Odido waarschuwt voor datalek (cyberaanval/hack)

[Drardollan]

Jerie schreef op zondag 1 maart 2026 @ 11:26:
Wie zegt dat ze dat niet gedaan hebben? Ik zou het als ik hem/hen was niet doen omdat mijn core business dit of dat is, en ik mijn legacy kring zo klein mogelijk zou houden om niet in de picture te komen.

Dat hebben ze niet gedaan, want dan hadden ze niks gelekt. Als jij die gegevens voor veel geld verkoopt aan de top-hackers die er wat mee zouden kunnen (stel dat he, want ik denk dat ze er nu geen drol meer mee kunnen dan voor dit lek) dan gaan die echt niet accepteren dat het zo publiekelijk bekend wordt en alle gegevens gratis op straat worden gegooid.

Hoe lager het bedrag, hoe eerder geneigd het slachtoffer is om te betalen.

En hoe groter de kans dat de volgende keer dat je een slachtoffer aanbiedt om het af te kopen deze zal zeggen dat hij je 30 euro geeft.

Een bedrijf wat niet wil betalen betaald niet, of het nu 1 euro is of 1 miljard euro is. En de algemene tendens is dat alle instanties en experts adviseren om niet te betalen. En dat werkt, het aantal keer dat er voor ransomware is betaald is bijvoorbeeld afgelopen jaar zeer serieus afgenomen, toevallig een artikel op BleepingComputer deze week met deze grafiek:

Data leak events (bars) and payment rate (line)

Bron: https://www.bleepingcompu...ord-low-as-attacks-surge/

[...]


Technisch geavanceerd was de hack inderdaad niet, geraffineerd was deze wel. Niemand heeft het eerder gedaan bij Odido want anders was Odido geïnformeerd. Er is geen ethische hacker geweest die dit heeft geprobeerd. Er is geen pentest geweest die dit heeft gedocumenteerd. Er is geen SOC die het tijdig heeft weten te voorkomen.

Odido is meermaals gewaarschuwd de afgelopen maanden. Ze hebben willens en wetens de deur open laten staan. Deze hack was niet geraffineerd en algemeen bekend hoe deze openstaande deur misbruikt kon worden. Dat is namelijk de reden dat SalesForce al hun klanten, waaronder Odido, meermaals heeft gewaarschuwd de afgelopen maanden. En adviezen heeft gegeven om dit te voorkomen en ook hulp heeft aangeboden om dit te voorkomen.

Dat alles heeft Odido gewoon genegeerd waardoor deze hackers op zeer eenvoudige en bekende wijze alle gegevens konden exporteren. Het enige geraffineerde, of moeilijk, aan de aanval was een willekeurig Odido medewerker zover krijgen dat hij op een malafide link inlogde. En hoewel dat ook echt wel technische know-how en andere skills vereist is dat ook niet heel geraffineerd om spannend anno 2026.

[Peer_76]

Drardollan schreef op zondag 1 maart 2026 @ 11:22:

Ik noem nergens je eigen domein toch?

Als je mail instellingen goed staan dan kan je niet zomaar van (zogenaamd) je eigen mail adres naar je eigen mail adres mailen waardoor het lijkt alsof je zelf de afzender bent. Met een goede ingestelde mailomgeving, denk aan SPF/DMARC/DKIM en mogelijk nog wat andere minder generieke instellingen binnen de omgeving, vang je dat af. Mails zullen in dat geval in het meest gunstigste geval niet eens aankomen, maar hoogstwaarschijnlijk belanden in de spam.

Voor wie een eigen domein heeft kan via internet.nl controleren of alle instellingen goed staan of wat er aangepast kan worden.
https://internet.nl/test-mail/?invalid

Met een niet al te moeilijk PHP email-script zou je vanaf elk zelf ingestelde emailadres een mail kunnen versturen. Met de juist ingestelde SPF/DMARC/DKIM kan zo'n via mailscript verzonden email als spam markeren of zelfs volledig blokkeren (afhankelijk van de DMARC- policy).

[laurens0619]

Het meest gevoelige, en vooral onderscheidend , van deze dataset vind ik vooral de link die van een digitale entiteit (email) naar de echte entieit (naam, adres, 06 nummer) gemaakt kan worden.

