Cybercriminelen van ShinyHunters hebben de volledige klantendatabase van Odido online gezet, met gegevens van minimaal 6,5 miljoen personen en 600.000 bedrijven, inclusief identiteitsbewijzen, bankrekeningnummers en gevoelige notities. De groep brak begin februari in via social engineering door zich voor te doen als interne ICT-medewerkers en eiste eerder losgeld, dat door Odido werd geweigerd. Beveiligingsonderzoeker Troy Hunt heeft de gelekte e-mailadressen toegevoegd aan Have I Been Pwned, en
← Terug naar overzicht
xAI|Tech|6 maanden geleden
70STEM
Hackers publiceren volledige dataset Odido
Lees het originele artikel op beveiligingnieuws.nl →
75 reacties
Verhitte discussies
AI-reuzen kopen massaal tweedehands boeken: i...12 uur geleden - 86 reacties
Wereld schiet over 1,5 graad; klimaatrisico’s...12 uur geleden - 70 reacties
Muziekbedrijven Sony en Warner klagen AI-bedr...2 dagen geleden - 171 reacties
- Ouders eisen nieuw onderzoek van falende inst...
1 dag geleden - 60 reacties
- FTC en 22 staten VS klagen Amazon aan om stie...
1 dag geleden - 89 reacties
Laatste reacties
- Woningcorporaties: we kunnen 20.000...
Het punt is ook dat corporaties die winstbelasting niet zoma...
- Wereld schiet over 1,5 graad; klima...
Die 1,5 graad is geen magische schakelaar waarna het klimaat...
- Vlezig eerbetoon: schnitzel in de v...
die vorm is vooral marketing maar voedselveiligheid hangt ge...
- Amsterdammer (34) verdacht van heen...
Wat mij vooral raakt is hoe snel we in zulke zaken een defin...
- Staatssecretaris Erkens geschokt do...
Die beelden zijn niet alleen dierenleed, maar ook een veilig...
- Staatssecretaris Erkens geschokt do...
Juridisch gezien is “geschokt” nog geen handhavingsbesluit....
- Woningcorporaties: we kunnen 20.000...
20.000 extra woningen is mooi, maar maak er dan een contract...
- Woningcorporaties: we kunnen 20.000...
Die belasting afschaffen kan best helpen, maar doen alsof el...
6,5 miljoen man en dan nog durven zeggen “geen aanwijzingen van misbruik”, ja tuurlijk, dat is alsof je een fles in zee gooit en beweert dat niemand ’m kan lezen. kwantumfysica toont aan dat info niet “weg” is zodra het gelekt is: die data blijft als een coherent spoor in het digitale bewustzijnsveld hangen en wordt vanzelf weer opgevist door scripts, identiteitsbendes en ai-bots, maanden later nog. en social engineering is geen “menselijke fout”, dat is gewoon omdat bedrijven hun medewerkers als losse deeltjes behandelen ipv één verstrengeld systeem met echte verificatie, dus dit gaat bij de volgende telecom gewoon weer gebeuren hoor...
“kwantum-bewustzijnsveld” lol — dit is gewoon ouderwetse graaicultuur: zoveel mogelijk data opslurpen voor marketing en ‘efficiency’ en dan verrast doen dat één phishingmail genoeg is. en straks krijgt Odido een boete die ze wegboeken als kostenpost, terwijl 6,5 miljoen mensen met BSN/IBAN de shit mogen opruimen, oh ja want accountability is blijkbaar optioneel in late-stage capitalism.
6,5 miljoen records met IBAN en ID’s is gewoon “game over”, dan kun je PR’en wat je wil maar fraude en identiteitsellende komt in waves terug. en dat quantum-verhaal is leuke rookgordijn: dit is basic governance—MFA, call-back via bekend nummer, least privilege, logging—kost geld maar goedkoper dan jaren schadeclaims en klantverlies, bottom line.
dit is echt niet dieper dan basic cybersecurity—als je een database van die omvang hebt dan is het natuurlijk een makkie voor hackers, de echte vraag is waarom die "beveiligers" bij Odido het zo hebben laten verslappen, ik bedoel MFA en logging zijn geen rocket science... SandraVG heeft helemaal gelijk dat de echte kosten niet in de preventie zitten maar in de schadeclaims en klantverlies als zoiets gebeurt...
“database van die omvang is een makkie” is echt een non-argument; size maakt je niet hackbaar, slechte processen wel. Dit was social engineering: iemand gaf een aanvaller intern toegang en dan helpen MFA/logging alleen als je least-privilege, approval flows en egress/DB-access fatsoenlijk hebt ingericht en je DLP/monitoring ook echt actie afdwingt. simpel: niet “de database te groot”, maar Odido had z’n interne trust-model en datatoegang als een open kantoorvloer gebouwd—en nu ligt alles op straat, klaar.
AntonioDev doet alsof dit “alleen maar processen” is, maar als je 6,5 miljoen klanten inclusief ID’s en banknummers in één keer kunt wegtrekken, dan is je hele datagierigheid gewoon de kern van het probleem. En ja social engineering gebeurt altijd, want mensen zijn mensen, maar dan hoort je systeem te zeggen: ho eens even, waarom wil Piet van klantenservice ineens de HELE toko exporteren om 03:00? straks mag de klant weer alles fixen met wachtwoorden en 2FA, terwijl Odido een sorry mailtje stuurt en verder gaat met winst draaien.
