NIEUWS

Samenvatting: SS7 is het oude protocol waarmee telecomnetwerken sms-berichten en gesprekken doorsturen. Het is ontworpen voor een kleine kring vertrouwde operators. Het controleert zelf niet wie een verzoek doet. Een aanvaller met toegang tot het netwerk kan daardoor sms-codes omleiden. Voor de meeste mensen is dat risico klein. Voor banken en beveiligde accounts is het reëel. Beveiligingsinstanties raden daarom aan om sms-codes te vermijden. Gebruik waar mogelijk een authenticator-app of een passkey.

Wat is SS7?

SS7 staat voor Signaling System No. 7. Telecomoperators gebruiken het sinds de jaren tachtig. Het regelt hoe netwerken met elkaar praten. Denk aan het opzetten van gesprekken en het afleveren van sms-berichten. Ook roaming loopt erover.

Het systeem stamt uit een andere tijd. Toen hadden maar weinig partijen toegang tot het netwerk. Iedereen vertrouwde elkaar. De ontwerpers bouwden daarom geen controle in op de afzender van een bericht.

Waarom is SS7 een probleem voor inlogcodes?

Veel diensten sturen een eenmalige code per sms. Die code reist niet versleuteld naar je telefoon. Hij loopt over het telecomnetwerk. Dat netwerk vertrouwt verzoeken van andere netwerken.

Een aanvaller met toegang tot SS7 kan het netwerk iets vragen. Bijvoorbeeld: stuur de berichten van dit nummer naar een ander apparaat. Het netwerk voert dat uit. De eigenaar merkt niets. De telefoon toont geen gemiste melding.

Daarmee kan een aanvaller de code onderscheppen. Hij heeft je telefoon niet nodig. Hij hoeft je ook niet te misleiden. Hij heeft wel eerst je wachtwoord nodig.

Is dit echt ooit misbruikt?

Ja. In 2017 meldde een Duitse krant een grote aanval. Criminelen stalen eerst bankgegevens met malware. Daarna onderschepten ze de sms-codes voor betalingen via SS7. Zo autoriseerden ze frauduleuze overboekingen. Dat was naar verluidt de eerste bekende uitbuiting buiten demonstraties. Klanten van het netwerk O2 waren het doelwit.

Onderzoekers lieten eerder al zien dat het werkt. Positive Technologies schreef in een SS7-rapport dat een aanvaller met basisvaardigheden gevaarlijke aanvallen kan uitvoeren. Beveiligingsonderzoekers toonden onderschepping ook live op televisie.

Hoe groot is het risico voor jou?

Dat hangt af van wie je bent. SS7-misbruik vraagt toegang tot telecominfrastructuur. Dat beperkt wie het kan doen. Het gaat om staten, insiders en criminele groepen. Volgens sommige bronnen is toegang te koop via gecompromitteerde operators. De prijs en omvang van die handel zijn onzeker.

De Mobile Ecosystem Forum wees er in 2016 op dat de aanval technische kennis en timing vraagt. Het raadde operators aan om SS7-toegang te beperken. Ook adviseerde het om SMS- en SS7-firewalls in te zetten. Het forum vond dat sms-2FA niet overal verboden hoefde te worden.

De conclusie is dus tweeledig:

Voor de meeste gebruikers is een gerichte SS7-aanval onwaarschijnlijk.

Voor topmensen, journalisten en bedrijven is het een realistisch risico.

Voor banken en fintechs is het een bekend operationeel risico.

Wat is het verschil met SIM-swappen?

Bij een SIM-swap komen alle oproepen en sms’jes bij de aanvaller. Dat treft ook je verificatiecodes. Dit komt vaker voor dan SS7-misbruik. Beide aanvallen hebben hetzelfde gevolg. De sms-code is dan geen veilige tweede factor meer.

Wat zeggen instanties en regelgevers?

NIST. De Amerikaanse standaardenorganisatie noemde sms in 2016 al een achterhaalde methode. In de nieuwe richtlijn SP 800-63-4 staat sms volgens Security Boulevard als “restricted”. Het is dus toegestaan met beperkingen.

FBI en CISA. Eind 2024 volgde een gezamenlijke waarschuwing. Die kwam na een grote telecominbraak. De instanties noemden SS7 als zwak punt. Ze adviseerden authenticator-apps, hardwaretokens en FIDO-standaarden.

Toezichthouders. Volgens Security Boulevard gaven de UAE, India en de Filipijnen in 2026 richtlijnen of regels tegen sms-codes voor financiële diensten. Die bron is een leverancier van beveiligingsproducten. Controleer de details bij de regelgevers zelf.

Wat kun je zelf doen?

Gebruik passkeys waar het kan. Een passkey hoort bij één website. Een nagemaakte site kan hem niet gebruiken. Sms speelt er geen rol in.

Kies een authenticator-app. De code ontstaat op je toestel. Hij reist niet over het telecomnetwerk.

Overweeg een hardwaresleutel voor je belangrijkste accounts.

Houd sms alleen als laatste optie. Sms is nog altijd beter dan alleen een wachtwoord.

Beveilig je provideraccount. Stel een extra pincode in. Dat helpt tegen SIM-swaps.

Gebruik een sterk, uniek wachtwoord. Een aanvaller heeft dat nodig voor de eerste stap.

Let op phishing. Nagemaakte inlogpagina’s kunnen codes in real time doorsturen. Dat geldt ook voor codes uit een authenticator-app. Passkeys zijn hier beter tegen bestand.

Wat kunnen bedrijven doen?

Stop met sms als enige of primaire tweede factor.

Bied passkeys en FIDO2 aan.

Bied authenticator-apps als alternatief.

Gebruik sms alleen met extra risicocontroles, zoals een controle op recente SIM-wissels.

Vraag je telecompartner naar SS7-firewalls en monitoring.

Houd rekening met de kosten. Sms-codes kosten per bericht. Passkeys niet.

Veelgestelde vragen

Wat is SS7?
Een telecomprotocol uit de jaren tachtig. Het regelt gesprekken, sms en roaming tussen netwerken.

Waarom is SS7 onveilig?
Het is gebouwd op onderling vertrouwen. Het controleert niet goed wie een verzoek doet.

Kan iemand mijn sms-code onderscheppen via SS7?
Ja, in theorie. De aanvaller heeft toegang tot het telecomnetwerk nodig. Meestal heeft hij ook je wachtwoord nodig.

Is SS7 hetzelfde als SIM-swappen?
Nee. Bij een SIM-swap neemt een aanvaller je nummer over via je provider. Bij SS7 misbruikt hij het netwerkprotocol.

Is sms-2FA nutteloos?
Nee. Het is zwakker dan alternatieven. Het blijft beter dan alleen een wachtwoord.

Wat is de beste vervanger van sms-codes?
Passkeys. Een authenticator-app of hardwaresleutel is een goede tweede keuze.

Zijn WhatsApp-berichten ook via SS7 te onderscheppen?
Volgens Security Boulevard niet. WhatsApp-berichten gaan via dataverbindingen en niet via het sms-netwerk.