Indignatie redactie 
Telefoonnummers waren nooit bedoeld om ons te beschermen of te identificeren, maar we gebruiken ze altijd om dat te doen. Dat zouden we niet moeten doen.
Toen Ugo afgelopen oktober naar een nieuw land verhuisde, kreeg hij een nieuw telefoonnummer. Ugo, die in Europa woont, waar WhatsApp erg populair is, registreerde zijn nieuwe telefoonnummer niet meteen in de app, maar kon het gewoon blijven gebruiken. Pas toen hij WhatsApp vertelde dat hij een nieuw telefoonnummer had, begonnen de problemen.
Zijn profielfoto veranderde in een foto van een jonge vrouw en zijn telefoon werd overspoeld met nieuwe berichten van Italiaans sprekende vreemden, onder meer van groepschats waaraan hij plotseling was toegevoegd – waarvan er één voor een gezin leek te zijn dat niet van hem was .
Ugo, die om privacyredenen niet wilde dat zijn achternaam bekend werd gemaakt, had eerder onbedoeld het WhatsApp-account overgenomen van de vrouw die het nieuwe telefoonnummer had. Ze was een actieve WhatsApp-gebruiker, maar blijkbaar had ze ook nagelaten de app te vertellen wat haar nieuwe telefoonnummer was. Dus toen Ugo zijn account vertelde dat hij een nieuw telefoonnummer had, nam hij de controle over het WhatsApp-account over dat er nog aan gekoppeld was en werd het samengevoegd met het zijne.
“Ik weet niet eens of ze überhaupt weer toegang tot haar account heeft gekregen, want dagenlang – zelfs wekenlang – ontving ik nog steeds haar berichten, ook al bleef ik al deze mensen vertellen dat ik niet de persoon was die ze dacht dat ik het was, ‘zei Ugo tegen Recode. “Ze had geluk dat ik goede bedoelingen had. Haar account had kunnen samensmelten met iemand die veel minder vergevingsgezind was.’
Ugo is niet de enige WhatsApp-gebruiker die dit is overkomen. Het recyclen van telefoonnummers is een probleem waarvan WhatsApp zich bewust is en dat grotendeels aan zijn gebruikers is overgelaten om te voorkomen of op te lossen. Maar het is ook niet uniek voor WhatsApp.
Talloze apps en services vertrouwen op uw telefoonnummer om u te identificeren, en dat nummer is niet noodzakelijkerwijs permanent. Telefoonnummers zijn ook kwetsbaar voor hackers. Ze waren nooit bedoeld als permanente identificatiemiddelen, dus incidenten zoals wat er met Ugo is gebeurd, zijn wijdverspreide, aanhoudende problemen waar de industrie al jaren van op de hoogte is. Er zijn ten minste twee onderzoeksdocumenten over het recyclen van telefoonnummers waarin de potentiële risico’s worden beschreven, van gerichte aanvallen door hackers of mensen die gemakkelijk onlangs weggegooide telefoonnummers opkopen tot het volledig afsluiten van uw accounts en een vreemde die toegang krijgt tot uw leven .
Toch is het vaak de last van gebruikers om zichzelf te beschermen tegen een beveiligingsprobleem dat voor hen is gecreëerd door enkele van hun favoriete apps. Zelfs dingen die deze services aanbevelen als extra beveiligingsmaatregel, zoals tekst-, sms- of multifactorauthenticatie, kunnen in feite meer kwetsbaarheden introduceren.
Het nummerprobleem
Als we telefoonnummers niet zouden hergebruiken, zouden we ze snel opraken. Volgens een FCC-analyse uit 2017 van gegevens van de North American Numbering Plan Administrator (NANPA) worden jaarlijks naar schatting 35 miljoen telefoonnummers in de Verenigde Staten gerecycled. En er zijn momenteel 2,74 miljard toewijsbare telefoonnummers in de VS en zijn territoria, vertelde NANPA aan Recode, hoewel dat niet betekent dat al die nummers daadwerkelijk zijn toegewezen (ongeveer de helft van hen niet, volgens FCC-gegevens ) . Dus wanneer u uw telefoonnummer opgeeft, is het slechts een kwestie van tijd voordat het opnieuw wordt toegewezen aan iemand anders.
In de Verenigde Staten moeten vervoerders minimaal 45 dagen wachten voordat ze het aan een nieuwe gebruiker kunnen toewijzen. Maar die minimale wachttijd is pas in 2020 ingevoerd . Voordien was het aan de vervoerders om te beslissen hoe lang ze moesten wachten voordat ze een telefoonnummer recyclen. Sommigen hebben volgens een FCC-rapport maar een paar dagen gewacht . In Frankrijk, waar Ugo zijn nieuwe telefoonnummer kreeg, is de minimale wachttijd onlangs teruggebracht van drie maanden naar 45 dagen.
