CYBERSECURITY
New Security Magazine 154 – april 2020
“Alles wat gebeurt in de reële wereld heeft zijn voortzetting op cyberspace”
CCB-directeur Miguel De Bruycker analyseert de cybersecurityvoorspellingen
Cybercriminaliteit gedijt goed. Ook in volle coronacrisis in de vorm van phishing en fake news. De oplichters spelen in op de angst die leeft bij velen en de nood aan medisch materiaal (zoals mondmaskers en handgels) die heerst. In België volgt het Centrum voor Cybersecurity België (CCB) hen van heel nabij. Nog voordat covid-19 Europa in zijn greep kreeg, overliepen we met Miguel De Bruycker, managing director van het CCB, de tendensen en voorspellingen inzake cybersecurity voor dit jaar en de komende jaren.
Het CCB, opgericht in 2014, is een federale overheidsdienst die rechtstreeks onder het gezag van de eerste minister valt en bouwt aan een cyberveilig België. Alle verdachte bewegingen in cyberspace met een dreigingsreukje aan analyseren, hoort dus tot de CCB-corebusiness. Welke cyberincidenten en technische ontwikkelingen zullen in dit prille decennia de samenleving en het bedrijfsleven beïnvloeden? En welke beveiligingsstrategieën zullen overheden en ondernemingen ontwikkelen om te vermijden dat zulke incidenten grote problemen en disruptie veroorzaken? Top Security legde het lijstje met voorspellingen van Check Point Software Technologies Ltd, een toonaangevende leverancier van cyberbeveiliging, voor aan CCB-directeur Miguel De Bruycker.
‘Escalatie van de ‘Koude Oorlog’ in cyberspace’
Miguel De Bruycker: “Cyberspace is een deel geworden van onze reële wereld. En in de reële wereld kunnen we momenteel niet spreken van een Koude Oorlog. Er zijn heel wat handelsconflicten, maar de Koude Oorlog zoals we die gekend hebben 30 jaar geleden die zie ik niet onmiddellijk. Er zijn wel een aantal herkenbare elementen, maar de term klopt niet, noch koud noch oorlog. Het is in die zin dan ook niet helemaal correct. Koude Oorlog en cyberspace passen voor mij niet helemaal op mekaar, wat niet betekent dat dit uitgesloten is in de toekomst. Want alles wat gebeurt in de reële wereld heeft zijn voortzetting op cyberspace. Ik vind dat we stap voor stap cyberspace niet meer kunnen beschouwen als een afzonderlijk domein. Het maakt gewoon deel uit van zowel ons dagdagelijkse leven, ons privéleven, ons professioneel leven als het geopolitieke leven. Wat dus betekent dat elke spanning die we krijgen in het reële leven zich voor een stuk voortzet in cyberspace. In het privéleven tussen mensen. Bijvoorbeeld sextortion. Een koppeltje valt uit elkaar. Een van beiden is nog in het bezit van een naaktfoto van de andere van toen het goed ging. Hij of zij misbruikt dat door op cyberspace die foto te posten. In het bedrijfsleven: industriële spionage via internet tussen concurrenten die elkaar verstoren, klanten overnemen, informatie stelen of productieprocessen ontvreemden. Op geopolitiek vlak: bij conflicten tussen staten of regio’s zet zich dat voort op cyberspace.”
‘Fake news 2.0’
“Een fenomeen dat zich zal voortzetten in 2020. Onder meer als een ‘forced enabler’. In het kader van geopolitiek was het lange tijd zo dat landen via groeperingen invloed probeerden uit te oefenen. Door in een bepaald land een groepering te steunen die in opstand komt tegen het vigerende regime van dat land. Dat gebeurde politiek, economisch en soms ook militair door wapens te leveren om de groepering te versterken in de hoop dat die dan zou reageren in die regio of in dat land om politieke invloed te kunnen uitoefenen op dat land. Dat gebeurt nu ook via cyberspace, omdat het deel uitmaakt van onze reële wereld. Die afzonderlijke virtuele wereld, van ongeveer vijftien tot twintig jaar geleden die toegankelijk was voor de happy few, die maakt nu deel uit van ons dagdagelijkse leven. Alles wat we doen: onze aankopen, ons bankieren, ons sociaal leven, onze communicatie … Ook beroepsmatig. Denk aan Industrie 4.0. Onze volledige industrie is zich aan het integreren met onze reële wereld. Heel veel elementen van de reële wereld zoals conflicthantering en geopolitieke beïnvloeding zullen zich stap voor stap ook blijven uitbreiden op het internet.
