Door Bitwiper: De cybercriminelen laten je, aanvankelijk uitsluitend met gebruikersnaam en wachtwoord, inloggen op hun nepsite. Met die gegevens logt het script van de cybercriminelen in op de echte DigiD site en checkt of jij SMS-authenticatie hebt geactiveerd. Als dat zo is, gaat het script naar bovengenoemde pagina (van de echte digid.nl) en laat een SMS naar jouw telefoon sturen (van de nietsvermoedende burger dus). Ondertussen toont de nepsite jou een pagina met een lulverhaal ("U heeft SMS-verificatie ingeschakeld, voer de code in uit het SMS-bericht in dat u zometeen ontvangt") dus met het verzoek om jouw (eerste!) SMS code in te vullen, hetgeen elke burger ongetwijfeld braaf doet. Op de nepsite natuurlijk, waarna het script die code op de "nieuw telefoonnummer" pagina van de echte DigiD site onder "oude nummer" invoert. Nee, er is 203 keer ingelogd en in 3 gevallen is daarbij succesvol gebruik gemaakt van 2FA. Er staat in de kamerbrief wél dat de persoonlijke pagina van de ingelogde persoon is ...