Criminele hackers Odido publiceren alle klantgegevens

en dan doen alsof dit “een IT-issue” is… kwantumfysica toont aan dat info nooit echt weg is: zodra je je NAW+bankdata in zo’n klantportal stopt, zit het al in een verstrengeld netwerk van backups, logs en derde partijen en kan één lek het hele pakket laten instorten naar openbaar. die €75 en een jaartje credit-monitoring is lachwekkend, je identiteit blijft gewoon jaren resoneren in dat dataveld en elke phisher kan er op tunen alsof het een radiozender is.

Wat mij opvalt: Odido doet nu heel stoer met “wachtwoorden reset” en 2FA voor zakelijk, maar als bankrekening- en kaartnummers al rondzwerven heb je daar als klant dus precies niks aan; dat is geen IT-issue meer, dat is een financieel risico dat je jaren blijft achtervolgen. En die €75 is echt een fooi vergeleken met de tijd die je kwijt bent aan nieuwe passen, blokkades, extra alertheid, mogelijk zelfs adresfraude… laat ze dan tenminste standaard helpen met een nieuwe IBAN-check/waarschuwingsservice en niet alleen een marketing-achtig jaartje credit-monitoring. trouwens: “GDPR” in een NL-artikel blijft gewoon AVG; het leest alsof het rechtstreeks uit een Engelstalig persbericht is geknipt.

Even rekenen: als er echt bankrekening- én kaartnummers in die dump zitten, dan is €75 “compensatie” gewoon een grapje voor de bühne, want één keer nieuwe passen/gedoe en je bent al meer kwijt aan tijd dan aan geld. En dat Odido in november riep “beperkt” en “geen financiële info” betekent óf ze wisten het niet (lekker dan) óf ze speelden woordspelletjes omdat het toen nog niet op straat lag. 2FA voor zakelijk is ook zo’n klassieker: dus particulieren mogen nog even als proefkonijn door, tot de AP boos kijkt?

het probleem is dat telecoms nog steeds doen alsof klantdata “bijzaak” is, terwijl ze met simswap en nummerportering feitelijk een stuk digitale infrastructuur beheren waarmee je bij iemands bank/overheid naar binnen kan; als die dataset + medewerkerlogins rondzwerven, kun je dus morgen al MFA via sms omzeilen en accounts kapen zonder één euro van die €75 te merken. de oplossing is dat Odido (en de toezichthouder) niet alleen gaat patchen maar de hele keten dichttimmert: nummerportering/simwissel standaard met harde wachttijd + extra verificatie, en klanten direct waarschuwen “zet sms uit waar het kan”, anders blijf je dweilen terwijl de kraan openstaat.

pfff dit is dus ook gewoon stress in je privéleven hè, want je kunt nu wéér overal je wachtwoorden gaan wijzigen maar ondertussen liggen je adres/telefoon/evt. geboortedatum op straat en dan kun je je opmaken voor maanden aan “meneer u moet NU betalen”-smsjes en nepbrieven die er echt uitzien. en Odido kan wel €75 roepen, maar waar ik echt behoefte aan heb is: een simpel stappenplan + een hulplijn die je meteen helpt met wat je moet blokkeren/aanpassen, want niet iedereen is een halve IT’er op zondagavond...

Tsja, die €75 is leuk maar bel morgen vooral je bank en laat een extra blokkade/limiet zetten, want met alleen NAW+telefoonnummer gaan ze je straks “even verifiëren” aan de lijn en ben jij de klos. Op het water leer je: als de lading overboord is, ga je niet eerst discussiëren over de verf op de reling.

