Odido waarschuwt voor datalek (cyberaanval/hack)

[user109731]

Het is nog steeds niet duidelijk wanneer het datalek heeft plaatsgevonden. Op de website zeggen ze dit:

Wanneer heeft de cyberaanval plaatsgevonden en is de data gelekt?
In het weekend van 7 en 8 februari jl. hebben ons de eerste signalen bereikt dat er sprake is van een datalek. We zijn direct begonnen met nader onderzoek. Samen met onze interne en externe cyberbeveiligingsexperts hebben we direct actie ondernomen. Zodra het datalek bevestigd was hebben we besloten de Autoriteit Persoonsgegevens en de betrokken klanten zo snel mogelijk te informeren.

Dat geeft niet direct antwoord op de vraag, meer wanneer ze het ontdekt hebben.

Het blijft vreemd dat in november een groot aantal wachtwoord-reset-mails zijn verstuurd, inclusief naar adressen die alleen voor Odido gebruikt worden, zoals eerder besproken in dit topic. Heeft dat nu te maken gehad met het datalek of was het een ander incident? We zullen er wel nooit achterkomen...

[redwing]

swhnld schreef op maandag 23 februari 2026 @ 13:30:
@ernstoud Wat ik begreep van de Odido inbraak is dat het via de helpdesk binnen gekomen is.
De vraag is dan voor mij, hoe heb je van 6,2 miljoen klanten gegevens kunnen scrapen via een helpdesk account. Met bijvoorbeeld datamasking en een extra bevestiging erop als je bij ID nummers of bankrekeningen wil komen kun je dat al enorm bemoeilijken. Een helpdeskmedewerker hoeft geen bulk toegang te hebben, dus dan is het account voor account.
Met dagelijks verplicht herstarten en inperking van lokale rechten kun je persistente dreigingen beperken dat er externe software (inclusief malware) geïnstalleerd kan worden, dus als er al connectie lukt, is het verbroken na de volgende herstart.
Dagelijk OTP vereisen bij inloggen en time-out na bepaalde tijd op elke sessie beperkt ook het risico verder.

Er zijn opties, en ik hoop dat ze dat ook gaan implementeren.

Ze deden zich schijnbaar voor als IT medewerkers die extra toegang nodig hadden. Ik verwacht dan ook dat het niet een standaard helpdeskmedewerker is geweest die dit heeft toegekend maar al wat hoger in de lijn. Als een standaard helpdeskmedewerker dit zou kunnen doen hadden we al veel eerder zo'n lek gehad, want als je honderden/duizenden mensen hebt met zulke toegang houd je dat echt niet dicht.

Het klinkt bij mij iig alsof iemand een soort admin-account heeft opengezet waarmee allerlei beveiligingen niet meer van toepassing waren. En dan kun je nog zulke goede beveiligingen hebben, maar als die beveiligingen uitgezet worden heb je er weinig meer aan.

[ernstoud]

jongetje schreef op maandag 23 februari 2026 @ 13:43:
[...]

Ik heb afgelopen december een contract afgesloten bij KPN (en uiteindelijk weer geannuleerd) en kreeg alle bevestigings mails opeens op het mailadres waar ik 4 jaar eerder klant was geweest terwijl ik op een totaal ander mailadres het nieuwe abonnement had afgesloten. Niemand die dat daar vreemd vond trouwens...
Dus het gras is inderdaad echt niet groener (om in KPN kleuren te blijven).

Vele jaren geleden bij een datacenter van een NL grootbank als consultant een klusje gedaan (business continuity plannen maken e.d.). Dan krijg je een personeelsnummer en inlog om tijd te boeken, voor interne email e.d.

Acht (!) jaar later vanuit een andere organisatie weer bij datzelfde datacenter als consultant ingezet in een security project. Bij de IT helpdesk kwam de eerste dag de vraag of ik eerder al daar gewerkt had, met een oud personeelsnummer zou de aanmelding veel sneller gaan. Ik wist dat nummer nog, dus aangemeld.

In Outlook had ik vervolgens duizenden emails van de afgelopen 8 jaar. Niet direct aan mij gerichte email maar allemaal meldingen over gebak, personeelsfeest etc.

Acht jaar dus account actief gehouden .

Maar goed, dat was bij dat datacenter in die tijd niet het grootste probleem, er speelde veel meer .

[ernstoud]

swhnld schreef op maandag 23 februari 2026 @ 13:30:
@ernstoud Wat ik begreep van de Odido inbraak is dat het via de helpdesk binnen gekomen is.
De vraag is dan voor mij, hoe heb je van 6,2 miljoen klanten gegevens kunnen scrapen via een helpdesk account.

Vermoedelijk door een fout (geen beperking op raadpleging geimplementeerd) in Salesforce. En ja, dat is een SAAS oplossing, niet specifiek voor Odido maar voor alle klanten. Dus al zou je dat niet willen, krijg je dat dan voor elkaar?

Het ging overigens begrijp ik om accounts van IT medewerkers, niet van de helpdesk voor consumenten.

Met bijvoorbeeld datamasking en een extra bevestiging erop als je bij ID nummers of bankrekeningen wil komen kun je dat al enorm bemoeilijken. Een helpdeskmedewerker hoeft geen bulk toegang te hebben, dus dan is het account voor account.

Zie hierboven; geen idee of Salesforce dat mogelijk maakt. En IT medewerkers hebben vaak meer rechten tot toegang.

Met dagelijks verplicht herstarten en inperking van lokale rechten kun je persistente dreigingen beperken dat er externe software (inclusief malware) geïnstalleerd kan worden, dus als er al connectie lukt, is het verbroken na de volgende herstart.
Dagelijk OTP vereisen bij inloggen en time-out na bepaalde tijd op elke sessie beperkt ook het risico verder.

Er zijn opties, en ik hoop dat ze dat ook gaan implementeren.

Zeker. Maar mij ervaring is vaak dat IT support personeel nou net die lui op het paard zijn die niet hun accounts steeds wisselen. Je weet wel, per ongeluk "rm -rf /" intikken met het root account waar ze de hele dag mee ingelogd zijn.

Een voorbeeld:

https://www.independent.c...of-bad-code-a6984256.html

[Herman]

redwing schreef op maandag 23 februari 2026 @ 12:23:
[...]

(...)

Verder snap ik best dat je vanwege deze hack wil overstappen (al was het maar om een signaal af te geven), maar mijn enige melding is dat je niet moet verwachten dat het bij je nieuwe provider daadwerkelijk beter is geregeld Uiteindelijk is het enige dat je kunt doen om zo min mogelijk je gegevens af te geven. Helaas ontkom je daar tegenwoordig vaak niet aan.

Laat het inderdaad een signaal zijn De marktwaarde van Odido zal vermoedelijk wel een flinke klap hebben gehad wat de geplande beursgang niet vereenvoudigd. Ik hoop dat in menig boardroom van grote ondernemingen met argusogen naar deze casus wordt gekeken en dat men leert dat digitale veiligheid bovenaan de prioriteitenlijst behoort te staan. In de directiekamers leert men sneller als het de portemonnee kan raken

[ernstoud]

Herman schreef op maandag 23 februari 2026 @ 14:32:
[...]

Laat het inderdaad een signaal zijn De marktwaarde van Odido zal vermoedelijk wel een flinke klap hebben gehad wat de geplande beursgang niet vereenvoudigd. Ik hoop dat in menig boardroom van grote ondernemingen met argusogen naar deze casus wordt gekeken en dat men leert dat digitale veiligheid bovenaan de prioriteitenlijst behoort te staan. In de directiekamers leert men sneller als het de portemonnee kan raken

Wel eens meegelopen met de directie van een dergelijke organisatie? Ik wel. Dan besef je dat de hoeveelheid agendapunten met prioriteit groot is. Denk je echt dat digitale veiligheid op nr. 1 staat? Ik heb dat nog nooit gezien. En waarom niet? Omdat er een CIO of een CISO (hopelijk) in de directie zit die de enorme uitgaven voor security niet kan wegen tegen de risico reductie en andere benefits.

En dan krijgt het echt niet die hoge prioriteit.

Of dat zou moeten betwist ik niet. Maar de realiteit is dat security risico’s verkleint maar niet duidelijk is hoeveel. En of je dan nog steeds gehackt kunt worden. (Ja, dus!)