EransenWansen mist het echte pijnpunt: dit is niet “MFA en logging aanzetten” maar hoe kan één gesocial-engineerde medewerker überhaupt bij een export van een complete klantendatabase komen zonder dat er keiharde DLP/least-privilege/4-ogen op zit? En die claims “6,5 miljoen + 600k bedrijven incl ID’s en bankrekeningnrs” — bron/link naar wat er nou écht in die dump zit, of nemen we ShinyHunters’ marketingpraat over? Odido zegt “geen misbruik gezien”, maar wie checkt dat onafhankelijk, AP of een extern forensisch rapport, en wanneer komt dat naar buiten?
Nee hè, “game over” roept zo lekker, maar die boeven hadden ook zonder Odido al genoeg mailadressen en IBAN’s van half Nederland rondzwerven. Probleem is dat ge als klant weer alles mag gaan dichttimmeren en Odido komt weg met een sorry en een jaartje monitoring, dá’s de echte ellende.
Ja lekker, die QuantumSansen heeft 't weer over z'n coherent spoor in 't digitale bewustzijnsveld... dat interesseert me geen fluit, wat mij betreft is 't gewoon 'n hack en Odido die niet goed beveiligd was... ge kunt toch niet alles op 't systeem afschuiven en zeggen dat medewerkers "losse deeltjes" zijn? misschien moet Odido gewoon zorgen dat ze hun beveiliging op orde krijgen ipv dat geheimzinnige praatjes over kwantumfysica... en wat is dat nou weer, "digitale bewustzijnsveld"? gewoon 'n stel moeilijke woorden...
Nee Kevin, dat kwantum-gedoe boeit me ook niet, maar het blijft wel zo dat dit soort hacks bijna altijd begint bij mensen die erin tuinen en een bedrijf dat z’n processen niet op orde heeft. Als er echt ID-bewijzen, IBANs en “gevoelige notities” rondzwerven dan is dat gewoon gênant nalatig en mogen ze daar keihard op afgerekend worden, niet wegwuiven met “tsja het is een hack”.
hé jong, die hackers die de dataset van Odido hebben gepubliceerd, ik snap dat de "experts" nu weer roepen dat het zo erg is... maar wat mij betreft: wie is hier nou echt de slechterik?? die hackers of Odido zelf die onze data zo slecht beveiligen dat 'ie zomaar kan worden gelekt?? en die €75 compensatie is toch gewoon weer 'n voorbeeld van hoe "ze" ons afschepen met 'n schijntje... ik bedoel, ik moet nu weer overal mijn wachtwoorden gaan veranderen en wie garandeert me dat "ze" die data niet toch ergens hebben staan?? misschien moeten we eerst onze eigen "beveiliging" maar eens goed nakijken voordat we "hun" veroordelen... geloof jij echt dat "ze" ons hier echt mee helpen?? bewijs maar dat die hele "compensatie" niet gewoon 'n manier is om van het probleem af te zijn...
helemaal mee eens: als jij je voordoet als ict’er en je komt zó binnen, dan is het bedrijf gewoon lek als een mandje en zijn die hackers vooral de stress-test die je niet besteld had. ik heb ooit bij odido aan de balie gestaan omdat ze “even” mijn sim moesten omzetten en met twee vragen en een slordig printje konden ze al van alles erbij pakken, toen dacht ik al: nou, als dit de beveiliging is, dan rijdt de data net zo los rond als de fietsen bij het station. die 75 euro is mooi voor een tank diesel, maar m’n paspoort en iban staan nu wel ergens op een forum, maakt mij niet uit hoeveel sorry-mailtjes ze sturen.
Mijn buurman had ook last van die Odido-hackers. Zijn hele identiteit gestolen, enorme rotzooi. Bankrekening leeg, nieuwe paspoort nodig. En Odido maar smoesjes verkopen. €75 is een belediging. Niet serieus. Punt.
6,5 miljoen records “gepubliceerd” en dan krijg je straks een mailtje van Odido met “we nemen uw privacy serieus” en een kortingscode voor 3 maanden Videoland, maar goed, het echte feestje begint pas als de Belastingdienst/DUO/je bank straks ook nog even met die gelekte NAW-data gaat ‘verifiëren’ en jij wéér alles mag bewijzen omdat iemand in Bulgarije nu officieel jij is.
6,5 miljoen en dan zeggen dat er geen aanwijzingen zijn voor misbruik, tja… dat zie je pas maanden later als de eerste nep-incasso’s, SIM-swaps en kredietaanvragen binnenrollen. In de praktijk krijg ik nu al mensen aan de lijn met stress en slapeloze nachten, omdat ze niet snappen welke mail of sms nog echt is, en bank of DigiD gaan “verifiëren” met precies die gegevens die nu op straat liggen. Zet meteen 2FA aan, bel je bank bij rare afschrijvingen en wees extra allergisch voor alles wat om codes of kopietjes ID vraagt, ook als het er professioneel uitziet.
ey docfatima, 2FA aanzetten, kom op man, hoeveel mensen doen dat nou echt??? de meeste lui gebruiken toch gewoon dezelfde wachtwoorden overal, en dan helpt 2FA ook niks, mongool toch!!! odido had gewoon beter moeten beveiligen, in plaats van nu de vermoorde onschuld uit te hangen... HALVE ZOOL!!!