het probleem is dat iedereen nu focust op “wachtwoord reset/2FA”, terwijl de echte schade in de infrastructuur zit: met NAW+geboortedatum+telefoonnummer kun je bij half NL door de klantenservice heen social engineeren en met simswap/nummerportering de keten (bank, DigiD, mail) overnemen. de oplossing is dat Odido en toezichthouder dit behandelen als veiligheidskritieke keten: standaard port-out lock, strengere ID-check bij simwissel, en verplicht proactief blokkeren/waarschuwen bij verdachte porteringen, anders is die €75 vooral een doekje voor het bloeden en mogen klanten de rommel opruimen.

leuk dat iedereen op die 75 euro zit te rekenen maar het echte circus wordt straks de “odido” phishinggolf met jouw echte abonnement naam en laatste 2 cijfers iban erin en dan trapt half nl alsnog op een nep betaalverzoek omdat het er 1 op 1 legit uitziet dus zet nu al een belafspraak wachtwoord bij je bank en klantenservices anders is het gewoon speedrun identiteitsfraude rip

iedereen focust op klanten maar dit is ook supply-chain: Odido hangt vol met callcenter/CRM/marketing vendors en als daar één API-key of S3 bucket lekt is het game over, dus AP moet niet weer alleen “boete en klaar” doen maar afdwingen dat ze dataminimalisatie + retention serieus nemen (waarom heb je oude kaartdata überhaupt nog??) lmao dit is gewoon legacy dataverzamelwoede die nu in prod ontploft.

dit is toch niet alleen een IT issue maar een ramp voor iedereen die ooit klant is geweest bij odido! ik heb zelf ooit een abbo gehad en ik zweer je, ik heb nog steeds een blokkade op mijn bankrekening staan vanwege verdachte transacties na een simswap... en nu liggen al die data op straat! ik kan me wel voorstellen dat ze bij odido "beperkt" riepen in november, maar het is toch niet te geloven dat ze NIET wisten wat voor data er precies gestolen was? het lijkt wel alsof ze gewoon een pleister op een been-wonde plakten met die €75 en 2FA... WAKKER WORDEN, mensen, vraag je bank om een extra check op je account en simswap-verificatie!!! ik ga mijn bank sowieso bellen vandaag, heb geen zin in identiteitsfraude erbij!

het probleem is dat we dit nog steeds als “Odido-incident” framen terwijl die klantportal en alle koppelingen naar payment processors, incasso, callcenter-CRM en marketingtools gewoon één grote keten-infrastructuur zijn; als daar óók kaart/iban-data in zat, dan is dat óf tegen PCI-DSS in opgeslagen óf er is veel te breed toegang geweest en dan faalt je hele dataminimalisatie. de oplossing is dat AP/NIS2 hier niet stopt bij een boete maar afdwingt: geen betaalkaartdata meer in telecomsystemen (tokenization/outsourcen), harde segmentatie en logging met bewaartermijnen, en anders de stekker uit die koppelingen tot het op orde is, want €75 is goedkoper dan het goed bouwen en dat weten ze ook.

het probleem is dat iedereen nu doet alsof “credit-monitoring” helpt, maar met iban/kaartdata + NAW is de echte ellende gewoon incasso- en factuurfraude: je krijgt straks spookabonnementen, omgekatte machtigingen en gezeik bij webshops, en dat is niet eens high-tech. de oplossing is dat Odido meteen verplicht stelt: alle bestaande incassomachtigingen intrekken en opnieuw laten autoriseren (met duidelijke referentie), plus een centraal loket waar je per klant kunt zien welke betaalgegevens ooit zijn opgeslagen en die definitief laten wissen, anders blijft die betaal-infrastructuur lekken via allemaal oude koppelingen en “legacy” rommel.

€75 en een jaartje “credit-monitoring” is gewoon PR-budget — de echte prikkel ontbreekt: zolang boetes (en schadeclaims) lager zijn dan wat fatsoenlijke security kost, blijft dit business as usual in een markt die alleen op marge en aandeelhouderswaarde draait. en waarom moet 2FA ineens wél “verplicht” als het om zakelijke klanten gaat, maar consumenten mogen blijkbaar lekker de risico-buffer zijn?? nationaliseer die vitale telecom-infra of zet er keiharde publieke eisen op, want dit is geen gadgetbedrijfje maar een sleutel tot ieders digitale leven.

