De Duitstalige site Heise meldde vorige week ([1], [2]) dat zowel in de Apple App Store als in de Google Play Store kwaadaardige TOTP-apps zijn opgedoken. De QR-codes die je daarme scant worden doorgestuurd naar servers van de cybercriminelen. Nb. zo'n QR-code bevat het "shared secret" waarvan, samen met de actuele datum en tijd, de 6-cijferige code wordt berekend. Zo'n shared-secret moet dus beslist niet in verkeerde handen vallen, en dat gebeurt hier wel. Aan de andere kant is het wel van belang dat er -op veilige wijze- back-ups van die shared secrets worden gemaakt, om account-lockout te voorkomen als jouw smartphone in de plee valt of wordt gestolen. Helaas waarschuwen diensten, die aanraden om 2FA in te zetten, nog steeds nauwelijks of niet voor die account-lockout. Vandaag verwees [3] de Redactie van security.nl naar een pagina van het Britse NCSC [4], maar in die pagina, noch in [5] zie ik duidelijke waarschuwingen dat bij het maken van back-ups van je smartphone, niet bij alle TOTP-aps er ...