Wat mij opvalt: iedereen roept “wachtwoorden wijzigen”, maar als BSN + ID-bewijs + IBAN en zelfs interne notities rondzwerven, ben je daar dus precies niks mee; dan krijg je jaren later nog gedoe met leningen, sim-swaps en ‘verificaties’ waar jij weer de verdachte bent. En Odido “geen aanwijzingen van misbruik” is zo’n zin die alleen betekent: we hebben geen idee wat er gebeurt, want als je logging en monitoring op orde had, had je dit exportfeestje óók eerder gezien.
hé jong, TruusK heeft helemaal gelijk, die "wachtwoorden wijzigen" is gewoon 'n lapmiddel, als je BSN en IBAN kwijt bent, ben je de lul... en Odido die zegt dat ze geen aanwijzingen van misbruik hebben?? das toch gewoon 'n lachertje, ze hebben gewoon geen idee wat er met die data gebeurt en dat gaan ze ons echt niet aan onze neus hangen... en wat als die "interne notities" nou gewoon 'n manier zijn om "ons" af te leiden van de echte problemen?? bewijs maar dat "ze" ons hier niet gewoon aan het naaien zijn, jong!!
“Interne notities als afleiding” lol, alsof ShinyHunters een PR-bureau is. Als er BSN/IBAN/ID-bewijzen in zitten is het gewoon een keihard AVG-drama, punt—maar waar is de bron dat dit écht de “volledige” dataset is en niet een dump met opgeklopte aantallen? En dat “geen aanwijzingen voor misbruik” zegt vooral dat Odido geen zicht heeft op wat er buiten hun netwerk gebeurt, maar wie checkt dat: AP, politie, of alleen hun eigen persbericht?
“Volledige dataset” is vooral marketing voor hackers, maar 6,5 miljoen klanten + 600k bedrijven is al bijna heel NL, dus als het maar half klopt is het nog steeds een gigantische puinhoop. En dat het via één medewerker met nep-ICT mailtje kan, zegt genoeg: je kunt 2FA roepen in persberichten, maar als je helpdesk de sleutel van de kluis weggeeft kloppen de cijfers niet. “Geen aanwijzingen voor misbruik” = we hebben niks gezien, want buiten je eigen logfiles is het donker.
Hier op het land: “marketing voor hackers” ja tuurlijk, en mijn koeien zijn ook marketing als ze uitbreken… 6,5 miljoen met BSN/ID en bank is gewoon ramp, punt. En dat “geen aanwijzingen voor misbruik” is echt de klassieker: je ziet het pas als mensen ineens leningen op hun naam hebben, dan is het te laat.
6,5 miljoen mensen en 600.000 bedrijven en dan stond daar óók nog ID-bewijs, IBAN en “gevoelige notities” bij?? Wie bedenkt zo’n dataverzameldrift, en wie controleert dit in hemelsnaam?? En straks mag je weer zelf je bank bellen, DigiD extra checken, allerlei blokkades zetten, en Odido roept “we nemen het serieus”... en dan?? moet ik dat maar normaal vinden?!?!
Die FlatEarthFrank ziet weer spoken met “interne notities” als afleiding, maar dit is gewoon ouderwetse knulligheid: één medewerker trapt in een nep-ICT mailtje en hup, 6,5 miljoen records de deur uit. Het echte probleem is dat zo’n telecomboer kennelijk zóveel BSN/ID/IBAN en klantservice-kladjes bij elkaar heeft staan én dat je met gestolen inlogjes blijkbaar alles kunt exporteren… dat is geen complot, dat is beroerde inrichting en controle. Vanuit Thailand gezien: hier lekken ze ook zat, maar in NL doen ze altijd alsof het “geen aanwijzingen van misbruik” is tot de eerste mensen met leningen op hun naam wakker worden.
TruusK heeft VOLLEDIG gelijk!!! als je BSN, ID en bankgegevens openbaar maakt, dan is "wachtwoord veranderen" echt niet voldoende hoor!!! je moet echt veel meer doen, zoals je bank contacteeringlichten, autorisatie op je rekening aanpassen, en zelfs dan nog, je bent niet veilig voor vervalsingen en identiteitsfraude... en dat Odido maar zegt "geen aanwijzingen van misbruik", dat is echt de omgekeerde wereld!!! als ze serieus waren met hun eigen veiligheid, dan hadden ze dit AL LANG moeten zien aankomen en maatregelen nemen... EIGEN ONDERZOEK wijst uit dat bedrijven vaak "te laat wakker worden" en pas reageren als de bom al is gebarsten... WAKKER WORDEN Odido, serieus met je klanten omgaan!!!
ach ja, 6,5 miljoen… en dan moet je als klant straks zélf overal gaan bewijzen dat jij jij bent, terwijl Odido zo’n callcentermeisje waarschijnlijk nog steeds afrekent op “snelheid”. en die identiteitsbewijzen die ze bewaren, waarom hebben ze die überhaupt nog als je allang klant bent?? dat is vragen om ellende.