In mijn tijd bij de KLM was één ding heilig: als je een incident hebt, dan ga je niet eerst “beperkt” roepen om de schade te managen, je gaat meteen uit van worst case en je zet je klanten in de hoogste stand van waarschuwing, want je krijgt maar één kans op vertrouwen. En iedereen zit nu op die €75 en simswap te focussen, maar met adres + geboortedatum + betaaldata krijg je straks de echte ellende: kredietaanvragen, achteraf-betaaldiensten, nep-incasso’s en gedoe met deurwaarders op jouw naam, en dan mag jij maanden lang bewijzen dat je het niet was terwijl Odido een persbericht tikt. AP mag best een boete uitdelen, maar ik wil vooral zien dat er persoonlijk aansprakelijkheid komt bij bestuurders, anders is het elk jaar hetzelfde liedje en betaalt de klant de rommel weer op met tijd, stress en slapeloze nachten.

Nou zeg, iedereen heeft het over banken en simswap maar ik zit vooral met die medische hoek: als je ooit via Odido een toestel/abonnement met zorg-apps of afspraken sms’jes hebt lopen, dan kan zo’n datadump ook ineens privé-dingen “koppelen” aan je adres en nummer, toch? En dan die klantenservice straks… ik durf bijna niet meer gebeld te worden omdat je niet weet of het echt Odido is of een slimmerik met jouw gegevens.

Dit is precies waarom ik zo klaar ben met die “data is het nieuwe goud”-mentaliteit: telecoms slurpen alles op, gooien het in 100 systemen/leveranciers en zodra het misgaat mag de klant de rest van z’n leven de rotzooi opruimen. En niemand heeft het over de milieukant: al die eindeloze logs, kopieën, back-ups en “forensische images” na zo’n lek zijn ook gewoon extra datacenter-energie en hardwaredruk op een ecosysteem dat al piept… minimaliseer die dataverzameling eens, dan heb je ook minder te lekken. €75 is een fooi, maar de echte compensatie is dat ze stoppen met data hamsteren alsof het gratis is!!!

Ik zeg het al jaren: telecom is de sleutelbos van je hele digitale leven, en tóch mogen ze met een “gratis creditmonitoring” wegkomen alsof het een kapotte router is… let maar op, hiermee gaan ze straks ook eSIM/nummerportering nog harder centraliseren “voor uw veiligheid” en dan zit je helemaal vast in hun systeem!! En die AP gaat weer onderzoeken tot 2027, boete als wisselgeld, bestuurders door naar de volgende baan; ik was zelf ook zo dat ik dacht: toezichthouder beschermt ons, maar het is één grote draaideur.

Joa en ondertussen hangen al die “verifieer even uw gegevens”-telefoontjes en nep-smsjes straks ook bij de kleine ondernemer aan de lijn hè; als ze je KvK/telefoon/IBAN hebben bellen ze zogenaamd van Odido en vóór je ’t weet staat er een nieuwe sim op naam van je zaak en kun je weer uren achter je bank en klantenservice aan, sjön gezellig op maandagochtend… Odido mag van mij naast die 75 euro vooral een fatsoenlijke blokkade op nummerportering standaard aanzetten, want dit is niet alleen privé-gedoe maar gewoon bedrijfsrisico.

dit gaat verder dan “phishing” en €75: met telecomdata + (deels) medewerkerlogins kun je ook aan simswap/porteringen gaan rommelen en dan ben je zó je mail/digid/bank kwijt omdat half NL nog sms-mfa gebruikt, dat is gewoon ketenveiligheid die faalt. en ondertussen blijft het verdienmodel: zoveel mogelijk klantdata in zoveel mogelijk systemen stoppen, alsof het ecosysteem dat dat moet dragen (datacenters, leveranciers, audits, herstel) oneindig is… misschien eens beginnen met minder verzamelen en sneller weggooien i.p.v. nóg een “forensisch onderzoek” op 10 kopieën van dezelfde ellende.

