SIM-swaps, datalekken en gestolen accounts: hoe oplichters datalekken omzetten in echt geld.

/Technologie/ Door

Datalekken zijn zo alledaags geworden dat veel mensen ze als achtergrondgeluid beschouwen: een irritante e-mail, een wachtwoordherstel, en dan weer verder met hun leven. Maar het echte gevaar schuilt vaak later, wanneer gelekte gegevens worden samengevoegd tot gerichte aanvallen die persoonlijk, geloofwaardig en moeilijk te stoppen lijken.

Een onderzoek van de BBC naar slachtoffers van oplichting laat zien hoe dit in de praktijk werkt: oude datalekken helpen criminelen bij hun praktijken.SIM-swap-aanvallenE-mailaccounts kapen, krediet openen op iemands naam of de controle over advertentieaccounts van bedrijven overnemen. Wat lijkt op "slechts een gelekt e-mailadres" kan een directe route zijn naar geld, identiteitsfraude en maandenlange opruimwerkzaamheden.

Deze uitleg beschrijft de mechanismen: hoe SIM-swaps slagen, waarom tweefactorauthenticatie kan mislukken en welke praktische stappen het risico daadwerkelijk verlagen.

Het traject van datalek naar oplichting (in begrijpelijke taal)

De meeste oplichtingspraktijken waarbij geld wordt gestolen, volgen een vast patroon:

  1. Persoonsgegevens worden blootgesteld(via een datalek bij een bedrijf waar u jaren geleden gebruik van maakte).
  2. Criminelen verrijken het.door meerdere datalekken, openbare informatie en soms bronnen van datamakelaars te combineren.
  3. Ze richten zich op de zwakste schakel.(een mobiel nummer, een e-mailinbox of een 'wachtwoord vergeten'-procedure).
  4. Ze escaleren— gebruikmakend van de eerste inbreuk om wachtwoorden te resetten en andere accounts over te nemen.

Joe Tidy, cybercorrespondent van de BBC, merkt op dat slachtoffer worden van een datalek de kans vergroot om het doelwit te worden. Het punt is niet dat elk datalek tot een oplichting leidt, maar dat datalekken criminelen de grondstoffen leveren die ze nodig hebben voor geloofwaardige identiteitsvervalsing.

SIM-swap-aanvallen: waarom uw telefoonnummer een sleutel tot succes is.

In één geval vertelde een vrouw genaamd Sue aan de BBC dat haar digitale leven was gekaapt via eenSIM-kaartwissel.

Een SIM-swap-aanval werkt als volgt:

  • Een crimineel overtuigt een mobiele netwerkoperator ervan dat hij de rechtmatige rekeninghouder is.
  • De provider geeft een nieuwe simkaart uit (of zet het nummer over), waarna de telefoon van het slachtoffer geen bereik meer heeft.
  • De crimineel ontvangt nu telefoontjes en sms'jes die voor het slachtoffer bedoeld zijn, inclusief verificatiecodes.

Zodra aanvallers uw nummer in handen hebben, kunnen ze uw gegevens onderscheppen.SMS-gebaseerde beveiligingscodesGebruikt voor het resetten van wachtwoorden en het verifiëren van inloggegevens.

Sue zei dat oplichters haar hadden overgenomen.Gmailen vervolgens sloot hij haar buiten.bankrekeningenna mislukte veiligheidscontroles. Ze had ook eencreditcard geopend op haar naamen criminelen kochtenmeer dan £3.000 aan waardebonnenOm de controle terug te krijgen, moest ze meerdere keren naar haar bank en mobiele telefoonprovider.

Dit verhaal is een schoolvoorbeeld van waarom beveiligingsprofessionals aanraden om sms niet langer als primaire tweede authenticatiemethode te gebruiken voor belangrijke accounts.

Waar de oplichters de gegevens van Sue vandaan haalden

De BBC meldt dat Sue'stelefoonnummer, e-mailadres, geboortedatum en fysiek adreswerden al eerder blootgelegd bij datalekken, waaronder die op het gokplatform.PaddyPower (2010)en e-mailvalidatietoolVerifications.io (2019)Andere verzamelingen van gehackte gegevens bevatten ook haar informatie.

