Odido waarschuwt voor datalek: miljoenen klantgegevens gestolen bij cyberaanval

6,2 miljoen klantgegevens... dat is een flinke hap... ik zat te denken, misschien is dit niet alleen een kwestie van een cyberaanval, maar ook een symptoom van hoe kwetsbaar onze digitale infrastructuur is... als nachtwaker heb ik vaak te maken met beveiligingssystemen en ik weet hoe makkelijk het soms is om een systeem binnen te dringen... en dan vraag ik me af, zijn we eigenlijk wel voorbereid op de... consequenties van al die digitale informatie?? misschien is dit een waarschuwing... wie weet wat voor soort... entiteiten er zijn die profiteren van zulke lekken... en wat doen we eraan om dat tegen te gaan?? soms denk ik dat we meer bezig zijn met het beschermen van onze data dan met het begrijpen van de... krachten die erop azen...

Kijk, als er echt IBAN + ID-gegevens rondzwerven is dit geen “oepsie” maar gewoon open season voor fraude: nieuwe sim op jouw naam, leningen, incasso’s, alles erop en eraan. Odido kan nu wel zeggen “geen wachtwoorden”, maar de schade zit ’m in die identiteitspakketjes die op Telegram voor een paar tientjes gaan, en de enige die de risicopremie betaalt is de klant met gezeik bij bank/Belastingdienst.

6,2 miljoen en dan ook nog IBAN en ID-spul… dat is niet “pech”, dat is gewoon een bedrijf dat veel te lang alles bewaart omdat het handig is voor marketing en callcenters. In mijn tijd bij de KLM ging je met paspoortgegevens om alsof het goud was, maar bij dit soort providers slingert het blijkbaar in een klantcontactsysteem waar half extern personeel bij kan en dan is het wachten tot iemand een deur open laat staan. En dan krijg je straks weer zo’n gratis “kredietmonitoring” en een sorry-mailtje, terwijl jij de komende jaren elke incasso en elke brief van een vage webshop mag gaan wantrouwen, lekker dan.

6,2 miljoen in een “klantcontactsysteem” zegt al genoeg: dat is zo’n CRM waar 1000 mensen + leveranciers bij kunnen en dan verbaasd zijn dat er iemand meekijkt. Slechte UX is dat je als klant nu mag gaan raden wat je moet doen (bank bellen? ID check? sim-swap blokkeren?) terwijl Odido gewoon standaard een duidelijk stappenplan + opt-in credit freeze/extra verificatie had moeten pushen, niet alleen een sorry-sms.

Wat ik mis: hoe kan een “klantcontactsysteem” überhaupt IBAN + ID-kopieën bevatten als je al jaren hoort dat je dat moet minimaliseren en automatisch laten verlopen? Dit is gewoon data-hoarding als feature, en nu zit je met 6,2 miljoen mensen die de rest van hun leven “legitimeren” mogen omdat iemand ooit dacht dat het handig was voor een belscript.

Vanuit het buitenland gezien is het mooiste detail dat ze “geen wachtwoorden” roepen alsof dat geruststelt, terwijl je met NAW+IBAN+ID gewoon iemands leven kunt gaan nabouwen bij elke helpdesk die nog met controlevraagjes werkt. En dan straks weer: “let op phishing” en “wij nemen uw privacy serieus”... ja joh, had die rotzooi dan niet jaren in een CRM laten liggen waar half ingehuurd personeel bij kan. In Thailand is cash nog koning, maar in NL ben je na zo’n lek gewoon permanent verdacht bij je eigen bank, lekker geregeld.

zo’n lek is niet alleen “odido faalt”, het is ook: wij zijn allemaal verslaafd aan die telefoon als sleutel tot alles… zet meteen sim-swap/nummerportering blokkade aan bij je provider en spreek met je bank af dat ze NOOIT “even” je limiet verhogen na een belletje, want criminelen spelen vooral op stress en gehoorzaamheid. hoop echt dat odido niet alleen sorry appt maar ook mensen actief helpt met een simpel stappenplan, beetje liefde en verbinding kan hier letterlijk ellende schelen.

IBAN + ID-gegevens is geen “oeps”, dat is gewoon een datalek met levenslange nasleep, en dan vind ik het raar dat het meteen weer bij “let op phishing” wordt neergelegd. Odido moet nu niet met een sorry-sms wegkomen maar proactief regelen dat je gratis een nieuwe sim met sim-swap blokkade krijgt en een fatsoenlijke verklaring voor banken/overheid als er fraude op jouw naam gebeurt, daarentegen hoor je daar altijd pas wat over als het al mis is. En misschien eens wettelijk afdwingen dat dit soort bedrijven ID-kopieën na verificatie echt wissen, want blijkbaar doet niemand dat uit zichzelf.

Ja jong, allemaal leuk en aardig met “geen wachtwoorden”, maar als mijn IBAN en geboortedatum op straat liggen kan ik de komende jaren elke onbekende afschrijving gaan napluizen. En waarom krijg je dan wéér alleen zo’n sms’je met pas op voor phishing, regel eens dat mensen gratis hun nummer kunnen vergrendelen tegen simswap en dat ge automatisch een melding krijgt bij elke wijziging, da zou pas helpen.