Je logt in bij een dienst, vult je wachtwoord in en krijgt daarna een sms met een code. Pas als je die code intikt, kom je binnen. Dat is tweestapsverificatie via sms, en veel mensen gebruiken het zonder er verder bij stil te staan. Het werkt prima zolang je simkaart en je nummer in orde zijn. Maar wat als je telefoon kwijt is, je simkaart kapot gaat of je nummer vervalt? In dit artikel lees je hoe het werkt, waar de zwakke plekken zitten en wat je kunt regelen voordat je overstapt.
Hoe werkt een sms-code?
Bij tweestapsverificatie heb je twee dingen nodig om in te loggen: iets wat je weet, zoals een wachtwoord, en iets wat je hebt, zoals je telefoon. De dienst stuurt een eenmalige code naar het telefoonnummer dat je hebt opgegeven. Alleen wie dat bericht kan lezen, kan de tweede stap voltooien. Dat maakt een gestolen of geraden wachtwoord alleen al een stuk minder bruikbaar.
Het systeem staat of valt dus met jouw telefoonnummer. De dienst vertrouwt erop dat het nummer van jou is en dat alleen jij de berichten ontvangt. Daar ligt tegelijk ook het risico.
Wat als je simkaart weg is?
Raak je je simkaart kwijt, dan ontvang je geen codes meer. Je komt dus niet meer in accounts waar sms de enige tweede stap is. Dat is vervelend, maar het is nog niet het ergste. Valt de kaart in verkeerde handen en kan een ander de berichten lezen, dan kan die persoon mogelijk codes zien die voor jou bedoeld zijn. Daarom is het belangrijk om bij verlies je simkaart snel te laten blokkeren bij je aanbieder.
Hetzelfde kan gebeuren in minder dramatische situaties: je toestel gaat stuk, je zit in het buitenland zonder bereik of je simkaart is niet meer geldig. Ook dan kun je niet meer bij je codes.
Risico als je nummer vervalt
Bij prepaid kan een nummer na verloop van tijd vervallen als je niet opwaardeert of de kaart niet gebruikt. Hoe lang dat duurt, verschilt per aanbieder, dus kijk in de voorwaarden. Een vervallen nummer kan later aan iemand anders worden toegewezen. Staat jouw oude nummer dan nog gekoppeld aan accounts, dan kunnen herstelberichten of codes bij een vreemde terechtkomen en sta jij zelf buiten de deur. Dat geldt ook als je overstapt en je oude kaart laat vervallen zonder dat je eerst je gegevens hebt bijgewerkt.
Alternatieven voor sms-codes
Veel diensten bieden meer manieren om je identiteit te bevestigen. Welke dat zijn, verschilt per dienst. Veelgenoemde opties zijn:
- Authenticator-apps: een app op je toestel genereert de codes zelf, zonder sms. Dat is minder afhankelijk van je simkaart. Let op dat je ook een plan hebt voor als je toestel kwijtraakt.
- Herstelcodes: sommige diensten geven je een lijst met noodcodes. Bewaar die op een veilige plek, bijvoorbeeld op papier of in een wachtwoordmanager.
- De eigen app van de dienst: banken en andere partijen hebben vaak een eigen app waarmee je inlogt of bevestigt.
- Fysieke beveiligingssleutel: een klein apparaatje dat je aan je toestel koppelt, als de dienst dat ondersteunt.
- Een tweede herstelmethode: een extra e-mailadres of nummer, zodat je er niet alleen voor staat als één route wegvalt.
Zo regel je het vóór je overstapt of wisselt
Ga je een nieuwe simkaart nemen, naar een andere aanbieder of heb je een tijdelijk nummer, loop dan een paar stappen door voordat je de oude kaart opgeeft:
- Maak een lijst van accounts waar je telefoonnummer voor verificatie wordt gebruikt, zoals bank, e-mail, social media en winkels.
- Werk het nummer bij op belangrijke accounts, en test of je de code op het nieuwe nummer ontvangt.
- Stel waar mogelijk een tweede methode in, zoals een authenticator-app.
- Bewaar herstelcodes op een veilige plek buiten je telefoon.
- Houd je oude kaart nog even actief tot alles werkt. Neem je je nummer mee, lees dan over prepaid en sim only om te zien wat dat voor je overstap betekent.
Houd het praktisch
Sms-verificatie is beter dan helemaal geen tweede stap, en voor veel mensen is het in de praktijk prima. Wil je extra zekerheid, kijk dan welke alternatieven jouw belangrijkste diensten aanbieden. Heb je het idee dat iemand misbruik maakt van je nummer of accounts, neem dan direct contact op met je aanbieder en je bank, en meld het eventueel bij de Fraudehelpdesk.