Telefoon beveiligen tegen hacken: van de basis tot expertniveau

Je telefoon beveiligen tegen hacken begint met een paar simpele instellingen die vrijwel elke aanval al buiten de deur houden, maar voor wie een interessant doelwit is, ligt de lat een stuk hoger. Op je telefoon staat inmiddels meer dan op welk ander apparaat ook: je mail, je bank, je foto’s, je locatie en de sleutels tot je hele digitale leven. Dat maakt hem het aantrekkelijkste doelwit dat er bestaat. In dit artikel lopen we eerst langs echte voorbeelden van telefoonhacks op oplopend niveau, en daarna langs wat je zelf kunt doen: eerst de basis voor iedereen, dan het expertniveau voor overheden en zogeheten persons of interest.

Waarom je telefoon beveiligen tegen hacken de moeite waard is

De meeste mensen denken bij een gehackte telefoon aan een geniale aanvaller die zich door de beveiliging heen worstelt. In de praktijk gaat het bijna nooit zo. Verreweg de meeste telefoons worden gekraakt via de mens erachter: een nagemaakte inlogpagina, een simpel te raden wachtwoord, een telefoontje naar de provider of een app die te veel rechten kreeg. Pas als je een echt doelwit bent, komen de geavanceerde technieken in beeld. Dat onderscheid is belangrijk, want het bepaalt hoeveel moeite jij redelijkerwijs moet doen. Het goede nieuws: met de basismaatregelen ben je al beschermd tegen het overgrote deel van wat er misgaat.

Voorbeelden van telefoonhacks, van simpel tot geavanceerd

Om te begrijpen waartegen je je beschermt, helpt het om te zien hoe uiteenlopend telefoonhacks zijn. Ze verschillen enorm in benodigde kennis, kosten en het type doelwit:

Het simpele voorbeeld: Paris Hilton en de gekraakte account

Een klassiek en verrassend simpel voorbeeld is de hack van Paris Hilton in 2005. Haar telefoon, destijds een populaire T-Mobile Sidekick, synchroniseerde contacten en foto’s met een online account. Dat account was niet gekraakt met geavanceerde techniek, maar via de beveiligingsvraag: de naam van haar huisdier, een chihuahua die volop in de media was geweest en dus voor iedereen te achterhalen viel. Contacten en privéfoto’s lekten daarna uit naar het hele internet. Precies dit type aanval, mikken op de zwakste menselijke schakel in plaats van op de techniek, is vandaag de dag nog steeds de meest voorkomende.

Het middenniveau: de SIM-swap van een tech-CEO

Een stap geavanceerder is SIM-swapping, waarbij een aanvaller jouw telefoonnummer overzet naar een simkaart in zijn eigen bezit. Dat gebeurde in 2019 met niemand minder dan Jack Dorsey, destijds topman van Twitter. Door de provider te misleiden kregen de aanvallers zijn nummer in handen, en daarmee de sms-codes die nodig waren om zijn account over te nemen. Het venijnige is dat het slachtoffer hier zelf niets fout doet: de aanval speelt zich af bij de telefoonmaatschappij. Wel maakt het meteen duidelijk waarom sms een zwakke vorm van tweestapsverificatie is.

Het geavanceerde voorbeeld: zero-click spyware zoals Pegasus

Aan de bovenkant van het spectrum staat spyware als Pegasus, ontwikkeld door het Israëlische NSO Group en verkocht aan overheden. Het bijzondere en beangstigende eraan is dat het om zogeheten zero-click aanvallen gaat: het slachtoffer hoeft nergens op te klikken. Eén geprepareerd bericht, soms via iMessage of WhatsApp, was genoeg om de telefoon volledig over te nemen, inclusief microfoon, camera, berichten en locatie. Onderzoekers van Citizen Lab en Amnesty International documenteerden hoe deze techniek werd ingezet tegen journalisten, activisten en politici wereldwijd. In een geruchtmakende zaak zou ook de telefoon van Amazon-oprichter Jeff Bezos in 2020 op deze manier zijn gecompromitteerd. Tegen dit type aanval helpen gewone maatregelen niet meer; hiervoor is het expertniveau bedoeld.