Hannah Baumgaertner van Silobreaker, een cybersecurity-analist die door de BBC werd geciteerd, zei dat de aanvallers waarschijnlijk gelekte persoonlijke gegevens gebruikten om de simkaartwissel uit te voeren. Zodra ze het telefoonnummer van Sue hadden, konden ze de beveiligingscodes onderscheppen die werden verzonden om de identiteit van Gmail te verifiëren.

Dit is het probleem van de "naschok na een datalek": zelfs als het oorspronkelijke datalek al tien jaar geleden plaatsvond, kunnen de gegevens blijven circuleren, opnieuw worden verpakt en gebruikt worden als bewijs voor social engineering.

Hoe kleine hacks zich ontwikkelen: de markt voor gekaapte abonnementen

Het BBC-artikel belicht ook een minder ernstige, maar zeer veel voorkomende vorm van cybercriminaliteit: het overnemen van abonnementsaccounts.

Fran, in Brazilië, vertelde de BBC dat ze erachter was gekomen dat iemand zich op haar naam had geregistreerd.Netflixen verhoogde haar maandelijkse abonnementsgeld - een klassieke truc van een "profiteur".

Het artikel stelt dat het niet altijd mogelijk is om één enkele inbreuk aan te wijzen als de hoofdoorzaak. Maar de BBC ontdekte dat Frans e-mailadres bij minstens vier datalekken was blootgesteld, waaronderInternetarchief (2024),Trellov (2024),Descomplica (2021)EnWattpad (2020).

Een beveiligingsonderzoeker die in het artikel wordt geciteerd, Alon Gal van Hudson Rock, beschreef een markt voor gehackte streamingaccounts, waarbij het lek van één bedrijf uitgroeide tot aanhoudend misbruik.

Als tweefactorauthenticatie nog steeds mislukt

Een van de meest verontrustende aspecten van moderne oplichting is dat aanvallers soms beveiligingsmaatregelen kunnen omzeilen waarvan gebruikers aannemen dat ze "voldoende" zijn.

De BBC beschrijft hoe Leah, een eigenaresse van een klein bedrijf, het doelwit werd van een phishing-e-mail die zogenaamd van Facebook afkomstig was. Ze klikte op een link, vulde gegevens in op een nep-Meta-pagina, waarna oplichters haar bedrijfsaccount overnamen, ondanks dat ze daar geen toestemming voor had.tweefactorauthenticatie.

De aanvallers plaatsten vervolgens video's met kindermisbruik onder haar naam (waardoor haar account werd geblokkeerd) en lieten voor honderden ponden aan advertenties draaien, betaald door haar, in de drie dagen die het kostte om de controle terug te krijgen (uiteindelijk kreeg ze het geld terug).

Hoe kan 2FA dan toch nog mislukken? Veelvoorkomende oorzaken zijn:

  • Realtime proxy-phishing:De nepwebsite stuurt de inloggegevens door naar de echte website en vraagt ​​om de 2FA-code, die vervolgens direct wordt gebruikt.
  • Sessiediefstal / tokencaptatie:Sommige phishingkits onderscheppen de sessiecookie na het inloggen.
  • Mogelijke zwakke plekken bij het herstellen van accounts:Als het herstel-e-mailadres of -telefoonnummer is gecompromitteerd, herstellen aanvallers de toegang zonder de normale controles te activeren.

Het punt is niet dat 2FA zinloos is, maar datHet sterkste account is het account met meerdere lagen., geen enkel selectievakje.

De rol van databrokers en "verrijking"

Zelfs als een datalek niet alles bevat wat een aanvaller wil, kunnen criminelen bronnen combineren.

De BBC merkt op dat oplichters gestolen privégegevens vaak vermengen met openbare informatie. Onderzoekers beschreven hoe een aanvaller een gestolen e-mailadres kon koppelen aan een openbaar zakelijk telefoonnummer om een ​​overtuigender phishingbericht te versturen.

Dat maakt moderne oplichtingspraktijken zo griezelig: het bericht ziet er niet uit als spam. Het ziet eruit alsof het met de hand is geschreven.voor jou.

Het schaalprobleem: massale datalekken voeden een wereldwijde fraude-economie.

