Hoe je telefonhacken voorkomt in 2026 — de beveiligingen die echt werken

De korte versie: als je maar drie dingen doet, doe dan deze: (1) schakel automatische OS-updates in zodat bekende kwetsbaarheden worden gepatcht op de dag dat de fix uitkomt, (2) gebruik een wachtwoordmanager met unieke wachtwoorden voor elk account plus op apps gebaseerde tweefactorauthenticatie, en (3) tik niet op links in onverwachte berichten — navigeer in plaats daarvan rechtstreeks naar de site. Alleen die drie gewoonten blokkeren de overgrote meerderheid van echte telefonhacks. Alles hieronder is de volledige beveiligingsstack voor mensen die grondig te werk willen gaan. Als je al gecompromitteerd bent of het vermoedt, begin dan met onze gids voor het detecteren van een gehackte telefoon — dit artikel gaat over preventie, niet over herstel.

De beveiligingsmatrix: wat elke maatregel daadwerkelijk voorkomt

Elke beveiliging hieronder is gekoppeld aan een specifieke aanvalsvector. Het gaat er niet om alles te doen — het gaat erom te begrijpen welke beveiligingen welke bedreigingen aanpakken, zodat je weloverwogen afwegingen kunt maken op basis van jouw risicoprofiel.

Merk het patroon op: de beveiligingen met de grootste impact kosten ook de minste moeite. Automatische OS-updates en een wachtwoordmanager met 2FA kosten minder dan een uur om in te stellen en voorkomen de meerderheid van echte telefoonhacks. De overige maatregelen zijn defense-in-depth — ze zijn de moeite waard, maar ze zijn niet het startpunt.

Wachtwoordhygiëne: de basis die de meeste mensen overslaan

Credential stuffing — wachtwoorden die zijn gelekt bij een datalek gebruiken om in te loggen bij andere diensten — is de veruit meest voorkomende manier waarop accounts worden overgenomen in 2026. Het werkt omdat mensen wachtwoorden hergebruiken. Een analyse van SpyCloud uit 2025 vond dat 64% van de gebruikers wiens gegevens in een datalek verschenen, hetzelfde wachtwoord hergebruikten op ten minste één ander actief account. Aanvallers hoeven je telefoon niet direct te hacken; ze hebben één datalek nodig van een dienst die je hebt gebruikt met hetzelfde wachtwoord, en dan proberen ze die e-mail-wachtwoordcombinatie overal.

De oplossing is een wachtwoordmanager. Apple's iCloud Keychain (ingebouwd in elke iPhone en Mac), 1Password, Bitwarden en Dashlane lossen dit allemaal op dezelfde manier op: ze genereren een uniek, willekeurig wachtwoord voor elk account en vullen het automatisch in wanneer je inlogt. Je onthoudt één hoofdwachtwoord (of gebruikt biometrie); de manager doet de rest. De initiële setup duurt 30–60 minuten terwijl je je bestaande accounts doorloopt en hergebruikte wachtwoorden bijwerkt. Daarna verloopt alles automatisch.

Wat een sterk wachtwoord in 2026 maakt: lengte is belangrijker dan complexiteit. Een willekeurige wachtzin van 16 tekens ("correct-horse-battery-staple"-stijl) is sterker dan "P@$$w0rd!23" omdat brute-force-tijd exponentieel schaalt met lengte. Maar met een wachtwoordmanager hoef je hier niet over na te denken — laat hem een willekeurige string van 20+ tekens genereren voor elke site. Het enige wachtwoord dat je moet onthouden is het hoofdwachtwoord, en dat moet lang, uniek en nooit digitaal opgeschreven zijn.

Controleer of je al bent blootgesteld: Apple's iCloud Keychain en de meeste externe wachtwoordmanagers waarschuwen je nu als een opgeslagen wachtwoord voorkomt in een bekend datalek. Op iPhone ga je naar Instellingen, dan Wachtwoorden, dan Beveiligingsaanbevelingen. Alles wat als "gecompromitteerd" is gemarkeerd, moet onmiddellijk worden gewijzigd. Je kunt ook handmatig controleren op haveibeenpwned.com — deze site wordt beheerd door beveiligingsonderzoeker Troy Hunt en wordt breed vertrouwd in de beveiligingsgemeenschap.

