Sebastian Juul
När du lämnar tillbaka ditt nummer till operatören hamnar det snart hos en helt okänd person.
Och är dina konton inte uppdaterade kan den nya ägaren börja ta emot SMS-koder, återställningsmejl och verifieringar som egentligen ska gå till dig. I Sverige är följderna extra kännbara eftersom både BankID och Swish är kopplade direkt till just telefonnumret.
Problemet har tydligt dokumenterats i en studie från Princeton University av forskarna Kevin Lee och Arvind Narayanan. De provade 259 nummer som operatörer gjort tillgängliga för nya kunder och fann att 215 av dem, drygt åtta av tio, fortfarande var sammankopplade med den tidigare ägarens konton eller personuppgifter.
Forskarna satte också upp en honungsfälla med 200 återanvända nummer och övervakade dem under en vecka. 19 av numren tog in känslig kommunikation som var tänkt för den föregående ägaren, bland annat autentiseringskoder och samtal från apotek.
Så gör operatörerna med numret du släpper
Ett mobilnummer försvinner inte när du säger upp abonnemanget eller låter kontantkortet gå ut. Enligt tech-sajten Make Tech Easier tillämpar operatörer i regel en karens på 45 till 90 dagar innan ett nummer åter sätts ut i omlopp till en ny kund.
I Sverige är mönstret liknande. Telia stänger till exempel av ett kontantkort automatiskt efter tolv månader utan samtal, sms eller påfyllning, och efter en månads paus tas numret bort och kan tilldelas en ny ägare. Resultatet är att ditt gamla nummer kan börja ringa i någon annans ficka innan du ens tänkt på vilka konton som fortfarande är knutna till det.
Varför det slår hårdare mot svenskar
Den svenska digitala ekonomin vilar i stor utsträckning på att telefonnumret är din identitet. Byter du telefon utan att göra rätt saker riskerar du både konton och pengar, ett mönster som belyses i en guide från Dagens.se om vad man måste komma ihåg med BankID och Swish inför ett telefonbyte.
Det räcker inte att radera appen från den gamla telefonen. BankID ska spärras hos banken eller via den officiella spärrtjänsten, och Swish måste aktivt kopplas bort från det nummer du släpper. Gör du inte det riskerar nästa innehavare av numret att ta emot inloggningskoder, och i värsta fall försök att återställa inloggningar till konton där du angivit mobilnumret för tvåstegsverifiering.
Betaltjänsten lägger till ytterligare en risk. Att en felaktig överföring sker till ett gammalt nummer som nu tillhör någon annan är ett konkret problem: eftersom Swish bekräftas med BankID finns ingen ångerrätt, och banken kan som regel inte dra tillbaka pengarna åt dig.
Tre konton du bör gå igenom direkt
Innan du släpper ett nummer, eller om det redan är försent och du vill veta vilken exponering du har, gå igenom åtminstone dessa tre områden.
Bank och BankID. Spärra det gamla mobila BankID aktivt via banken eller spärrtjänst, och se till att Swish är avregistrerat på det nummer du inte längre äger. Kontrollera också vilket nummer banken har registrerat för SMS-koder och andra bekräftelser.
Mejl och molntjänster. Googlekonton, Microsoft-konton, Apple-ID och liknande använder ofta telefonnumret för kontoåterställning. Byt det till det nya numret, eller, ännu bättre, gå över till en autentiseringsapp som genererar engångskoder på själva enheten, så kallad TOTP, eller till passkeys som bygger på den enhet du har med dig.
Sociala konton och meddelandetjänster. WhatsApp raderar inaktiva konton efter 120 dagar enligt Make Tech Easier, men andra tjänster behåller kopplingen mycket längre. Logga in och uppdatera numret i Facebook, Instagram, LinkedIn och liknande. Säljer du dessutom din gamla telefon måste rensningen också göras rätt, så att SIM-kort och inloggade konton inte följer med.
Så minskar du beroendet av numret på sikt
Grundproblemet som Princeton-forskarna pekade på är att mobilnumret aldrig var tänkt som en identitetsnyckel, men används som en sådan. Operatörerna kontrollerar vem som sitter på numret just nu, medan bankerna och tjänsterna lever i tron att det är samma person som förra året.
Make Tech Easier rekommenderar därför att man helt undviker SMS-baserad tvåstegsverifiering där det går, och i stället använder en autentiseringsapp eller passkeys. För tjänster som fortfarande kräver SMS är det värt att vara snål med vilket nummer man uppger, och att regelbundet gå igenom vilka konton numret egentligen är kopplat till.
Ska du byta operatör eller säga upp ett abonnemang: lägg en halvtimme på att gå igenom bank, mejl och sociala konton innan du gör det. Det är den billigaste försäkringen mot att en främling om några månader står med nycklarna till ditt digitala liv.
