Cyberpediadoor Brain
NLDEENESFRIT

IMSI-catcher: de valse zendmast

Een nep-basisstation kan zich tussen uw telefoon en het netwerk plaatsen. Wat de bronnen over dit risico zeggen en wat u kunt doen.

In 30 seconden

Waar het gebeurt
Binnen bereik van een nep-basisstation, een apparaat dat het verkeer van een telefoon kan onderscheppen nadat het de telefoon heeft verlaten1.
Wat de aanvaller wil
Zich tussen de telefoon en de bestemming plaatsen om het verkeer vast te leggen, of om de positie te volgen13.
De reflex
Kies apps die hun verkeer versleutelen, wat sommige vormen van onderschepping kan uitsluiten, en houd het systeem up-to-date, want dat bemoeilijkt het registreren van een app als vpn-aanbieder1. Deze twee maatregelen beschermen niet met zekerheid tegen een nep-basisstation.
Als u een gericht doelwit bent
CISA dringt er bij "highly targeted" personen op aan de best practices uit haar gids zonder uitstel toe te passen6.

Waar gaat het over

Dit artikel gaat over het nep-basisstation voor mobiel verkeer, vaak een IMSI-catcher genoemd. De bronnen in het dossier gebruiken die term niet. MITRE ATT&CK rekent een aanvaller die zich tussen twee gekoppelde apparaten plaatst tot de familie "Adversary-in-the-Middle". Als middelen buiten de telefoon noemt MITRE een "rogue base station", dus een vals basisstation, of een vals wifi-toegangspunt1.

Voor een medewerker komt het risico hierop neer: het verkeer wordt onderschept nadat het de telefoon heeft verlaten, op weg naar de bestemming1. Dit artikel houdt zich aan wat de bronnen in het dossier aantonen. Ze beschrijven het algemene principe en de beschermingsmaatregelen, niet de details van elke variant van de apparatuur.

Directe vragen

Wat is een IMSI-catcher?

De bronnen in het dossier gebruiken dit woord niet. Ze spreken van een "rogue base station", een vals basisstation1. MITRE beschrijft de bijbehorende familie van aanvallen: een tegenstander plaatst zich tussen gekoppelde apparaten om verzonden gegevens te manipuleren of een apparaat te verstoren1. De bronnen in het dossier definiëren de IMSI niet, maar laten wel zien dat die van belang is voor spyware: de MITRE-pagina over het opsporen van de netwerkconfiguratie noemt telefonie-identificatoren zoals de IMSI, de IMEI en het telefoonnummer2.

Verbindt mijn telefoon zich met elke zendmast?

De bronnen in het dossier beschrijven niet hoe een telefoon verbinding maakt met een zendmast. Ze gaan dus niet in op het gedwongen terugschakelen naar 2G, noch op de authenticatie tussen telefoon en netwerk. De gids NIST SP 800-187 behandelt de beveiliging van het LTE-netwerk (4G) en de analyse van de dreigingen die erop gericht zijn4. Op basis van de tekst van de pagina valt hier niet meer over te zeggen.

Kan een nep-basisstation mijn berichten lezen?

Dat hangt ervan af of apps hun netwerkverkeer versleutelen. MITRE schrijft dat gevoelige gegevens, als apps hun verkeer goed versleutelen, ontoegankelijk kunnen blijven voor de tegenstander, afhankelijk van de plek waar het verkeer wordt onderschept1. De pagina noemt twee voorzieningen: Application Transport Security bij Apple en Network Security Configuration op Android1.

Kan ik met zo'n hulpmiddel worden gelokaliseerd?

Locatiebepaling hoort bij de doelen van een aanvaller op mobiel. MITRE beschrijft vooral het volgen door schadelijke apps die locatiemachtigingen krijgen3. Een subtechniek op deze pagina heet "Impersonate SS7 Nodes": de aanvaller doet zich voor als knooppunt van het SS7-signaleringsnetwerk. De pagina werkt dit in de opgehaalde tekst niet verder uit3.

1In de huid van de aanvaller1 min

De aanvaller zoekt een positie als tussenpersoon. Volgens MITRE dient die positie voor latere acties, zoals het manipuleren van verzonden gegevens of een denial-of-service op een apparaat1. Een nep-basisstation bereikt die positie buiten de telefoon, aldus de beschrijving van MITRE1.

De identificatie van de simkaart is voor de aanvaller waardevol. Mobiele malware (FakeSpy, SpyDealer, XLoader voor Android) en de groep APT-C-23 staan onder de voorbeelden die MITRE noemt voor het verzamelen van deze identificatoren2. Deze gevallen gaan over apps die op de telefoon zijn geïnstalleerd, niet over een nep-basisstation.

Ook de positie interesseert de aanvaller. MITRE noemt het geval FrozenCell, dat een online dienst voor geolocatie via zendmasten gebruikte om zijn doelwitten te volgen3. Ook hier beschrijft de pagina het gebruik van een online dienst, niet van een nep-basisstation.