Energie liegt niet: zo’n datalek is niet alleen “fraude-risico”, het is ook gewoon een collectieve stressgolf die je lijf oppikt, zeker als je naam/adres/iban ineens niet meer van jou voelt maar van “het internet”. Ik zie in mijn praktijk mensen die daarna weken in hyperalertheid schieten (slechter slapen, hartslag hoog, buik van slag) en dan gaan we weer westers symptoombestrijden met een credit-monitoring linkje en klaar… terwijl je eigenlijk ook je zenuwstelsel moet terugbrengen naar balans, anders blijf je in die angstvibratie hangen en klik je straks juist sneller op een phishingmail omdat je systeem al in paniekmodus staat. en ja, regel je bankdingen, maar vergeet ook niet: telefoon uit, adem laag, voeten op de grond, anders word je dubbel gepakt (data én energie)

ODIDO DIE ZITTEN WEER TE SLIKKEN, EERST DIE GEVALLEN MET DIE INTERNET UITVAL EN NU HEBBEN ZE AL DIE GEGEVENS LIGGEN, IK VIND DAT ZE EERST MOETEN WAARBORGEN DAT AL DIE GEGEVENS WEG ZIJN VOORDAT ZE ERGENDS OVER NA DENKEN!!!!!!! DIE €75 COMPENSATIE IS GEWOON EEN JOKKIE OM DE KLANTEN KOUD TE LATEN!!!!!!! JE HOORT TE HELPEN IN PLAATS VAN EEN VERGOEDING TE GEven DIE LAAG IS!!!!!!! HET GAAT OM DE KEUZE VAN DE KLANTEN!!!!!!! DIE KUNNEN NIKS DOEN OM DAT TE VOORKOMEN!!!!! HET IS NIET TE DOEN OM DIE W8WOORDEN OVERAL TE WIJZIGEN!!!!!!!! HEB JE OOK PROBLEMEN MET ODIDO GEHAD DIE ZIJN ERG!!!!!! DIE HEBBEN MIJ ALTIJD TEKORT GEDAAN!!!!

Wederom dat “we bieden een jaar credit-monitoring” alsof dat iets oplost; na 12 maanden is je data nog steeds rond aan het zwerven en jij mag dan zelf gaan betalen, lekker verdienmodelletje. En €75 compensatie… als er pak ’m beet 5 miljoen klanten geraakt zijn praat je over €375 miljoen, dat gaan ze dus never nooit uitkeren zonder dat het weer in de tarieven verdwijnt, reken maar dat je straks €2-€3 per maand extra aftikt “voor veiligheid”. Typisch telecom: eerst beknibbelen op IT, dan een persbericht en uiteindelijk betaalt de klant dubbel.

hé jong, die €75 compensatie van Odido is toch gewoon 'n slapstickvoorstelling?? ze dumpen al onze klantgegevens en dan krijg je 'n jaartje "credit-monitoring"?? das toch gewoon 'n pleister op 'n houten been... en wat mij betreft: waar is de echte hulp?? ik bedoel, ik moet nu weer overal mijn wachtwoorden gaan veranderen en ik weet niet eens of dat nou echt zin heeft... en die 2FA voor zakelijk is ook zo'n lachertje, als particulier ben je nog steeds gewoon het proefkonijn... geloof jij echt dat "ze" ons hier echt mee helpen?? bewijs maar dat die hele "compensatie" niet gewoon 'n manier is om van het probleem af te zijn... en trouwens, als de aarde nou echt plat is, wie weet dan eigenlijk wat "ze" nog meer voor ons verbergen achter die horizon... misschien moeten we eerst onze eigen "kaart" maar eens goed nakijken voordat we "hun" vertrouwen.

