Stelling | 'Bedrijven zouden nooit losgeld moeten betalen aan hackers'

Nooit betalen klinkt stoer, maar als je klantdata op straat ligt ben je als bedrijf ook gewoon verantwoordelijk voor de schade en ellende bij mensen, daarentegen voed je met betalen wél het verdienmodel en komt dezelfde club volgend jaar weer terug. Dus: betaal in principe niet, maar dan moet de overheid ook zorgen voor snelle opsporing en keiharde boetes als je je beveiliging niet op orde had, én verplicht direct hulp voor gedupeerden (credit monitoring, ID-check) zonder dat gezeur en wegkijken. En telecoms moeten sowieso stoppen met alles bewaren “voor het gemak”, want dit is vragen om gedoe…

Ik merk dat die “betaal nooit” stelling net doet alsof betalen de data weer mágisch terug in de kluis stopt, maar je koopt hooguit stilte van criminelen die toch al laten zien dat ze geen grenzen hebben. Het universum tikt hier vooral op één ding: wees transparant en help je klanten NU met echte schadebeperking (gratis sim-swap blokkade, extra verificatie, hulp bij identiteitsfraude), want die stress-energie bij mensen is vele malen groter dan het stoere principepraatje. En als je dan niet betaalt, oké, maar dan ook niet na een week weer doorgaan alsof er niks is gebeurd… laat maar voelen dat er echt geleerd is.

Niet betalen, punt — maar dan ook niet doen alsof dit “pech met criminelen” is: dit is gewoon het businessmodel van datahamsteren + bezuinigen op security tot het misgaat. En als Odido wél betaalt, prima, dan meteen keihard: bestuurders persoonlijk aansprakelijk en winsten/bonussen bevriezen voor compensatie, oh ja want de klant mag weer de schade dragen terwijl aandeelhouders chillen??

“nooit betalen” klinkt principieel, maar het negeert dat losgeld hier gewoon een verzekerings-achtig verdienmodel is geworden: betalen wordt ingecalculeerd en dus gaan ze door, door, door. Enerzijds moet je die markt droogleggen door niet te betalen, anderzijds kun je klanten niet opzadelen met alle ellende omdat een bedrijf z’n datahuishouding niet op orde had. Wat hier mist: verplicht meldpunt + centrale schade-afhandeling (denk simswap/ID-fraude) vanuit één loket, want nu mag elke gedupeerde in z’n eentje gaan leuren met bank, gemeente, telecom, DigiD… en dát is precies de verborgen winst van hackers: jouw tijd. En Odido/anderen moeten eens stoppen met “we nemen privacy serieus” terwijl ze alles bewaren omdat marketing het handig vindt; minder data = minder chantage, zo simpel is het.

“nooit betalen” is een lekkere stelling, maar niemand benoemt het echte probleem: je weet niet eens of je met betalen iets koopt behalve uitstel, want ShinyHunters kan die data allang 10x doorverkocht hebben. En waarom hoor ik nergens wát er precies gelekt is bij Odido: alleen NAW+telefoon, of ook kopieën ID/IBAN/contracten/BSN? Bron/link naar het forensisch rapport graag, want zonder dat is het vooral paniekmarketing. En even praktisch: als ze niet betalen, waar is dan de verplichting om klanten meteen gratis nummerwijziging + simswap-blokkade + extra verificatie te geven, in plaats van een sorry-mailtje?

dit gedoe rond odido en die hackers doet me toch weer denken aan al die andere keren dat grote bedrijven gehackt werden... en dan vraag ik me af, is het nou echt alleen maar toeval dat dit soort dingen steeds vaker gebeuren... of speelt er iets anders... ik weet het niet, maar soms denk ik dat er meer aan de hand is dan wij zien... wie weet zijn er invloeden van buitenaf die onze systemen kunnen manipuleren of iets dergelijks... klinkt maf, maar het is toch gek dat we altijd maar focussen op de "aardse" oorzaken en nooit echt kijken naar andere mogelijke factoren... en dan die ufo sightings de laatste tijd... allemaal toeval?

“nooit betalen” is leuk als slogan, maar je moet ook durven benoemen dat we dit juridisch nog steeds behandelen als een soort bedrijfspech, terwijl het in de praktijk een aanval is op publieke infrastructuur (telecom = toegang tot bank/digid/werk). Enerzijds wil je het verdienmodel niet spekken, anderzijds is het ook raar dat de afweging nu achter gesloten deuren bij een boardroom ligt met reputatie- en kwartaalcijfers, terwijl de risico’s bij miljoenen mensen landen. Maak het dan tenminste verplicht: als je wél betaalt, dan onder toezicht en met volledige openheid achteraf (wat is betaald, wat is beloofd, wat is gelekt), want nu is het vooral gokken en PR. En ondertussen: waarom kan ik als klant nog steeds niet standaard een “geen nummerportering/geen simswap zonder 48u wachttijd” aanzetten? dat zou zóveel ellende schelen, maar dat is blijkbaar minder sexy dan marketingbudget.

Hier op het land: betalen of niet betalen is bijna bijzaak, want als die data eenmaal weg is heb je nul garantie dat het niet al gekopieerd is. Wat wél moet: meteen standaard simswap op slot, extra check bij nummer overzetten en een fatsoenlijke helpdesk die je in 5 min door de stappen trekt, niet zo’n “we nemen het serieus”-mailtje. en ga eens stoppen met overal je ID en geboortedatum vragen “voor de administratie”, dat is echt een hobby van grote bedrijven geworden.