Tweefactorauthenticatie: waarom apps beter zijn dan SMS

Tweefactorauthenticatie (2FA) betekent dat zelfs als een aanvaller je wachtwoord heeft, ze een tweede factor nodig hebben — iets wat je fysiek bezit — om in te loggen. Het is de meest effectieve beveiliging tegen accountovername. Maar niet alle 2FA is gelijk, en het onderscheid is belangrijk omdat het direct beïnvloedt of je beschermd bent tegen SIM-swapaanvallen.

SMS-gebaseerde 2FA stuurt een code naar je telefoonnummer via een sms. Het is beter dan helemaal geen 2FA, maar het is kwetsbaar voor SIM-swapaanvallen (waarbij een aanvaller jouw carrier overtuigt om je nummer over te zetten naar hun SIM-kaart) en SS7-protocolexploits (waarbij de code wordt onderschept op netwerkniveau). Het Cybersecurity and Infrastructure Security Agency (CISA) beveelt phishing-resistente MFA aan, specifiek vanwege deze SMS-kwetsbaarheden.

Op apps gebaseerde 2FA gebruikt een authenticator-app (Google Authenticator, Authy, Microsoft Authenticator, of de ingebouwde TOTP van je wachtwoordmanager) die een op tijd gebaseerde code genereert op het apparaat zelf. De code wordt nooit over het mobiele netwerk verstuurd, dus SIM-swaps en SS7-onderscheppingen zijn niet relevant. De code is gekoppeld aan een cryptografisch zaad dat op je apparaat is opgeslagen — een aanvaller zou fysieke toegang tot je ontgrendelde telefoon nodig hebben om het te stelen.

Hardware-beveiligingssleutels (YubiKey, Google Titan Key) zijn de sterkste optie. Ze vereisen fysieke aanwezigheid — je sluit de sleutel aan of tikt erop tijdens het inloggen. Phishingaanvallen mislukken volledig omdat de sleutel het domein van de site cryptografisch verifieert; een neppe inlogpagina op een phishingdomein triggert de authenticatie niet. Als je een hoogwaardige doelwit bent (journalist, executive, activist, publiek figuur), zijn hardware-sleutels de investering van €25–€50 waard.

Praktische prioriteit: schakel app-gebaseerde 2FA eerst in op je e-mailaccount (e-mail is de hoofdsleutel — de meeste wachtwoordresets verlopen via e-mail), dan je bank, dan je Apple ID of Google-account, dan social media. De meeste grote diensten ondersteunen het nu. De setup duurt ongeveer 5 minuten per account: ga naar de beveiligingsinstellingen van de dienst, kies "authenticator-app", scan de QR-code, voer de verificatiecode in, sla de herstelcodes ergens offline op.

App-machtigingen: de schade beperken

App-machtigingen zijn de toegangscontrolelaag tussen je persoonlijke gegevens en elke app op je telefoon. Een weer-app heeft je contacten niet nodig. Een zaklamp-app heeft je camera niet nodig. Een game heeft je locatie niet nodig. Toch vragen apps routinematig om machtigingen die ze niet nodig hebben — soms voor legitieme (maar onnodige) functietoevoegingen, soms voor gegevensverzameling die advertentietargeting voedt, en af en toe omdat de app ronduit kwaadaardig is.

Het principe is eenvoudig: verleen de minimale machtigingen die nodig zijn voor de kernfunctie van de app, en trek al het andere in. Dit voorkomt geen compromittering, maar het beperkt de schade die ermee gepaard kan gaan. Als een kwaadaardige app geen toegang heeft tot je contacten, microfoon, camera of locatie, kan het geen van die gegevens exfiltreren, zelfs als het kwaadaardige code uitvoert.

Op iPhone: ga naar Instellingen, dan Privacy & beveiliging. Tik op elke categorie — Locatievoorzieningen, Contacten, Agenda's, Foto's, Microfoon, Camera — en controleer welke apps toegang hebben. Gebruik voor locatie "Tijdens gebruik" in plaats van "Altijd" tenzij de app echt achtergrondlocatie nodig heeft (navigatie, fitnesstracking). Gebruik voor foto's "Geselecteerde foto's" in plaats van "Volledige toegang" wanneer de optie verschijnt. Controleer dit elk kwartaal — nieuwe app-updates vragen soms stilzwijgend om aanvullende machtigingen.