Dan niet direct criminelen maar jan en alleman die dit nu kan herleiden. Kijkende hoevaak die dataset nu al is gedownload hier zal dit wel een publiek iets worden.

Voor mensen die al nadachten om van big tech weg te bewegen door email aan te passen is dit denk ik mooie gelegenheid om email adressen aan te passen om de link te doorbreken.

[Drardollan]

Peer_76 schreef op zondag 1 maart 2026 @ 11:34:
[...]

Voor wie een eigen domein heeft kan via internet.nl controleren of alle instellingen goed staan of wat er aangepast kan worden.
https://internet.nl/test-mail/?invalid

Met een niet al te moeilijk PHP email-script zou je vanaf elk zelf ingestelde emailadres een mail kunnen versturen. Met de juist ingestelde SPF/DMARC/DKIM kan zo'n via mailscript verzonden email als spam markeren of zelfs volledig blokkeren (afhankelijk van de DMARC- policy).

Zelf zou ik eerder MxToolbox aanraden en tools als https://www.dmarctester.com/. Maar het resultaat is hetzelfde.

Wij deden vroeger via telnet onze nep-mails versturen, mooie tijd was dat. "mail from: Bill Gaatjes <[e-mail]>"

Voor de rest heb je gelijk, dat is hoe het hoort te werken en ook meestal werkt. Al glipt er altijd nog wel iets tussendoor.

[ Voor 7% gewijzigd door Drardollan op 01-03-2026 11:41 ]

[Drardollan]

laurens0619 schreef op zondag 1 maart 2026 @ 11:35:
Het meest gevoelige, en vooral onderscheidend , van deze dataset vind ik vooral de link die van een digitale entiteit (email) naar de echte entieit (naam, adres, 06 nummer) gemaakt kan worden.

Dan niet direct criminelen maar jan en alleman die dit nu kan herleiden. Kijkende hoevaak die dataset nu al is gedownload hier zal dit wel een publiek iets worden.

Criminelen hadden die link allang, al zal het ongetwijfeld een welkome aanvulling voor hen zijn. Maar voor hen is er niet echt iets nieuws onder de zon, veel mensen die sites HIPB bekijken de komende dagen zullen schrikken hoe vaak hun gegevens hiervoor al gelekt zijn.

Jan en Alleman zal wellicht wel meevallen, de dataset is behoorlijk fors en je moet over wel wat aan know-how beschikken om deze fatsoenlijk te kunnen uitlezen. Het is niet extreem moeilijk, maar ik denk dat de gemiddelde Nederlander (Jan en Alleman) gehoord zal hebben van de Odido Viewer die op Github staat

De boefjes tussen Jan en Allemaal en de echte boeven, die zijn denk ik het meest gebaat bij de dataset. Zij kunnen het uitlezen en zijn in staat om mails/sms/apps te sturen om mensen geld afhandig te maken.

Voor mensen die al nadachten om van big tech weg te bewegen door email aan te passen is dit denk ik mooie gelegenheid om email adressen aan te passen om de link te doorbreken.

Met de zekerheid dat ook die email adressen uiteindelijk wel weer ergens in een lek zullen zitten.

[CrazyFool]

Drardollan schreef op zondag 1 maart 2026 @ 11:15:
[...]

Ik neem het van je aan, heb wel een tip. Gebruik minder generieke namen. Dit is wel erg eenvoudig gokken, als je er 1 weet dan weet je ze allemaal.

Beter zijn bijvoorbeeld [e-mail] en [e-mail] gebruiken bij de aanbieder.

Ook is het wellicht handiger om niet een wildcard te gebruiken, als je bewust de email adressen als alias aanmaakt dan kan je zo ook eenvoudig weggooien en krijg je er geen spam meer op binnen. Als bijvoorbeeld [e-mail] gelekt is dan wijzig je bij tmobile je mail adres in [e-mail] en gooi je de oude alias weg. Scheelt spam en een klein risico op toch ergens per ongeluk in trappen.

Eens, maar initieel heb ik dit niet bedacht om datelekken te voorkomen maar puur om te zien welke partijen mijn e-mail adres gebruiken voor commerciële/spam doeleinden. E-Mail adres blokkeren klaar.

Dit stamt nog uit de tijd dat ik nog niet fanatiek een password manager gebruikte. Goeie tip wel, alleen bijhouden welk e-mail adres je op dat moment gebruikt om in te loggen wordt wel erg lastig dan (zonder password manager)

[Drardollan]

CrazyFool schreef op zondag 1 maart 2026 @ 11:41:
[...]


