Toezichthouder ACM haalt ongebruikte 06-nummers terug
De Autoriteit Consument & Markt haalt bij telecombedrijven ongebruikte 06-nummers terug, zodat die na een 'afkoelingsperiode' opnieuw kunnen worden uitgegeven. Het recyclen van mobiele telefoonnummers kan volgens sommige experts een beveiligingsrisico zijn.
Met het terughalen van ongebruikte 06-nummers wil de ACM voorkomen dat er een tekort aan mobiele nummers ontstaat. Telecomproviders die bij de ACM een 06-nummer aanvragen moeten die binnen een jaar uitgeven aan klanten. Wanneer dit niet wordt gedaan mag de toezichthouder de nummers intrekken. Zo heeft VodafoneZiggo al 1,2 miljoen ongebruikte 06-nummers ingeleverd.
De ACM kan de nummers na een 'afkoelperiode' opnieuw uitgeven. Met deze periode wil de ACM voorkomen dat een nieuwe nummergebruiker gebeld wordt door mensen die de vorige nummergebruiker willen bereiken. Iets wat voor allerlei problemen en vervelende situaties kan zorgen, zo liet de Los Angeles Times eerder al weten.
Niet alleen kan de nieuwe eigenaar berichten en telefoontjes ontvangen die voor de vorige eigenaar zijn bedoeld, hij kan ook op accounts van de vorige eigenaar inloggen als die het nummer niet overal heeft gewijzigd, aldus onderzoeker Linus Särud van securitybedrijf Detectify.
Zo is het bijvoorbeeld bij Tinder mogelijk om alleen met het opgeven van een mobiel nummer en een vervolgens ontvangen sms-code in te loggen. Ook is het via een mobiel nummer mogelijk om wachtwoordresets uit te voeren. VentureBeat meldde eerder dit jaar nog hoe iemand via een hergebruikt mobiel nummer toegang tot het Facebookaccount van een ander kreeg en ook een Lyft-gebruiker kreeg hiermee te maken.
Dat is al met al erg irritant en zelfs een privacy issue, want op die manier is mijn dochter meer te weten gekomen over de vorige eigenaar. Velen halen schijnbaar het nummer wel weg, na een reactie dat ze verkeerd zitten, maar het levert onnodig werk op.
Maar na een periode dat ik de app niet nodig had heb ik deze van mijn telefoon verwijderd, zonder er bij stil te staan dat mijn creditcard gekoppeld was. Toen ik weer op vakantie ging hoefde ik me slechts met een SMS te authenticeren en ik zat zo weer op mijn account, inclusief mijn gekoppelde creditcard ..
Telefoonnummers hergebruiken kan een probleem zijn.
Dan zullen we het verhuizen ook maar verbieden. (Totdat bij nieuwe bewoners een nieuw huisnummer uitgegeven wordt. Die zijn er normaal nog genoeg, alleen dan niet meer op volgorde)
Want beveiligingscodes of bankpasjes worden ook wel per post gestuurd. En net als het niet doorgeven van een telefoonnummer wijziging kun je ook vergeten een adreswijziging door te geven.
Tja, toch heb je geen oneindig aantal 06 nummers. Of gewone fysieke nummers. Deze aanpak verkleint de kans in ieder geval behoorlijk, dat je met dergelijke problemen te maken hebt.
Dat is een van de meest voorkomende privacy incidenten bij een niet nader te noemen telco waar ik in het verleden heb gewerkt.
Dat is een van de meest voorkomende privacy incidenten bij een niet nader te noemen telco waar ik in het verleden heb gewerkt.
Is er eigenlijk verschil in afkoelperiode (of # vrije nummerblokken) tussen telco's ?
Ik meen dat men vaste lijn nummers zes maanden liet afkoelen - met soms een vergelijkbaar probleem .
Je had pech als je het ex-nummer van pizza tent kreeg . (of als je nummer daar een makkelijke tikfout van in de buurt zat)
Al snel bleek dat daarop nog een aantal betaalde sms-diensten actief waren. Het zou een gedoe zijn om dat af te melden (en eerst betalen tot het in orde komt).
Provider begreep snel wat de probleem was en ik kreeg een andere ‘schone’ 06 nummer.
een of andere administratie/verzekering kantoor gegeven...
Ik heb ze maar nooit gebeld om te vragen of dat een beetje beviel.
een of andere administratie/verzekering kantoor gegeven...
Ik heb ze maar nooit gebeld om te vragen of dat een beetje beviel.
Auw. Inderdaad , ex-BBS nummers waren nog erger dan die van Pizza tenten.
Voor de ontvanger waren het 'zwijgers' - modems verwachten dat de antwoordende kant begint met praten.
[mooie uitleg : https://hackaday.com/2013/01/31/how-a-dial-up-modem-handshake-works/ )
(Bij faxen begon de bellende fax met de handshake pieps ).
Inloggen of een wachtwoordreset via SMS geeft aan dat het geen 2FA is die daar wordt toegepast. Gebruiker zijn van een telefoonnummer alleen zou nooit genoeg moeten kunnen zijn om toegang tot een account te krijgen, dan heb je effectief 1FA. Ik denk dus dat het probleem hier niet het hergebruiken van telefoonnummers is maar gebrekkig ontwerp van de beveiliging van deze websites.
Qua uitvoering is 'knijp en piep' nog veel simpeler - gewoon alles hetzelfde uitgeven, en als de nieuwe gebruiker klaagt die zonder veel gedoe een ander nummer geven.
Hoef je niks te monitoren, geen koppelingen bouwen tussen operationele monitoring en provisioning/voorraad [die kunnen wel eens mijlenver uit elkaar liggen ] .
Zolang 'slecht afkoelende nummers' zeldzaam genoeg zijn kom je hier prima mee uit (of 'mee weg' ).
Dan zullen we het verhuizen ook maar verbieden. (Totdat bij nieuwe bewoners een nieuw huisnummer uitgegeven wordt. Die zijn er normaal nog genoeg, alleen dan niet meer op volgorde)
Want beveiligingscodes of bankpasjes worden ook wel per post gestuurd. En net als het niet doorgeven van een telefoonnummer wijziging kun je ook vergeten een adreswijziging door te geven.
:-)
wat een heerlijke reactie, ik hoor zelf ook zo vaak vermelding van "gigantische problemen" als het om IT gaat. Als ik dan met een vergelijkbare situatie in "de normale wereld" kom (zoals jij nu doet) snappen de meeste de relativiteit wel. Hopelijk hier ook.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
