MFA via sms: waarom sms-codes niet meer volstaan (en wat je in 2026 wél gebruikt)

Multifactorauthenticatie (MFA) staat inmiddels bij de meeste bedrijven aan. Dat is goed nieuws. Maar “MFA staat aan” zegt weinig over hoe goed je beveiligd bent, want de ene tweede stap is de andere niet. De variant die het vaakst in gebruik is — een code van zes cijfers via sms — is inmiddels de zwakste die je nog kunt kiezen. En MFA via sms is precies de variant die het snelst aan waarde verliest.

Dat is geen theoretisch bezwaar. Aanvallers hebben er in de praktijk drie werkende routes omheen, en geen daarvan vraagt een technisch hoogstandje. Wie vandaag nog op sms leunt voor de mailbox van de directie of het account van de administratie, heeft een slot op de deur dat met wat geduld opengaat.

In welke vorm van MFA het veiligst is zetten we de methodes naast elkaar, en in het stappenplan voor het uitrollen van MFA lees je hoe je het bedrijfsbreed invoert. Dit artikel gaat over iets specifiekers: waarom je van sms af moet, en hoe je die overstap maakt zonder dat je team ertegenin gaat.

Wat sms wél deed — en waarom dat nu te weinig is

Sms-codes hebben jarenlang goed werk geleverd: simpel uit te leggen, werkt op elke telefoon, geen installatie nodig. Voor bedrijven die van “alleen een wachtwoord” kwamen, was het een grote stap vooruit. Het probleem is dat sms nooit is ontworpen als beveiligingskanaal. Het is een berichtendienst uit het tijdperk van de telefoon met knopjes, opgebouwd rond de aanname dat een telefoonnummer bij één persoon hoort. Die aanname klopt niet meer. Een nummer is tegenwoordig iets dat je meeneemt, laat overzetten en — als iemand goed genoeg liegt tegen een klantenservice — kunt kwijtraken.

Daar komt bij dat de code zelf het zwakke punt is. Alles wat je kunt overtypen, kun je ook op de verkeerde plek overtypen. Dat geldt voor sms, maar net zo goed voor de cijfers uit een authenticator-app. Precies daar zit het verschil met de methodes die verderop aan bod komen.

Drie manieren waarop een sms-code wordt omzeild

1. Je nummer wordt overgezet (SIM-swap)

Bij een SIM-swap belt of chat iemand met de klantenservice van een provider en doet zich voor als jou. Het verhaal: telefoon kwijt, nieuwe simkaart nodig, of het nummer moet mee naar een andere aanbieder. Lukt dat, dan valt jouw toestel stil en komen alle sms-berichten — inclusief je inlogcodes — binnen bij de aanvaller.

Hier is geen hacksoftware voor nodig, alleen overtuigingskracht en wat gegevens over jou die vaak gewoon online staan. Het waarschuwingssignaal is bovendien makkelijk te missen: je telefoon heeft “ineens geen bereik”, en op een drukke dag denkt niemand dan aan fraude. Wat je er wél tegen kunt doen: vraag bij je provider of er een extra controle op nummerbehoud kan, en behandel plotseling verlies van bereik als iets om binnen tien minuten na te trekken. Raakt een toestel kwijt, dan hoort de vaste route bij een kwijtgeraakte telefoon of laptop direct in werking te treden.

2. De code wordt live doorgegeven (realtime phishing)

Dit is de route die je het vaakst zult tegenkomen. Een medewerker klikt op een nette nepmail, komt op een inlogpagina die niet van echt te onderscheiden is, en vult gebruikersnaam, wachtwoord én de sms-code in. De nepsite geeft die gegevens op hetzelfde moment door aan de echte dienst. De aanvaller is binnen voordat de code verlopen is.

Belangrijk: dit werkt precies zo bij codes uit een authenticator-app. Elke methode waarbij een mens iets overtypt, is hiervoor gevoelig. Kant-en-klare gereedschapskisten hiervoor circuleren al jaren, dus dit is geen aanval die alleen grote bedrijven treft. Zie ook de onverwachte routes waarlangs aanvallers accounts binnenkomen.

3. De telefoon zelf leest mee

De derde route loopt via het toestel van de medewerker. Een app met te ruime rechten die berichten mag lezen, een telefoon die al jaren geen updates meer krijgt, of een nepbericht dat om installatie van “een beveiligingsapp” vraagt: in al die gevallen komt de code binnen bij iemand anders. Hoe zulke berichten er in de praktijk uitzien, lees je in ons artikel over smishing en nepberichten via sms.