Onze verkiezingen zijn niet zo gemediatiseerd zoals in de Verenigde Staten. Binnen Europa wordt er op een andere manier omgegaan met politieke beïnvloeding. Ook de manier waarop politieke partijen met elkaar omgaan is anders. Wij hebben al veel minder een cultuur van beïnvloeding in de reële wereld, dus zullen we dat ook al iets minder hebben in cyberspace. Al is het iets dat wel zal blijven bestaan. Bij de vorige verkiezingen is dat bijvoorbeeld heel beperkt gebleven in België. Ja, er is activiteit geweest. En die zal zeker toenemen. Maar dat zal in proportie zijn zoals we dat in België ook voor een stuk in de reële wereld hebben gezien.”
“Cybercrime is zich heel sterk aan het professionaliseren, diversifiëren en specialiseren.”
‘Toename cyberaanvallen op nutsbedrijven en kritieke infrastructuur’
“Een bedreigingsactor vertrekt altijd van intenties en mogelijkheden. Het vertrekpunt is steeds een motief. Een aanval wordt zelden zomaar uitgevoerd. Pas op, het kan fun en reputatie zijn. Maar we moeten eerlijk zijn, de actoren die werken voor fun en reputatie zijn grotendeels van het strijdtoneel verdwenen. De complexiteit om dergelijke aanvallen uit te voeren is nu zo hoog, dat die actoren minder sterk op de voorgrond treden. Momenteel zien we een enórme toename van alles wat cybercrime is. Financieel gedreven, voor het geldgewin dus. Op heel veel manieren. Het gaat vooral over diefstal en afpersing. Diefstal van informatie en geld. Daarnaast ook afpersing door ransomware of door informatie te stelen van een persoon of een bedrijf waarna gedreigd wordt die info publiek te maken of aan tegenpartijen door te geven. Cybercrime is zich heel sterk aan het professionaliseren, diversifiëren en specialiseren. De specialisatie binnen cybercrime is echt wel significant.
Alles wat ‘state actor’ is, is geopolitiek gedreven. Vroeger hadden we op dat vlak een groep wel afgebakende grote spelers die alom bekend waren. Die club breidde zich af en toe wel uit, maar de laatste jaren worden het aantal partijen die meespelen op dat domein heel groot. Er komen nu spelers naar boven die tien jaar geleden niet de capaciteit hadden om op dat niveau mee te spelen. We zitten daar dus met een heel sterke groei. De vraag is alleen: welke motieven hebben zij om in België kritieke infrastructuur aan te vallen? Hebben zij interesse in cybercrime? Absoluut. Ze zijn dus financieel gedreven. Dat betekent dus dat zij vooral zullen kijken naar de omzetcijfers eerder dan naar het vitale belang op nationaal niveau. Het kan een element zijn, maar er is voor hen geen enkele reden om specifiek die sectoren aan te vallen. Want zij moeten natuurlijk ook een evenwicht vinden. Zij weten dat actie gelijk is aan reactie. Dus als zij echt de high level targets te zwaar aanpakken, dan weten zij dat er een heel zware reactie zal volgen om dat af te schermen. Daardoor zou het kunnen dat zij het moeilijk zullen krijgen op middellange of lange termijn. Dus zij proberen ook wel ergens een evenwicht te vinden tussen zo veel mogelijk gewin maar zo weinig mogelijk risico voor hun business in de toekomst. Ze zullen zelden hun eigen bruggen opblazen. Dus waarom zou men een bedrijf of organisatie aanpakken in kritieke infrastructuur als men weet dat er heel wat neveneffecten zullen worden gecreëerd tot op zelfs een politiek niveau als men hetzelfde bedrag kan winnen bij een bedrijf die bij wijze van spreken koffiekoeken maakt maar die door zijn omzet evenveel middelen heeft om te betalen? Voor hen is kritieke infrastructuur an sich niet het hoofddoel. Winst maken wel.