Eens, maar initieel heb ik dit niet bedacht om datelekken te voorkomen maar puur om te zien welke partijen mijn e-mail adres gebruiken voor commerciële/spam doeleinden. E-Mail adres blokkeren klaar.

Snap ik, misschien nu de kans aangrijpen

Dit stamt nog uit de tijd dat ik nog niet fanatiek een password manager gebruikte. Goeie tip wel, alleen bijhouden welk e-mail adres je op dat moment gebruikt om in te loggen wordt wel erg lastig dan (zonder password manager)

We zitten op Tweakers, iedereen heeft toch een password manager De gemiddelde Nederlander misschien niet, maar die gaat ook geen tig mail aliassen kunnen configureren.

Vroeger werd nog wel eens het plus of punt (bla+bla of bla.bla) aangeraden. Maar helaas weten de spammers tegenwoordig ook dat ze dan alles voor de punt of + vaak weg kunnen laten.

[P-Rock]

mkleinman schreef op zondag 1 maart 2026 @ 11:31:
Daarnet https://assets.odido.nl/x...-persoonsgegevens-itv.pdf dit formulier ingevuld en opgestuurd naar Odido.

Met als inhoud:

[...]

Hoe heb je dit formulier digitaal ondertekent? Ik ben huiverig om nu mijn handtekening met ze te delen, aangezien ze dit ook wel aan mijn profiel zullen toevoegen voor god weet hoe lang...

[ Voor 17% gewijzigd door P-Rock op 01-03-2026 11:46 ]

[mkleinman]

P-Rock schreef op zondag 1 maart 2026 @ 11:45:
[...]


Hoe heb je dit formulier digitaal ondertekent? Ik ben huiverig om nu mijn handtekening met ze te delen, aangezien ze dit ook wel aan mijn profiel zullen toevoegen voor god weet hoe lang...

OUderwetsch , ingevuld in blokletters, ingescand, "natte handtekening", en dat opgestuurd. Die handtekening van mij hebben ze al.

En daarnaast dus deze begeleidende tekst in de mail naar hun.

[laurens0619]

Drardollan schreef op zondag 1 maart 2026 @ 11:41:
[...]

Criminelen hadden die link allang, al zal het ongetwijfeld een welkome aanvulling voor hen zijn. Maar voor hen is er niet echt iets nieuws onder de zon, veel mensen die sites HIPB bekijken de komende dagen zullen schrikken hoe vaak hun gegevens hiervoor al gelekt zijn.

Jan en Alleman zal wellicht wel meevallen, de dataset is behoorlijk fors en je moet over wel wat aan know-how beschikken om deze fatsoenlijk te kunnen uitlezen. Het is niet extreem moeilijk, maar ik denk dat de gemiddelde Nederlander (Jan en Alleman) gehoord zal hebben van de Odido Viewer die op Github staat

De boefjes tussen Jan en Allemaal en de echte boeven, die zijn denk ik het meest gebaat bij de dataset. Zij kunnen het uitlezen en zijn in staat om mails/sms/apps te sturen om mensen geld afhandig te maken.


[...]

Met de zekerheid dat ook die email adressen uiteindelijk wel weer ergens in een lek zullen zitten.

Echte criminelen vast wel maar als ik bv hibp bekijk is dit de eerste.
Denk alleen niet dat criminelen t veel boeit maar dat nu ja en alleman/tweakers gewoon even de idenitieit van email adressen kan achterhalen vind ik wel echt een (nieuw) ding vergeleken met andere dataleaks

Laat ik het andere zeggen:
- mn email is zo vaak gelekt
- mn iban boeit mij niet
- mn paspoortnummer boeit mij niet
- mn naw boeit mij niet
- de combi email en naw wel

[ Voor 6% gewijzigd door laurens0619 op 01-03-2026 12:03 ]

[DjoeC]

CrazyFool schreef op zondag 1 maart 2026 @ 11:08:
Zojuist ook even nagelopen, ik heb altijd mijn wildcard op mijn domein gebruikt.

[e-mail] sinds vandaag gelekt
[e-mail] sinds vandaag gelekt
[e-mail] (nog) niet gelekt

E-Mail adres van mijn vrouw, nog niet gelekt.