Op de dag dat de certificerende instelling het 27001 certificaat kwam uitreiken aan de directie zei de directeur tegen de IT manager “dus nu zijn we veilig”? Hij stond met de mond vol tanden. Drie jaar security sterk verbeterd. Nieuw netwerk. Met monitoring. Red/blue team sessies, personeel voorgelicht, etc. etc., veiliger zeker. Maar voldoende veilig?

Uiteraard heeft deze hack nu bij Odido op hoog niveau aandacht. Had dat eerder gemoeten? Jazeker. Maar hoe dan?

[swhnld]

ernstoud schreef op maandag 23 februari 2026 @ 14:06:
[...]
Vermoedelijk door een fout (geen beperking op raadpleging geimplementeerd) in Salesforce. En ja, dat is een SAAS oplossing, niet specifiek voor Odido maar voor alle klanten. Dus al zou je dat niet willen, krijg je dat dan voor elkaar?

Ja, SalesForce heeft daar zeker mogelijkheden voor.
Als je kijkt naar PCI-DSS compliance (credit card beveiliging), ondersteunt SalesForce dat gewoon. En juist credit card gegevens is iets wat criminelen heel graag stelen, dus daar zijn de eisen heel streng op met om te voorkomen dat iemand even wat credit card nummers (en andere gegevens die op het pasje staan, de zogeheten card data) scraped en fraude pleegt.
https://compliance.salesforce.com/en/categories/pci-dss

[Herman]

nieuws: Na groot datalek geeft Odido klanten twee jaar gratis digitale besche...

Klanten van Odido en Ben kunnen een gratis beveiligingspakket van de providers krijgen. De tools van F-Secure geven mogelijke slachtoffers van het recente datalek informatie, bieden bescherming tegen phishinglinks en helpen bij het aanmaken van wachtwoorden.

--> Op de FrontPage.

[donkerlicht]

Weer een gigantische marketingfaal omtrent het datalek. Meer schuldbewustzijn zou ze sieren. Heb ik nog niet bij ze gezien inzake dit datalek. Alles maar bij de klant neerleggen…

[ Voor 3% gewijzigd door donkerlicht op 23-02-2026 15:52 ]

[ernstoud]

donkerlicht schreef op maandag 23 februari 2026 @ 15:52:
Weer een gigantische marketingfaal omtrent het datalek. Meer schuldbewustzijn zou ze sieren. Heb ik nog niet bij ze gezien inzake dit datalek. Alles maar bij de klant neerleggen…

Waar reageer je op?

[ernstoud]

Herman schreef op maandag 23 februari 2026 @ 15:48:
nieuws: Na groot datalek geeft Odido klanten twee jaar gratis digitale besche...

[...]

--> Op de FrontPage.

Redelijk aanbod lijkt me. Hoewel ik niet fan ben van allerlei tools die op de achtergrond draaien.

[donkerlicht]

ernstoud schreef op maandag 23 februari 2026 @ 16:00:
[...]


Waar reageer je op?

Op het bericht voorafgaand aan die van mij.

[ernstoud]

swhnld schreef op maandag 23 februari 2026 @ 15:34:
[...]

Ja, SalesForce heeft daar zeker mogelijkheden voor.
Als je kijkt naar PCI-DSS compliance (credit card beveiliging), ondersteunt SalesForce dat gewoon. En juist credit card gegevens is iets wat criminelen heel graag stelen, dus daar zijn de eisen heel streng op met om te voorkomen dat iemand even wat credit card nummers (en andere gegevens die op het pasje staan, de zogeheten card data) scraped en fraude pleegt.
https://compliance.salesforce.com/en/categories/pci-dss

Mooi. Maar onbekend natuurlijk of het kanaal, API e.d. waar de hackers toegang toe hadden onder die PCI-DSS compliance viel. Credit card processen zijn toch wel erg specifiek. Lijkt me sterk dat Salesforce de hele stack, alle modules e.d onder de PCI-DSS standaard laat vallen. Heb jij die info?

[ernstoud]

donkerlicht schreef op maandag 23 februari 2026 @ 16:07:
[...]

Op het bericht voorafgaand aan die van mij.

Ah. Quoten is altijd handig.

[donkerlicht]

ernstoud schreef op maandag 23 februari 2026 @ 16:01:
[...]


Redelijk aanbod lijkt me. Hoewel ik niet fan ben van allerlei tools die op de achtergrond draaien.

Wat is er redelijk aan? Het lost niets op en kost alleen maar extra onnodig geld, dan heb ik liever een kleine compensatie. En ze leggen het weer bij de klant neer. Ze bieden mij als klant namelijk extra online bescherming, maar dat heb ik helemaal niet nodig. Dat doe ik zelf wel, en tot op heden succesvol.

Maar ik hoef niet eens een compensatie. De gegevens zijn toch al gelekt. Alleen de toon van hun mails is veel te defensief. Dát is wat mij ook weer teleurstelt in deze aanbieding. En over twee jaar zijn de gegevens nog steeds uitgelekt, maar stopt het abonnement voor hen die wel ingaan op het bod. Bied dan iets ‘levenslang’ aan.

[Wootism]

ernstoud schreef op maandag 23 februari 2026 @ 16:01:
[...]
Redelijk aanbod lijkt me. Hoewel ik niet fan ben van allerlei tools die op de achtergrond draaien.

Op wat voor manier is dit een redelijk aanbod volgens jou?

Wanneer klantgegevens lekken door toedoen van je eigen medewerkers, hoort een organisatie daar verantwoordelijkheid voor te nemen en op z’n minst een meewerkende en betrokken houding te tonen.
Tot nu toe laat de communicatie zich echter vooral omschrijven als defensief en weinig empathisch.

Een duidelijke mea culpa waarin ze erkennen dat ze hun zaken niet op orde hadden/hebben en beloven er alles aan te doen om mij daar als gewaardeerde klant geen last van te laten ondervinden zou al een goed begin zijn.
Zo’n F-Secure-pakketje voelt in dat licht vooral als een zwak en weinig overtuigend signaal.

[ Voor 24% gewijzigd door Wootism op 23-02-2026 16:34 ]

[ernstoud]

Wootism schreef op maandag 23 februari 2026 @ 16:28:
[...]

Op wat voor manier is dit een redelijk aanbod volgens jou?

Wanneer klantgegevens lekken door toedoen van je eigen medewerkers, hoort een organisatie daar verantwoordelijkheid voor te nemen en op z’n minst een meewerkende en betrokken houding te tonen.
Tot nu toe laat de communicatie zich echter vooral omschrijven als defensief en weinig empathisch.

Gratis een handreiking voor klanten die zich zorgen maken. Zal een aantal mensen geruststellen wellicht. Jou dus niet.

Overigens vraag ik me af wat de Tweakers hier die de communicatie slecht vinden, defensief, niet empatisch en dergelijke, zich dan voorstellen?

Een compensatie? Wat lost dat op?
Heel diep door het stof (hoe dan?)? Wat lost dat op?

Wat zijn de concrete dingen die Odido kan doen? Hoe herstel je dan vertrouwen? Het is makkelijk om te zeggen dat ze niet genoeg doen. Maar wat dan wel? Kom eens met voorstellen.

[ernstoud]

donkerlicht schreef op maandag 23 februari 2026 @ 16:20:
[...]

Wat is er redelijk aan? Het lost niets op en kost alleen maar extra onnodig geld,

Ik begrijp dat dit F-secure product helpt bij detectie van phishing. Lijkt me nuttig.

… dan heb ik liever een kleine compensatie.

Want dan zijn je zorgen weg? Hoe dan?

En ze leggen het weer bij de klant neer. Ze bieden mij als klant namelijk extra online bescherming, maar dat heb ik helemaal niet nodig. Dat doe ik zelf wel, en tot op heden succesvol.

Jou dus niet. Maar daarom kan het een oplossing zijn voor de spreekwoordelijke Henk en Ingrid toch?

Maar ik hoef niet eens een compensatie. De gegevens zijn toch al gelekt. Alleen de toon van hun mails is veel te defensief. Dát is wat mij ook weer teleurstelt in deze aanbieding. En over twee jaar zijn de gegevens nog steeds uitgelekt, maar stopt het abonnement voor hen die wel ingaan op het bod. Bied dan iets ‘levenslang’ aan.

Oh, toch geen compensatie nodig. Tja. Dan houdt het voor jou op. Want je kunt zelf dus je “online bescherming” regelen. Top.

