850.000 klanten van Orange Belgium van wie de gegevens zijn gelekt doen er verstandig aan een nieuw simkaart-nummer en andere pukcode aan te vragen, zo stelt de Belgische beveiligingsonderzoeker Inti De Ceukelaire. Het Belgische telecombedrijf waarschuwde gisteren dat een aanvaller eind juli toegang heeft gekregen tot een systeem met daarop namen, telefoonnummers, simkaart-nummers, pukcodes en tariefplannen van 850.000 klanten.

"Gezien het lopende onderzoek worden geen verdere details bekendgemaakt, om de integriteit van het onderzoek te waarborgen en de privacy van de betrokken personen te beschermen", aldus Orange Belgium. De telecomprovider liet in een verklaring weten dat er geen kritieke gegevens zijn gecompromitteerd. "Ze gaan er wel heel losjes over", reageert De Ceukelaire tegenover VRT NWS. "Voor sommige mensen is zo’n simkaart-nummer van cruciaal belang om hun veiligheid te garanderen. Wie je pukcode heeft, kan ook je pincode resetten."

De onderzoeker waarschuwt voor het risico van sim-swapping, waarbij een crimineel een telefoonnummer weet over te zetten op een simkaart waarover hij beschikt. "Normaal gezien zijn er dan procedures om je identiteit te gaan verifiëren, maar bij sommige providers is dat simkaart-nummer kunnen voorleggen net één van de cruciale stappen in dat proces", merkt De Ceukelaire op. "Dat is normaal gezien moeilijke informatie om te pakken te krijgen. Maar die informatie hebben hackers nu dus wel."

De Ceukelaire adviseert alle getroffen klanten een nieuw simkaart-nummer en een andere pukcode aan te vragen. Iets wat Orange Belgium volgens de onderzoeker uit zichzelf zou moeten aanbieden. "Als ze bij Orange echt uit zijn op de bescherming van hun gebruikers, dan veranderen ze die simkaart-nummers en pukcodes. Nu leggen ze de verantwoordelijkheid bij de gebruikers."

Orange Belgium laat tegenover De Morgen weten dat het "extra veiligheidsmaatregelen op verschillende niveaus" heeft getroffen om het risico op sim-swapping te beperken. Wat die maatregelen precies inhouden laat het telecombedrijf niet weten.