Op Android: ga naar Instellingen, dan Privacy, dan Machtigingenbeheer. De indeling varieert per fabrikant, maar het principe is hetzelfde. Android 14+ ondersteunt gedetailleerde fotomachtigingen ("foto's en video's selecteren" in plaats van alle media), eenmalige machtigingen voor camera en microfoon, en automatische intrekking van machtigingen voor apps die je recent niet hebt gebruikt.

De verborgen machtiging om op te letten: "Onbekende apps installeren" op Android (Instellingen, dan Apps, dan Speciale app-toegang, dan Onbekende apps installeren). Als een app deze machtiging heeft ingeschakeld, kan het APK's sideloaden van buiten de Play Store zonder je medeweten. Elke vermelding hier moet "Niet toegestaan" zijn, tenzij je een specifieke, doelbewuste reden hebt. Dit is de gevaarlijkste machtiging op Android omdat het het beoordelingsproces van de Play Store volledig omzeilt.

OS-updates: de exploits patchen die aanvallers daadwerkelijk gebruiken

Dit is de beveiliging met de hoogste impact-inspanningsverhouding. De overgrote meerderheid van technische exploits die in 2026 worden gebruikt om telefoons te compromitteren, zijn gericht op kwetsbaarheden die al zijn gepatcht — de aanval werkt omdat het doelwit de update niet heeft geïnstalleerd. Apple en Google publiceren beiden beveiligingsbulletins bij elke OS-update met een overzicht van precies welke kwetsbaarheden zijn gepatcht; velen bevatten de opmerking "Apple is aware of a report that this issue may have been actively exploited" — wat betekent dat aanvallers het al in het wild gebruikten voordat de patch uitkwam.

Op iPhone: ga naar Instellingen, dan Algemeen, dan Software-update, dan Automatische updates. Zet elk schakelaar aan — "iOS-updates downloaden", "iOS-updates installeren" en "Beveiligingsreacties & systeembestanden". Rapid Security Responses, geïntroduceerd in iOS 16, zijn kleinere patches die Apple kan uitsturen tussen volledige OS-releases door om actief misbruikte kwetsbaarheden aan te pakken. Ze installeren in minder dan een minuut en vereisen geen volledige updatecyclus.

Op Android: ga naar Instellingen, dan Systeem, dan Systeemupdate en controleer handmatig op updates. Controleer ook Instellingen, dan Beveiliging, dan Google Play-systeemupdate voor maandelijkse beveiligingspatches. Het Android-beveiligingspatchniveau (zichtbaar in Instellingen, dan Over de telefoon, dan Android-beveiligingspatchniveau) moet binnen de laatste 1–2 maanden liggen. Als de fabrikant van je telefoon is gestopt met het leveren van beveiligingsupdates voor jouw apparaatmodel (doorgaans na 3–4 jaar), stapelt die telefoon elke maand niet-gepatchte kwetsbaarheden op. Dit is een eerlijke en ongemakkelijke waarheid: een oude Android-telefoon die geen beveiligingsupdates meer ontvangt, vormt een groeiend risico, en de enige echte oplossing is de hardware upgraden.

Vergeet app-updates niet: apps hebben ook kwetsbaarheden. Schakel automatische app-updates in de App Store in (Instellingen, dan App Store, dan App-updates) of Play Store (Play Store, dan je profiel, dan Instellingen, dan Netwerkvoorkeuren, dan Apps automatisch updaten). Browser- en berichtenapps zijn bijzonder kritiek omdat ze niet-vertrouwde inhoud van het internet verwerken.

Beveiliging op netwerkniveau: bedreigingen blokkeren voordat ze je apparaat bereiken

Alles wat we tot nu toe hebben besproken, gaat over het versterken van het apparaat zelf en je gedrag. Beveiliging op netwerkniveau voegt een externe laag toe die bedreigingen onderschept op infrastructuurniveau — verbindingen met bekende kwaadaardige domeinen blokkeren voordat je telefoon de inhoud ooit verwerkt. Dit is van belang omdat het de kloof aanpakt tussen het verzenden van een phishinglink naar jou en jouw beslissing om erop te tikken.