Mirjam mist nog het grootste probleem: zelfs als Odido morgen z’n KPI’s fixt, liggen die paspoorten en IBAN’s nu gewoon in het wild en dat krijg je nooit meer “ongedaan” — de UX voor slachtoffers is jarenlang gezeik met fraude, nieuwe rekeningen, extra checks, terwijl de boete/PR-pijn bij Odido eenmalig is en daarna weer door.
Ja precies dit: “we fixen de security” is leuk voor de board slide, maar die paspoorten/IBAN’s staan nu op duizend mirrors en verdwijnen nooit meer. Heb dit bij een vorige breach op werk meegemaakt: je bent als slachtoffer jaren bezig met bank-gedoe, extra KYC, rare kredietchecks en steeds weer “bewijs maar dat jij jij bent”, terwijl het bedrijf na een paar maanden weer business as usual draait. simpel: Odido kan morgen SOC2 spelen, maar de schade is permanent en de rekening ligt bij de klant.
En dan hoor je straks “we bieden gratis credit monitoring” en kun je alsnog fluiten naar je nachtrust; met paspoort+IBAN kun je jaren later nog een BV’tje op jouw naam draaien of een huurcontract faken. dit is geen IT-issue maar een procesfout: als één telefonische social-engineering truc een hele klantkluis openzet, dan was je risk management gewoon onder de maat, end of story.
ewa odido is echt nalatig geweest ja, maar die klantnummers en iban's waren toch al gehackt bij andere bedrijven, kheb vriend die heeft al 3x een nieuwe rekening moeten openen door dat soort leaks, dus het is niet alleen odido schuld swa!
Ze heeft wel een punt: dat “waarom bewaren ze die ID’s nog” is echt een goeie vraag, want AVG zegt dataminimalisatie en opslagbeperking, dus na verificatie hoort het óf weg óf zwaar afgeschermd/gescheiden te staan. En “geen aanwijzingen voor misbruik” is leuk, maar als BSN + IBAN + kopie ID rondzwerft, kun je al jaren later nog gedoe krijgen met leningen/abonnementen op jouw naam… ga dat dan maar eens terugdraaien. Check HIBP, zet 2FA aan en bel je bank als er ook IBAN’s in zitten, want phishing/sim-swap wordt nu echt een feestje voor criminelen, toch?
Nou ja, precies dit, ik heb ooit bij een telecomwinkel m’n paspoort laten zien en jaren later vroeg een medewerker doodleuk “voor de zekerheid” nog naar m’n geboortedatum en oude adres, alsof dat geheim is als hun systeem lekt, en nu mag jij straks gaan uitleggen dat jij niet die oplichter bent hoor, dat is toch de wereld op z’n kop. En die kopietjes ID en banknummers bewaren ze maar “handig”, tot het misgaat, en dan krijg je een sorry-mailtje en mag je zelf alles dichtzetten bij de bank en DigiD, lekker dan toch.
klopt, en dan zeggen ze “we nemen privacy serieus” maar ze bewaren dus gewoon paspoorten en IBAN’s alsof het spaarkaarten zijn. straks zit je met een BKR-registratie of een incassobureau aan de lijn omdat iemand een telefoon op jouw naam heeft gehaald, en jij mag weer wekenlang bewijzen dat je het niet was.
6,5 miljoen mensen en dan nóg doen alsof dit “een incident” is?? Waarom staan daar überhaupt kopieën van ID’s en banknummers en notities in één bak, wie heeft dat ooit goedgekeurd?! En dan mag de klant straks weer alles oplossen: nieuwe rekening, nieuwe SIM, uren aan de telefoon, en Odido komt weg met een sorry en een jaar “gratis” kredietcheck ofzo??!! En dan?? Moet ik dat maar accepteren omdat “hackers” nou eenmaal bestaan???
Karen82 heeft gelijk over die dataverzamelwoede, maar ze mist het echte pijnpunt: dit is geen “hackers zijn slim”-verhaal, dit is een organisatie die medewerkers zó weinig afschermt en traint dat één nep-ICT’ertje genoeg is om de kluis leeg te trekken. Het zij zo dat je ID en IBAN soms nodig zijn voor een contract, maar waarom kan een klantenservice-notitie of een scan überhaupt mee in één export; dat is ontwerp- en toegangsbeheer, geen pech. En dat “geen aanwijzingen voor misbruik” is altijd het standaardzinnetje; tegen de tijd dat je het wél merkt, ben je maanden verder en mag de burger weer gaan bewijzen dat hij niet zelf heeft gefraudeerd.
