SIM swap fraude: Simpel moet extra beveiliging invoeren!

Ik kan dat als IT-er alleen maar bevestigen. Het neemt nog geen grote vlucht, zeker hier in Nederland, maar er zijn al voldoende gevallen bekend. TFA middels SMS is een methode die ik zelf nooit kies, maar bij sommige bedrijven is dat helaas het beste wat ze hebben… Liever zie ik het gebruik van authenticator apps zoals die van Microsoft, RSA of zelfs DigiD.

Gelukkig (of helaas?) heb ik de Simpel servicedesk nog nooit nodig gehad, dus ik heb geen idee hoe die verifieren. Ik heb ook een zakelijke Vodafone abonnement en daar worden de nodige vragen gesteld over je geboortedatum, adres e.d. voordat ze verder gaan.

Beetje popie-jopie antwoord vind ik het, om eerlijk te zijn..

Wel leuk dat je zegt dat er een "uitvoerige ID-check” wordt uitgevoerd, maar biedt dat voldoende garanties dat fraude voorkomt? Een beetje handige "hacker” komt wel met de juiste antwoorden op de meeste vragen… helemaal als die persoon als zijn/haar simpel gebruikersnaam+ wachtwoord al weet.

In mijn ogen zou een extra beveiliging in de vorm van een pincode / extra wachtwoord voor het specifiek aanvragen van een nieuwe simkaart/simswapping concreet extra beveiliging toevoegen. Uiteraard dient dan te gelden dat dit wachtwoord niet hetzelfde mag zijn als het wachtwoord behorende bij het simpel gebruikersaccount.

Ik zou Simpel.nl vriendelijk doch dringend vragen een extra beveiliging zoals hierboven is beschreven, te implementeren.

@mgroen Dank je wel voor het meedenken! Wij zijn continu bezig om de veiligheid en privacy van onze klanten te waarborgen. Ik zal je verzoek tot een extra pincode / extra wachtwoord voor specifiek aanvragen zeker voorleggen. 

 

Een jaar later, maar geen extra verificatie mogelijkheid bij Simpel. Sim swapping komt steeds meer voor en het vormt grote risico's voor klanten. Ik vind het schrikbarend hoe makkelijk ik me momenteel voor kan doen als een ander bij jullie klantenservice.

Een opt-in beveiligingsniveau om je account en abonnement extra te beschermen zou voor velen al mooi zijn - 2 staps verificatie om in te loggen op mijn Simpel (bijv met een hardware key of google authenticator) en ALTIJD een code vereisen die je ontvangt via Mijn simpel, en als je daar de toegang tot kwijt bent, per post.

Hi @thompol,

Bedankt voor je feedback! Ik kan begrijpen dat je je hier zorgen over maakt. 

Zoals je zelf aangaf, maken we gebruik van de zogeheten ID-code. Mocht een klant deze niet bij de hand hebben, stellen wij enkele verificatievragen. Indien we daar geen antwoord op krijgen, geven wij geen informatie prijs over het abonnement en zullen we diegene dan ook niet verder helpen. Indien je graag een extra stukje veiligheid wilt inbouwen, kan je telefonisch contact met ons opnemen. Zo kunnen we een notitie maken hiervan en je enkel verder helpen als het wachtwoord dat je aan ons doorgeeft, genoemd wordt. 

Wat betreft de Mijn Simpel pagina, doen we er alles aan om deze zo veilig mogelijk te laten werken. Mochten er in de toekomst veranderingen komen, zullen we onze klanten uiteraard hiervan op de hoogte stellen. 

Groet, 

Mila

Hoi @Mila ,

Dit is goed om te weten, dat ga ik zeker doen. Misschien is het een idee dat hiervoor een functie komt in Mijn Simpel, zodat klanten dit eenvoudig kunnen doen zonder jullie klantenservice zwaar te belasten?

Dat is een goed punt @thompol. Ik zal je feedback zeker meenemen, bedankt!

Groet,

Mila

Helemaal mee eens. Zou graag zien dat er extra beveiliging komt om SIM swapping te voorkomen. Extra pincode of 2FA authorisatie dat mi goed kunnen voorkomen. En vrij makkelijk te implementeren natuurlijk. De ID-code waar jullie het over hebben vormt mi geen oplossing want deze is niet verplicht te gebruiken en het toepassen van SIMswapping is ook mogelijk door geen gebruik te maken van/ de Simpel.nl app te gebruiken: kort gezegd: nog steeds is het mogelijk om de helpdesk te bellen en een andere simkaart aan te vragen (en dus simswapping te plegen) door alleen wat (vrij makkelijk te achterhalen gegevens van het slachtoffer zoals NAW/geboortedatum/etc) te geven.

Thanks! We kijken altijd hoe we voor extra veiligheid kunnen zorgen en hierin is je feedback erg waardevol. In de tussentijd kan je wel van de eerder genoemde suggesties gebruikmaken om een extra stukje veiligheid in te bouwen.

Er is net weer een artikel geweest in de NRC over sim-swapping in Nederland, in dit geval bij een andere telecomprovider. Feit blijft wel dat de ID code het proces alleen versnelt. Als je de NAW gegevens hebt, IBAN en wellicht nog een beetje halfslachtig gokt met het abonnement dan ben je binnen. Of dat laatste stukje social engineert.

Als ik het verder goed begrijp dan kan de medewerker nog steeds het wachtwoord negeren, het staat in de notities dat het gevraagd zou moeten worden. Simpel heeft volgens mij TOTP overwogen, maar zijn bang voor het feit dat veel meer mensen gebruik moeten maken van de klantenservice omdat de meest gebruikte app, Google Authenticator niet een gedegen backup functie heeft als die codes “kwijt” raken.

Maar zoals geopperd werd, dan zou er een systeem kunnen zijn dat je per post weer een soort van herstel code ontvangt om die er (tijdelijk) af te halen.