Door Anoniem: Bedenk wel dat voor een succesvolle operatie de aanvaller niet alleen over de SMS-code moet beschikken, maar ook het inlogwachtwoord moet kennen. Verder moet men het telefoonnummer weten van de telefoon die je bij DigiD gebruikt om de "simswaptruuk" te kunnen uitvoeren. Als wachtwoorden nooit hergebruikt zouden worden en niet (zonder master password) in browsers zouden staan, hadden we helemaal geen 2FA nodig. De reden voor het toevoegen van die tweede factor is dat de eerste zelden deugt. Door een factor toe te voegen die ook niet deugt, creëer je een vals gevoel van veiligheid. En ik ben niet de einige die dit stelt, heb je bijv. https://www.issms2fasecure.com/ en hun data-pagina [8] bekeken? Door Anoniem: Dus met een sterk wachtwoord en een niet-geregistreerd ouderwets mobieltje (of een aparte sim-kaart) die je allebei uitsluitend en alleen voor DigiD gebruikt ... Ik heb geen idee welk deel van de DigiD gebruikers een sterk wachtwoord heeft en er daarnaast een apart mobieltje op nahoudt ...