De BBC merkt op dat er verschillende spraakmakende aanslagen hebben plaatsgevonden in2025miljoenen gegevens werden openbaar gemaakt, met als voorbeelden:

  • 6,5 miljoengetroffen door een datalek bij Co-op (april)
  • een hack die klanten van Marks & Spencer trof (het bedrijf heeft niet gespecificeerd om hoeveel klanten het ging).
  • 400.000Harrods-klanten getroffen
  • 5,7 miljoengetroffen door een Qantas-hack

Het artikel verwijst ook naar het Data Breach Observatory van Proton Mail:794 geverifieerde inbreukenuit identificeerbare bronnen die tot nu toe in 2025 zijn ontdekt, waardoor wordt blootgelegdmeer dan 300 miljoenindividuele dossiers.

Op die schaal hoeven criminelen niet geniaal te zijn. Ze moeten wel volhardend en vindingrijk zijn.

Wat bedrijven wel (en niet) doen na een datalek.

Slachtoffers ontdekken vaak dat er geen standaard "nazorg na een datalek" bestaat.

De BBC meldt dat het aanbieden van gratis kredietbewaking vroeger gebruikelijk was, maar dat steeds minder bedrijven dit nu doen. Sommige bedrijven boden deze diensten helemaal niet aan, terwijl Co-op onder bepaalde voorwaarden een voucher verstrekte.

Het artikel vermeldt ook een groeiende trend van collectieve rechtszaken – hoewel die moeilijk te winnen zijn omdat het lastig is om de individuele impact aan te tonen – en een opmerkelijke schikking: T-Mobile stemde ermee in om te betalen.$350 miljoenna een datalek in 2021 dat van invloed was op76mklanten, met gerapporteerde betalingen variërend van$50 tot $300.

Een realistisch reactieplan als u een SIM-swap vermoedt.

Omdat het wisselen van simkaarten tijdsgebonden is, is een checklist handig.

  1. Als uw telefoon plotseling geen bereik meer heeft(en als je je niet in een gebied zonder verbinding bevindt), behandel het dan als urgent.
  2. Bel uw provider vanaf een andere telefoon.en vraag of er een simkaartoverdracht of nummeroverdracht heeft plaatsgevonden.
  3. Vraag om een ​​onmiddellijke vergrendelingBij verdere SIM-wissels dient u de accountgegevens/PIN opnieuw in te stellen.
  4. Beveilig uw primaire e-mailaccount.Vervolgens, omdat het al het andere kan resetten.
  5. Wachtwoorden wijzigenvoor bankieren, betaalapps en alle accounts die gekoppeld zijn aan sms-codes.
  6. Controleer op nieuwe accounts/kredietactiviteit.in uw naam.

Zelfs als blijkt dat de aanval een netwerkprobleem betreft, verlies je weinig door snel te handelen.

Praktische stappen om risico's te verminderen (zonder paranoia)

Je kunt niet voorkomen dat een bedrijf waar je jaren geleden klant was, gehackt wordt. Maar je kunt er wel voor zorgen dat gelekte gegevens minder bruikbaar zijn voor aanvallers.

1) Bescherm uw mobiele account

  • Vraag uw provider naaraccount-PIN's, poortvergrendelingen en extra verificatie.
  • Beperk het aantal diensten dat sms als herstelmethode gebruikt.

2) Gebruik waar mogelijk sterkere authenticatiemethoden.

Voor uw belangrijkste accounts (e-mail, bankieren, wachtwoordbeheer) kunt u het beste kiezen voor:

  • authenticatie-apps (TOTP)
  • wachtwoorden
  • of hardwarebeveiligingssleutels

…via sms-codes.

3) Gebruik een wachtwoordmanager en unieke wachtwoorden.

Credential stuffing is nog steeds goedkoop. Unieke wachtwoorden voorkomen dat één inbreuk alles ontoegankelijk maakt.

4) Beschouw je primaire e-mailaccount als het 'hoofdaccount'.

Als criminelen toegang krijgen tot je e-mailinbox, kunnen ze vrijwel al je andere accounts resetten. Zorg ervoor dat je e-mailaccount:

  • sterk geauthenticeerd
  • herstelopties beveiligd
  • en werden gecontroleerd op verdachte inlogpogingen

Kortom

Datalekken zijn niet alleen een privacyprobleem, ze vormen ook de voedingsbodem voor oplichting. Oude datalekken kunnen worden gecombineerd met openbare informatie om zich voor te doen als u, uw telefoonnummer te stelen via een simkaartwissel, inlogprocedures te omzeilen en een enkele inbreuk te laten uitgroeien tot een kettingreactie die zich uitstrekt over e-mail, financiële accounts en sociale mediaprofielen. De meest effectieve verdediging is gelaagd: bescherm uw telefoonnummer, beveilig uw primaire e-mailadres en stap waar mogelijk af van sms-gebaseerde beveiliging.