2Wat u op het scherm ziet1 min

De bronnen in het dossier beschrijven geen zichtbaar teken dat specifiek bij een nep-basisstation hoort. Ze noemen geen overschakeling van het netwerk naar 2G, geen accu die leegloopt en geen verloren gesprekken of sms'jes. Geen van deze verschijnselen kan dus als vastgestelde aanwijzing worden gepresenteerd.

Toch is er een aandachtspunt bij gesprekken, zonder aangetoond verband met een nep-basisstation. MITRE beschrijft voor Android-apps een tegenstander die zonder toestemming van de gebruiker gesprekken kan opzetten, doorschakelen of blokkeren, bijvoorbeeld om mee te luisteren of om de gesprekken van de eigenaar om te leiden5.

3Onder de motorkapIT-teams1 min

De tekst van MITRE over het onderscheppen van verkeer onderscheidt twee situaties. In de eerste meldt een schadelijke app zich aan als vpn-client om het verkeer van het apparaat om te leiden naar middelen van de tegenstander. Daarvoor is toestemming van de gebruiker nodig op Android en op iOS, en op iOS bovendien een speciale machtiging van Apple1. In de tweede handelt de tegenstander buiten de telefoon, met een vals basisstation of een vals wifi-toegangspunt, en onderschept hij het verkeer onderweg1. Op een lokaal netwerk bestaan andere methoden, zoals ARP-cache-poisoning of DHCP-spoofing1.

Bij de identificatoren heeft Android de toegang aangescherpt. Sinds Android 10 kunnen alleen vooraf geïnstalleerde apps, apps van de provider, de standaard-sms-app en apps van de apparaateigenaar of profieleigenaar telefonie-identificatoren lezen, waaronder de IMSI2. Op iOS is het verzamelen van informatie over de netwerkconfiguratie niet mogelijk zonder root-toegang2.

De beschermingsmaatregelen die MITRE tegen onderschepping noemt zijn van twee soorten: het netwerkverkeer versleutelen en een recente versie van het systeem gebruiken, omdat recente versies het registreren van een app als vpn-aanbieder bemoeilijken1.

4IncidentanalysesEchte gevallen1 min

De bronnen in het dossier melden geen gedateerd en toegeschreven incident met een IMSI-catcher. Twee gedateerde documenten dienen als oriëntatiepunt.

December 2017: de NIST-gids over LTE-beveiliging

NIST publiceerde in december 2017 de definitieve versie van SP 800-187, "Guide to LTE Security"4. Het document beschrijft hoe LTE-netwerken werken en hoe hun beveiligingsarchitectuur eruitziet. Vervolgens analyseert het de dreigingen en de tegenmaatregelen4. De pagina zegt niet dat deze gids over nep-basisstations gaat.

Maart 2026: de CISA-gids over mobiele communicatie

CISA herzag op 13 maart 2026 haar gids met best practices voor mobiele communicatie6. De gids is een reactie op spionageactiviteiten van actoren met banden met staten, in het bijzonder actoren verbonden aan de Chinese overheid die zich richten op commerciële telecominfrastructuur6. Hij richt zich op "highly targeted" personen, zoals hoge functionarissen bij de overheid, het leger of in de politiek6. CISA dringt er bij deze personen op aan de best practices uit de gids zonder uitstel toe te passen6. De pagina noemt geen nep-basisstations.

5De handelingen die tellen1 min

De bronnen in het dossier ondersteunen drie handelingen. De eerste: het systeem bijwerken, omdat recente versies het registreren van een app als vpn-aanbieder bemoeilijken1 en op Android de toegang tot telefonie-identificatoren beperken2. De tweede: apps kiezen die hun verkeer versleutelen, wat sommige vormen van onderschepping kan uitsluiten1. De derde: als uw functie u blootstelt, de CISA-gids lezen en toepassen6. Het uitschakelen van 2G is geen advies dat de bronnen in het dossier toelaten.

Fiche

Identificatie
CP-083
Vleugel
1. Aanvallen en technieken
Brain-competentie
Apparaten beveiligen (secure_devices)
Brain-reflex
cr-050
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
6 bronnen gecontroleerd op 3 november 2026
Bronnen6 bronnen
  1. MITRE ATT&CK, “Adversary-in-the-Middle, Technique T1638 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1638/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “System Network Configuration Discovery, Technique T1422 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1422/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Location Tracking, Technique T1430 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1430/ (geraadpleegd op 3 november 2026)
  4. NIST, “SP 800-187, Guide to LTE Security | CSRC”, 21 december 2017. https://csrc.nist.gov/pubs/sp/800/187/final (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Call Control, Technique T1616 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1616/ (geraadpleegd op 3 november 2026)
  6. CISA, “Mobile Communications Best Practice Guidance | CISA”. https://www.cisa.gov/resources-tools/resources/mobile-communications-best-practice-guidance (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “IMSI-catcher: de valse zendmast”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/imsi-catcher-valse-zendmast/

BibTeX 
@misc{brain_cp083_nl_2026,
  author = {Brain},
  title = {IMSI-catcher: de valse zendmast},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/imsi-catcher-valse-zendmast/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0