"Klanten blijven kwetsbaar achter, we moeten meer verwachten van dit bedrijf": ethisch hacker hard voor Orange na datalek

Afgelopen juli is telecomoperator Orange Belgium het slachtoffer geworden van een cyberaanval, waarbij 850.000 klantenaccounts getroffen zijn. Volgens het bedrijf konden de hackers toegang krijgen tot de naam, voornaam, telefoonnummer, simkaartnummer, PUK-code en tariefplan van de klanten, maar zijn er "geen kritieke gegevens" gelekt.

Een bewering waar ethisch hacker Inti De Ceuckelaire zwaar aan tilt. "Ze gaan er wel heel losjes over", stelt hij. "Voor sommige mensen is zo’n simkaartnummer van cruciaal belang om hun veiligheid te garanderen. Wie je PUK-code heeft, kan ook je PIN-code resetten."

De Ceukelaire waarschuwt specifiek voor het fenomeen van zogenaamde simswaps. Daarbij gaat een hacker aankloppen bij een andere provider, en vraagt die om een oud telefoonnummer over te zetten naar een nieuwe simkaart.

"Normaal gezien zijn er dan procedures om je identiteit te gaan verifiëren, maar bij sommige providers is dat simkaartnummer kunnen voorleggen net één van de cruciale stappen in dat proces", vertelt hij. "Dat is normaal gezien moeilijke informatie om te pakken te krijgen. Maar die informatie hebben hackers nu dus wel."

En wie toegang heeft tot iemands telefoonnummer, kan vaak ook andere belangrijke informatie bekomen. "Voor veel mensen kan dat zware gevolgen hebben. Op veel websites (bijvoorbeeld voor wie belegt in cryptomunten) is het een manier om je wachtwoord te resetten, aan de hand van een verificatiecode die naar je telefoonnummer wordt gestuurd. En die nu dus zou kunnen toekomen bij een hacker. En zo kan die bijvoorbeeld toegang krijgen tot je e-mails."

Naast simswapping, kan ook gerichte phishing een risico vormen. Dat stelt cybersecurity-expert Dave Singelée. "Daarbij worden persoonspecifieke gegevens gebruikt om betrouwbaar over te komen, en de gebruiker zo (waarschijnlijk telefonisch) extra informatie afhandig te maken. Want het slachtoffer denkt dat het authentieke communicatie is." 

Bovendien kan er ook veel worden afgeleid uit de gelekte informatie. "De informatie over het tariefplan is bijvoorbeeld ook privacygevoelig. Als iemand een duurder tariefplan heeft, kan een hacker bijvoorbeeld afleiden dat die gebruiker waarschijnlijk wel een hoger loon heeft." 

Singelée raadt aan om waakzaam te blijven aan de telefoon of bij mails. "En wie het niet vertrouwt gaat best op zoek naar het telefoonnummer van Orange, en kan dan zelf contact opnemen." 

Hoe de gelekte gegevens ook zullen gebruikt worden: De Ceukelaire verwijt Orange Belgium niet als goede huisvader te handelen. "Ze geven hier een voorverpakt PR-stukje, en ik neem hen dat een beetje kwalijk. Dit bericht helpt het bedrijf Orange, maar niet de gebruiker. Ofwel hebben ze natuurlijk wel het nodige gedaan, en dan trekt de communicatie op niets."

De Ceukelaire raadt alle getroffen gebruikers aan om een nieuw simkaartnummer en een andere PUK-code aan te vragen, een dienst die Orange volgens hem automatisch zou moeten bieden. "Als ze bij Orange echt uit zijn op de bescherming van hun gebruikers, dan veranderen ze die simkaartnummers en PUK-codes. Nu leggen ze de verantwoordelijkheid bij de gebruikers. Ik ga een bedrijf nooit afrekenen op het feit dat ze gehackt zijn, want elk bedrijf is te hacken. Maar hoe ze hier nu mee omgaan, daar reken ik hen wel op af. Nu blijven hun gebruikers kwetsbaar achter, we moeten meer verwachten."