Hoe DNS-filtering werkt als beveiliging: elke app en website waarmee je telefoon verbinding maakt, begint met een DNS-opzoek — een domeinnaam omzetten naar een IP-adres. DNS-filtering onderschept deze opzoekopdrachten en weigert domeinen te resolven die op lijsten van bekende kwaadaardige sites staan: phishingdomeinen, malware-command-and-control-servers, pas geregistreerde domeinen met kenmerken die overeenkomen met aanvalsinfrastructuur, en tracker/ad-domeinen die de gedetailleerde profielen opbouwen die social engineers gebruiken voor gerichte aanvallen.

Waarom een VPN extra bescherming biedt: DNS-filtering alleen laat je verkeer onversleuteld op het netwerk waarop je bent verbonden. Op je thuisnetwerk en mobiele verbinding is dat meestal prima. Op een koffiezaak-WiFi, luchthavenetwerk of hotelhotspot zijn je DNS-verzoeken en verkeersmetadata zichtbaar voor degene die het netwerk beheert. Een VPN-tunnel versleutelt alles — zodat vijandige netwerken je DNS-verzoeken niet kunnen waarnemen, geen captive-portal-phishingpagina's kunnen injecteren of verkeersanalyse kunnen uitvoeren.

Casper's Cloak combineert beide lagen: een WireGuard VPN-tunnel voor versleuteling, DNS-filtering van bekende kwaadaardige en tracker-domeinen, en AI-gebaseerde bedreigingsdetectie die nieuw geziene domeinen evalueert aan de hand van machine learning-modellen getraind op phishingpatronen. De AI-laag pakt de kloof aan tussen een zero-day-phishingdomein dat live gaat en het verschijnen op statische blokkerlijsten — wat uren tot dagen kan zijn. Tracker-blokkering vermindert de gegevensverzameling die de gedetailleerde profielen voedt die aanvallers gebruiken voor gerichte social engineering.

Wat beveiliging op netwerkniveau niet doet: het scant geen bestanden op je apparaat, het detecteert geen stalkerware, het voorkomt niet dat je je wachtwoord invoert op een phishingpagina die je al hebt geladen, en het beschermt niet tegen aanvallen via fysieke toegang. Het is één laag in de beveiligingsstack — de laag die bedreigingen onderschept op de netwerkperimeter. Het werkt samen met, maar vervangt niet, de apparaatniveau- en gedragsbeveiligingen hierboven.

SIM-vergrendeling en carriersbeveiliging: de SIM-swap-vector afsluiten

SIM-swapaanvallen zijn aanzienlijk toegenomen sinds 2022 omdat ze de meest voorkomende vorm van 2FA (SMS-codes) volledig omzeilen. De aanval werkt door je carrier — via social engineering, een omgekochte medewerker, of het exploiteren van zwakke accountbeveiliging — te overtuigen om je telefoonnummer over te zetten naar een SIM-kaart die de aanvaller beheert. Zodra ze je nummer hebben, ontvangen ze je SMS-2FA-codes en kunnen ze wachtwoorden op je accounts resetten.

De directe beveiliging: bel je carrier en stel een sterk account-PIN of wachtzin in. Dit is een beveiligingscredential los van de toegangscode van je telefoon — het is vereist voordat de carrier accountwijzigingen doorvoert, inclusief SIM-overdrachten. Maak het iets dat niet geraden kan worden op basis van openbaar beschikbare informatie (niet je geboortedatum, niet de laatste vier van je BSN). Elke grote Nederlandse carrier biedt dit aan.

SIM-vergrendeling / nummervergrendeling functies: sommige carriers bieden SIM-bescherming die voorkomt dat je nummer wordt overgedragen zonder verificatie van je identiteit in de winkel. Schakel dit in — het voegt weerstand toe die de onopgeleide SIM-swap-pogingen blokkeert. Merk op dat deze beschermingen niet absoluut zijn tegen insiderbedreigingen (een gecompromitteerde carriermedewerker), maar ze stoppen de social engineering-aanvallen die de meerderheid van SIM-swaps vormen.

De diepere oplossing: stap helemaal over van SMS-gebaseerde 2FA. Als je accounts authenticator-apps gebruiken, geeft een SIM-swap de aanvaller je 2FA-codes niet omdat de codes worden gegenereerd op je apparaat, niet verstuurd naar je telefoonnummer. Dit is waarom de bovenstaande sectie over op apps gebaseerde 2FA belangrijk is — het maakt SIM-swapbeveiliging structureel in plaats van afhankelijk van carriersbeveiliging.

