Orange voert extra controles in na datalek tegen sim-swapping

Orange België Versterkt Beveiliging na Omvangrijk Datalek

Orange België heeft nieuwe beveiligingsmaatregelen aangekondigd na een significant datalek waarbij de persoonlijke gegevens van ongeveer 850.000 klanten zijn gecompromitteerd. De telecomprovider implementeert versterkte controles om SIM-swapping-aanvallen met de gestolen gegevens te voorkomen.

Details van het Beveiligingsincident

Het datalek, dat eind augustus 2025 plaatsvond, blootte gevoelige klantinformatie waaronder namen, telefoonnummers, SIM-kaartnummers, PUK-codes en Orange-tariefplannen. Deze informatie biedt voldoende gegevens voor criminelen om SIM-swapping-aanvallen uit te voeren, waarbij het telefoonnummer van een slachtoffer wordt overgezet naar een andere SIM-kaart die door aanvallers wordt gecontroleerd.

Nieuwe Beschermende Maatregelen

Volgens de Belgische telecomtoezichthouder BIPT zal Orange klanten voortaan via SMS op de hoogte stellen wanneer een SIM-swap-verzoek wordt ingediend. Klanten die de overdracht niet hebben aangevraagd, kunnen het proces blokkeren door binnen acht uur na ontvangst van de melding "STOP" te antwoorden.

Het systeem laat legitieme overdrachten doorgaan terwijl het een cruciaal venster biedt voor klanten om ongeautoriseerde nummerporting te voorkomen. Deze aanpak heeft echter beperkingen—klanten die hun telefoon uitgeschakeld of niet beschikbaar hebben, kunnen het achtuurresponsvenster missen, wat frauduleuze overdrachten mogelijk maakt.

Risico's van SIM-Swapping-Aanvallen

SIM-swapping vertegenwoordigt een ernstige beveiligingsbedreiging die verder gaat dan eenvoudige telefoonnummerdiefstal. Aanvallers die controle krijgen over het telefoonnummer van een slachtoffer kunnen SMS-verificatiecodes onderscheppen die worden gebruikt voor tweefactorauthenticatie bij verschillende online diensten. Dit geeft toegang tot e-mailaccounts, sociale mediaprofielen, bankapplicaties en andere gevoelige accounts die aan het telefoonnummer zijn gekoppeld.

Beveiligingsexperts raden aan om over te stappen van SMS-gebaseerde tweefactorauthenticatie naar dedicated authenticatie-apps die lokaal eenmalige wachtwoorden genereren. Deze apps bieden aanzienlijk sterkere bescherming omdat de codes niet kunnen worden onderschept via telefoonnummercompromittering.

Regelgeving en Kritiek

Het Belgisch Instituut voor Postdiensten en Telecommunicatie (BIPT) zal de effectiviteit van de nieuwe beveiligingsmaatregelen van Orange blijven monitoren. Tegelijkertijd heeft ethisch hacker Inti De Ceukelaire de aanpak van Orange bekritiseerd en beschuldigd het bedrijf ervan de risico's te bagatelliseren en de verantwoordelijkheid naar klanten te verschuiven. De Ceukelaire heeft een formele klacht ingediend bij de Belgische Gegevensbeschermingsautoriteit over de reactie van Orange op het incident.

Dit datalek benadrukt de voortdurende uitdagingen die telecomproviders ondervinden bij het beschermen van klantgegevens tegen steeds geavanceerdere cyberbedreigingen, terwijl ze voldoen aan regelgeving en het vertrouwen van klanten behouden.