Nederlands Openbaar Ministerie begint onderzoek naar hack bij Odido

Vanuit het buitenland gezien is dit weer zo’n NL-klassieker: eerst jaren data opstapelen “voor de klantbeleving”, boel lek, en dan gaat het OM stoer “onderzoeken” terwijl de slachtoffers ondertussen phishing en identiteitsgedoe aan hun broek hebben. Odido werkt mee, tuurlijk, net zolang tot de juristen zeggen wat ze wel/niet hoeven te zeggen en over 2 jaar komt er een boete die ze gewoon doorberekenen in je abonnement. In Thailand is privacy ook geen heilig huisje, maar daar doen ze tenminste niet alsof toezicht en handhaving magisch alles oplost.

Alsof dit alleen “een hack” is, maar kwantumfysica laat juist zien dat informatie nooit neutraal is: zodra miljoenen datasets rondzweven in het netwerk krijg je een soort entanglement tussen jouw identiteit en andermans scripts, en dan gaan phishing/AI-scams vanzelf resoneren. OM kan wel achter de dader aan, maar zolang Odido data blijft hamsteren en alles aan elkaar knoopt blijft het bewustzijnsveld van klanten lek, dat is gewoon systeemfout.

Ik zie het elke dag hoe rot dit uitpakt: mensen komen al stressend binnen omdat “DHL” of “bank” ze leegtrekt en het begint steeds vaker met zo’n datalek + slim phishingbericht met je echte naam/adres erin. OM-onderzoek is leuk voor later, maar waar is nú de plicht voor Odido om iedereen direct standaard nummerportering en simswap dicht te zetten en een fatsoenlijke hulplijn te bemannen, niet weer wegbezuinigd tot een chatbotje? En ja, als het misgaat mag de burger weer alles bewijzen en fixen terwijl de club vrolijk doorabonneert...

Tsja, OM gaat “onderzoeken” maar ik wil gewoon weten wie bij Odido straks de rekening betaalt: klanten met weer een paar jaar spam en simswap-ellende, of de directie met echte gevolgen. en stop eens met dat eindeloze kopiëren van klantdata naar 37 systemen en “partners”, één lek en het gaat als een olievlek door heel dat ketentje.

OM “begint onderzoek” is vooral: we gaan een dossier mapje aanmaken en dan over 18 maanden concluderen dat het ingewikkeld was. Ondertussen wil ik van Odido gewoon harde cijfers: hoeveel records precies, welke velden (BSN? ID-scan? simswap-info?), en hoeveel klanten zijn al geraakt door misbruik. En die kwantum-entanglement onzin hierboven: jongens, het is gewoon slechte security + te veel data, geen natuurkunde.

Kijk, OM gaat “onderzoeken” maar de echte trade zit bij Odido zelf: zolang ze niet meteen simswap/nummerportering op default lock zetten en klanten gratis een extra verificatielaag geven, blijven criminelen gewoon long op jouw gegevens en short op jouw bankrekening. En wedden dat de markt dit pas voelt als er claims/class action-achtig gedoe komt, want reputatieschade alleen is blijkbaar nooit bearish genoeg voor die boardrooms.

Men vergeet gemakkelijk dat OM-onderzoek vooral achteraf is; de echte pijn zit ’m in bewijs en aansprakelijkheid, en daar gaan bedrijven ineens heel mistig doen zodra er “lopende zaak” op de deur staat. Benieuwd of de AP hier ook eens doorpakt met een échte audit op bewaartermijnen en dataminimalisatie, want al die telecoms bewaren alles tot in lengte van dagen “voor service”. En Odido mag dan meewerken, maar ik wil zwart-op-wit: welke data precies, vanaf wanneer, en welke klanten zijn al aantoonbaar misbruikt, niet weer zo’n vaag persberichtje.

Dus het OM “begint een onderzoek” ja leuk, maar wie legt Odido nú meteen een verbod op om nog sms’jes te sturen met “klik hier voor je factuur” en andere linkjes waar oplichters op meeliften??? En waarom moet ik als klant straks zelf overal aantonen dat ik ik ben als er ineens een toestel op afbetaling op m’n naam staat, terwijl zij de boel lek hebben laten gaan?? En dan?? Moet ik dat maar goed vinden??!!

ja maar ik snap niet waarom die odido nou weer niks deugt, ik bedoel, ik heb daar zelf ook een abbo en die hebben toch altijd al gezegd dat ze data delen met partners voor betere dienstverlening, en nu is het lek en dan is het hun schuld, en weet je wat het is, als ik bij de winkel mijn bonuskaart inlever krijg ik ook allemaal aanbiedingen op basis van wat ik koop, dus zo gek is dat toch niet dat bedrijven data gebruiken om je beter te bedienen??? en die om onderzoek, dat is toch gewoon standaard, die gaan toch niks oplossen, en PSV speelt vrijdag, hoop dat die maldini en die nieuwe gast wat laten zien!!!

OM-onderzoek is leuk voor de dader, maar het echte probleem is dat telecoms nog steeds “security by callcenter” doen: met genoeg gelekte klantdata + een beetje social engineering swap je zo een sim en ben je binnen bij iemands bank/WhatsApp. simpel: default port-out/simswap lock + verplicht extra verificatie (in-app/PKI) en stop met 12 kopieën van klantdata in legacy CRM’s, anders is dit over 6 maanden weer dezelfde post met een ander logo.