Daarnaast hebben we de ‘state sponsored’ cybercriminelen. Zij kunnen onze kritieke infrastructuur raken. Daar is de dreiging iets groter, al moeten we ook hier weer kijken naar de proportionaliteit. Zij zullen misschien wel proberen een toegang te creëren zodat ze de vinger op de knop hebben. Maar om dan onmiddellijk op die knop te drukken, dat is een ander verhaal. Want dat kan heel snel gezien worden als een act of war, als effectief een aanval. Toen in 2007 Estland het slachtoffer werd van de eerste cyberaanval op een staat (door de omstreden verplaatsing van de Bronzen Soldaat van Tallinn, een monument met oorlogsgraven uit het Sovjettijdperk, nvdr.) vanuit Rusland zogezegd, want het is nooit echt bewezen geweest, zijn er binnen de Navo heel veel vragen gesteld of dat een Artikel 5 was. Artikel 5 is een militaire aanval op een van de lidstaten van de Navo. Men vroeg zich dus af of ze de ‘mutual reaction’ moesten ontketenen, een respons moesten opzetten met de Navo-landen die bereid waren om mee te reageren. Vanuit een land zoiets opzetten en effectief uitvoeren … dat moet je dus binnen proportie zien. Wie overreageert, krijgt heel de wereld en ook velen intern tegen zich.
Als we het hebben over cyberaanvallen op nutsbedrijven en kritieke infrastructuur, moet je kijken naar de intenties en mogelijkheden. Wie heeft wat inzake intentie en mogelijkheden die een actie zou kunnen uitvoeren die voor hem proportioneel is inzake kosten-baten? En dat wil ik dan toch wel enigszins relativeren. Van de twee grote groepen van partijen heeft er niet een kosten-baten zoveel winst om plotseling de helft van België zonder stroom te zetten. Maar we moeten de kritieke infrastructuur uiteraard heel sterk beschermen. Voor het CCB zijn de aanbieders van essentiële diensten en operatoren van kritieke infrastructuur een groep waarvoor we extra bescherming bieden. Extra dienstverlening. Ook naar respons toe. Want als een entiteit ons contacteert voor het behandelen van een cyberaanval, is een van de criteria bijvoorbeeld: staat het bedrijf of de organisatie op onze lijst van kritieke infrastructuur? Is dat het geval, dan proberen we veel meer middelen in te zetten en sneller te reageren. Omdat we niet voor iedereen kunnen springen. Ook wij moeten met de middelen die we hebben diversifiëren.”
‘Toename van gerichte ransomware-aanvallen’
“Criminelen zien hier grof geld in. Als je een heel groot bedrijf kunt lamleggen en kunt zeggen ‘u betaalt mij zoveel bitcoin’, dan zal dat bedrijf sowieso de afweging maken. En er zijn een aantal bedrijven die tienduizenden euro betaald hebben om de decryptiesleutel om de versleutelde bestanden vrij te geven te krijgen en ervan af te zijn. Dat is big money. Voor de ‘cybercrime scene’ wordt dit steeds moeilijker om echt aan het geld te zitten, om bancair technisch de informatie te stelen. Daardoor is er overgestapt op het misleiden van mensen. Dat noemen wij de ‘Microsoft SCAM. Je krijgt ’s ochtends de telefoon met de melding ‘this is Microsoft calling’ waarbij je misleid wordt. Het is een vorm van fraude. Mensen zien de andere kant niet, maar vertrouwen die. Omdat het mensen zijn die heel vriendelijk en behulpzaam zijn. In plaats van technisch proberen binnen te breken in een systeem wat almaar moeilijker wordt, ook bij bancaire systemen die steeds beter technisch beveiligd zijn, zoekt men een ander manier. Bij ransomware-aanvallen volstaat het om op één manier binnen te geraken in het bedrijf. Op het moment dat men tot in de kern van het netwerksysteem van het bedrijf geraakt, dan kan men daar de ransomware loslaten en onmiddellijk geld vragen.”
