer waarvan je weet dat het alleen voor bezorgingen en dubieuze aanmeldingen dient, verliest onmiddellijk zijn overtuigingskracht. Je hoeft je niet meer af te vragen of het echt is: de context geeft het antwoord.
- Het opsporen van lekken. Door bepaald gebruik aan bepaalde nummers voor te behouden, weet je waar een lek vandaan komt. Het is het principe van het wegwerp-e-mailadres, toegepast op de mobiele telefoon.
Wat het niet oplost
Laten we eerlijk zijn over de beperkingen.
Spoofing van de afzender blijft mogelijk: een fraudeur kan de naam van je bank weergeven, ongeacht welk nummer hij viseert. Compartimenteren verkleint de kans dat je dat bericht ontvangt, niet de technische mogelijkheid van de aanvaller.
SMS Blasters, die koffers die een zendmast simuleren en alle mobiele toestellen binnen een straal van enkele honderden meters bestoken, trekken zich helemaal niets aan van je nummer: ze gebruiken het operatornetwerk niet en hoeven je lijn niet te kennen. Geen enkele vorm van compartimentering beschermt tegen deze aanvalsroute.
Ten slotte beschermt compartimenteren je niet tegen je naasten. Als de telefoon van een vriend gecompromitteerd raakt en zijn adresboek wordt afgezogen, komt jouw privénummer daar toch uit.
De overstap doorvoeren zonder alles te slopen
Stap 1: inventariseren voor je handelt
Voor je iets activeert, zet je op een rij bij welke diensten je huidige nummer is geregistreerd. Open je sms-inbox en loop de laatste zes maanden door: je ziet de legitieme afzenders opduiken (bank, zorgverzekeraar, huisarts, operator, bezorgdiensten). Dat is je startinventaris.
Een papieren notitieboekje is hier perfect voor geschikt, en het heeft een echt voordeel: het zal nooit in een datalek terechtkomen. Veel mensen die hun digitale veiligheid structureren, houden zo'n offline register bij voor hun accountherstelgegevens.
Stap 2: beslissen welk nummer « publiek » wordt
Er zijn twee scholen.
Optie A — het bestaande nummer wordt het publieke nummer. Je neemt een nieuwe lijn voor privégebruik. Voordeel: geen enkele update nodig, alle bestaande diensten blijven werken. Nadeel: je gloednieuwe privénummer moet aan je naasten worden doorgegeven, en je moet eraan denken de kritieke diensten ernaartoe te migreren.
Optie B — het bestaande nummer blijft privé. Je neemt een nieuwe lijn voor publiek gebruik. Voordeel: voor je naasten verandert er niets. Nadeel: je moet één voor één alle al geregistreerde niet-kritieke diensten bijwerken — of je laat gewoon de tijd zijn werk doen en gebruikt het publieke nummer alleen voor nieuwe aanmeldingen.
In de praktijk is optie B de zachtste, en dat is degene die ik aanraad aan wie geen grote klus wil. Het privénummer « reinigt » zich dan geleidelijk.
Stap 3: twee lijnen beheren zonder verwarring
Op zowel Android als iOS kun je elke lijn een naam geven (« Privé », « Publiek »), er een bubbelkleur aan toekennen en een standaardlijn instellen voor het verzenden. Neem er vijf minuten voor: zo voorkom je dat je een zakelijk bericht vanaf je vuilnisbaknummer verstuurt.
Een verschillende ringtone per lijn is ook erg nuttig. Het publieke nummer hoeft je niet te onderbreken: zet het permanent op stil en bekijk het één keer per dag. Op telefoons die geluidsprofielen per simkaart slecht beheren, laat een smartwatch met gefilterde meldingen enkel de privélijn door.
Stap 4: het publieke nummer niet te spraakzaam maken
Een publiek nummer blijft een nummer dat van jou is. Vermijd dat je er je volledige naam aan koppelt in telefoongidsen, gebruik het niet als identificatie voor een chatapp met een persoonlijke profielfoto, en weiger de synchronisatie van je adresboek voor apps die je in die context installeert.
De reflex die altijd moet blijven, wat er ook gebeurt: melden
Compartimenteren vervangt het melden niet. Elk frauduleus sms'je dat je ontvangt — op de ene of de andere lijn — moet worden doorgestuurd naar 33700, de officiële meldingsdienst voor spraak- en sms-spam, beheerd door de Association française du multimédia mobile in samenwerking met de operatoren. Het is gratis, het duurt tien seconden, en het voedt de blokkering van verzendende nummers.
Bij financiële schade blijven het indienen van een klacht en de platformen Perceval (voor frauduleus gebruik van een bankkaart) en Cybermalveillance.gouv.fr (voor begeleiding) de officiële ingangen.
Een publiek nummer dat verzadigd is met spam is geen mislukking van het systeem: het is het bewijs dat het werkt. De spam is vertrokken naar de plek waar hij geen schade meer aanricht.
Moet je zo ver gaan als twee telefoons?
Voor de meeste mensen niet: dual sim volstaat. Twee situaties rechtvaardigen toch een tweede toestel.
De professionele situatie. Als je zelfstandige of winkelier bent, is het nummer op je commerciële materiaal per definitie publiek, blootgesteld en afgeschraapt. Het fysiek scheiden van je persoonlijke telefoon is zinvol, onder meer om 's avonds en in het weekend écht los te komen. Een compacte powerbank wordt dan een onmisbaar accessoire, want twee toestellen betekent twee batterijen om te beheren.
Op reis. Voor een reis beperkt een tweede telefoon met alleen het publieke nummer de omvang van de schade bij diefstal of verlies, aangezien er geen bankgegevens of verificatiecodes over passeren. Vul dat nuttig aan met een bluetooth-tracker in je tas, waarmee je minstens weet of het toestel ergens is achtergebleven of is meegenomen.
Wat je moet onthouden
Je kunt datalekken niet voorkomen: die hangen niet van jou af. Wat je wél kunt beslissen, is wat ze met zich meenemen. Eén enkel nummer is een sleutel die alle deuren van je digitale leven opent; twee nummers zijn twee aparte sleutelbundels, waarvan je er één zonder gevolgen kunt verliezen.
De invoering vraagt een uur nadenken, een paar euro per maand en twee weken gewenning. In ruil daarvoor stel je de vraag « is dit sms'je echt? » veel minder vaak — en dat is precies de bedoeling. Het beste frauduleuze sms'je is dat wat aankomt op een lijn waarvan je, nog voor je het opent, al weet dat er nooit iets belangrijks op binnenkomt.