Rebranding van T-Mobile naar Odido was in 2023.

Tip: Ik gebruik tegenwoordig ook de datum van eerste gebruik als onderdeel van het email alias. Dat vanwege "bewaartermijnen" en regelmatig switchen tussen providers. Mijn "vorige" contract heeft dus niet odido@ maar odido20240101@.

[P-Rock]

mkleinman schreef op zondag 1 maart 2026 @ 11:50:
[...]


OUderwetsch , ingevuld in blokletters, ingescand, "natte handtekening", en dat opgestuurd. Die handtekening van mij hebben ze al.

En daarnaast dus deze begeleidende tekst in de mail naar hun.

Hmm, ik geef wel aan dat ze telefonisch bij mij kunnen verifiëren.

[zacht]

Knip. Zie topic warning.


Mijn naam, telefoonnummer, email-adres en oude adres zijn gelekt, mijn huidige adres niet. En mijn IBAN volgens deze website ook niet.

[ Voor 21% gewijzigd door rens-br op 01-03-2026 12:23 ]

[P-Rock]

zacht schreef op zondag 1 maart 2026 @ 11:54:
Knip
Mijn naam, telefoonnummer, email-adres en oude adres zijn gelekt, mijn huidige adres niet. En mijn IBAN volgens deze website ook niet.

Hoe dan? Deze website geeft deze info helemaal niet.

[ Voor 7% gewijzigd door rens-br op 01-03-2026 12:23 ]

[DjoeC]

P-Rock schreef op zondag 1 maart 2026 @ 11:58:
[...]


Hoe dan? Deze website geeft deze info helemaal niet.

De "juiste" zoekfunctie kiezen kan je verder helpen?

[Lord_Dain]

P-Rock schreef op zondag 1 maart 2026 @ 11:58:
[...]


Hoe dan? Deze website geeft deze info helemaal niet.

Nope maar je kan op 5 velden zoeken. Hierdoor kan je iig zien welke velden er bekend /gelekt zijn.

[goudvisblub]

mkleinman schreef op zondag 1 maart 2026 @ 11:50:
[...]


OUderwetsch , ingevuld in blokletters, ingescand, "natte handtekening", en dat opgestuurd. Die handtekening van mij hebben ze al.

En daarnaast dus deze begeleidende tekst in de mail naar hun.

Zojuist ook gedaan, goede actie!

[Superman]

Correct me if wrong . Bij Klarna kunnen ze met deze gegevens bestellingen plaatsen en rekeningen bij jou neerleggen.

[SgtElPotato]

Superman schreef op zondag 1 maart 2026 @ 12:03:
Correct me if wrong . Bij Klarna kunnen ze met deze gegevens bestellingen plaatsen en rekeningen bij jou neerleggen.

Hoe dan? Even terug gekeken, maar ik moet me altijd nog een keer extra verifieren als ik met een Klarna of 'in 3 delen' betaal..

[Wispe]

zacht schreef op zondag 1 maart 2026 @ 11:54:
datagelekt.nl/odido is inmiddels ook geüpdate.
Mijn naam, telefoonnummer, email-adres en oude adres zijn gelekt, mijn huidige adres niet. En mijn IBAN volgens deze website ook niet.

Gisteren was enkel mijn adres gelekt, nu ook mijn naam en mailadres. Telefoonnummer en IBAN niet.

Dat is toch vreemd?

[Lord_Dain]

SgtElPotato schreef op zondag 1 maart 2026 @ 12:05:
[...]


Hoe dan? Even terug gekeken, maar ik moet me altijd nog een keer extra verifieren als ik met een Klarna of 'in 3 delen' betaal..

Denk dat dit gewoon kan. Het is zelfs mijn 14-jarige dochter gelukt om iets via Klarna te bestellen zonder ook maar iets in te hoeven voeren. Dat kwam later wel zei ze... nou dat heb ik haar meteen afgeleerd.. kinderen komen echt snel in aanraking met het boze internet en je moet er bovenop zitten..

[Superman]

SgtElPotato schreef op zondag 1 maart 2026 @ 12:05:
[...]


Hoe dan? Even terug gekeken, maar ik moet me altijd nog een keer extra verifieren als ik met een Klarna of 'in 3 delen' betaal..