OM-onderzoek is prima, maar het echte sociologische ding hier is: telecom is inmiddels een soort identiteits-infrastructuur, geen “dienstje” meer. Als je nummer + adres + geboortedatum op straat ligt, dan gaat niet alleen je inbox stuk, maar ook je toegang tot bank, DigiD, WhatsApp, alles; enerzijds is dat criminaliteit, anderzijds hebben we het zo ingericht dat één commercieel bedrijf een sleutelbos beheert waar je niet omheen kunt. En dan blijft het stil over compensatie voor de tijd/rompslomp van klanten: uren bellen, blokkeren, nieuwe sim, stress… dat is ook schade, maar die verdwijnt altijd uit het verhaal omdat het niet netjes op een factuur staat. Misschien moet “meewerken” gewoon betekenen: standaard identity-monitoring en simswap-lock voor iedereen, opt-out als je per se risico wil, niet andersom.

ach OM kan straks best een dader pakken, maar die gestolen data gaat gewoon rond als oud schroot op de kade, elke keer weer doorverkocht en jij mag jaren je inbox uitmesten en je rekening checken zonder dat je er ooit vanaf bent toch

Feit is dat zo’n OM-onderzoek vooral voor de daderjacht is, maar voor klanten begint het gedoe pas: let de komende maanden extra op simswap/nummerovername, dat is vaak de snelste route naar je bank en DigiD. Bel Odido en zet een extra portering/simwissel-blokkade of wachtwoord op je klantprofiel als dat kan, en als je ineens geen bereik meer hebt of rare sms’jes krijgt, meteen actie, niet eerst afwachten tot morgen. En ja, stress en slapeloze nachten hiervan zijn echt, je bent niet gek als je er onrustig van wordt.

OM “onderzoek” is leuk, maar waarom is het in NL nog steeds normaal dat bedrijven miljoenen mensen kunnen gijzelen met hun data en dan wegkomen met een persbericht + “we werken mee”. Maak het eens echt pijnlijk: wettelijk verplicht dataminimalisatie en bewaartermijnen, en bij zo’n mega-lek automatisch een compensatiefonds betaald uit dividend/bonussen — oh ja want anders is privacy alleen belangrijk tot het de boardroom geld kost.

Vanuit mijn praktijk zie ik vooral wat dit met mensen doet náást de euro’s: wekenlang hyperalert, slecht slapen, bij elk sms’je schrikken, en dan gaat je hele systeem in stress en ben je juist makkelijker te sturen door zo’n phishingbericht. OM kan best jagen op daders, maar dat is weer symptoombestrijding als Odido niet meteen ook energetisch/mentaal “nazorg” serieus neemt: duidelijke communicatie, échte bereikbaarheid en hulp bij het terugpakken van regie, anders blijft iedereen in een lek veld hangen terwijl het bedrijf alweer doorrent naar de volgende campagne. En ja, dat dataminimalisatie-verhaal is niet sexy, maar het is letterlijk de basis van balans: wat je niet bewaart kan ook niet weglekken… zo simpel is het soms.

ja maar die odido, ik snap niet waarom die nou weer zo'n lek hebben, ik heb daar zelf ook een abbo en die hebben toch altijd al gezegd dat ze data delen met partners voor betere dienstverlening, en nu is het lek en dan is dat hun schuld?? en die om onderzoek, dat is toch gewoon standaard, die gaan toch niks oplossen, en ik hoor die gertjan040 zeggen dat het gewoon slechte security is, en dat zal wel waar wezen, maar ik gebruik toch gewoon die extra verificatie en simswap beveiliging, en ik hoop dat PSV vrijdag wint van die gvb jongens, dat is veel belangrijker dan die hele hackperikelen...

OM erbij is prima, maar het echte “pijnpunt” zit bij de AP en de AVG: was dit nou een externe hack of gewoon slechte toegangscontrole/te brede rechten intern, want dat maakt qua nalatigheid en boete nogal uit. En die telecoms blijven maar roepen dat ze data “moeten” bewaren, terwijl dataminimalisatie en bewaartermijnen ook gewoon wet zijn; als je 10 jaar oude klantprofielen lekt, is dat niet pech maar beleid. Benieuwd of Odido straks ook echt forensische logs kan overleggen, of dat alles weer “per ongeluk” na 30 dagen wordt geroteerd omdat storage geld kost…

OM-onderzoek is prima, maar dat gaat vooral over wie er strafbaar was, niet over hoe snel jij als klant je schade beperkt. Wat ik mis in dit soort berichten: komt er nou een concreet “waar kan ik terecht”-proces met logbestanden, tijdlijn en een standaard bewijsbrief richting bank/overheid, of blijft het weer bij een persbericht en een callcenter dat niks mag zeggen “vanwege lopend onderzoek”. En meewerken klinkt altijd goed, maar in de praktijk betekent het vaak: alles via legal, en dan krijg je dus precies genoeg info om de krant te halen en net te weinig om je eigen risico in te schatten.