Telecomoperator Orange Belgium is het slachtoffer geworden van een grote cyberaanval. Hackers kregen toegang tot de gegevens van zo’n 850.000 klantenaccounts, bevestigt het bedrijf. Hoewel volgens Orange geen wachtwoorden, e-mailadressen of bankgegevens zijn buitgemaakt, blijken wel persoonlijke en gevoelige data gelekt.

Eind juli ontdekte Orange ongeoorloofde toegang tot een van zijn IT-systemen. De hackers konden onder meer namen, telefoonnummers, simkaartnummers, PUK-codes en tariefplannen van klanten inzien. Direct na de ontdekking werd het getroffen systeem afgesloten en werden extra beveiligingsmaatregelen genomen. Het bedrijf heeft de bevoegde autoriteiten ingelicht en een officiële klacht ingediend.
Orange benadrukt dat ‘geen kritieke gegevens’ zijn gestolen en zegt dat getroffen klanten per sms of e-mail op de hoogte worden gebracht. Toch adviseert de operator om waakzaam te blijven voor verdachte communicatie. Klanten kunnen via een speciale webpagina meer informatie vinden.

Zorgen over sim-swapping

Volgens ethisch hacker Inti De Ceukelaire bagatelliseert Orange de risico’s. “Ze gaan er wel heel losjes over. Wie toegang heeft tot een simkaartnummer en PUK-code kan de PIN resetten of zelfs een sim-swapping uitvoeren”, waarschuwt hij tegenover VRT. Bij zo’n aanval kan een hacker het telefoonnummer van een slachtoffer laten overzetten naar een nieuwe simkaart. Daarmee krijgt hij toegang tot sms-codes die worden gebruikt voor wachtwoordherstel of tweefactorauthenticatie.
“Voor sommige mensen kan dit verregaande gevolgen hebben, bijvoorbeeld bij cryptoplatforms waar inloggen vaak gekoppeld is aan een verificatie via sms”, aldus De Ceukelaire. Hij vindt dat Orange de verantwoordelijkheid te veel bij klanten legt. “Als ze echt hun gebruikers willen beschermen, dan vervangen ze proactief de gelekte simkaartnummers en PUK-codes. Nu blijven klanten kwetsbaar achter.”

Extra risico op phishing

Cybersecurity-expert Dave Singelée wijst op een ander gevaar: gerichte phishing. “Omdat hackers nu beschikken over persoonspecifieke gegevens, kunnen ze veel geloofwaardiger overkomen. Het risico is groot dat klanten telefonisch of via e-mail extra informatie prijsgeven, in de veronderstelling dat het om officiële communicatie van Orange gaat.”
Bovendien kan ook het gelekte tariefplan privacygevoelig zijn. “Daaruit kan worden afgeleid of iemand vermoedelijk een hoger inkomen heeft, wat criminelen interessant vinden”, stelt Singelée.

Reactie van Orange

Orange zegt extra veiligheidsmaatregelen op verschillende niveaus te hebben genomen om fraude te voorkomen. Klanten die hun simkaart of PUK-code willen wijzigen, kunnen dat aanvragen via de klantendienst of in een fysieke winkel.
De Ceukelaire blijft kritisch: “Een hack kan elk bedrijf overkomen. Maar hoe je ermee omgaat, bepaalt of gebruikers echt beschermd zijn. In dit geval schiet Orange tekort.”