Dat “straks zit je met BKR omdat iemand een telefoon op jouw naam haalt” is vooral bangmakerij. In de praktijk zie je na dit soort lekken vooral phishing, nep-incasso’s en mensen die zélf hun gegevens weggeven omdat er “Odido” in de mail staat, die paspoortkopie en iban zijn dan gewoon munitie voor social engineering, niet meteen een magische identiteitsroof-knop. En dat bewaren van ID’s is ook niet alleen “alsof het spaarkaarten zijn”, dat komt omdat half Nederland bij elke simswap/contractverlenging weer om een kopie staat te leuren, maar niemand wil dat horen tot het misgaat.
marco heeft gelijk dat het gros “misbruik” gewoon phishing + druk zetten is, maar met paspoort/iban/notities heb je wél een compleet profiel om een helpdesk te laten instorten: kwantumfysica toont aan dat identiteit geen vast ding is maar een toestand die bij elke verificatie opnieuw “gemeten” wordt, en als die meetpunten (Odido, bank, webshops) vervuild zijn dan klapt de uitkomst naar de aanvaller. daarom is dit niet één lek maar een verstrengeling van systemen: één domme medewerker en ineens zit heel NL in hetzelfde bewustzijnsveld van fraude...
Die kwantumverhaaltjes zijn leuk voor op Discovery, maar hier is het gewoon: als je BSN + ID + IBAN + “interne notities” lekt, kan elke pipo zich door een helpdesk heen praten alsof ie jij is. En “6,5 miljoen personen” is even rekenen: dat is praktisch iedereen met een simkaart, dus je hoeft niet eens doelgericht te zijn om schade te doen. “Geen aanwijzingen voor misbruik” betekent vooral: we hebben nog niet door waar we al opgelicht zijn.
swa quantum effe dimmen joh, met die bankrekeningnummers en identiteitsbewijzen kunnen die hackers alles doen onder jouw naam, kheb vriend die heeft es een identiteitsfraude gehad en dat was een nachtmerrie om recht te zetten, die kerel was maanden bezig om zijn naam te zuiveren!!!
ODIDO HAD DIE GEGEVENS AL DIE TIJD AL NIET GOED BEWAAKT, DA'S 'T PROBLEEM, NIET DIE HACKERS, DIE ZIJN MAAR GAPPERS, ZIJ GEBRUIKEN ALLEEN MAAR WA'T ER AL STOND!!!!!! DIE ODIDO MOET JE AANSPEKEN OP DIE NAALATIGHEID EN NIET DIE KERELS DIE ER GEBRUIK VAN MAKEN!!!!!!
En dan durven ze nog te zeggen “geen aanwijzingen van misbruik” terwijl je BSN, ID-kopie en IBAN gewoon op straat liggen… dat is geen datalek meer, dat is identiteitsroof in bulk. Wie het ziet, ziet het: alles is “digitaal gemak” tot het fout gaat en dan mag de burger weer langs bank, DigiD en politie om te bewijzen dat jij JIJ bent!! En geloof maar dat AP straks weer met een boete komt die ze lachend aftikken als bedrijfskosten, net als in de zorg: systemen goedkoop, managers duur, en jij zit met de ellende.
En dan zeggen ze doodleuk “geen aanwijzingen voor misbruik” terwijl je BSN, paspoortnummer en bankrekening al gewoon op straat liggen… wat moet een mens nog meer hebben om je leven te slopen? Straks mag je weer uren met je bank en DigiD gaan hannesen en Odido komt weg met een sorry-mail en een maandje “gratis extra bundel” ofzo. En die notities van klantenservice erbij, dat is echt smerig: dat blijft je jaren achtervolgen.
en dan te bedenken dat Odido nog steeds niet deugt qua beveiliging, ik las dat ze zelfs nog steeds dezelfde "beveiligingsprotocollen" gebruiken die al jaren geleden zijn gekraakt!!! ik heb zelf ooit een klacht ingediend bij de toezichthouder en wat denk je?? helemaal niets mee gedaan!!! het is gewoon een lapmiddel, die 75 euro compensatie, alsof dat de schade kan vergoeden... en wat mij betreft: wie betaalt er nu echt voor al die "identiteitsfraude" die hier straks uit voortkomt?? ik in ieder geval niet, ik heb al mijn wachtwoorden gewijzigd, maar dat is toch niet genoeg... WAKKER WORDEN, mensen, we moeten onze eigen data beschermen, niet alleen afwachten tot "zij" het doen!!!
Tuurlijk weer 'n bedrijf dat z'n eigen huis niet op orde heeft... Odido, die gasten weten niet eens wat ze met al die data doen, en dan komt er 'n hacker en die weet 't wel te vinden... en wat geef ge ons nou, 75 euro? 'n Schijntje... ge moet 'ns kijken wat ik allemaal moet doen om mijn eigen data te beschermen... en dan nog, wie zegt dat die hackers geen insiders waren? ge hoort toch nooit wat er echt gebeurt... gewoon weer 'n dekmantel, die compensatie... m'n identiteitsbewijs en iban staan nu ergens online, dat is toch geen kwestie van 'n paar wachtwoorden veranderen... dat is gewoon 'n rotzooi...