[donkerlicht]

ernstoud schreef op maandag 23 februari 2026 @ 16:40:
[...]


Gratis een handreiking voor klanten die zich zorgen maken. Zal een aantal mensen geruststellen wellicht. Jou dus niet.

Overigens vraag ik me af wat de Tweakers hier die de communicatie slecht vinden, defensief, niet empatisch en dergelijke, zich dan voorstellen?

Een compensatie? Wat lost dat op?
Heel diep door het stof (hoe dan?)? Wat lost dat op?

Wat zijn de concrete dingen die Odido kan doen? Hoe herstel je dan vertrouwen? Het is makkelijk om te zeggen dat ze niet genoeg doen. Maar wat dan wel? Kom eens met voorstellen.

Ze zouden kunnen beginnen met de waarheid spreken in hun communicatie. In hun Tele2 mail gaven ze aan dat ik ‘minder dan 2 jaar geleden’ over ben gestapt. Dat is pertinent onwaar. Ik heb ze gebeld met wat volgens heb de einddatum is, maar die kunnen/mogen ze niet vertellen, maar ja, wie iets stelt moet dat ook bewijzen.

Ze leggen de prioriteiten totaal verkeerd. Ze hebben gegevens gelekt, maar hé, ik kan wel lekker blijven internetten de wachtwoorden zijn niet geraakt. Ik had het liever andersom gehad. Liever een storing waarbij ik een avond niet kan internetten, of een wachtwoord gelekt die ik gewoon weer opnieuw kan instellen dan dat persoonsgegevens lekken. Een naar waarheid ingevuld geboortedatum is moeilijk te veranderen.

[swhnld]

ernstoud schreef op maandag 23 februari 2026 @ 16:40:
[...]
Overigens vraag ik me af wat de Tweakers hier die de communicatie slecht vinden, defensief, niet empatisch en dergelijke, zich dan voorstellen?

Een compensatie? Wat lost dat op?
Heel diep door het stof (hoe dan?)? Wat lost dat op?

Wat zijn de concrete dingen die Odido kan doen? Hoe herstel je dan vertrouwen? Het is makkelijk om te zeggen dat ze niet genoeg doen. Maar wat dan wel? Kom eens met voorstellen.

Mijn mening, Odido kan de voldende zaken doen:
1. Een woordvooerder gebruiken die weet waar ze het over heeft. Lubach maakte gehakt van de sieber ipv cyber uitspraken. Als je iets serieus neemt is je woordvoerder beter voorbereid.
2. Odido kan vertellen hoe het kan dat de data niet opgeruimd was, en hoe ze dat naar de toekomst toe gingen garanderen (bijvoorbeeld alle gesloten SalesForce cases ouder dan 2 jaar geautomatiseerd weggooien).
3. Odido kan ook alle getroffen klanten een maand gratis hun abonnement geven als ze aan compensatie willen doen zodat mensenj de kosten van een nieuwe ID, of het werk om hun bankrekeningen steeds te moeten controleren, willen compenseren.
4. Odido kan vertellen hoe ze met een gerenommeerde partij zoals Fox-IT of een ander werken aan het verbeteren van hun beveiliging.

Kortom, Odido kan van alles doen om te tonen dat ze dit serieus nemen, de pijn van hun klanten begrijpen, in plaats van het proberen af te zwakken en er omheen te draaien.
De reacties klinken alleen maar als schade beperken, denk om de winstmarge, balen dat we nu niet naar de beurs kunnen onze winst incasseren.

[swhnld]

ernstoud schreef op maandag 23 februari 2026 @ 16:08:
[...]
Mooi. Maar onbekend natuurlijk of het kanaal, API e.d. waar de hackers toegang toe hadden onder die PCI-DSS compliance viel. Credit card processen zijn toch wel erg specifiek. Lijkt me sterk dat Salesforce de hele stack, alle modules e.d onder de PCI-DSS standaard laat vallen. Heb jij die info?

Mijn kennis is van 7 jaar terug. Toen was het mogelijk met een specifieke GDPR modele de persoonsgegevens te encrypten, data te maskeren, etc.
Ik ga ervan uit dat wat 7 jaar terug kon, nu ook nog kan.

[Wootism]

ernstoud schreef op maandag 23 februari 2026 @ 16:40:
[...]


Gratis een handreiking voor klanten die zich zorgen maken. Zal een aantal mensen geruststellen wellicht. Jou dus niet.

Overigens vraag ik me af wat de Tweakers hier die de communicatie slecht vinden, defensief, niet empatisch en dergelijke, zich dan voorstellen?

Wat zijn de concrete dingen die Odido kan doen? Hoe herstel je dan vertrouwen? Het is makkelijk om te zeggen dat ze niet genoeg doen. Maar wat dan wel? Kom eens met voorstellen.

Moet ik je nu serieus gaan uitleggen wat er mis is met de communicatie vanuit ODIDO na het lekken van miljoenen klantgegevens?

[ernstoud]

Wootism schreef op maandag 23 februari 2026 @ 17:00:
[...]

Moet ik je nu serieus gaan uitleggen wat er mis is met de communicatie vanuit ODIDO na het lekken van miljoenen klantgegevens?

Nee hoor, je hoeft niets. Maar er wordt van alles geroepen zonder al te veel goede suggesties. Hierboven staan wel een paar goede dingen die Odido zou kunnen doen. Nuttig.

[ernstoud]

swhnld schreef op maandag 23 februari 2026 @ 16:55:
[...]

Mijn mening, Odido kan de voldende zaken doen:
1. Een woordvooerder gebruiken die weet waar ze het over heeft. Lubach maakte gehakt van de sieber ipv cyber uitspraken. Als je iets serieus neemt is je woordvoerder beter voorbereid.
2. Odido kan vertellen hoe het kan dat de data niet opgeruimd was, en hoe ze dat naar de toekomst toe gingen garanderen (bijvoorbeeld alle gesloten SalesForce cases ouder dan 2 jaar geautomatiseerd weggooien).
3. Odido kan ook alle getroffen klanten een maand gratis hun abonnement geven als ze aan compensatie willen doen zodat mensenj de kosten van een nieuwe ID, of het werk om hun bankrekeningen steeds te moeten controleren, willen compenseren.
4. Odido kan vertellen hoe ze met een gerenommeerde partij zoals Fox-IT of een ander werken aan het verbeteren van hun beveiliging.

Kortom, Odido kan van alles doen om te tonen dat ze dit serieus nemen, de pijn van hun klanten begrijpen, in plaats van het proberen af te zwakken en er omheen te draaien.
De reacties klinken alleen maar als schade beperken, denk om de winstmarge, balen dat we nu niet naar de beurs kunnen onze winst incasseren.

Goede punten met terechte kritiek.

[jimmy87]

Nu zit ik niet in de cybersecurity, maar ik vermoed dat de woordvoerder door legal is verteld wat er gezegd moest worden.

[ernstoud]

jimmy87 schreef op maandag 23 februari 2026 @ 17:03:
Nu zit ik niet in de cybersecurity, maar ik vermoed dat de woordvoerder door legal is verteld wat er gezegd moest worden.

Dat is altijd zo. Bij zo’n voorval komen adviseurs, marketeers en bijvoorbeeld een verzekeraar om de hoek. En als Odido aangifte heeft gedaan ook de digitale rechercheurs, je wilt immers niet publiek dingen zeggen die de zaak beschadigen. Als er op dit moment een forensisch onderzoek loopt ook.

[Wootism]

ernstoud schreef op maandag 23 februari 2026 @ 17:01:
[...]


Nee hoor, je hoeft niets. Maar er wordt van alles geroepen zonder al te veel goede suggesties. Hierboven staan wel een paar goede dingen die Odido zou kunnen doen. Nuttig.

En daar staan zaken tussen waar je zelf niet aan had gedacht?

[ernstoud]

Wootism schreef op maandag 23 februari 2026 @ 17:07:
[...]

En daar staan zaken tussen waar je zelf niet aan had gedacht?

Man, wat ben je hatelijk. Fijne dag nog.

[Vipertje]

donkerlicht schreef op maandag 23 februari 2026 @ 16:51:
[...]

Ze zouden kunnen beginnen met de waarheid spreken in hun communicatie. In hun Tele2 mail gaven ze aan dat ik ‘minder dan 2 jaar geleden’ over ben gestapt. Dat is pertinent onwaar. Ik heb ze gebeld met wat volgens heb de einddatum is, maar die kunnen/mogen ze niet vertellen, maar ja, wie iets stelt moet dat ook bewijzen.