De basis: wat iedereen zou moeten doen

Voor vrijwel iedereen geldt dat de basismaatregelen ruim voldoende zijn. Ze kosten samen een half uur en stoppen het leeuwendeel van de aanvallen uit de onderste twee niveaus:

• Werk je toestel bij: installeer systeem- en app-updates meteen, want die dichten juist de lekken die aanvallers gebruiken
• Gebruik een sterke toegangscode: een cijfercode van zes of meer tekens of een wachtwoord, niet 1234 of je geboortejaar, met gezichts- of vingerherkenning erbovenop
• Zet tweestapsverificatie aan: en gebruik daarvoor een authenticator-app of een fysieke sleutel in plaats van sms
• Wees kritisch op berichten: klik niet op links in onverwachte sms’jes of mails, hoe echt ze er ook uitzien
• Installeer alleen uit de officiële stores: en controleer welke rechten een app vraagt; een zaklamp heeft geen toegang tot je contacten nodig
• Beveilig je simkaart: stel een pincode in voor de simkaart zelf en vraag je provider om een extra verificatie bij wijzigingen, tegen SIM-swapping
• Zet schijfversleuteling en ‘zoek mijn toestel’ aan: zo blijft je data veilig als je toestel wordt gestolen en kun je het op afstand wissen

Wie deze zeven punten op orde heeft, is geen makkelijk doelwit meer. Voor de gemiddelde gebruiker en de meeste medewerkers van een bedrijf stopt het hier: het risico dat er nation-state spyware op je telefoon wordt losgelaten, is voor de meesten van ons verwaarloosbaar.

Expertniveau: voor overheden en persons of interest

Voor een kleine groep ligt dat anders. Bestuurders, journalisten, advocaten, diplomaten, dissidenten en mensen met toegang tot gevoelige informatie of veel geld zijn de moeite van een dure, geavanceerde aanval wel waard. Voor hen zijn de basismaatregelen een startpunt, geen eindpunt. Op dit niveau gaat het niet alleen om betere instellingen, maar om je hele manier van werken:

• Zet de lockdown-modus aan: iOS heeft een speciale stand die veel aanvalsroutes zoals riskante berichtbijlagen simpelweg uitschakelt, specifiek bedoeld tegen geavanceerde spyware
• Scheid je apparaten: gebruik een apart, kaal toestel voor gevoelig werk, zonder onnodige apps en accounts
• Herstart dagelijks: sommige spyware nestelt zich alleen in het werkgeheugen, en een herstart ruimt dat tijdelijk op
• Beperk je aanvalsoppervlak: verwijder apps die je niet gebruikt, zet Bluetooth en wifi uit als je ze niet nodig hebt en accepteer geen berichten van onbekenden
• Gebruik hardware-beveiligingssleutels: fysieke sleutels voor je belangrijkste accounts zijn vrijwel niet op afstand te omzeilen
• Laat je toestel periodiek controleren: gespecialiseerde diensten kunnen sporen van bekende spyware detecteren, iets wat je zelf niet ziet
• Werk met een securitybeleid: organisaties met risicoprofielen horen mobiele beveiliging centraal te regelen via mobile device management en duidelijke afspraken

Belangrijk om te beseffen: tegen een echt kapitaalkrachtige aanvaller met toegang tot onbekende kwetsbaarheden bestaat geen absolute bescherming. Het doel op expertniveau is niet onkwetsbaarheid, maar de aanval zo duur, traag en zichtbaar mogelijk maken dat hij de moeite niet meer waard is of tijdig wordt opgemerkt.

Voor de meeste lezers is dat laatste hoofdstuk gelukkig theorie. Loop de zeven basispunten na, wees gezond wantrouwend bij onverwachte berichten en houd je toestel bijgewerkt. Daarmee zit je telefoon beter beveiligd dan die van vrijwel iedereen om je heen, en dat is precies waar het bij beveiliging om draait: geen makkelijk doelwit zijn.