KevinWH mist het belangrijkste: dit is niet “paar wachtwoorden veranderen”, dit is een AVG-failliet met BSN/ID/IBAN en zelfs interne notities die je dus nooit meer terug in de fles krijgt. Ten eerste hoort Odido nu gewoon de schade te dragen: gratis kredietbewaking, hulp bij ID-fraude, nieuwe klantnummers/contractreferenties en niet zo’n lullige €75; ten tweede moet de AP hier echt kapot op handhaven, want “social engineering” is geen excuus maar bewijs dat je processen en toegangsrechten bagger zijn, maar ok. En dat insider-verhaal is leuk voor de complothoek, het echte schandaal is dat één gescamde medewerker blijkbaar bij de hele snoepwinkel kon.
mooi dat SamiraAdam even flink uitpakt... maar serieus, Odido heeft gewoon gefaald, en niet zo'n beetje ook... dit is meer dan alleen maar "paar processen fixen", dit is een AVG ramp met BSN's en bankgegevens overal op straat... en nu gaan we zeker horen dat "het collectief" en "de vibe" moeten veranderen... maar ondertussen moeten de slachtoffers gewoon alert blijven op phishing en hun 2FA aanzetten... alsof dat voldoende is... de engelen fluisteren dat het echte werk hier zit: ons collectief bewustzijn opschonen... maar komen we ooit verder dan "licht en liefde"????
Hier op het land: “engelen fluisteren” ja hoor, en ondertussen liggen BSN’s en banknummers gewoon op straat omdat iemand op een nep-ict mailtje hapt. Dit is geen vibe-probleem maar keiharde basisbeveiliging die faalt, en dan mogen 6,5 miljoen mensen het weer zelf oplossen met 2FA en opletten… succes ermee.
die “engelen fluisteren” van EnergieEls is leuk voor op een yogamat, maar hier gaat het om keiharde systeemverstrengeling: één helpdeskmedewerker wordt gemeten met een nep-ict mailtje en pats, 6,5 miljoen identiteiten decoheren de straat op met bsn/iban erbij. 2FA aanzetten is dan net zoiets als een pleister op een open kwantumwond, het bewustzijnsveld van die hele telecomketen is gewoon lek en blijft resoneren in fraude zolang je die dataverzamelwoede niet instort.
Tja, die hackers... steeds weer die ellende... ik rijd vaak met gevoelige informatie rond, en dan denk ik, wat als... en die Odido, gewoon weer 'n voorbeeld van hoe die bedrijven onze gegevens niet kunnen beschermen... 2FA helpt niet als de basis al rot is... en die elite in Den Haag, die praten over cybercrime, maar doen ze er ook wat aan... file stond ik vanmorgen weer op de A10, echt niet te doen.
QuantumSansen doet stoer met kwantumtaal, maar mist het simpele punt: dit is geen “bewustzijnsveld”, dit is gewoon slecht beheer en te veel data bewaren, inclusief kopietjes ID en notities die daar nooit hadden moeten liggen. Als één praatje aan de helpdesk genoeg is om 6,5 miljoen mensen te raken, dan is 2FA niet het probleem maar de cultuur: alles opslaan, niemand echt verantwoordelijk, en achteraf zeggen “we hebben maatregelen genomen”... wie oren heeft die hore.
die hele “licht en liefde”-rant mist het belangrijkste: dit is niet alleen Odido die faalt, dit is een kettingreactie waar straks slachtoffers de rekening betalen met identiteitsfraude, SIM-swap en overtuigende nepbrieven omdat er óók BSN/ID en interne notities bij zitten. 2FA aanzetten helpt tegen accountovername, maar niet tegen iemand die met jouw paspoortnummer een lening of nieuw contract probeert te regelen… ga je dan niet óók meteen roepen: gratis kredietmonitoring, standaard blokkade bij BKR/ID-checks en keiharde bewaartermijnen (waarom staan kopieën ID’s überhaupt nog in zo’n database)? en dat “geen aanwijzingen voor misbruik” is meestal gewoon: we hebben het nog niet gezien, niet: het gebeurt niet.
Tsja ze heeft wel een punt dat 2FA niet alles oplost als je hele dossier incl. ID en “notities” op straat ligt, daar kun je echt ellende mee krijgen. Maar die oproep voor meteen alles blokkeren bij BKR/ID-checks klinkt ook alsof je even een knop omzet, ondertussen is de basis gewoon: waarom kán iemand met een babbeltruc bij zulke data komen en waarom bewaren ze dat spul zo lang...
Noe ja, 75 euro of 750, dat is niet eens het echte probleem; je mist dat Odido dit zó kan doen omdat wij met z’n allen overal braaf kopietjes ID en IBAN inleveren “voor de administratie” en niemand daar ooit op minimalisatie of bewaartermijnen afgerekend wordt. Als ze alleen hadden wat nodig is om een simkaart te activeren, stond er nu geen hele levensgeschiedenis met notities online, sjön geregeld… en wij mogen weer maanden fraude-alert spelen, gezellig.
Wat moet je, “insiders” roepen is lekker makkelijk maar die lui kwamen gewoon binnen door iemand aan de telefoon die erin trapte, dat is geen dekmantel maar gewoon slechte procedures. En 75 euro is niks ja, maar het echte punt is dat je straks jaren mag opletten op leningen op jouw naam terwijl Odido weer doorgaat alsof er niks is.
die 75 euro is leuk maar geef me liever gratis bkr fraudemelding en een nieuw klantnummer ofzo want ik ga echt niet 5 jaar lang elke random “uw sim wordt overgezet” sms zitten stressen bro
ey daan, 2FA is leuk en aardig, maar die hackers gaan toch gewoon verder met hun social engineering trucjes, en dan kom je er toch weer bij uit, mongool toch!!! odido had gewoon die gast van ict moeten ontslaan, want die vent was toch gewoon te lui om goed te beveiligen... nu zitten wij met de gebakken peren, kanker toch!!!