Ze leggen de prioriteiten totaal verkeerd. Ze hebben gegevens gelekt, maar hé, ik kan wel lekker blijven internetten de wachtwoorden zijn niet geraakt. Ik had het liever andersom gehad. Liever een storing waarbij ik een avond niet kan internetten, of een wachtwoord gelekt die ik gewoon weer opnieuw kan instellen dan dat persoonsgegevens lekken. Een naar waarheid ingevuld geboortedatum is moeilijk te veranderen.

Je snapt dat die 6mil mailjes niet met de hand getypt zijn? Wat wil je precies bewijzen met die einddatum en wat zoek je precies nog van ze. Buiten communiceren en mensen waarschuwen valt er simpelweg weinig te doen.

[Wootism]

ernstoud schreef op maandag 23 februari 2026 @ 17:11:
[...]


Man, wat ben je hatelijk. Fijne dag nog.

Haha nee hoor.
Het verwondert mij gewoonweg dat er mensen zijn die vrede hebben met de huidige communicatie vanuit ODIDO en niet direct inzien hoe dit anders zou kunnen.

[donkerlicht]

Vipertje schreef op maandag 23 februari 2026 @ 17:12:
[...]

Je snapt dat die 6mil mailjes niet met de hand getypt zijn? Wat wil je precies bewijzen met die einddatum en wat zoek je precies nog van ze. Buiten communiceren en mensen waarschuwen valt er simpelweg weinig te doen.

Dat snap ik inderdaad, maar ze sturen het wel. Dan hadden ze wellicht een betere query moeten gebruiken bij het samenstellen van de verschillende mails, die bijvoorbeeld de einddatum ook meeneemt in de filtering, of die 2 jaar überhaupt niet noemen.

Met die einddatum kan er worden bepaald of ze voldeden aan de eigen gestelde voorwaarden en kan worden gekeken of de bewaartermijn die ze hanteerden wel conform de avg waren. Misschien heb ik daar persoonlijk niets aan, maar het kan wel worden meegewogen in het oordeel van de AP over het incident.

Maar goed, ik heb mijn rechtsbijstand er achteraan gestuurd. Ik heb recht om dat soort informatie te verkrijgen, dus voor nu blijft Odido in gebreke.

[ Voor 4% gewijzigd door donkerlicht op 23-02-2026 17:22 ]

[Mative]

Buiten de discussie of dit fatsoenlijke compensatie is van Odido, heb ik de voucher voor F-Secure maar opgevraagd.

Echter krijg ik tijdens het aanvragen bij F-Secure een melding dat ik hiermee ga 'downgraden'.
Ten eerste heb ik nooit een account bij F-secure gehad
en Ten tweede ziet het er juist uit dat het een upgrade is ten opzichte wat ze claimen wat ik al heb

Geen idee wat hier aan de hand is.


Edit:
@ernstoud Zo te zien krijg je die proef er automatisch bij wanneer je een account maakt.
Beetje verwarrend zo, maar goed. Dank voor de verheldering!

[ Voor 25% gewijzigd door Mative op 23-02-2026 18:10 ]

[ernstoud]

Wootism schreef op maandag 23 februari 2026 @ 17:16:
[...]

Haha nee hoor.
Het verwondert mij gewoonweg dat er mensen zijn die vrede hebben met de huidige communicatie vanuit ODIDO en niet direct inzien hoe dit anders zou kunnen.

Ik zeg nergens dat ik vrede heb met de communicatie van Odido. Ik vroeg me alleen af omdat ik na 40 jaar in het vak te zitten en nieuwsgierig en leergierig ben met welke suggesties Tweakers zouden komen. Dan is een reactie “ik hoef jou dat niet uit te leggen” weinig zinvol. Soit.

[ernstoud]

donkerlicht schreef op maandag 23 februari 2026 @ 17:20:
[...]
Maar goed, ik heb mijn rechtsbijstand er achteraan gestuurd. Ik heb recht om dat soort informatie te verkrijgen, dus voor nu blijft Odido in gebreke.

Serieus? Een rechtsbijstandsverzekering die hier achteraan gaat? Tjonge.

[ernstoud]

Mative schreef op maandag 23 februari 2026 @ 17:30:
Buiten de discussie of dit fatsoenlijke compensatie is van Odido, heb ik de voucher voor F-Secure maar opgevraagd.

Echter krijg ik tijdens het aanvragen bij F-Secure een melding dat ik hiermee ga 'downgraden'.
Ten eerste heb ik nooit een account bij F-secure heb gehad
en Ten tweede ziet het er juist uit dat het een upgrade is ten opzichte wat ze claimen wat ik al heb

Geen idee wat ier aan de hand is.
[Afbeelding]

Ik denk dat je al een gratis F-secure (proef?) abonnement hebt?

[donkerlicht]

ernstoud schreef op maandag 23 februari 2026 @ 17:51:
[...]


Serieus? Een rechtsbijstandsverzekering die hier achteraan gaat? Tjonge.

Jep, doe ik wel vaker wanneer bedrijven informatie achterhouden waar ik recht op heb conform de avg. Daar betaal ik ze ook voor. Dus kan ik er maar beter gebruik van maken, nietwaar? Juridisch ben ik zelf niet genoeg onderlegd om dat boven tafel te krijgen en wil er de tijd liever niet insteken. Dan moet je wat...

[ernstoud]

donkerlicht schreef op maandag 23 februari 2026 @ 17:58:
[...]

Jep, doe ik wel vaker wanneer bedrijven informatie achterhouden waar ik recht op heb conform de avg. Daar betaal ik ze ook voor. Dus kan ik er maar beter gebruik van maken, nietwaar? Juridisch ben ik zelf niet genoeg onderlegd om dat boven tafel te krijgen en wil er de tijd liever niet insteken. Dan moet je wat...

Het verbaast me omdat mijn ervaring is met dergelijke verzekeringen dat ze alleen een case openen als er schade te verhalen is. Of het juridisch interessant is.

[mark777]

zo laks de houding van Odido en Ben. Ben zelf klant bij ben maar op mijn bericht naar Ben word niet eens gereageerd. Ik stap wel over naar een andere provider. Of die beter is of niet is moeiljik te zeggen maar je moet in elk geval een daad stellen.

[wally1987]

@ernstoud
Ik heb zelf 2x de mail van Odido gehad. Wat ik al raar vond, ben namelijk al 12 jaar tevreden klant bij Vodafone. Ik was daarvoor klant bij Tele2, mijn contract is ~13/14 jaar geleden beëindigd.

Hoe is het te verantwoorden dat Odido gegevens opgeslagen heeft staan van mensen die helemaal geen klant zijn? Vooral omdat ik als niet klant Odido totaal geen toestemming heb gegeven om deze gegevens op te slaan.

[ikbenjoeri]

“ Cybercriminelen dreigen met lekken data Odido: 'Laatste waarschuwing'”
https://www.rtl.nl/nieuws...-dark-web-data-publiceren

https://x.com/uid_/status/2026049765482340519?s=46

[ Voor 20% gewijzigd door ikbenjoeri op 23-02-2026 22:54 ]

[ernstoud]

wally1987 schreef op maandag 23 februari 2026 @ 22:40:
@ernstoud
Ik heb zelf 2x de mail van Odido gehad. Wat ik al raar vond, ben namelijk al 12 jaar tevreden klant bij Vodafone. Ik was daarvoor klant bij Tele2, mijn contract is ~13/14 jaar geleden beëindigd.

Hoe is het te verantwoorden dat Odido gegevens opgeslagen heeft staan van mensen die helemaal geen klant zijn? Vooral omdat ik als niet klant Odido totaal geen toestemming heb gegeven om deze gegevens op te slaan.

Dat is niet te verantwoorden.

Knip. Dat mag wel een maatje minder bot.

[ Voor 7% gewijzigd door rens-br op 24-02-2026 07:42 ]

[marapuru]

Sinds vandaag krijg ik sms’jes (tweemaal) met teksten als: (getal is gehusseld door mijzelf).

Ik heb geen TikTok, nooit gehad ook. Zou het verband houden met het lek?

[TikTok] 392743 is your verification code, valid for 5 minutes. To keep your account safe, never forward this code.

