Aanvallers kunnen telefoons volgen, gesprekken en sms’jes onderscheppen en zich voordoen als een abonnee, zonder enige malware op het toestel te zetten en zonder phishing. De fout zit niet in de telefoon, maar in de signaleringsprotocollen die mobiele netwerken onderling gebruiken: SS7 en zijn opvolger Diameter. De meeste providers hebben grote moeite om dit soort misbruik te stoppen.
Wat SS7 en Diameter precies zijn
SS7, Signaling System No. 7, stamt uit de jaren zeventig en wordt gebruikt in 2G- en 3G-netwerken. Providers gebruiken het onderling om te controleren of een abonnee een betalende klant is en om gesprekken, sms’jes en data naar de juiste plek te routeren. De kern van het probleem is dat SS7 geen manier heeft om te controleren of het apparaat dat een verzoek stuurt, ook daadwerkelijk is wie het zegt te zijn. Verkeer dat zich voordoet als afkomstig van een legitieme provider, wordt simpelweg vertrouwd.
Diameter is de opvolger van SS7 en wordt gebruikt in 4G en vrijwel alle 5G-netwerken. Op papier ondersteunt het sterkere authenticatie, maar in de praktijk voeren providers niet altijd basismaatregelen zoals versleuteling door, en leunen veel netwerken nog op hetzelfde onderlinge vertrouwensmodel als SS7.
Wat een aanvaller hiermee kan doen
Met toegang tot deze signaleringsnetwerken kan een aanvaller op meerdere manieren misbruik maken. Hij kan de IMSI opvragen, de unieke identificatiecode van een abonnee, via alleen het telefoonnummer en onder het mom van het routeren van een gesprek of sms; die IMSI is vervolgens jarenlang te misbruiken voor vervolgaanvallen. Opvragingen die normaal voor hulpdiensten zijn bedoeld, kunnen de actuele locatie van een telefoon teruggeven, tot op de zendmast of soms de gerapporteerde coördinaten nauwkeurig. Door een nep-verzoek te sturen dat claimt dat het slachtoffer op een ander netwerk is geroamd, worden gesprekken en sms’jes omgeleid; in combinatie met gestolen inloggegevens kan een aanvaller zo sms-verificatiecodes onderscheppen. Hetzelfde principe laat een aanvaller ook bellen of sms’en onder de identiteit van het slachtoffer, of juist diens verbinding blokkeren. Daarnaast kunnen bewust foutief opgestelde signaleringsberichten providersystemen overbelasten.
Providers proberen dit te detecteren met snelheidscontroles: kan deze abonnee, gezien zijn laatst bekende locatie, daadwerkelijk op het netwerk zitten waar dit verzoek vandaan komt. Die locatiegegevens zijn echter soms uren oud, en aanvallers rouleren bewust tussen tientallen operatoridentiteiten die plausibel genoeg zijn om niet op te vallen.
Geen theoretisch risico
Volgens een rapport van Citizen Lab maakten twee langlopende commerciële surveillanceoperaties actief gebruik van SS7- en Diameter-misbruik, met duizenden aanvallen op doelwitten in tientallen landen; één van de actoren, aangeduid als STA1, roteerde door elf operatoridentiteiten in negen landen. The New York Times meldde op 14 juli 2026 dat vermoedelijk Iraanse actoren verouderde signaleringstechnologie gebruikten om telefoons van Amerikaans personeel in het Midden-Oosten te lokaliseren. In een Veritasium-video van januari 2025 kaapte een onderzoeker gesprekken en sms’jes van een techinfluencer met alleen zijn telefoonnummer. Ook criminelen die bankrekeningen leegtrokken via onderschepte sms-eenmalige-codes bij Britse banken, waaronder Metro Bank, zijn gedocumenteerd. De Amerikaanse volksvertegenwoordiger Ted Lieu liet zijn telefoon ooit publiekelijk hacken via SS7 voor de camera’s van 60 Minutes Australia.
Hoe lastig dit te stoppen is, blijkt uit eigen onderzoek van telecombedrijf Cape, gepresenteerd in 2025 op de Wireless Security-conferentie: updates over de locatie van een abonnee op een bezocht netwerk komen soms maar eens in de twee tot tien uur binnen, en voor abonnees in de Verenigde Staten en Duitsland zijn binnen een uur reizen al meer dan 250 verschillende netwerken bereikbaar. Dat geeft een aanvaller een ruime en steeds actuele keuze aan plausibele netwerken om zich achter te verschuilen. Brancheorganisatie GSMA verspreidt basisaanbevelingen onder meer dan 1.200 aangesloten providers, maar de daadwerkelijke naleving verschilt sterk per land en per provider. Cape noemt zelf maatregelen als dagelijkse rotatie van de IMSI, het niet ondersteunen van SS7 en doorlopende penetratietests van de eigen signaleringsfirewalls; dat zijn claims van de aanbieder zelf, in een artikel dat door Cape wordt gesponsord.
Waarom dit sms als tweede factor onveilig maakt
Het belangrijkste om te onthouden: deze aanvallen spelen zich af op het niveau van het netwerk, niet op de telefoon zelf. Er is geen malware nodig, geen phishing-link, geen fysieke toegang. Dat betekent dat gebruikelijke adviezen zoals een bijgewerkt toestel of oplettendheid bij linkjes hier niets uithalen, want de telefoon van het slachtoffer wordt niet aangeraakt. Voor Nederlandse lezers is de praktische les dat sms als tweede verificatiestap, bijvoorbeeld bij internetbankieren of belangrijke online-accounts, gevoelig is voor onderschepping op een manier die je zelf niet kunt patchen. Waar mogelijk is een authenticator-app of een hardware-sleutel met passkey-ondersteuning een veiliger alternatief dan een sms-code, vooral voor accounts met financiële waarde of toegang tot gevoelige gegevens. Voor de gemiddelde gebruiker is het risico beperkt: dit soort gerichte aanvallen kost geld en moeite en wordt vooral ingezet tegen specifieke doelwitten. Voor bestuurders, journalisten en mensen in een gevoelige functie is het wel reëel genoeg om serieus te nemen.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruik je sms als tweede verificatiestap voor internetbankieren, e-mail of cryptoaccounts, weet dan dat dit soort codes op netwerkniveau kunnen worden onderschept zonder dat je telefoon wordt aangeraakt. Overweeg waar mogelijk een authenticator-app of hardware-sleutel in plaats van sms, vooral bij gevoelige accounts.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.