‘Phishing niet alleen via e-mail’
“Ransomware-aanvallen zijn een van de belangrijkste dreigingen voor dit jaar en misschien wel voor de komende jaren. Gekoppeld aan phishing, smishing (sms-phising), vishing (voice-phishing). Men probeert via complete andere kanalen mensen te misleiden. Een van de eigenschappen van het internet is dat het een ‘open and free space’ is. Iedereen kan vrij en anoniem gebruikmaken van het internet. Je kan zorgen dat je niet traceerbaar bent. Dat is een van de grote krachten van internet. Je krijgt een vrije informatie-uitwisseling. Maar het is tegelijk ook een risico. Als je e-mail ontvangt, ben je nooit zeker of die wel gestuurd is door de persoon wiens naam die draagt. Iedereen kan een mailadres maken op naam van iemand anders. En met dat mailadres mails versturen naar kennissen, dierbaren of het bedrijf van de persoon die effectief zo heet zonder dat die daar weet van heeft. Of een bericht, ook via sms, waarbij je een account met wachtwoord kan aanmaken om in aanmerking te komen voor een serieuze korting. En de zwakke schakel is dat mensen de neiging hebben om altijd hetzelfde wachtwoord te gebruiken. Eenmaal die cybercrimineel dat wachtwoord heeft achterhaald, zoekt hij waar het slachtoffer nog gekend is, op welke websites hij of zij nog actief is. Dan probeert de crimineel daar in te loggen met hetzelfde mailadres en paswoord. En in de helft van de gevallen geraakt de cybercrimineel wel ergens binnen. Daarom moeten we, zowel op nationaal als op Europees niveau, goed nadenken over dit: willen wij vormen van geauthentiseerde berichtgeving of ‘trusted sender’ introduceren? Ik denk dat we dat in de toekomst zullen moeten doen. Momenteel ben ik een paper aan het schrijven met drie grote concepten die cybercrime in zijn geheel kunnen veranderen. Alleen zal het tijd vragen. De oplossingen zullen er niet op korte maar pas op middellange termijn kunnen komen. De vraag is ook: is er voldoende politieke wil om dat ook effectief in te voeren? Het zal wel wat kosten. Ik denk dat zoiets gerealiseerd en geïntroduceerd kan worden op vijf jaar. Dat kan zelfs in verschillende fasen zodat je binnen dit en een jaar of twee jaar al de eerste elementen klaar hebt die al een verschil zouden kunnen maken.”
“Mobiele apparaten zijn heel sexy voor criminelen. Ze bevatten heel je leven. Je hebt ze altijd bij je. Ze staan altijd aan met toegang tot al je gevoelige gegevens over waar je bent, met wie je communiceert.”
‘Groei malwareaanvallen op mobiele apparaten’
“Ransomware en phishing, en ook malware-aanvallen op mobiele apparaten en IoT zullen sowieso belangrijk blijven. De voornaamste malwareaanvallen in ons land worden uitgevoerd op ‘storage devices’. Heel veel mensen en kmo’s kopen kleine NAS-systemen (Network Attached Storage, nvdr.). Ze kopen een doosje, installeren die software op alle systemen en ze kunnen met hun mobiele telefoon clouds maken. Alles wordt daarop bewaard, ontdubbeld en beveiligd. Dat is een fantastisch eenvoudig systeem om met anderen grote hoeveelheid info snel en vanaf elk toestel te delen. Maar daar is nu een kwetsbaarheid ontstaan waarvan criminelen misbruik hebben gemaakt. Ze hebben een malware ontwikkeld waarmee ze duizenden systemen wereldwijd hebben kunnen infecteren. Die zitten nu in een botnet (collectie van softwarerobots of bots, die automatisch en zelfstandig opereren, nvdr.). De dreiging van infecties en malware op smartphones groeit. Vroeger zat die uitsluitend op Windows-systemen. Zeg maar voor meer dan 99 procent. Die tijd is voorbij. Criminelen proberen binnen te breken op webcams, rooters, beveiligingscamera’s … Waarom? Omdat die systemen massaal op zo’n NAS staan. De NAS-systemen worden massaal verkocht omdat er meer en meer thuisapparaten zijn. Verwarmingssystemen die heel goedkoop zijn, worden geïnstalleerd, alles hangt op je geconfigureerde wifi. Daarom is het superbelangrijk dat die systemen ook goed beveiligd zijn. Want heel vaak zijn die verbonden met het internet. Bijvoorbeeld om vanop afstand via je smartphone te zien wie er aan je voordeur staat. Om vanop afstand je verwarming thuis te verhogen. Mobiele apparaten zijn heel sexy voor criminelen. Ze bevatten heel je leven. Je hebt ze altijd bij je. Ze staan altijd aan met toegang tot al je gevoelige gegevens over waar je bent, met wie je communiceert. Ze bieden de crimineel toegang tot de inhoud van je mailberichten, je data zoals bijvoorbeeld je OneDrive of Google Drive, je belangrijkste bestanden, je fotocamera, je micro, MyRobotnet. Malwareaanvallen op IoT op professioneel vlak is dan weer van een hoger niveau en niet zo eenvoudig uit te voeren.”
Cybercriminelen boeten niks aan creativiteit in. Meer nog: ze worden sluwer en professioneler. Voor het CCB en zijn buitenlandse collega’s is het daarom zaak de vinger aan de pols te houden om de nieuwe ontwikkelingen snel te detecteren.