Bronnen

Document Title
SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money
Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
UK bans Coinbase ads: what it means for crypto marketing in Britain
Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters
Page Content
SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money
Nature
Climate
/
Technology
/ By
Admin
Data breaches have become so routine that many people treat them like background noise — an annoying email, a password reset, then back to life. But the real danger often arrives later, when leaked details are stitched together into targeted attacks that feel personal, plausible, and hard to stop.
A BBC investigation into scam victims shows how this pipeline works in practice: old data leaks help criminals perform
SIM swap attacks
, hijack email accounts, open credit in someone’s name, or seize control of business advertising accounts. What looks like “just an email address leak” can become a direct route to money, identity fraud, and months of cleanup.
This explainer breaks down the mechanics: how SIM swaps succeed, why two-factor authentication can fail, and what practical steps actually reduce risk.
The breach-to-scam pipeline (in plain English)
Most scams that end in stolen funds follow a repeatable sequence:
Personal data is exposed
(through a breach of a company you used years ago).
Criminals enrich it
by combining multiple breaches, public info, and sometimes data-broker sources.
They target the weakest link
(a mobile number, an email inbox, or a “forgot password” workflow).
They escalate
— using the first compromise to reset passwords and take over other accounts.
The BBC’s cyber correspondent Joe Tidy notes that being a victim of a breach increases your chance of being targeted. The key is not that every breach leads to a scam, but that breaches supply the raw materials criminals need for believable impersonation.
SIM swap attacks: why your phone number is a master key
In one case, a woman named Sue told the BBC her digital life was hijacked via a
SIM swap
.
A SIM swap attack works like this:
A criminal convinces a mobile network operator they are the real account holder.
The operator issues a new SIM (or transfers the number), and the victim’s phone loses service.
The criminal now receives calls and texts meant for the victim — including verification codes.
Once attackers control your number, they can intercept
SMS-based security codes
used for password resets and login verification.
Sue said scammers took over her
Gmail
and then locked her out of
bank accounts
after failed security checks. She also had a
credit card opened in her name
, and criminals purchased
more than £3,000 in vouchers
. Getting control back required several trips to her bank and mobile phone provider.
This story is a textbook example of why security professionals recommend moving away from SMS as your primary second factor for important accounts.
Where the scammers got Sue’s details
The BBC reports that Sue’s
phone number, email address, date of birth and physical address
were exposed in earlier breaches — including gambling platform
PaddyPower (2010)
and email validation tool
Verifications.io (2019)
. Other compilations of hacked records also included her details.
A cybersecurity analyst cited by the BBC, Hannah Baumgaertner of Silobreaker, said attackers likely used leaked personal data to conduct the SIM swap. Once they had Sue’s phone number, they could intercept security codes sent to verify identity for Gmail.
This is the “breach aftershock” problem: even if the original breach is a decade old, the data can keep circulating, being repackaged, and being used as social-engineering proof.
How small hacks scale: the market for hijacked subscriptions
The BBC story also highlights a lower-stakes but extremely common kind of cybercrime: subscription account takeover.
Fran, in Brazil, told the BBC she found someone had registered to her
Netflix
account and increased her monthly subscription — a classic “freeloader” hijack.
The article says it’s not always possible to pinpoint a single breach as the root cause. But the BBC found Fran’s email address had been exposed in at least four breaches, including
Internet Archive (2024)
,
Trellov (2024)
Descomplica (2021)
and
Wattpad (2020)
A security researcher quoted in the piece, Alon Gal of Hudson Rock, described a market for cracked streaming accounts, turning one company’s leak into ongoing abuse.
When two-factor authentication still fails
One of the most unsettling parts of modern scams is that attackers can sometimes bypass protections users assume are “enough.”
The BBC describes a small business owner, Leah, targeted by a phishing email that appeared to come from Facebook. She clicked a link, entered details on a fake Meta page, and scammers took over her business account even though she had
two-factor authentication
Attackers then posted child sexual abuse videos under her name (getting her blocked) and ran hundreds of pounds of adverts paid for by her in the three days it took to regain control (she eventually got the money back).