[ernstoud]

ikbenjoeri schreef op maandag 23 februari 2026 @ 22:53:
“ Cybercriminelen dreigen met lekken data Odido: 'Laatste waarschuwing'”
https://www.rtl.nl/nieuws...-dark-web-data-publiceren

https://x.com/uid_/status/2026049765482340519?s=46

Niet best. Zeker niet omdat de hackers (wellicht niet waar) suggereren ook wachtwoorden te hebben, dat zou de zaak nogal veranderen .

[ernstoud]

marapuru schreef op maandag 23 februari 2026 @ 22:58:
Sinds vandaag krijg ik sms’jes (tweemaal) met teksten als: (getal is gehusseld door mijzelf).

Ik heb geen TikTok, nooit gehad ook. Zou het verband houden met het lek?


[...]

Vrijwel zeker niet.

[Will_M]

ernstoud schreef op maandag 23 februari 2026 @ 22:59:
[...]


Niet best. Zeker niet omdat de hackers (wellicht niet waar) suggereren ook wachtwoorden te hebben, dat zou de zaak nogal veranderen .

Ik vraag me af in hoeverre de info (vanuit 'Shinyhunters') klopt. Gezien het aantal klanten en de 'levensduur' van de vermeend aangetroffen accounts had ik persoonlijk ook wel een vermelding van T-Mobile en/of Tele2 verwacht in de 'claim'

[ernstoud]

Will_M schreef op maandag 23 februari 2026 @ 23:07:
[...]


Ik vraag me af in hoeverre de info (vanuit 'Shinyhunters') klopt. Gezien het aantal klanten en de 'levensduur' van de vermeend aangetroffen accounts had ik persoonlijk ook wel een vermelding van T-Mobile en/of Tele2 verwacht in de 'claim'

Ze hebben Odido gehackt. Welke bedrijven daar onder vallen, nu of in het verleden, weten ze wellicht niet? Zoiets.

[ikbenjoeri]

Odido heeft tot donderdagavond

https://x.com/danielverlaan/status/2026057136258609548?s=46

[Gosat]

Ik vind dat Odido die 1 of 2 miljoen moet betalen. Het gaat om omgerekend centen per klant. En ja risico bestaat dat data alsnog lekt, maar ik als klant zou het risico nemen voor die 25 cent.

[ernstoud]

Gosat schreef op maandag 23 februari 2026 @ 23:31:
Ik vind dat Odido die 1 of 2 miljoen moet betalen. Het gaat om omgerekend centen per klant. En ja risico bestaat dat data alsnog lekt, maar ik als klant zou het risico nemen voor die 25 cent.

Waar lees je dat bedrag?

[Economics]

Gosat schreef op maandag 23 februari 2026 @ 23:31:
Ik vind dat Odido die 1 of 2 miljoen moet betalen. Het gaat om omgerekend centen per klant. En ja risico bestaat dat data alsnog lekt, maar ik als klant zou het risico nemen voor die 25 cent.

Jij denkt dat daarna niets meer gedaan gaat worden met de gegevens? Als je eenmaal iets hebt betaald komt er geen einde meer aan

[Gr4mpyC3t]

Economics schreef op dinsdag 24 februari 2026 @ 00:18:
[...]

Jij denkt dat daarna niets meer gedaan gaat worden met de gegevens? Als je eenmaal iets hebt betaald komt er geen einde meer aan

Meestal is het na de betaling wel afgedaan hoor. Als ze daarna alsnog de gegevens openbaren betaalt niemand meer losgeld.

Desalniettemin staat betalen ook gelijk aan het financieren van de volgende aanvallen op bedrijven.

[wally1987]

ernstoud schreef op maandag 23 februari 2026 @ 22:56:
[...]


Dat is niet te verantwoorden.knip

Ik tag je, omdat je nogal voor Odido in de verdediging springt.
In mijn situatie is alles wat Odido heeft gedaan gewoon niet recht te praten, mijn data had nooit op hun server mogen bestaan. Odido gaf blijkbaar dermate weinig om hun klantenbestand, dat het niet nodig bleek om deze na te gaan op correctheid of de actualiteit er van.
Het is niet geheel gek om te denken dat de beveiliging met dezelfde ethiek behandeld is.

Want laten we eerlijk zijn, ik zal niet de enige zijn in mijn positie met 6+ miljoen gedupeerde klanten.

[ Voor 5% gewijzigd door rens-br op 24-02-2026 07:43 ]

[Will_M]

Gosat schreef op maandag 23 februari 2026 @ 23:31:
Ik vind dat Odido die 1 of 2 miljoen moet betalen. Het gaat om omgerekend centen per klant. En ja risico bestaat dat data alsnog lekt, maar ik als klant zou het risico nemen voor die 25 cent.

Stel dat het om die door jouw genoemde '2-Miljoen (Euro?)' gaat welke ze verwachten, dan zijn de nú vermelde 8 miljoen records (lees: klanten) voor Odido dus ineens nog maar €2,- / stuk waard?

Zou je daar zelf dan nog wel klant willen blijven...... ?

[ Voor 5% gewijzigd door Will_M op 24-02-2026 00:54 ]

[ernstoud]

wally1987 schreef op dinsdag 24 februari 2026 @ 00:32:
[...]
Ik tag je, omdat je nogal voor Odido in de verdediging springt.

Huh? Ik verdedig niets. Ik ga alleen niet mee in onderbuikgevoelens. En die komen hier in diverse posts langs. Odido moet dit, Odido moet dat. Zonder kennis van zaken.

Ik geef vanuit 40 jaar ervaring in bedrijfsleven en security aan dat de wereld niet zo werkt zoals hier en daar opgemerkt wordt. Wat er gebeurt is bij deze hack is verwerpelijk. Natuurlijk. Maar we moeten wel realistisch blijven.

En ja, data verwerken na de bewaartermijnen en van ex-klanten is een gotspe. Maar hoe dat zit, het waarom en of er een rechtsgrond is of was is aan de toezichthouder, de AP. Die echt wel een onderzoek zal doen.

Enfin. Ik zal hier niet meer posten. Klaarblijkelijk is mijn blik op deze materie ongewenst.

[wally1987]

ernstoud schreef op dinsdag 24 februari 2026 @ 01:05:
Ik geef vanuit 40 jaar ervaring in bedrijfsleven en security aan dat de wereld niet zo werkt zoals hier en daar opgemerkt wordt. Wat er gebeurt is bij deze hack is verwerpelijk. Natuurlijk. Maar we moeten wel realistisch blijven.

Realistisch blijven betekent ook realiseren dat bedrijven niet altijd even eerlijk zijn, eerlijk zullen communiceren. Vooral als het gaat om fouten toegeven, het is soms beter om je dommer te houden om eigen schade te beperken als bedrijf. (soms is het ook makkelijker om de stagiair de schuld te geven)

Ik geloof best dat de beveiliging op orde was om ervoor te zorgen dat de data niet kwijtraakt, maar niet zodanig dat een hacker er gewoonweg niet bij komt en er mee aan de haal gaat. (dit zou namelijk een behoorlijke investering zijn om voor elkaar te krijgen)

ernstoud schreef op dinsdag 24 februari 2026 @ 01:05:
Enfin. Ik zal hier niet meer posten. Klaarblijkelijk is mijn blik op deze materie ongewenst.

Je blik is zeker niet ongewenst, blijft vooral tegengas geven. Ik probeerde vooral aan te geven dat de diefstal van data niet het enige is wat hier mis gaat, Odido zeker ook niet de braafste van de klas is.

[nafofella]

Economics schreef op dinsdag 24 februari 2026 @ 00:18:
[...]

Jij denkt dat daarna niets meer gedaan gaat worden met de gegevens? Als je eenmaal iets hebt betaald komt er geen einde meer aan

Dan vernietigen ze hun verdienmodel.
Als je betaald=geen gerotzooi meer met de data.

Als zulke groepen dat toch zouden doen dan zou niemand meer betalen.

En je koop natuurlijk tijd dat je alles kan gaan dichten.

Maar odido is wel lekker transparant en communicatief naar haar (ex) klanten.

[zacht]

Blijkbaar is de data dus nog niet doorverkocht/verder gelekt. Dan is er ook nog geen relatie met spam-mails die mensen gekregen hebben.