Door Gianni D’Angelo
Andere dreigingen
Miguel De Bruycker vult het lijstje met voorspellingen aan met enkele dreigingen.
Deep fake
“Deepfake (een techniek waarbij een kunstmatige intelligentie wordt gebruikt voor manipulatie van beelden, audio en teksten, nvdr.) zal niet verdwijnen, al blijf ik een beetje geloven in de argwaan van de mensen. Voice switching zou nog wel kunnen, maar dan niet voor iedereen. Dat zal voor de zeer gesofisticeerde aanvallen zijn. Maar we moeten daar in toekomst wel rekening mee houden. Iemand die een bepaalde beslissingsbevoegdheid heeft, zal mechanismes moeten inbouwen om te valideren wat wel waar is en wat niet waar is. Daarom heb ik het in mijn document over deze drie concepten: ‘trusted sender’, ‘trusted publisher’ en ‘spear warning’ in plaats van ‘spear fishing’ (een frauduleuze poging waarbij gebruik wordt gemaakt van e-mailspoofing, nvdr.). Zodat wie een bericht ontvangt een indicatie krijgt over hoe groot de zekerheid is dat de verzender wel degelijk degene is waarvoor hij of zij zich uitgeeft. In welke mate ben ik zeker van de identiteit van de verzender. Bij groen mag je hem of haar vertrouwen. Bij oranje is er wat twijfel, zijn een aantal elementen gecontroleerd of kunnen worden gecontroleerd met meer dan 100 procent zekerheid. En bij rood mag je ervan uitgaan dat het niet die persoon is, daar zit geen enkele verifieerbare informatie achter, niks kan worden gecontroleerd. Pas op, die rode berichten moeten kunnen. Het internet is een ‘open and free space’. Je mag berichten kunnen sturen zonder te zeggen wie je bent. Ik heb daar geen moeite mee. Maar de persoon die het ontvangt moet het wel weten van ‘oké, ik spreek met ..’. In de gamewereld is dat vooral zo. Die gebruiken avatars. Maar iedereen actief in de gamewereld weet dat dat de echte naam niet is.”
Diefstal beheerrechten
“Criminelen die op netwerken azen op de ‘administrative rights’ waardoor ze software kunnen installeren. Zodat ze de interne tools, de beheertools van de omgeving – zoals PowerShell, de toegang van de RDP (Remote Desktop Protocol, nvdr.) misbruiken. Ze creëren accounts en krijgen toegang tot het netwerk vanop afstand, op een zeer gemakkelijke en transparante manier. Want ze hoeven niks te installeren, ze gebruiken wat er bestaat op het netwerk. Voor bedrijven is het superbelangrijk dat ze een tweetrapsauthentificatie plaatsen op hun accounts met beheerdersrechten. Die moeten ze zeer goed afschermen. Want wie daartoe toegang heeft, kan overal aan en bijvoorbeeld nieuwe credentials creëren, een nieuwe gebruiker op RDP toevoegen, SMD-protocol gebruiken op het netwerk, PowerShell-scripts laten lopen en via PowerShell gewoon informatie binnenhalen, software installeren, … Hij kan alles vanop afstand. En hij hoeft daarvoor niks te installeren van virus of iets dat kan worden gedetecteerd. Dat is nu enigszins aan het gebeuren. Vroeger installeerden de criminelen massa’s malware, communiceerden ze intern in het netwerk. Nu gebruiken ze de standaardtools van een netwerk. Ze komen binnen, doen wat ze willen doen en zijn weer weg. Alle sporen zijn verdwenen. Ze zijn nauwelijks te detecteren. Binnen een bedrijf moet men veel meer een onderscheid maken tussen een ‘normale’ gebruiker en een ‘administrator’. Die laatste moet op het moment dat hij zijn rechten gebruikt als administrator niet surfen op het internet. Die moet geen mails lezen. Die moet zijn taken doen en een aparte account hebben waarbij hij als gewone gebruiker surft op het internet, mails leest en zijn administratie doet. Die twee moeten veel meer gescheiden zijn. Zij met het ‘golden ticket’ die alles mogen op het netwerk moeten super goed beschermd worden. Dan voorkom je al ongelooflijk veel ellende.