Dit maakt het vrij eenvoudig om verkeerd geadresseerde oproepen te laten gebeuren. Een paar decennia geleden was het misschien vervelend om op je vaste lijn telefoontjes te krijgen die bedoeld waren voor degene die het nummer voor je had, maar je werd niet overstelpt met grote blokken tekst, afbeeldingen en video’s die voor iemand anders waren bedoeld, noch was uw telefoonnummer de sleutel tot het ontgrendelen van verschillende goederen en diensten.
In het tijdperk van de smartphone is het recyclen van telefoonnummers echter een groot privacy- en beveiligingsprobleem. Velen van ons houden grote delen van ons leven op onze telefoons en de apps erop. Sommige van die apps, zoals WhatsApp, hebben onze telefoonnummers nodig om zich te registreren voor accounts. Of we gebruiken ons telefoonnummer als veiligheidsmaatregel. Maar telefoonnummers waren nooit bedoeld om deze functies uit te voeren. En, zoals het verhaal van Ugo laat zien, zijn er onbedoelde gevolgen als ze dat doen.
Maar zelfs voordat de iPhone het mobiele spel veranderde, waren er zorgen over het gebruik van telefoonnummers als identificatiegegevens.
“Toen ik in 2001 bij Vodafone werkte, zagen we dit probleem aankomen”, zegt Marc Rogers, die nu Chief Security Officer is bij het cyberbeveiligingsbedrijf Q-Net Security.
SFGate publiceerde in 2006 een verhaal over een man die een gerecycleerd nummer kreeg en werd bestookt met sms’jes van verschillende vrouwen, wat zowel zijn verloofde mishaagde als hem ten laste werd gelegd omdat, nogmaals, dit was in 2006, toen pay-per-text veel vaker. Meer recentelijk hebben we veel verhalen gezien over telefoonnummers die van eigenaar veranderden, waardoor accounts werden overgenomen door vreemden op platforms zoals Facebook en Airbnb . Het is zelfs eerder gebeurd op WhatsApp .
Het probleem zijn niet alleen toevallige overnames. Mobiele telefoons hebben een zogenaamde SIM- of abonnee-identiteitsmodule. Dat wordt meestal opgeslagen op een kleine verwijderbare kaart, hoewel nieuwere iPhones ze in de apparaten zelf hebben ingebed. Als een kwaadwillende de controle over je simkaart krijgt – dit staat bekend als sim-jacking of sim-swapping – of als ze sms-berichten kunnen omleiden die voor jou zijn bedoeld, kunnen ze toegang krijgen tot de accounts die je telefoonnummer ontgrendelt.
“Het hele SIM-swap-ecosysteem is ontstaan rond de kwetsbaarheid van sms”, zei Rogers.
In een onderzoek naar beveiligingsrisico’s als gevolg van gerecyclede telefoonnummers, ontdekten professor informatica Arvind Narayanan van Princeton en onderzoeker Kevin Lee dat de meeste beschikbare telefoonnummers bij T-Mobile en Verizon nog steeds gekoppeld waren aan accounts op verschillende websites, wat aangeeft dat de mensen die hadden die nummers eerder nog niet aan die diensten verteld dat hun nummers waren veranderd. Van de 200 gerecycleerde nummers die Lee en Narayanan kochten voor het onderzoek, waren ze in staat om gevoelige gegevens te verkrijgen (gedefinieerd als alles met persoonlijk identificeerbare informatie of toegangscodes voor meervoudige authenticatie) die bedoeld waren voor de vorige eigenaar van het nummer op bijna 10 procent van hen. En dat was al na een week.
We hebben niet alleen telefoonnummers veranderd in problematische identifiers. Er zijn ook burgerservicenummers, die zijn begonnen als een manier om de inkomsten van werknemers bij te houden, zelfs als ze van baan, adres of naam zijn veranderd, maar die zijn geëvolueerd naar nationale identificatiegegevens die worden gebruikt door de IRS, financiële instellingen en zelfs zorgaanbieders . Iedereen wiens identiteit is gestolen, kan u vertellen dat dit sofinummersysteem niet perfect is. E-mailadressen hebben een soortgelijk onbedoeld doel, dat privacyproblemen veroorzaakt als u een e-mailadres heeft dat voortdurend wordt aangezien voor dat van iemand anders.
De industrie zou meer kunnen doen, maar dat zal waarschijnlijk niet gebeuren
WhatsApp zegt dat het verschillende stappen neemt om scenario’s zoals die van Ugo te voorkomen, zoals het verwijderen van accountgegevens van accounts die minstens 45 dagen inactief zijn geweest en vervolgens op een ander mobiel apparaat worden geactiveerd.
“Als je om de een of andere reden WhatsApp niet langer wilt gebruiken dat aan een bepaald telefoonnummer is gekoppeld, kun je het beste het overzetten naar een nieuw telefoonnummer of het account in de app verwijderen”, vertelde WhatsApp aan Recode. “In alle gevallen raden we mensen sterk aan om tweestapsverificatie te gebruiken voor extra veiligheid.”