Uit de praktijk: een vrijdagmiddag bij een handelsbedrijf

Een handelsbedrijf met 34 medewerkers had MFA netjes aan staan, voor iedereen, via sms. Op een vrijdagmiddag viel de telefoon van de crediteurenadministratie stil. Geen bereik, dacht ze, en ze werkte door via de vaste lijn. Maandagochtend bleek dat haar nummer op vrijdag was overgezet naar een andere provider, dat er in het weekend was ingelogd op haar mailbox, en dat er vanuit die mailbox twee betaalverzoeken met gewijzigde rekeningnummers naar klanten waren gegaan.

Één daarvan is betaald. Dat het bij dat ene bleef, kwam doordat een klant belde om iets na te vragen — niet doordat er een controle aansloeg. Wat ontbrak was niet MFA, want dat stond aan. Wat ontbrak was een tweede stap die niet aan een telefoonnummer hangt, en de afspraak dat “mijn telefoon doet raar” een melding is en geen ergernis. Voor de rest van die keten helpt het beveiligen van je zakelijke e-mail in zes stappen.

Wat je in plaats van sms gebruikt

Passkeys: de standaardkeuze voor de meeste teams

Een passkey is een digitale sleutel die op je telefoon of laptop staat en die je ontgrendelt met je vingerafdruk, gezicht of pincode. Er is geen code om over te typen en dus niets om door te geven. De sleutel werkt bovendien alleen op de échte website: staat je medewerker op een nepdomein, dan gebeurt er simpelweg niets. Daarmee valt de belangrijkste aanvalsroute weg.

Passkeys worden ondersteund door Microsoft 365, Google Workspace en de meeste zakelijke diensten. Wat ze precies zijn lees je in wat zijn passkeys; over de stand van zaken schreven we in passkeys in 2026.

Een hardwaresleutel voor de accounts die het meeste kunnen kosten

Voor beheerdersaccounts, directie en financiën is een fysieke sleutel — een klein apparaatje dat je in een usb-poort steekt of tegen je telefoon houdt — de stevigste optie. Dezelfde techniek als een passkey, maar losgekoppeld van het toestel. Reken op zo’n 25 tot 60 euro per sleutel en schaf er per gebruiker twee aan: één in gebruik, één in de kluis. Dat tweede exemplaar is geen luxe maar je herstelroute.

Een authenticator-app met nummerkoppeling

Kan een passkey nog niet overal, dan is een authenticator-app de logische tussenstap. De code wordt op het toestel zelf gemaakt en gaat niet over het telefoonnetwerk, waarmee SIM-swap van tafel is. Zet wel nummerkoppeling aan: bij het goedkeuren moet de gebruiker een getal van het inlogscherm overnemen in de app. Dat voorkomt dat iemand op de automatische piloot op “ja” tikt bij een verzoek dat hij niet zelf startte — de aanval die we beschrijven in wat is push bombing.

En sms dan?

Sms blijft beter dan niets. Voor een account dat weinig kan — een leveranciersportaal met alleen prijslijsten — is het te verdedigen. Voor e-mail, boekhouding, bankieren, je klantsysteem en alles met beheerrechten is het dat niet meer.

Zo stap je over zonder chaos

Valt je organisatie onder de Cyberbeveiligingswet, de Nederlandse invulling van NIS2, dan hoort passende toegangsbeveiliging bij je zorgplicht — en krijg je die vraag vroeg of laat ook van grote klanten. Maar ook zonder die verplichting is dit een van de goedkoopste verbeteringen die je kunt doen.

1. Begin bij wat het meeste kan kosten. Beheerdersaccounts, e-mail, boekhouding en bankieren eerst. Dat is meestal een handvol mensen, en daar zit het grootste deel van het risico.
2. Kies één standaardmethode en één terugvaloptie. Bijvoorbeeld: passkey als standaard, authenticator-app als terugval. Drie methodes naast elkaar levert vooral verwarring en helpdesktickets op.
3. Regel herstel vóór de overstap. Wat doet iemand als de telefoon in het water valt? Leg dat vast, inclusief een noodaccount dat niet aan één persoon hangt. Doe je dit achteraf, dan sta je een keer buiten je eigen omgeving.
4. Zet sms daarna echt uit. Dit is de stap die het vaakst wordt overgeslagen. Zolang sms als methode beschikbaar blijft, kan een aanvaller die route gewoon kiezen. Een passkey toévoegen naast sms verbetert dus weinig.
5. Leg het vast en kijk elk kwartaal terug. Welke accounts hangen nog aan sms, welke uitzonderingen zijn er, en gelden die nog? Doe dit samen met de afweging uit veilig inloggen zonder productiviteitsverlies.

