Ditt gamla telefonnummer ger fortfarande tillgång till dina konton

När du byter operatör tar du normalt med dig ditt nummer. Det blir intressant när du inte gör det. Ett nytt avtal med ett nytt nummer, ett andra SIM-kort som sagts upp, ett kontantkort som tagit slut. Det gamla numret har inte försvunnit. Det går tillbaka till operatören och tilldelas förr eller senare någon annan. Under tiden finns det fortfarande kvar i ditt Google-konto, hos PayPal och hos din bank som inloggningsuppgift.

I Tyskland återgår numret omedelbart

Här finns ingen lagstadgad skyddsperiod. Den tyska numreringslagen, Telekommunikations-Nummerierungsverordnung, behandlar fallet i paragraf 9, underavsnitt 3, och där står det: ”Ett härlett tilldelat nummer återgår till den ursprungliga mottagaren vid uppsägning av avtalet om tillhandahållande av den telekommunikationstjänst till vilken numret tilldelades.” Härledd tilldelning innebär att din operatör gav dig numret från sitt eget nummerblock. Den ursprungliga mottagaren är operatören. Avtalet upphör, numret återgår. Det står ingenting där om någon väntetid.

Hur länge en operatör väntar frivilligt är upp till operatören. Deutsche Telekom beskriver problemet i sitt eget hjälpforum med anmärkningsvärd uppriktighet. Spärren kan ”vara mellan 1 och 6 månader beroende på operatören”, står det där, och vidare: ”När numret väl frigörs igen tilldelas det till någon ny, som därmed kan få indirekt tillgång till en hel del av dina uppgifter och konton.” Några stycken senare blir inlägget mer konkret. WhatsApp raderar inaktiva konton efter 45 dagar, påpekas det, men det hjälper föga ”om gamla mobilnummer i vissa fall frigörs igen efter 30 dagar”.

Jämförelsen med USA är obekväm. Där föreskriver tillsynsmyndigheten FCC en minimiperiod på 45 dagar, med ett tak på 90 dagar för konsumentkonton. Tyskland har inga sådana bestämmelser i nuläget.

Det handlar inte om brist. I sin översikt över lediga nummerblock listar Bundesnetzagentur, den tyska telekommunikationsmyndigheten, cirka 430 block med vardera en miljon mobilnummer. I slutet av 2025 var, enligt årsrapporten, 106,4 miljoner SIM-profiler i aktiv användning. Den som omfördelar ett nummer gör det av driftsmässiga skäl, inte av nödvändighet.

Vad som mättes i USA

Hittills finns konkreta siffror endast från en enda studie, och den är amerikansk. Kevin Lee och Arvind Narayanan vid Princeton University köpte 259 fritt tillgängliga telefonnummer från Verizon och T-Mobile i augusti och september 2020 och kontrollerade vilka uppgifter som fortfarande var kopplade till dem.

För 171 av dem, 66 procent, fanns åtminstone ett konto från den tidigare ägaren kvar hos Amazon, AOL, Facebook, Google, PayPal eller Yahoo. I en andra omgång tog forskarna över 200 återanvända nummer och övervakade vart och ett av dem under en vecka. 19 nummer, knappt tio procent, mottog säkerhetsrelevanta meddelanden under just den veckan. Sex av dem innehöll engångskoder, bland annat från Apple, Google, Microsoft, Facebook och WhatsApp.

Två förbehåll bör nämnas i detta sammanhang. Undersökningen är sex år gammal och omfattar två amerikanska operatörer. Det finns ingen tysk motsvarighet, varken från BSI, från något universitet eller från någon konsumentorganisation. Å andra sidan valde forskarna medvetet att inte läsa meddelandenas innehåll av hänsyn till de berörda personerna, utan endast avsändarna, och de säger själva att den verkliga andelen sannolikt är högre.

Porting kontrollerar endast vad som finns i varje dataintrång

Den andra vägen till ditt nummer går inte via väntetiden utan via operatören. Vid SIM-swapping utger sig någon för att vara du och får ditt nummer överfört till ett nytt kort.

Hur den kontrollen går till beskrivs av Bundesnetzagentur, den tyska telekommunikationsmyndigheten, på sin egen konsumentportal. Kunderna bör se till att ”dina kunduppgifter stämmer överens hos den tidigare och den nya operatören: namn, adress, födelsedatum och det nummer som ska portas”. Det är hela jämförelsen. Fyra uppgifter, ingen av dem hemlig, och tillsammans förekommer de i varje större dataintrång.

Ingen av de fyra stora tyska operatörerna erbjuder ett bokningsbart nummeröverföringslås. Det som finns är ett lösenord för kundtjänsten, och dess värde varierar kraftigt. Hos o2 har den smidiga vägen avskaffats. På frågan om födelsedatum, adress eller bankuppgifter räcker svarar företaget: ”Det är tyvärr inte möjligt. Från och med den 16 februari 2023 behöver du antingen din personliga kundkod eller PUK-koden för ditt mobilabonnemang.” Hos Deutsche Telekom är kundlösenordet frivilligt och ersätter inte de vanliga uppgifterna, utan kompletterar dem.

Viktigt att notera: SIM-swapping är inget massfenomen i Tyskland. Telekom, 1&1 och Telefónica rapporterade ingen märkbar ökning för 2024, och den federala polismyndigheten BKA samt delstatspolisen i Niedersachsen ser för närvarande ingen större relevans i detta. Poängen är inte hur ofta det händer, utan att insatsen för en riktad attack förblir låg.

Varför drabbar detta just tvåfaktorsinloggningar?

Det irriterande är riktningen. Man ställer in en andra faktor för att stärka sitt konto, och därmed skapar man en reservlösning som är svagare än lösenordet som ligger före den.

BSI, Tysklands federala cybersäkerhetsmyndighet, pekar just på detta i sin utvärdering av 2FA-metoder. När en återhämtningsmekanism med en enda faktor kan ersätta tvåfaktorautentisering kallar myndigheten detta för fundamentalt kritiskt, och den skriver att angripare kan rikta in sig just på denna svaga punkt. Ett sms till ett nummer som inte har varit ditt på två år är en sådan mekanism med en enda faktor.

Här fungerar det bättre att ta bort än att lägga till

Reflexen när det gäller säkerhetsråd är att lägga till ytterligare en åtgärd. Här är det tvärtom.

Gå igenom de konton där pengar, identitet eller din e-postlåda är kopplade och ta bort alla telefonnummer som du inte längre äger. Det gäller Google, Apple, Microsoft, PayPal, Amazon, ditt bankkonto och den sekundära e-postadressen som du inte har tänkt på på flera år. Hos Google hittar du uppgifterna under Säkerhet och sätten att verifiera att det är du, hos Apple i kontoinställningarna under Inloggning och säkerhet.

Ersätt SMS som andra faktor med en autentiseringsapp eller en passnyckel där det går. Båda är kopplade till enheten, inte till numret. Därefter kan du i många tjänster ta bort numret som reservalternativ helt och hållet.

Och om du avregistrerar ett nummer, gör det i denna ordning: logga först ut överallt, sedan avregistrera numret. Om du gör tvärtom riskerar du att bli utelåst från dina konton medan någon annan tar emot koderna.