Phishing vermijden: de gedragsbeveiliging die de #1-aanvalsvector blokkeert

Phishing — je verleiden tot het tikken op een link die leidt naar een neppe inlogpagina, kwaadaardige download of exploitkit — blijft in 2026 de nummer-één manier waarop telefoons worden gecompromitteerd. Het is ook de moeilijkste vector om puur met technologie tegen te verdedigen omdat het menselijk oordeel exploiteert, niet softwarekwetsbaarheden. AI-gegenereerde phishing in 2026 is aanzienlijk beter dan twee jaar geleden: de spelfouten zijn verdwenen, de branding is pixelperfect, en de verhaaltjes zijn contextueel relevant (verwijzing naar een echt pakket dat je verwacht, een echte bank die je gebruikt, of een echt evenement in jouw omgeving).

De meest effectieve gedragsverandering: tik nooit op links in onverwachte berichten. Als je een sms ontvangt over een pakketbezorging, een bankwaarschuwing of een accountbeveiligingsprobleem — en je verwachtte het specifiek niet — tik dan niet op de link. Open in plaats daarvan de app of website rechtstreeks (typ de URL of gebruik een bladwijzer) en kijk daar. Dit werkt omdat de aanvaller je nodig heeft om hun domein te bezoeken (dat het legitieme nabootst); als je direct naar het echte domein navigeert, mislukt de aanval volledig.

Waarschuwingssignalen die in 2026 nog steeds werken: urgentiedruk ("je account wordt binnen 24 uur geblokkeerd"), verzoeken om informatie die het echte bedrijf al heeft (vragen om je volledige rekeningnummer te "verifiëren"), links die URL-verkorters of lookalike-domeinen gebruiken (faceb00k.com, arnazon.com, app1e-support.com), en elk bericht dat je vraagt een app of profiel te installeren van buiten de officiële app store.

Wat technologie kan toevoegen: phishingdetectie op netwerkniveau blokkeert verbindingen met bekende phishinginfrastructuur voordat je browser de pagina laadt. Dit vangt de phishingsites op die al zijn geïdentificeerd — maar nieuwe phishingdomeinen worden voortdurend geregistreerd, en er is altijd een venster tussen het live gaan van een domein en het verschijnen op blokkerlijsten. ML-gebaseerde classificatie (zoals Casper's AI-bedreigingsdetectie) verkleint dat venster door domeinen te markeren die phishingkenmerken vertonen, zelfs als ze nog niet zijn gemeld. Maar geen enkele technologie is 100% — de gewoonte "tik niet op onverwachte links" blijft de sterkste beveiliging tegen phishing omdat het niet afhankelijk is van detectienauwkeurigheid.

De complete preventielijst

Hier is de volledige stack, in volgorde van prioriteit. De eerste drie items zijn de minimale effectieve dosis. Alles eronder is defense-in-depth dat het risico verder vermindert.