Met email en telefoonnummer? Dit kan je eenvoudig bypasssen

[Jerie]

Drardollan schreef op zondag 1 maart 2026 @ 11:34:
[...]

Dat hebben ze niet gedaan, want dan hadden ze niks gelekt.

Kan wel, first mover advantage. Punt is inderdaad dat als je iemand chanteert met iets, en je geeft een ander het chantagemiddel (middels kopie) dan kan die ander ook chanteren of weer kopiëren.

Nu hebben ze voetvolk dat voor hen het vuile werk opknapt.

Als jij die gegevens voor veel geld verkoopt aan de top-hackers die er wat mee zouden kunnen (stel dat he, want ik denk dat ze er nu geen drol meer mee kunnen dan voor dit lek) dan gaan die echt niet accepteren dat het zo publiekelijk bekend wordt en alle gegevens gratis op straat worden gegooid.

Ik zou inderdaad first mover advantage langer aan willen houden maar het nadeel is dan ook bovenstaande. Je kunt dus denken aan subsets of delen van.

Top-hackers (blijft een gekke term in deze context) gebruiken dit soort data niet omdat er lucratievere mogelijkheden zijn voor blackhat activiteiten, als je technisch begaafd bent (of prompt engineer bent, tegenwoordig ). Zaken die moreel verwerpelijk zijn, maar waar grof geld mee verdiend kan worden. Denk aan exploit brokers.

Deze data is te veel werk, en vereist veelal meatspace. Maar nogmaals, het voetvolk vindt van niet. Het laaghangende fruit kan hier wel wat mee want: de dataset is groot (6,5M) en de dataset is recent (Feb 2026). Niks combolist nodig.

Ook krijgt men de gegevens van tweede hand. Dus de data is zo authentiek als het maar kan zijn.

[...]

En hoe groter de kans dat de volgende keer dat je een slachtoffer aanbiedt om het af te kopen deze zal zeggen dat hij je 30 euro geeft.

Waarom, 30 EUR is niet eens de onkosten. Het is niet eens een serieus tegenbod; dus direct publiceren. Het is als VC. You win some, you lose some. Iedere lost sale voor hen, zetten ze om in hun legacy en reclame voor hun product. Iedere sale die ze maken, geeft ze cryptocurrency. Ze gaan er helemaal niet van uit dat iedereen gaat betalen.

Een bedrijf wat niet wil betalen betaald niet, of het nu 1 euro is of 1 miljard euro is.

Everybody has a price. Er is altijd een lower en upper range waarbij mensen betalen. Maar 1 EUR of 30 EUR., 1 miljard EUR is dat ook. Dat is niet de lower en upper range, dat weet je best...

En de algemene tendens is dat alle instanties en experts adviseren om niet te betalen. En dat werkt, het aantal keer dat er voor ransomware is betaald is bijvoorbeeld afgelopen jaar zeer serieus afgenomen, toevallig een artikel op BleepingComputer deze week met deze grafiek:
[Afbeelding]
Data leak events (bars) and payment rate (line)

Bron: https://www.bleepingcompu...ord-low-as-attacks-surge/


[...]

Bij ransomware wanneer je geen (goede) backup hebt, zul je wel moeten. Mijn take is dan ook dat men tegenwoordig beter aan het maken van adequate backups doet. Kijk, een Google deed dat al. Maar er is zoveel meer dan dat.

Ik zou persoonlijk een Rus of Chinees niet snel betalen omdat je dan kunt fluiten naar opsporing en vervolging. Het interessante aan wel betalen is de data die de digitale geldstroom nalaat. Het gegeven dat het OM nu strafrechtelijk onderzoek instelt, is interessant. Iemand hier heeft gesteld dat er een link is met The Com. Ik zie zelf in ieder geval ook een link met Rusland, qua hosting en mogelijk qua taalgebruik, maar het laatste is 1) niet mijn expertise 2) ik weet dat bij THTC er wel mensen zijn met een dergelijke expertise (maar die gaat men hier (nu) niet delen). Dit is een zaak voor THTC. Dus die kwaliteiten gaan worden ingezet.

Odido is meermaals gewaarschuwd de afgelopen maanden. Ze hebben willens en wetens de deur open laten staan. Deze hack was niet geraffineerd en algemeen bekend dat dit gedaan werd, dat is namelijk de reden waarom SalesForce hun klanten, waaronder Odido, meermaals heeft gewaarschuwd de afgelopen maanden. En adviezen heeft gegeven om dit te voorkomen en ook hulp heeft aangeboden om dit te voorkomen.