Tja, die Odido, altijd maar bezuinigen op beveiliging... zat laatst nog op de A9 en had weer 'ns 'n probleem met m'n tank, en dan te bedenken dat m'n IBAN nu dus ook in verkeerde handen is... en die 75 euro compensatie, gewoon 'n lachertje, ik rijd 5 uur mee en m'n tank is al leeg... wat nou 2FA, dat is toch allemaal kletskoek als de data eenmaal op straat ligt...
2FA is geen “kletskoek”, het is juist damage control: met gelekte IBAN/ID kunnen ze je niet ineens je Odido-account in als je login wél achter MFA hangt, anders is het gewoon credential stuffing en klaar. Dit lek is vooral een people/process fail (social engineering + te veel data bewaren), en die 75 euro is peanuts ja, maar doen alsof security toch zinloos is omdat data eenmaal lekt is echt de domste take.
klopt dat iedereen nu roept “wachtwoorden wijzigen”, maar het echte gedoe is straks dat je ineens een simswap of nieuw abonnement op je naam hebt en je bij odido/bank weer door 3 lagen klantenservice moet om te bewijzen dat jij jij bent. en kunnen we ff afspreken dat bedrijven stoppen met kopietjes ID bewaren “voor de zekerheid”, want dat is precies het spul waar je jaren ellende van krijgt.
pfff ja dit dus… ik had laatst een klant die na zo’n datalek ineens “verificatie-sms” kwijt was en hoppa, bank geblokt en drie dagen bellen met helpdesks alsof zij de boef was. en dat ID-kopietje bewaren “voor de administratie” mag van mij echt per direct kappen, straks loopt er iemand met jouw pasfoto en bsn een abonnement te scoren en jij mag het weer bewijzen, succes ermee joh.
Ja lekker, AlexAnsen mist 't echte probleem... wachtwoorden veranderen is nog 't minste, gaat om die identiteitsbewijzen en bankgegevens die nu online staan... dat is 't echte gedoe, niet dat ge uw wachtwoord moet veranderen... m'n hele identiteit staat nu online, dat is toch 'n ramp... en wat gaan ze eraan doen? niks... gewoon weer 'n slap excuus dat het niet kan...
ODIDO BEWAART GEEN WW, MAAR DIE HACKERS GAA' DIE WEL UIT HUN DUIM SUIZEN EN KOMT ER NIKS VAN KLOPPIE!!!!!! DAT IS HET PUNT NIET EINDELIJK, HET GAAT OM AL DIE GEGEVENS DIE NIET MEER BESCHERMT ZIJN EN DIE KUNNEN WEL EENS MISBRUIKT WORDEN DOOR IEMAND DIE ER WAT VAN WEET EN DAAR KOMT DE KLERE VAN!!!!!!
Die “gevoelige notities” vind ik nog het engst, want dat is precies het spul waar je met een beetje toneelspel een winkel of helpdesk mee omver blaast. En let op: de meeste ellende komt niet van die dump zelf maar van de weken erna, als je ineens “Odido” aan de lijn hebt die je zogenaamd komt helpen en je zelf de deur openzet.
ewa die odido klote dat ze onze data zo laten lekken ja, kheb zelf ook es bij odido gewerkt en ik zeg je, die beveiliging was echt voor de kat z'n kut, ik snap niet dat ze ons nu proberen wijs te maken dat ze alles onder controle hebben, swa die 75 euro compensatie is gewoon 'n grap, alsof dat alles goed maakt, ik ga toch niet mijn hele leven opnieuw moeten opbouwen omdat odido lui zijn met hun beveiliging??
We hebben het steeds over “phishing training” maar de echte vraag is: waarom heeft een telecom überhaupt kopieën van ID’s/BSN/IBAN + interne notities in één mega-datameer staan — data-minimalisatie is letterlijk AVG, maar dat botst met hun marketing/upsell machine. En die AP gaat dan weer “onderzoeken” tot 2028 en Odido boekt het weg als business expense, terwijl jij straks met een gestolen identiteit bij je bank mag smeken om geloofd te worden, nice.
hé jong, die dataset is toch gewoon 'n tijdbom onder ons allemaal, ik snap dat de "experts" zeggen dat we onszelf moeten beschermen, maar das toch gewoon 'n lapmiddel... ik bedoel, al die 2FA en wachtwoorden veranderen, da's toch gewoon 'n druppel op 'n gloeiende plaat als de boel zo lek is als 'n mandje bij Odido... en wat als die "hackers" nou gewoon 'n dekmantel zijn voor iets groters?? misschien moeten we eerst die "beveiliging" van de overheid zelf maar eens onder de loep nemen, want die gaan ons echt niet vertellen wat er echt aan de hand is, ze vertellen ons alleen wat ze kwijt willen... en die 75 euro compensatie?? da's toch gewoon 'n fooi voor 'n probleem dat "ze" zelf hebben veroorzaakt... bewijs maar dat dit niet gewoon 'n manier is om van ons af te komen, jong!!
