Ernst van datalek Odido dringt maar niet tot ons door

paspoortnummer + iban + adres is niet “oeps datalekje”, dat is basically een startpakket voor identiteitsfraude, en dan krijg je van Odido zo’n suf mailtje over een “security-update” alsof je je app moet updaten… ja tuurlijk. Enerzijds zijn mensen murw van al dat cybergedoe en denken ze: zal wel, anderzijds is dit precies die normalisering van risico: we leren dat onze data toch al rondzwerft, dus we doen maar niks, niks, niks. En media pakken liever een relletje dan dit saaie maar levensverpestende spul, terwijl jij straks degene bent die mag bewijzen dat jij jij bent bij de bank. AP geeft twee weken voor een rapport, maar de schade-tijdlijn voor slachtoffers is maanden/jaren; dat voelt als “procedurele geruststelling” in plaats van bescherming.

dat “dringt niet door” komt ook omdat de pijn pas later komt: jij krijgt pas ellende als je hypotheekaanvraag of huurcheck ineens op een fraudemelding klapt en dan mag je maanden bewijzen dat je geen oplichter bent. en odido? die boete schrijven ze af als cost of doing business, dus zonder keiharde schadevergoeding per klant verandert er precies niks.

En dan doen alsof dit “een cyberincident” is, terwijl Odido (en de hele telecomsector) al jaren data hamstert omdat het lekker monetizable is — en de rekening bij burgers ligt als het misgaat, oh ja want dat heet dan innovatie. Waarom is het nog steeds normaal dat bedrijven paspoortnummers/IBAN’s überhaupt opslaan zonder keiharde encryptie en dat je als klant zélf maar moet gaan monitoren? Maak het gewoon: per direct verplicht minimale dataretentie + automatische schadevergoeding per getroffen klant, anders blijft het cost of doing business.

en dan hebben we het nog niet eens over onze kinderen hè: die worden bij elke aanmelding voor sportclub/telefoonabonnement al in zo’n database gepropt, en als dat paspoort/iban straks rondzwerft heb je jaren gedoe voordat ze überhaupt volwassen zijn. waarom moet een telecom überhaupt dit soort gegevens bewaren, het systeem hamstert alles “voor gemak” en wij mogen de rommel opruimen… bewust minder data afgeven is bijna de enige bescherming die nog natuurlijk voelt.

wat me ook stoort: iedereen roept “wachtwoorden wijzigen” maar met paspoortnummer + iban kunnen ze gewoon onder jouw naam een nieuw contract/lening/telefoon op afbetaling regelen, dáár helpt geen 2FA tegen. En het systeem maakt het nog erger omdat je voor elke simpele verificatie weer een kopie ID moet uploaden… zo blijft het rondzwerven, bewust eens stoppen met dat gemak en gewoon fysiek langs een balie kunnen zonder dat je je hele leven digitaal hoeft af te geven.

Ik merk dat het bij dit soort lekken ook gaat om die “kopie ID”-cultuur: iedereen mailt/whatsappt maar een paspoortscan rond voor een simswap, huurhuis, sportschool, noem maar op, en zo stapelt die rommel zich overal op tot het universum een keer zegt: klaar, nu komt het terug. Wat ik mis in alle tips: zeg mensen gewoon concreet dat je op je ID-app de kopie kunt afschermen (watermerk/doel/datum) en dat je bij je bank meteen een extra blokkade op simwissel/telefonische wijzigingen kunt laten zetten, scheelt zóveel ellende als je nummer straks ook nog gekaapt wordt.