1. Schakel automatische OS- en app-updates in. Op iOS: Instellingen, dan Algemeen, dan Software-update, dan Automatische updates — alle schakelaars aan. Op Android: Instellingen, dan Systeem, dan Systeemupdate, plus schakel automatisch updaten in de Play Store in. Dit patcht de exploits waarop malware vertrouwt.
2. Gebruik een wachtwoordmanager met unieke wachtwoorden voor elk account. iCloud Keychain, 1Password of Bitwarden. Ga naar Instellingen, dan Wachtwoorden, dan Beveiligingsaanbevelingen en herstel elke gemarkeerde credential. Dit verslaat credential stuffing.
3. Schakel op apps gebaseerde 2FA in op kritieke accounts. E-mail eerst, dan bank, dan Apple ID / Google-account. Gebruik Google Authenticator, Authy of de TOTP van je wachtwoordmanager. Dit verslaat accountovername zelfs met een gecompromitteerd wachtwoord.
4. Tik niet op links in onverwachte berichten. Navigeer in plaats daarvan rechtstreeks naar de site. Dit blokkeert de primaire phishingvector.
5. Stel een carrier-account-PIN in en schakel SIM-beveiliging in. Bel je carrier. Dit blokkeert SIM-swapaanvallen.
6. Controleer app-machtigingen elk kwartaal. Instellingen, dan Privacy & beveiliging op iOS; Instellingen, dan Privacy, dan Machtigingenbeheer op Android. Trek onnodige toegang in.
7. Installeer apps alleen vanuit officiële stores. Controleer op Android of "Onbekende apps installeren" is uitgeschakeld voor alle apps.
8. Gebruik beveiliging op netwerkniveau. Een VPN-gebaseerd DNS-filter (Casper's Cloak, AdGuard of NextDNS) blokkeert kwaadaardige domeinen, versleutelt verkeer op openbaar WiFi en vermindert tracker-profilering.
9. Gebruik een sterk apparaatwachtwoord plus biometrie. Minimaal 6 cijfers; alfanumeriek is beter. Schakel Face ID of vingerafdruk in. Schakel op iOS Gestolen apparaatbeveiliging in.
10. Schakel automatisch verbinden met openbare WiFi-netwerken uit. Op iOS: Instellingen, dan Wi-Fi, dan Vraag om verbinding te maken ingesteld op "Vragen". Dit voorkomt dat je telefoon automatisch verbinding maakt met malafide netwerken.
11. Schakel versleutelde back-ups in. Op iOS: schakel Geavanceerde gegevensbescherming in voor iCloud (Instellingen, dan je naam, dan iCloud, dan Geavanceerde gegevensbescherming). Op Android zijn versleutelde back-ups standaard als een schermvergrendeling is ingesteld.

Wat preventie niet kan doen — en wat te doen als het mislukt

Geen enkele beveiligingsstack is absoluut. Zero-day-exploits — kwetsbaarheden die nog niet zijn gepatcht omdat ze nog niet zijn ontdekt — bestaan en worden actief verhandeld. Aanvallers van natiestaten met budgetten voor commerciële spyware (Pegasus, Predator) kunnen telefoons compromitteren zonder gebruikersinteractie. Insiderbedreigingen bij carriers, cloudproviders of appbedrijven kunnen gegevens blootstellen ongeacht je apparaatbeveiliging. Deze bedreigingen zijn reëel, maar ze zijn gericht — ze zijn gericht op specifieke hoogwaardige individuen, niet willekeurig verspreid.

Voor de overgrote meerderheid van mensen pakt de bovenstaande preventiestapel de aanvalsvectoren aan die daadwerkelijk verantwoordelijk zijn voor echte compromitteringen. Als je een journalist bent die werkt aan gevoelige verhalen, een politieke activist in een autoritair land, of een executive bij een bedrijf dat hoogwaardige IP beheert, is je dreigingsmodel anders en moet je de NIST-cybersecuritybronnen raadplegen of een professionele beveiligingsbeoordeling laten uitvoeren.

Als preventie mislukt en je vermoedt dat je telefoon is gecompromitteerd, doorloopt onze gids voor het detecteren van een gehackte telefoon het diagnostische proces: welke symptomen daadwerkelijk wijzen op een hack (versus normaal gedrag dat er verdacht uitziet), wat je stap voor stap moet doen, en wanneer een fabrieksreset gerechtvaardigd is.

Conclusie

Telefonhacken voorkomen in 2026 gaat niet over alles doen — het gaat over de juiste dingen doen in volgorde van prioriteit. Automatische OS-updates patchen de exploits die malware gebruikt. Een wachtwoordmanager met unieke wachtwoorden verslaat credential stuffing. Op apps gebaseerde 2FA verslaat accountovername zelfs als wachtwoorden uitlekken. Niet tikken op onverwachte links blokkeert de primaire phishingvector. Filtering op netwerkniveau blokkeert kwaadaardige infrastructuur voordat deze je apparaat bereikt. Deze vijf lagen, geïmplementeerd in minder dan een uur, pakken de aanvalsvectoren aan die verantwoordelijk zijn voor de overgrote meerderheid van echte telefoonhacks.

De overige beveiligingen — SIM-vergrendeling, machtigingscontroles, versleutelde back-ups, sterke wachtwoorden — zijn defense-in-depth. Ze zijn van belang, de moeite waard, en ze verminderen het resterende risico. Maar als je zoekt naar de maximale beveiligingsverbetering met de minimale tijdsinvestering, zijn de eerste vijf items op de lijst de sleutelstappen.