Wat je onderweg tegenkomt

• Privételefoons. Niet iedereen wil bedrijfssoftware op een eigen toestel, en dat kun je ook niet zomaar afdwingen. Een hardwaresleutel is dan het nette alternatief. Zie ook onze uitleg over BYOD soepel én veilig regelen.
• Systemen die alleen sms kennen. Die bestaan nog, vooral bij oudere branchesoftware en bij sommige banken. Zet dan de rest wél om, beperk wie erbij kan, en zet het op je lijst met leveranciersvragen.
• Buitendienst zonder bereik. Juist daar zijn een authenticator-app en passkey handiger dan sms: die werken ook zonder signaal.
• Externen en tijdelijke krachten. Zzp’ers en interimmers vallen vaak buiten de uitrol. Neem ze mee, en regel meteen hoe je hun toegang weer intrekt.

Veelgestelde vragen

Is een authenticator-app genoeg, of moet het per se een passkey zijn?

Een authenticator-app met nummerkoppeling is een duidelijke verbetering: SIM-swap werkt niet meer en de code verlaat het toestel niet. Maar tegen een goed nagemaakte inlogpagina helpt hij niet, want de gebruiker typt de cijfers dan gewoon over. Voor beheerders, directie en financiën is een passkey of hardwaresleutel daarom de betere keuze. Voor de rest van het team is de app een prima tussenstap.

Wat doe ik met een systeem dat alleen sms ondersteunt?

Dan accepteer je dat bewust en beperk je de schade: geef zo min mogelijk mensen toegang, gebruik daar een uniek wachtwoord uit een wachtwoordmanager en houd het account in de gaten. Zet het tegelijk op je lijst met vragen aan die leverancier — bij de volgende verlenging is dit een reëel gespreksonderwerp.

Mag ik verplichten dat medewerkers een app op hun privételefoon zetten?

Dat ligt gevoeliger dan het lijkt. Je kunt van een medewerker niet zomaar eisen dat hij zijn eigen toestel voor werk inzet. In de praktijk los je het op met een keuze: een app op de eigen telefoon, óf een hardwaresleutel van de zaak. Zorg dan wel dat die tweede optie echt beschikbaar is en niet alleen op papier bestaat. Wij zijn geen juristen; leg de afspraak vast in je personeelsregeling.

Wat kost deze overstap?

Voor de meeste MKB-bedrijven verrassend weinig. Passkeys en authenticator-apps zitten in de licenties die je waarschijnlijk al hebt. De echte kosten zitten in de uitrol: uitleg, een halfuur per medewerker en een paar weken waarin de helpdesk wat vaker gebeld wordt. Hardwaresleutels zijn de enige echte uitgave, en die koop je alleen voor de accounts waar het om gaat. Neem het mee in je ritme van security-training, dan landt het meteen goed.

Is 2FA hetzelfde als MFA?

In de praktijk gebruiken mensen 2FA en MFA door elkaar. Beide termen gaan over dezelfde authenticatie: MFA is alleen het bredere begrip. 2FA betekent precies twee stappen, je wachtwoord plus één tweede factor; bij MFA kunnen dat er ook drie zijn. Voor de meeste bedrijven komt het op hetzelfde neer, namelijk een extra beveiligingslaag over het wachtwoord heen. Belangrijker dan de term is welke factor je kiest, want daar zit het verschil.

Waar beschermen sms-codes je dan nog wél tegen?

Tegen het simpelste scenario: iemand heeft alleen je wachtwoord en verder niets. Zo beginnen de meeste aanvallen nog altijd, dus sms is beter dan niets. Het voegt alleen weinig toe zodra de code onderweg wordt onderschept of live wordt doorgegeven. Zie het als een slot dat de gelegenheidsdief tegenhoudt, niet als beveiliging waar je je belangrijkste accounts op wilt laten rusten.

Werkt een authenticator ook als de smartphone geen bereik heeft?

Ja. Een authenticator, zoals die van Microsoft, maakt de code op het toestel zelf aan. Zonder mobiel netwerk of wifi werkt dat gewoon door. Dat is meteen een praktisch voordeel ten opzichte van sms: geen wachten op een berichtje dat je niet krijgt. Wel handig om te weten hoe je een nieuw toestel koppelt voordat het oude de deur uit gaat.

Twijfel je of jouw tweede stap nog voldoet? We kijken graag mee welke accounts nog aan sms hangen en wat er nodig is om dat netjes om te zetten — zonder dat je team er dagelijks last van heeft. Bel 030-7115791 of mail info@okayict.nl.