Cybercrime-as-a-service
“De criminelen die zich specialiseren. De ene die zoekt naar toegangen tot netwerken om die vervolgens te verkopen. Bijvoorbeeld de XDedic-database die vorig in beslag is genomen door overheidsdiensten. Daarin stonden duizenden accounts te koop. Een login tot een bedrijf kostte tussen 2 en 50 euro ongeveer. Zo kon je toegangen tot bedrijven kopen. Voor een kmo was dat bijvoorbeeld 2 tot 3 euro, voor een groot bedrijf 50 euro. De koper kreeg de toegangsrechten. Nu heb je bijvoorbeeld Avalanche, een criminele botnetinfrastructuur die te huur wordt aangeboden. Je hebt mensen die de infrastructuur onderhouden, maar zelf geen enkele aanval doen. Zij verhuren dat aan criminelen die vervolgens campagnes lanceren zodat hetzelfde botnet een aantal keren terugkomt. Wie een aanval op een bepaald bedrijf wil uitvoeren, kan een bepaalde botnetinfrastructuur huren en gebruiken om tot bij die klant te geraken. Je koopt bijvoorbeeld een toegang van XDedic en je gebruikt het Avalanche-netwerk om een aanval uit te voeren. Je koopt in principe een set van tools. Je ontwikkelt dus niks. Het enige wat je kunt doen, is tools gebruiken zoals wij leren om met MS Office te werken. Dat is het cybercrime-as-a-businessmodel. Heel veel van die criminelen ontwikkelen tools en infrastructuur, verhuren die, verkopen die, maar voeren zelf nooit een aanval uit. Dat gebeurt via het darkweb. Kunnen we hen een halt toe roepen? Enorm moeilijk. X Deady is onlangs geïdentificeerd en opgedoekt. Die kerels gaan achter de tralies, denk ik. Maar het is bij wijze van spreken dweilen met de kraan open. Nu wordt de eentje ontdekt omdat hij ergens een fout heeft gemaakt. Dat is net een van de eigenschappen van het internet. Het anoniem werken wat zijn voor- en zijn nadelen heeft. Zo kan je totaal anoniem een bitcoinwallet openen en geld ontvangen. Waarom laten die mannen zich betalen in bitcoins? Ze hebben die wallet wel in handen, maar wie dat is kan je niet traceren. Je kunt dat proberen op het moment dat ze er het geld afhalen. Dan werken ze met ‘money mules’ of geldezels (personen die een bankrekening ter beschikking stellen aan criminelen, nvdr). De criminelen zoeken mensen die het financieel minder goed hebben. Op hun rekening wordt geld gestort, zij storten dat door na een andere bankrekeningrekening wie weet waar in de wereld en krijgen daar 5% op. Het enige wat ze moeten doen, is het geld doorstorten. Dat is een misdrijf in België, want dat is ondersteuning aan criminele activiteiten. Op die manier blijven de criminelen anoniem. Want hun rekening bevindt zich in een land waar je geen enkel vat op hebt. Maar in Europa kan je niet zomaar een anonieme bankrekening openen. Op die manier transfereren ze het geld via mensen die denken ‘we zullen hier een centje bijverdienen’. Maar bij de gevolgen staan die tussenpersonen niet stil. Vooral bij het gegeven dat ze zware criminelen aan het helpen zijn. Het gaat om gestolen geld uit het criminele milieu.”
Dreiging van sim-swapping
“We hebben momenteel in België weinig last van dreiging via sim-swapping (een criminele hacker neemt je telefoonnummer over door je telecomprovider op te lichten, nvdr.). We zetten daar heel sterk op in zodat het in België geen dreiging wordt. In België is het zo: om een simkaart te krijgen moet je een identiteitskaart voorleggen. In een aantal landen is dat niet zo. Daar kan je bijvoorbeeld een simkaart kopen in een supermarkt. Bij ons geldt al een tijdje een verbod op prepaidkaarten. Als je bij ons een kaart koopt, dan zit achter elk nummer een naam. In heel veel landen is dat niet zo. Zo kan je in die landen een kaart bemachtigen, bellen naar een operator voor een nieuwe simkaart door gewoon te zeggen dat je je gsm bent verloren of dat je kaart stuk is. Dan geven ze een nieuwe simkaart gekoppeld aan je nummer. Zo neemt de crimineel je nummer over. Dan gaat die bijvoorbeeld naar Outlook en kan hij in jouw naam alle gevoelige info opvragen. Wereldwijd zal dat in de toekomst iets zijn waarmee ze problemen zullen krijgen.”