Criminelen hebben via het dealerportaal van T-Mobile frauduleuze simswaps uitgevoerd, waarbij een User-ID werd misbruikt waar eerder ook al frauduleuze simswaps mee werden uitgevoerd. Een verdachte in deze zaak is veroordeeld tot een gevangenisstraf van 42 maanden. Partners van T-Mobile kunnen via de dealerportaal allerlei handelingen namens de klant uitvoeren. Toegang tot het portaal wordt verkregen door middel van een User-ID.

T-Mobile ontving sinds vorig jaar maart meldingen van frauduleus aangevraagde e-sims en frauduleuze simwissels in combinatie met smishing. Dit zijn phishingberichten die via sms worden verstuurd. De telecomprovider deed onderzoek naar de fraude. "In de logs zagen wij dat de simwissel bij de salespartner [bedrijf] was uitgevoerd, die wij nog kennen van de frauduleuze simwisselcase in 2021. Het is opmerkelijk dat de daders bij [bedrijf] terecht zijn gekomen. Van de meer dan duizend salespartners waarmee wij samenwerken kiezen de daders voor [bedrijf] als slachtoffer/ingang", zo blijkt uit een aangifte van de telecomprovider.

Begin 2021 liet T-Mobile weten dat meerdere klanten hadden geklaagd dat hun telefoonnummer door criminelen was overgenomen, waarbij gebruik was gemaakt van simswapping. Bij simswapping weten criminelen het telefoonnummer van een slachtoffer over te zetten op een simkaart waarover zij beschikken. De oorspronkelijke simkaart heeft daardoor geen toegang meer tot het netwerk, waardoor slachtoffers niet meer kunnen bellen, berichten versturen of mobiel internetten.

Vaak wordt simswapping gepleegd door middel van social engineering, waarbij oplichters een telecomprovider bellen en zich voordoen als het slachtoffer. Er zijn echter ook gevallen bekend waarbij medewerkers van telecomproviders bij de fraude betrokken waren. De verdachte achter de frauduleuze simswaps bij T-Mobile van 2021 werd hiervoor veroordeeld en kwam op 13 maart 2023 vrij. In zijn woning werd een laptop gevonden en in beslag genomen waarop het User-ID stond dat hij voor de frauduleuze simswaps van 2021 gebruikte.

Het onderzoek naar de frauduleuze simswaps van 2023 wees uit dat hetzelfde User-ID werd gebruikt. Volgens de rechter heeft het Openbaar Ministerie niet kunnen bewijzen dat de verdachte het User-ID opnieuw heeft gebruikt. Wel staat vast dat hij het User-ID met anderen heeft gedeeld, waarna hiermee werd gefraudeerd, aldus de rechter. Daarnaast heeft de verdachte ingebroken op My T-Mobile accounts van particulieren, waarna ook simswaps werden uitgevoerd. Via de gekaapte telefoonnummers werden vervolgens frauduleuze sms-berichten verstuurd. Ook wist de verdachte in te breken op cryptowallets van zijn slachtoffers, waarbij gebruik werd gemaakt van verstuurde sms-codes.

Verder verstuurde de verdachte uit naam van de Belastingdienst en Rabobank sms-berichten met een betaallink. Via de link konden ontvangers een 'openstaande schuld' voldoen. "Door het plegen van deze feiten heeft verdachte planmatig en op geraffineerde wijze schade toegebracht aan een groot aantal slachtoffers", aldus de rechter. Die noemde het 'extra kwalijk' dat verdachte reeds eerder voor soortgelijke cyberfeiten is veroordeeld en in een proeftijd liep. De verdachte moet ook de 24 maanden voorwaardelijke gevangenisstraf van zijn vorige veroordeling uitzitten en duizenden euro's schade van zijn slachtoffers vergoeden.