How can 2FA still fail? Common paths include:
Real-time proxy phishing:
the fake site relays credentials to the real site and asks for the 2FA code, using it immediately.
Session theft / token capture:
some phishing kits capture the session cookie after login.
Account recovery loopholes:
if recovery email/phone is compromised, attackers reset access without triggering normal checks.
The point isn’t that 2FA is pointless — it’s that
the strongest account is the one with multiple layers
, not a single checkbox.
The role of data brokers and “enrichment”
Even when a breach doesn’t include everything an attacker wants, criminals can combine sources.
The BBC notes that scammers often mix stolen private information with public information. Investigators described how an attacker could connect a stolen email address with a publicly listed business number to send a more convincing phishing message.
That’s what makes modern scams feel creepy: the message doesn’t look like spam. It looks like it was written
for you
The scale problem: mass breaches fuel a global scam economy
The BBC notes that several high-profile attacks in
2025
exposed millions of records, listing examples such as:
6.5 million
affected by a Co-op breach (April)
a hack affecting Marks & Spencer customers (the company did not specify how many)
400,000
Harrods customers affected
5.7 million
impacted in a Qantas hack
It also cites Proton Mail’s Data Breach Observatory:
794 verified breaches
from identifiable sources discovered so far in 2025, exposing
more than 300 million
individual records.
At that scale, criminals don’t need to be brilliant. They need to be persistent and industrial.
What companies do (and don’t do) after breaches
Victims often discover there is no standard “breach aftercare.”
The BBC reports that offering free credit monitoring used to be common, but fewer firms are doing it now. It notes that some companies did not offer these services, while Co-op offered a voucher under conditions.
The article also mentions a growing trend of class action lawsuits — though hard to win because proving individual impact is difficult — and a notable settlement: T-Mobile agreed to pay
$350m
after a 2021 breach affecting
76m
customers, with reported payments ranging from
$50 to $300
A realistic response plan if you suspect a SIM swap
Because SIM swaps are time-sensitive, it helps to have a checklist.
If your phone suddenly loses service
(and you’re not in a dead zone), treat it as urgent.
Call your carrier from another phone
and ask if a SIM transfer or number port happened.
Request an immediate lock
on further SIM changes and reset the account credentials/PIN.
Secure your primary email account
next, because it can reset everything else.
Change passwords
for banking, payment apps, and any accounts tied to SMS codes.
Check for new accounts/credit activity
in your name.
Even if the attack turns out to be a network issue, you lose little by moving fast.
Practical steps that reduce risk (without paranoia)
You can’t prevent a company you used years ago from being breached. But you can make leaked data less useful to attackers.
1) Protect your mobile account
Ask your carrier about
account PINs
, port-out locks, and extra verification.
Minimise how many services use SMS as a recovery method.
2) Use stronger authentication where possible
For your most important accounts (email, banking, password manager), prefer:
authenticator apps (TOTP)
passkeys
or hardware security keys
…over SMS codes.
3) Use a password manager + unique passwords
Credential stuffing is still cheap. Unique passwords stop one breach from unlocking everything.
4) Treat your primary email like the “root account”
If criminals get your email inbox, they can reset almost every other account. Make your email:
strongly authenticated
recovery options secured
and monitored for suspicious logins
Bottom line
Data breaches aren’t just a privacy problem — they’re the supply chain for scams. Old leaks can be combined with public information to impersonate you, steal your phone number through a SIM swap, bypass logins, and turn a single compromise into a cascade across email, financial accounts, and social profiles. The most effective defence is layered: protect your phone number, secure your primary email, and move away from SMS-based security wherever you can.
Sources
https://www.bbc.com/news/articles/czrk7gxk2l6o?at_medium=RSS&at_campaign=rss
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
UK bans Coinbase ads: what it means for crypto marketing in Britain
Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters
Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.
Document Title
Page not found - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog
Skip to content
Home
Blog
Garden Decor
Indoor
Main Menu
This page doesn't seem to exist.
It looks like the link pointing here was faulty. Maybe try searching?
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.
Florin.blog
Florin.blog » Feed
RSD
Search...
e Nederlands