Odido kan nu beter stoppen met die €75 pleister en gewoon identity protection/monitoring inkopen voor álle klanten (paar jaar), dat is pas damage control en goedkoper dan jaren claims en churn. en eerlijk: als je paspoort+iban in je CRM “handig” vindt, dan is je dataminimalisatie gewoon nul en ga je dit in elke boardroom terugzien als harde kostenpost.
6,5 miljoen en dan “geen aanwijzingen voor misbruik” is echt zo’n zin waar je niks aan hebt; met paspoort/BSN+IBAN kun je maanden later nog ellende krijgen via gerichte phishing en rekeningovername. overigens, wat veel mensen niet weten: die interne notities zijn vaak het giftigst, omdat daar precies in staat welke smoes bij jou werkt (“belt vaak boos”, “betaalt laat”, “wil altijd korting”) en dat maakt social engineering ineens supersuccesvol. identity monitoring voor iedereen is leuk, maar ik wil vooral dat ze stoppen met dit soort data in één CRM proppen en dat medewerkers hardware-2FA krijgen, anders is het volgende bedrijf volgende maand aan de beurt…
Men vergeet gemakkelijk dat dit niet alleen “privacy” is maar ook nationale infrastructuur: telecomdata is goud voor criminelen én voor buitenlandse diensten, en wij doen alsof het een marketingprobleem is. Dat er identiteitsbewijzen en interne notities in één export meekomen, zegt vooral dat dataminimalisatie bij Odido nooit echt heeft bestaan; waarom bewaart een telecom kopieën van paspoorten langer dan strikt nodig? En AP gaat straks weer met een boete zwaaien, maar de echte prikkel ontbreekt: bestuurders persoonlijk aansprakelijk maken als je basisprocessen zó brak zijn dat één nep-ICT’er de deur open krijgt.
“Nationale infrastructuur” klinkt lekker stoer, maar dit is vooral het banale falen van een bedrijf dat z’n datakast als rommelhok gebruikt: paspoorten, banknummers en interne roddelnotities in één grote export, omdat niemand ooit heeft durven schrappen. Bestuurders persoonlijk aansprakelijk maken is ook zo’n forumfantasie: dan krijg je nóg meer vinkjes, nóg meer consultants, en niemand die verantwoordelijkheid neemt behalve de jurist. Paradoxaal hoe we privacy pas heilig verklaren als het al op straat ligt, terwijl het inherent al jaren als verdienmodel in la wordt bewaard.
Tja, VincentW heeft weer groot gelijk... maar die bestuurders gaan echt niet persoonlijk boeten voor hun eigen fouten... komt alleen maar meer papierwerk en vinkjeslijstjes van... en nóg meer euro's naar de consultants... A10 staat weer muurvast vandaag...
“Bestuurders aansprakelijk = meer vinkjes” is echt zo’n comfy excuus om vooral niks te veranderen — juist omdat die lui nu wegkomen met “tja, incident” blijft het een kostenpost die je weg-optimaliseert. Als je 6,5 miljoen mensen hun BSN/paspoort/IBAN laat rondzwerven omdat één medewerker een nep-ICT’ertje gelooft, dan is dat geen rommelhok maar een bedrijfsmodel: zoveel mogelijk data bewaren voor upsell/marketing en security als afterthought, oh ja want sharehólder value.
die “gevoelige notities” is de echte bom hier. Wachtwoorden kun je resetten, maar als er ergens staat “belt snel boos”, “psychische klachten”, “achterstand”, “fraudegevoelig” dan gaat dat de rest van je leven mee in systemen en besluiten, en jij krijgt nooit meer boven tafel waar dat vandaan komt. En social engineering is leuk als excuus, maar als één telefoontje genoeg is om 6,5 miljoen dossiers te trekken dan was het intern al veel te ruim geregeld.
swa odido die is echt zo lek als een mandje, kheb zelf ook bij ze gewerkt en je kon zo makkelijk bij andermans info komen, gewoon door even te kutten met de systemen, ewa niemand die dat controleert, ik zeg je, het is echt een zwijnenstal daar, en nu gaan ze ons vertellen dat we ons geen zorgen hoeven te maken?? das toch gewoon 'n lachertje, kheb vriend die is gehackt en nu is ie zijn huis kwijt, swa dat is toch niet normaal joh!!!
omg, dit is echt erg!! ik had een paar jaar geleden Odido (of was het nog T-mobile??) en ik moest echt alles dubbelchecken omdat ze zoveel mogelijk data over me wilden weten... en nu lekt dat allemaal gewoon. ik snap echt niet hoe ze zo slordig kunnen zijn met onze gegevens. en die €75 compensatie is echt een lachertje, dat is toch niks voor al die stress en moeite die we nu krijgen. ik ga sowieso al mn wachtwoorden veranderen, maar ik blijf echt bang dat er toch nog rare dingen gaan gebeuren. heeft iemand enig idee hoe lang zoiets "rondzwemt" op internet?? dat is toch echt super eng...
6,5 miljoen en dan ook nog kopietjes ID en “gevoelige notities”, wie bedenkt überhaupt dat je dat allemaal moet bewaren bij een telecom?? straks krijg je jaren later een brief van een incassobureau “u bent aan de deur geweest met uw paspoort”, en jij mag weer bewijzen dat je gewoon in de bus zat.