Die oplossingen laten het meeste werk over aan gebruikers, van wie sommigen zich niet bewust zijn van hun verantwoordelijkheden. Door standaard tweestaps- of meervoudige authenticatie in te schakelen, wat bedrijven als Google en Amazon op sommige van hun services hebben gedaan, zou deze kaping een halt worden toegeroepen. WhatsApp zou gebruikers ook kunnen vragen om af en toe hun telefoonnummer te verifiëren, waardoor mensen, zoals de vorige eigenaar van Ugo’s nieuwe nummer, haar account zouden overzetten voordat het werd gekaapt.
Er zijn andere dingen die de branche – apps, providers, ontwikkelaars van telefoonbesturingssystemen – kan doen. Maar dat doen ze meestal niet, tenzij ze wettelijk verplicht zijn of als er echt iets ernstigs gebeurt. In de tussentijd vragen velen van hen graag om telefoonnummers van gebruikers, zelfs als ze die niet nodig hebben. En ze zijn ook niet altijd erg verantwoordelijk met die cijfers.
“We wisten dat het 20 jaar geleden een probleem was, maar er is bijna niets gebeurd om het risico voor de consument te verminderen. Het wordt waarschijnlijk tijd voor beleidsmakers om in te grijpen en druk uit te oefenen op de telecommunicatiebedrijven om te kijken naar manieren om dit technisch op te lossen,’ zei Rogers.
Uiteindelijk zullen bedrijven altijd het beste met hen voor hebben, en dat zijn niet altijd de uwe. Je moet jezelf beschermen.
Wat je kunt doen
U denkt misschien dat dit niet op u van toepassing is als u niet van plan bent uw nummer te wijzigen. Maar die verandering is misschien niet gepland. Er kan een hitnummer uitkomen met uw telefoonnummer als refrein. Of de president kan het uitdelen tijdens een campagnebijeenkomst. Of je zou het op Twitter kunnen onthullen om een punt te maken over AI-chatbots waar je niet goed over hebt nagedacht . Er zijn serieuzere redenen waarom u mogelijk uw telefoonnummer moet wijzigen. Of je sterft, in welk geval je niet meer om privacy- en beveiligingskwesties geeft, maar de mensen die je achterlaat misschien wel. Zelfs als u uw telefoonnummer voor altijd behoudt, bent u niet immuun voor sommige van deze privacykwesties.
“Zelfs als je niet van plan bent om binnenkort je nummer te veranderen, kun je communiceren met vrienden of familieleden die dat wel hebben gedaan, en uiteindelijk onbewust gevoelige informatie naar nieuwe eigenaren van die gerecyclede nummers sturen,” zei Lee, de onderzoeker van Princeton.
De beste manier om het probleem op te lossen, is er nooit een te laten worden. Dat wil zeggen, koppel waar mogelijk uw telefoonnummer niet aan uw accounts. In sommige gevallen, zoals het aanmelden voor een WhatsApp-account, heb je geen keus. Maar u kunt uw blootstelling in ieder geval minimaliseren.
“Mensen veranderen hun nummer om allerlei redenen, en het is praktisch onmogelijk om iemands nummer bij te werken in elk systeem en elke lijst met contactpersonen die er zijn,” zei Narayanan.
U wilt ook overal authenticatie met twee factoren inschakelen, maar gebruik uw telefoonnummer niet als tweede factor. Het is niet alleen nutteloos als je geen toegang meer hebt tot dat telefoonnummer, maar het is ook gewoon geen goede manier om je account in het algemeen te beschermen, gezien de kwetsbaarheid van telefoonnummers. Gebruik in plaats daarvan een authenticatie-app of hardwaresleutel . Die kunnen niet op de simkaart worden gezet en zijn onafhankelijk van uw telefoonnummer.
Er zijn enkele apps en services waaraan u uw telefoonnummer moet koppelen of die alleen tekstverificatie bieden. Je kunt proberen ze niet te gebruiken, maar dat is niet altijd mogelijk. U kunt voorkomen dat uw oude nummer weer in omloop komt door gebruik te maken van een parkeerservice voor telefoonnummers, zoals Lee en Narayanan in hun onderzoek suggereren. Sommige zijn slechts een paar dollar per maand. Het hoeft niet eens voor altijd te zijn; misschien wilt u dit een jaar of twee doen om uzelf meer tijd te geven om uw accounts te identificeren en over te zetten naar het nieuwe nummer, en om uw contacten te laten beseffen dat uw nummer is gewijzigd.
Gezien alle dingen die fout kunnen gaan wanneer uw telefoonnummer aan iemand anders wordt gegeven, zijn de marginale kosten misschien de moeite waard. Anders vertrouwt u mogelijk zeer gevoelige informatie toe aan providers, apps, websites en wie dan ook uw telefoonnummer krijgt. Op dat moment kan je alleen maar hopen dat ze er goed voor zorgen.