[breinonline]

Als ze nu publiceren weten we in ieder geval zeker wat er nu gestolen is van wie. En of je je paspoort of rijbewijs moet vervangen

[Beaudog]

Was net op de radio dat hackers geld willen van odido anders gaan ze lekken ze hebben het over 8 miljoen gegevens

[laurens0619]

https://www.rtl.nl/nieuws...-dark-web-data-publiceren


voor de mensen die overtuigd waren dat de data al gelekt was en phishing pogingen waren: lijkt mij niet zo waarschijnlijk

[ Voor 32% gewijzigd door laurens0619 op 24-02-2026 07:15 ]

[jongetje]

Gosat schreef op maandag 23 februari 2026 @ 23:31:
Ik vind dat Odido die 1 of 2 miljoen moet betalen. Het gaat om omgerekend centen per klant. En ja risico bestaat dat data alsnog lekt, maar ik als klant zou het risico nemen voor die 25 cent.

Op die manier houd je het in stand dat hacken en losgeld eisen loont...

[donkerlicht]

Beaudog schreef op dinsdag 24 februari 2026 @ 07:02:
Was net op de radio dat hackers geld willen van odido anders gaan ze lekken ze hebben het over 8 miljoen gegevens

Niet betalen als Odido zijnde. Laat maar lekker lekken. Er is genoeg tijd geweest om voorzorgsmaatregelen te nemen.

Kan een bedrijf trouwens aansprakelijk gesteld worden als ze betalen en een volgend bedrijf wordt gehackt? Het eerder betaalde bedrijf heeft immers de bedrijfsvoering gesteund van die hackende partij. En er wellicht voor gezorgd dat er nog betere mensen en software gekocht kon worden.

[Naafkap]

jongetje schreef op dinsdag 24 februari 2026 @ 07:20:
[...]

Op die manier houd je het in stand dat hacken en losgeld eisen loont...

Tsja. Je kan als Odido principieel gaan doen en niet betalen, maar de gevolgen daarvan zullen vele maler groter zijn dan gewoon betalen, ook al heb je nooit garanties. Het is een commercieel bedrijf dat ernstig in de problemen gekomen is hierdoor. Ze zullen de commercieel gezien meest gunstige afweging maken.

[laurens0619]

Als odido de intentie had om te betalen dan was dat wss allang gebeurd.

Denk dat de schade in beide gevallen groot is. Als odido zou betalen is dat ook niet goed voor de reputatie

[Superman]

Nu ook op frontpage
nieuws: Hackgroep Shinyhunters perst Odido af en dreigt data klanten online t...
Het wordt echt wel eens tijd dat ze dit soort gegevens offline in een kluis bewaren. Waarom moeten mijn paspoort gegevens direct online beschikbaar zijn?

[Sendak239]

jongetje schreef op dinsdag 24 februari 2026 @ 07:20:
[...]

Op die manier houd je het in stand dat hacken en losgeld eisen loont...

In het algemeen ben ik het daar mee eens maar in dit geval ligt er toch wel veel schuld bij Odido en is 1 miljoen een koopje. Je kunt passief gehackt worden, een linkje klikken of actief je two factor code afgeven. En dat laatste door iemand die blijkbaar rechten had om het hele klantenbestand te downloaden en ook al zijn of haar login had laten phishen.

[XelaRetak]

Superman schreef op dinsdag 24 februari 2026 @ 07:35:
Nu ook op frontpage
nieuws: Hackgroep Shinyhunters perst Odido af en dreigt data klanten online t...
Het wordt echt wel eens tijd dat ze dit soort gegevens offline in een kluis bewaren. Waarom moeten mijn paspoort gegevens direct online beschikbaar zijn?

Odido heeft 6 tot 8 miljoen klanten volgens Google. In de kluis bewaren Welcome to the 80's! Dat gaat natuurlijk nevernooit gebeuren.

Overigens wel leuk om te lezen dat er ook wachtwoorden in Plaintext zijn blijkbaar? Dat zou de Odido hack nog een naarder nasmaakje geven en flinke consequenties voor Odido hoop ik.

[Amaze86]

Peanuts voor odido zat geld.

[mugenmarco]

Ik was zo blij dat ik na 1 jaar eindelijk kon afstappen van Odido mobiel, nu nog 2 maanden wachten en ook mijn internet is vertrokken bij hen.

Nog nooit zo'n bagger partij meegemaakt als Odido (het datalek maakt het alleen maar erger overigens).

[Herman]

Ik zou het een bijzondere keuze vinden als Odido niet zou betalen. Een miljoen Euro lijkt me niet af te wegen tegen de enorme reputatieschade die elk bericht oplevert. Bovendien, als dit klopt:

Shinyhunters zegt dat het gaat om 21 miljoen records met onder meer namen, adressen, e-mailadressen en wachtwoorden in plaintext

dan heeft Odido een heel groot probleem.

[sh4d0wman]

jongetje schreef op dinsdag 24 februari 2026 @ 07:20:
[...]
Op die manier houd je het in stand dat hacken en losgeld eisen loont...

Dat doet slechte beveiliging al Als men niet betaald valt de crimineel weer terug op ransomware of verzinnen ze aan nieuw type aanval. Die "hackers" gaan niet opeens een legitiem beroep zoeken want dat zal altijd veel minder betalen.

Een bedrijf moet winst maken dus als iets dat verstoord is het een kosten/baten analyse in plaats van een morele. Daarom zijn er de laatste jaren ook meer verzekeringen verschenen die zulke kosten (deels) dekken.

[magwelwatminder]

Gr4mpyC3t schreef op dinsdag 24 februari 2026 @ 00:22:
[...]


Meestal is het na de betaling wel afgedaan hoor. Als ze daarna alsnog de gegevens openbaren betaalt niemand meer losgeld.

Desalniettemin staat betalen ook gelijk aan het financieren van de volgende aanvallen op bedrijven.

Als de reputatie te slecht wordt, starten ze gewoon een nieuwe club. Daarnaast werken de hackers vast voor meerdere groepen, waardoor de kans groot is dat ze ook bij een andere groep belanden. Onderlinge handel of uitwisseling zijn ze ook niet vies van; afpersen is gewoon extra inkomsten.

[ArcticWolf]

XelaRetak schreef op dinsdag 24 februari 2026 @ 07:59:
[...]


Odido heeft 6 tot 8 miljoen klanten volgens Google. In de kluis bewaren Welcome to the 80's! Dat gaat natuurlijk nevernooit gebeuren.

Overigens wel leuk om te lezen dat er ook wachtwoorden in Plaintext zijn blijkbaar? Dat zou de Odido hack nog een naarder nasmaakje geven en flinke consequenties voor Odido hoop ik.

Coldstorage was ook een optie, ze hebben verdomd veel gegevens binnen handbereik van de helpdesk laten staan terwijl dat totaal niet noodzakelijk is. Wat moet een helpdeskmedewerker met mijn paspoort informatie??

[_Bailey_]

als het écht waar is dat die criminelen ook wachtwoorden in plain text buit hebben gemaakt is het voor mij voor de 73ste keer overduidelijk dat voor Odido veiligheid echt iets is uit de 17e eeuw.

Prima dat mensen het een soort van opnemen voor Odido, maar kom niet aan met dat Odido ook maar een schijntje veiligheid hoog in het vaandel heeft als het aankomt op hun klanten. Die is er gewoon simpelweg niet.

Fatsoenlijke gegevensbescherming is voor Odido totaal niet relevant. Punt.

[ Voor 8% gewijzigd door _Bailey_ op 24-02-2026 08:41 ]

[Marrtijn]

XelaRetak schreef op dinsdag 24 februari 2026 @ 07:59:
[...]
Dat zou de Odido hack nog een naarder nasmaakje geven en flinke consequenties voor Odido hoop ik.

Consequenties doen we niet aan in Nederland. Tikje op de vingers en door.

[Kalentum]

Die criminelen zijn dus een beetje in paniek. Ze nemen het risico om de media op te zoeken om via de publieke opinie de druk op te voeren.

Zou zomaar kunnen dat ze lang niet zoveel data hebben. RTL Nieuws bevestigt wel dat er klantgegevens zijn buitgemaakt maar niet hoeveel. Ze hebben niet aan RTL Nieuws laten zien hoeveel data ze hebben.

[XelaRetak]

_Bailey_ schreef op dinsdag 24 februari 2026 @ 08:40:
als het écht waar is dat die criminelen ook wachtwoorden in plain text buit hebben gemaakt is het voor mij voor de 73ste keer overduidelijk dat voor Odido veiligheid echt iets is uit de 17e eeuw.