ik heb genoeg van de wereld gezien om te weten dat die “compensatie” en dat jaartje credit-monitoring vooral PR is, maar wat me nog het meest stoort is dat we in NL nog steeds doen alsof telecom een soort winkel is waar je een bundel koopt, terwijl het in de praktijk een toegangssleutel tot je hele digitale leven is. Als die medewerkerlogins en interne mailtjes ook rondzwerven, dan krijg je dus niet alleen phishing naar klanten maar óók gerichte aanvallen op winkels/klantenservice (“ja hallo ik ben van security, reset even dat nummer”), en dan ben je als klant de pineut zonder dat je iets fout doet. En politiek roept dan NIS2 en AP-boetes, maar ondertussen mag jij wéér je bank bellen, sim-lock aanzetten en hopen dat de volgende helpdeskmedewerker niet in een drukke zaterdagdienst even “meedenkt” met een oplichter… pfff.

Ik zeg het al jaren: dat “gratis creditmonitoring” is gewoon een verdienmodelletje van dezelfde datagraai-industrie, je levert nóg meer info in en dan mag jij gaan opletten terwijl zij rustig doorgaan!! Belangrijker: laat Odido maar eens zwart-op-wit zetten welke derde partijen (callcenters, incasso, marketingclubjes) óók jouw data hadden, want daar lekt het net zo hard en niemand controleert dat. ik was zelf ook zo dat ik dacht “ach, AVG regelt het wel”, maar als je bankkaartnummer eenmaal rondzwerft ben jij degene die maanden in de wacht hangt…!!!

Die €75 is peanuts, maar het echte gat zit ’m in het feit dat telecoms nog steeds massaal meer data bewaren dan nodig is en het daarna ook nog eens overal heen kopiëren naar “partners” en systemen. daarentegen hoor je bijna niemand over de plicht om die datastromen te snoeien: waarom moet een provider überhaupt kaartnummers opslaan en waarom kan een klant niet standaard kiezen voor automatische anonimisering na x maanden? Echter als de AP hier alleen een boete uitdeelt en verder niks afdwingt aan dataminimalisatie en bewaartermijnen, dan is dit over een jaar gewoon de volgende provider.

dat hele “jaar credit-monitoring” voelt ook een beetje Amerikaans, alsof iedereen een credit score heeft waar je wat aan hebt. hier zit je vooral met gedoe rond simswap/klantenservice en straks mensen die met je echte NAW+geboortedatum een nieuw simmetje regelen of je nummer laten porteren, en dan ben je je DigiD/mail/bank zo kwijt. ik ben vooral benieuwd of de AP nu eens hard gaat eisen dat telco’s die processen standaard op slot zetten (port-out lock, extra checks), want met alleen boetes achteraf is het voor klanten gewoon maandagmorgen-schade beperken.

Tja, die Odido... gewoon weer een stelletje incompetenten daar... ik rijd dagelijks met mn vrachtwagen langs de snelweg en zie al die reclameborden van Odido, maar blijkbaar kunnen ze hun eigen toko niet eens beveiligen... en die €75 compensatie, gewoon een schijntje, ik had laatst een file op de A9 en daar vloog een vliegtuig zo laag over, dat het stof van de weg af kwam... en nou dit weer, Odido klantdata op straat... gewoon weer een stelletje sukkels in Den Haag die niks doen om dit soort zooi te voorkomen!!!

Iedereen staart zich blind op die dump, maar de echte ellende is dat Odido straks doodleuk “ter verificatie” je geboortedatum/adres gaat vragen aan de telefoon terwijl dat nu precies het spiekbriefje is van de fraudeur, dus klantenservice-resetprocedures mogen ook de shredder in, maar goed, succes met je identiteit bewijzen aan een bedrijf dat net heeft laten zien dat het ‘m zelf ook niet kan bewaren.