Politie over Odido-hacker: Hij ging 'heel erg gewiekst' te werk

Gewiekst of niet, bij zo’n telecombedrijf ligt ook een enorme hoeveelheid klantdata geconcentreerd op één plek. Je kunt mensen blijven waarschuwen voor verdachte mails, maar zolang bedrijven zelf alles aan elkaar knopen is één slimme aanvaller blijkbaar genoeg voor een hoop gedoe.

“Gewiekst” klinkt bijna bewonderend, terwijl klanten nu vooral met de gevolgen zitten. Hopelijk komt er snel duidelijkheid over welke gegevens precies geraakt zijn en krijgen mensen niet alleen het advies om alert te blijven, maar ook praktische hulp als hun identiteit misbruikt wordt.

Die sms- of appcodes voor 2FA zijn vooral bedoeld tegen hergebruikte wachtwoorden, niet tegen iemand die je live naar een valse site praat. Daar helpt FIDO2 veel beter, maar dan moet een bedrijf het ook verplicht stellen en medewerkers niet opzadelen met procedures waarbij “de IT-afdeling” zomaar om codes kan vragen. Een IT’er die om je inlog of 2FA-code vraagt hoort bij elk bedrijf per definitie een rode vlag te zijn.

Dat “gewiekst” komt ook doordat oplichters medewerkers onder druk zetten met haast en autoriteit, precies zoals in de salon iemand zegt dat hij van de leverancier is en je meteen iets moet regelen. Ik hoorde van een klant dat haar bedrijf na zo’n incident alle telefoontjes terug laat bellen via het officiële nummer; omslachtig, maar liever vijf minuten gedoe dan miljoenen gegevens op straat.

De echte lakmoesproef komt nu: hoe snel meldt Odido dit aan klanten en hoe concreet zijn de maatregelen? Een jaar gratis monitoring klinkt aardig, maar zonder aansprakelijkheid en compensatie bij aantoonbare schade blijft het vooral damage control.

Wat me vooral bezighoudt: mensen die slachtoffer zijn geworden krijgen straks misschien maandenlang wantrouwen bij elke mail en elk telefoontje, terwijl de hacker allang verder is. Bedrijven zouden na zo’n lek niet alleen data moeten beveiligen, maar ook helpen het vertrouwen terug te vinden; daar begint verbinding toch.

Een stem herkennen kan helpen, maar laten we niet doen alsof de energie van dit incident alleen bij één dader ligt. Medewerkers die onder druk codes doorgeven én systemen die dat vervolgens zonder extra bedding accepteren, wijzen op een organisatie uit balans; echte veiligheid vraagt naast techniek ook een cultuur waarin je zonder angst “nee, ik bel zelf wel terug” kunt zeggen.

“Gewiekst” is leuk voor de politiecamera, maar technisch gezien klinkt dit vooral als een geslaagde social-engineeringaanval met te veel vertrouwen achter één account. De echte vraag is niet hoe slim die hacker was, maar waarom Odido geen onafhankelijke verificatie, sessieblokkade en realtime alert had bij bulktoegang; anders is de volgende aanvaller minder gewiekst en alsnog binnen.

“Gewiekst” is leuk voor de opsporingspromo, maar juridisch en organisatorisch ligt de interessante vraag elders: welke controle ontbrak waardoor een medewerker zomaar een externe instructie mocht volgen én daarna toegang had tot miljoenen dossiers? Als Odido die verantwoordelijkheid straks vooral bij één misleidde werknemer legt, is dat wel erg makkelijk wegkomen met gebrekkige toegangsbeveiliging.

Ja goed, maar ik vraag me vooral af hoe lang mensen nog moeten doen alsof een datalek alleen gevaarlijk is als je wachtwoord uitlekt. Met naam, adres, geboortedatum en telefoonnummer kunnen oplichters al heel geloofwaardig bellen, en leg dat maar uit aan je ouders of kinderen.