Prima dat mensen het een soort van opnemen voor Odido, maar kom niet aan met dat Odido ook maar een schijntje veiligheid hoog in het vaandel heeft als het aankomt op hun klanten. Die is er gewoon simpelweg niet.

Fatsoenlijke gegevensbescherming is voor Odido totaal niet relevant. Punt.

Punten zetten voordat alle feiten op tafel liggen is gelukkig niet hoe een rechtstaat werkt. Je helpt er ook niemand mee.

[POTMA]

Kalentum schreef op dinsdag 24 februari 2026 @ 08:52:
Die criminelen zijn dus een beetje in paniek. Ze nemen het risico om de media op te zoeken om via de publieke opinie de druk op te voeren.

Zou zomaar kunnen dat ze lang niet zoveel data hebben. RTL Nieuws bevestigt wel dat er klantgegevens zijn buitgemaakt maar niet hoeveel. Ze hebben niet aan RTL Nieuws laten zien hoeveel data ze hebben.

Denk niet dat die hackers in paniek zijn, als je de wiki van ShinyHunters bekijkt komt het op mij over als een vrij gelouterde club.

[Lord_Dain]

Ik weet niet wat ik van wel of niet betalen vind. Aan de ene kant denk ik dat je cybercriminaliteit niet mag belonen, aan de andere kant vind ik het randje crimineel zoals er met onze gegevens is omgegaan vanuit het management van Odido.. volgens mij gaat Odido sowieso een flinke boete krijgen, die veel meer zou moeten zijn dan het losgeldbedrag wat nu geëist wordt door Shinyhunters, dus er is niet echt een win situatie te bedenken voor Odido en wellicht wordt ze geadviseerd het losgeld te betalen om zo imago schade te beperken want dat kost ze de komende jaren ook miljoenen aan inkomsten. Dit blijft echt heel lang aan ze kleven..

Ik ben al weg bij ze, had nog wel overwogen terug te gaan, maar nee, voor een 10tje per maand zal ik volgende keer de concurrentie kiezen. Vote with your wallets please, dat is het enige wat helpt.

[ Voor 20% gewijzigd door Lord_Dain op 24-02-2026 09:20 ]

[jongetje]

ArcticWolf schreef op dinsdag 24 februari 2026 @ 08:38:
[...]

Coldstorage was ook een optie, ze hebben verdomd veel gegevens binnen handbereik van de helpdesk laten staan terwijl dat totaal niet noodzakelijk is. Wat moet een helpdeskmedewerker met mijn paspoort informatie??

Zomaar iets roepen kan natuurlijk ook.
Coldstorage is opslag die uit staat zoals een tape/HDD/DVD in een kluis. Dan moet je dus bij elke aanvraag die storage aanslingeren en de data eraf halen.
Als ze eens beginnen met de helpdesk alleen toegang te geven tot de data die echt nodig is (zoals je wel terecht noemt). En dan een helpdesk medewerker alleen toegang via een webinterface waarmee je per telefoongesprek 1 tot maximaal 3 (voor als het fout gaat) klanten kunt opvragen (en anders binnen 5 minuten). Dan ben je er toch al? Als je daarbovenop nog elke maximaal 4 tot 10 uur een keer verplicht opnieuw laat inloggen met 2FA is het helemaal rond. Maar goed, kunnen allemaal mooie oplossingen bedenken, het kwaad is al gescheid en onmogelijke oplossingen is niemand mee gebaad....

Vraag me af hoeveel mensen hun paspoort laten kopiëren als ze bij een camping of hotel in het buitenland komen omdat ze anders hun kamer/kampeerplek niet mogen gebruiken.

[Gr4mpyC3t]

magwelwatminder schreef op dinsdag 24 februari 2026 @ 08:33:
[...]


Als de reputatie te slecht wordt, starten ze gewoon een nieuwe club. Daarnaast werken de hackers vast voor meerdere groepen, waardoor de kans groot is dat ze ook bij een andere groep belanden. Onderlinge handel of uitwisseling zijn ze ook niet vies van; afpersen is gewoon extra inkomsten.

Kan jij je nog iets herinneren over Nova die Clinical Diagnostics hackte, waar er uiteindelijk na betaling nog meer afpersing plaatsvond?

Dat werd Nova niet in dank afgenomen door andere hackersgroepen.

Het business model van deze lui bestaat voor een groot deel, hoe gek dat ook leest, uit vertrouwen/zekerheid.

[Alexander4753]

Het is vrij opmerkelijk dat de Zakelijke klant van Odido een klein extraatje krijgt als goedmakertje. Maar als Consument heb ik nog niks gezien vanuit Odido

[Kalentum]

Alexander4753 schreef op dinsdag 24 februari 2026 @ 09:32:
Het is vrij opmerkelijk dat de Zakelijke klant van Odido een klein extraatje krijgt als goedmakertje. Maar als Consument heb ik nog niks gezien vanuit Odido
[Afbeelding]

kan zijn dat ze die mail nog niet hebben verstuurd

https://www.odido.nl/ondersteuning

[swhnld]

ernstoud schreef op maandag 23 februari 2026 @ 22:59:
[...]
Niet best. Zeker niet omdat de hackers (wellicht niet waar) suggereren ook wachtwoorden te hebben, dat zou de zaak nogal veranderen .

Dus het advies aan iedereen met een account bij Odido na dit lek, verander je wachtwoord.

Neem geen risico. Het kost je 2 minuten, verander het in iets moeilijks wat je in een wachtwoordbeheerder opslaat. En klaar.

[_Bailey_]

XelaRetak schreef op dinsdag 24 februari 2026 @ 08:56:
[...]


Punten zetten voordat alle feiten op tafel liggen is gelukkig niet hoe een rechtstaat werkt.

Om mijn eerdere bericht nog wat te verduidelijken;

Bevindingen
Na het doen van het feitenonderzoek in 2021 en 2022 concludeerde de RDI dat de beveiliging van het tapsysteem van Odido op meerdere onderdelen tekortschoot.

Allereerst bleek dat Odido geen beveiligingsplan had, terwijl het hebben van een beveiligingsplan wettelijk verplicht is. Dit plan is essentieel voor een adequate beveiliging van het aftapsysteem. Hierin moet aangegeven worden welke maatregelen worden genomen om het aftapsysteem te beveiligen.

Het onderzoek liet daarnaast zien dat het personeel dat toegang had tot aftapsystemen niet goed was gescreend. Bij een groot deel van hen ontbrak een adequate functieomschrijving, een ondertekende geheimhoudingsverklaring of een Verklaring Omtrent het Gedrag (VOG). Ook hadden personen die niet belast waren met de verwerking van aftapgegevens toegang tot aftapgegevens.

bron: https://www.rdi.nl/actuee...te-op-van-ruim-15-miljoen

En nu dus deze grootschalige hack. Dus nee, Odido 'never learns' en hebben ook nu weer niks met échte gegevensbescherming van haar klanten.

Benieuwd naar de volgende , derde, f*ckup van Odido.

[areyouben]

swhnld schreef op dinsdag 24 februari 2026 @ 09:40:
Dus het advies aan iedereen met een account bij Odido na dit lek, verander je wachtwoord.

Neem geen risico. Het kost je 2 minuten, verander het in iets moeilijks wat je in een wachtwoordbeheerder opslaat. En klaar.

Het kan inderdaad geen kwaad, maar zou ook hierover niet in paniek schieten. Al sinds de eerste berichtgeving maakt men het onderscheid tussen het account wachtwoord en een wachtwoord dat je met de klantenservice afspreekt om te verifiëren dat jij het bent, als alternatief of aanvulling op verificaties zoals geboortedatum en bankrekeningnummer. Dat laatste wachtwoord is gelekt, was plaintext opgeslagen, en het accountwachtwoord zegt Odido van niet.

[BurnsMM]

areyouben schreef op dinsdag 24 februari 2026 @ 09:53:
[...]


Het kan inderdaad geen kwaad, maar zou ook hierover niet in paniek schieten. Al sinds de eerste berichtgeving maakt men het onderscheid tussen het account wachtwoord en een wachtwoord dat je met de klantenservice afspreekt om te verifiëren dat jij het bent, als alternatief of aanvulling op verificaties zoals geboortedatum en bankrekeningnummer. Dat laatste wachtwoord is gelekt, was plaintext opgeslagen, en het accountwachtwoord zegt Odido van niet.

Ik heb geen idee wat het wachtwoord is dat ik met de klantenservice heb afgesproken voor eventueel contact. Ik kan hier niets van terugvinden in mijn account en ook niet herinneren dat dit ooit is afgesproken/ingesteld.

Heeft iedereen dit? Of moet je dit actief bij Odido aanvragen.

[Herman]

ernstoud schreef op dinsdag 24 februari 2026 @ 01:05:
[...]


Huh? Ik verdedig niets. Ik ga alleen niet mee in onderbuikgevoelens. En die komen hier in diverse posts langs. Odido moet dit, Odido moet dat. Zonder kennis van zaken.
(...)
Enfin. Ik zal hier niet meer posten. Klaarblijkelijk is mijn blik op deze materie ongewenst.

Ik vond stiekem de tegengas die je in dit topic gaf, eigenlijk wel verhelderend

Als iedereen in de 'pak de hooivork en fakkel' modus zit, dan wordt het topic wel erg eenzijdig

[Skywalker27]

Alexander4753 schreef op dinsdag 24 februari 2026 @ 09:32:
Het is vrij opmerkelijk dat de Zakelijke klant van Odido een klein extraatje krijgt als goedmakertje. Maar als Consument heb ik nog niks gezien vanuit Odido
[Afbeelding]

Prive klanten krijgen het ook. Enterprise ook maar die gaan er toch niets mee doen

[areyouben]

BurnsMM schreef op dinsdag 24 februari 2026 @ 10:01:
Ik heb geen idee wat het wachtwoord is dat ik met de klantenservice heb afgesproken voor eventueel contact. Ik kan hier niets van terugvinden in mijn account en ook niet herinneren dat dit ooit is afgesproken/ingesteld.

Heeft iedereen dit? Of moet je dit actief bij Odido aanvragen.

Het is niet standaard, nee. Zie hier.

[Erebos]

Wat iedereen doet moet hij of zij zelf weten, ik ga in iedergeval niet meer verlengen met 3 mobiele abonementen en glas via Odido is nu ook niet meer ter sprake. Er was echt totaal geen reden om mijn ID gegevens te bewaren en dat doen ze toch wat er ook gezegd wordt op de site over de redenen, allemaal sim-only dus ook geen registratie nodig, maar wel gegevens lekken.

Van de AP verwacht ik niets dus moet ik zelf maar maatregelen nemen. Als iedereen bij einde contract vertrekt dan is dat mogelijk ook een duidelijk signaal naar andere providers en komt er een intrinsieke aandacht voor privacy vanuit de providers, heel veel kost het immers niet, alleen de processen goed op orde hebben.

[sh4d0wman]

jongetje schreef op dinsdag 24 februari 2026 @ 09:20:
[...]
Coldstorage is opslag die uit staat zoals een tape/HDD/DVD in een kluis. Dan moet je dus bij elke aanvraag die storage aanslingeren en de data eraf halen.

En dan een helpdesk medewerker alleen toegang via een webinterface waarmee je per telefoongesprek 1 tot maximaal 3 (voor als het fout gaat) klanten kunt opvragen (en anders binnen 5 minuten). Dan ben je er toch al?

Het hangt er dan ook sterk vanaf hoe vaak je bij oude data moet kijken en wat Saleforce voor support heeft. Een taperobot kan automatisch een juiste tape vinden en laden. Na lezen staat het weer koud. Zoiets is veiliger dan alles in een bucket knallen.

Nr 2 klinkt simpel: totdat de web applicatie/api een vulnerability heeft (of de storage/db).

Maar we weten weinig over wat er echt gebeurd is. Hopelijk volgt tzt een reconstructie maar als we nu al zien hoe men met alles om gaat...

[Yersios1812]

Ben benieuwd wat Odido gaat doen:

Cybercriminelen dreigen met publiceren gestolen data Odido
https://nos.nl/l/2603784

[turkeyhakan]

Alexander4753 schreef op dinsdag 24 februari 2026 @ 09:32:
Het is vrij opmerkelijk dat de Zakelijke klant van Odido een klein extraatje krijgt als goedmakertje. Maar als Consument heb ik nog niks gezien vanuit Odido
[Afbeelding]

Moet je met deze "goedmakertje" wel blij zijn dan? Deze wordt al jaren lang bij KPN gratis aangeboden en ik zou er persoonlijk geen gebruik van maken.

Zie ook: nieuws: Na groot datalek geeft Odido klanten twee jaar gratis digitale besche...

[turkeyhakan]

Yersios1812 schreef op dinsdag 24 februari 2026 @ 11:23:
Ben benieuwd wat Odido gaat doen:

Cybercriminelen dreigen met publiceren gestolen data Odido
https://nos.nl/l/2603784

Is toch hierboven al langs gekomen? En staat ook al op de frontpagina van Tweakers: nieuws: Hackgroep Shinyhunters chanteert Odido en dreigt data klanten online ...

[Yersios1812]

turkeyhakan schreef op dinsdag 24 februari 2026 @ 11:27:
[...]


Is toch hierboven al langs gekomen? En staat ook al op de frontpagina van Tweakers: nieuws: Hackgroep Shinyhunters chanteert Odido en dreigt data klanten online ...

Excuus, overheen gelezen.

[jongetje]

turkeyhakan schreef op dinsdag 24 februari 2026 @ 11:27:
[...]
Moet je met deze "goedmakertje" wel blij zijn dan? Deze wordt al jaren lang bij KPN gratis aangeboden en ik zou er persoonlijk geen gebruik van maken.

Het staat natuurlijk los van of KPN iets "gratis" aanbied of dat dan een goede actie van Odido is.
Lijkt mij persoonlijk (los van dat ik het ook niet ga gebruiken) dat je een beveiligingspakket aanbiedt na een datalek. Dus in dat opzicht toch niet zo slecht toch?

[Alexander4753]

turkeyhakan schreef op dinsdag 24 februari 2026 @ 11:27:
[...]


Moet je met deze "goedmakertje" wel blij zijn dan? Deze wordt al jaren lang bij KPN gratis aangeboden en ik zou er persoonlijk geen gebruik van maken.

Zie ook: nieuws: Na groot datalek geeft Odido klanten twee jaar gratis digitale besche...

Ik Had het bericht op Tweakers nog niet gezien. Het is dat ik in de zakelijke omgeving moest inloggen voor een sim activatie, anders had ik er niks van mee gekregen. Maar dat "Goedmakertje" mogen ze mij betreft houden en weggooien. Ik kan er helemaal niks mee zowel privé als zakelijk.

[turkeyhakan]

jongetje schreef op dinsdag 24 februari 2026 @ 11:32:
[...]

Het staat natuurlijk los van of KPN iets "gratis" aanbied of dat dan een goede actie van Odido is.
Lijkt mij persoonlijk (los van dat ik het ook niet ga gebruiken) dat je een beveiligingspakket aanbiedt na een datalek. Dus in dat opzicht toch niet zo slecht toch?

Zo denken ze daar bij Odido ook.. waarschijnlijk kunnen ze dit gratis aanbieden, is het geen enkele vorm van (persoonlijke) compensatie voor de eventuele (toekomstige) schade en zo kan ik nog wel even doorgaan. Ze hebben het zelfs over een cieberaanval.

[DjoeC]

Om dit datalek"je" en de communicatie daaromheen maar eens in perspectief te plaatsen: Ik zag vandaag dit nieuwsbericht over Conduent, een grote dataverwerker in de Amerikaanse gezondheidszorg en nog veel meer. 100 miljoen klanten, waarvan van ten minste 25 miljoen klanten de social securitynummers (vergelijk die maart met ID informatie), gezondheidsinformatie, verzekeringsgegevens zijn gelekt.

Ook hier begon het klein (maar 4 miljoen personen geraakt) en is het inmiddels uitgegroeid tot groot en gevoelig. Ook dit bedrijf vermeldt niets, nada, op hun homepage. Het moet natuurlijk wel gemeld worden bij de beurswaakhond (SEC) en dat lijkt de reden dat het nu weer in het nieuws komt.

Niet communiceren lijkt een manier om het probleem zo snel mogelijk onder de radar te doen verdwijnen. Nu lijkt me dat in de VS met een aandachtcyclus in het nieuws van ten hoogste 24 uur een prima methode maar ik vraag me af of dat hier in Nederland - bijvoorbeeld bij Odido - ook zo werkt......