Dat alles heeft Odido gewoon genegeerd waardoor deze hackers op zeer eenvoudige en bekende wijze alle gegevens konden exporteren. [...]

Mijn overtuiging is inderdaad dat Odido het genegeerd heeft (of ze juridisch nalatig zijn geweest, dat gaat nog een staartje krijgen), in die zin dat ze dit op de lange baan hebben geschoven. Daardoor rijst de vraag welke lijken er nog meer in de kast zitten. Mijn indruk van deze toko is dat het een zooitje is, zoals een willekeurige start-up met VC. Maar... non-MVNO hebben we twee andere providers, en diversen hebben hier aangegeven dat het bij KPN niet veel anders is, en mijn indruk van Vdf is niet al te best. Wel weet ik dat KPN een prima SOC heeft.

Eerlijk? Voor mij is mobiel altijd al een zooitje geweest. Ook qua beveiliging dat ik ook de reden dat ik heel lang geen mobiele telefoon heb gehad, en als ik er eentje had, dan had ik prepaid welke niet altijd aan stond. Helaas was dat niet altijd even praktisch, zodoende ben ik uiteindelijk toch overstag gegaan.

Hetzelfde geldt overigens ook voor Bluetooth, en in mindere mate WiFi. Die stacks zijn een rommeltje. Wireless stacks zijn moeilijk en ingewikkeld.

[...] Het enige geraffineerde, of moeilijk, aan de aanval was een willekeurig Odido medewerker zover krijgen dat hij op een malafide link inlogde. En hoewel dat ook echt wel technische know-how en andere skills vereist is dat ook niet heel geraffineerd om spannend anno 2026.

Daar zijn toolkits voor, bovendien heb je tegenwoordig nog ML ook.

Het is net zoiets als een prachtig pentest rapport. Ziet er mooi uit, maar zijn gewoon tooltjes voor. Zit zelfs een goeie in Kali.

Eerder noemde men DigiNotar als voorbeeld. DigiNotar stond bekend in de NL infosec gemeenschap al jarenlang bekend als janboel. Puur omdat ze e.e.a. niet op orde hadden. Het was een meme op IRC, nog voor memes plaatjes waren. Heb het over eind jaren 90 / begin jaren 00. Ik kan me nog herinneren dat ik het er met anderen op FOSDEM 2002 of 2003 (zou ik even moeten nazoeken) over heb gehad.

[Lord_Dain]

Wispe schreef op zondag 1 maart 2026 @ 12:05:
[...]


Gisteren was enkel mijn adres gelekt, nu ook mijn naam en mailadres. Telefoonnummer en IBAN niet.

Dat is toch vreemd?

Wat zegt Mozilla Monitor? Kan het zijn dat je zowel mobiel als vast internet hebt bij Odido, dan sta je mogelijk op meerdere regels in hun bestanden met informatie. Je ID zit bv. vaak gekoppeld aan je mobiele abbo.

[Wispe]

Lord_Dain schreef op zondag 1 maart 2026 @ 12:08:
[...]


Wat zegt Mozilla Monitor? Kan het zijn dat je zowel mobiel als vast internet hebt bij Odido, dan sta je mogelijk op meerdere regels in hun bestanden met informatie. Je ID zit bv. vaak gekoppeld aan je mobiele abbo.

Die kende ik niet. Volgens Mozilla is mijn IBAN en 06 ook gelekt.

06 maak ik me niet zo druk om, ik neem toch nooit op.
Moet ik wat met dat IBAN? Wat doet de rest?

Edit: in de mail staat: “ Bankrekeningnummers, customer-service-comments, Geboortedata, Rijbewijzen, E-mailadressen, Namen, Paspoortnummers, Telefoonnummers en Fysieke adressen”

Is dit de standaardtekst? Want op Mozilla staat niets over mijn paspoortgegevens.

[ Voor 21% gewijzigd door Wispe op 01-03-2026 12:14 ]

[Jerie]

Drardollan schreef op zondag 1 maart 2026 @ 11:44:
[...]

Snap ik, misschien nu de kans aangrijpen


[...]

We zitten op Tweakers, iedereen heeft toch een password manager De gemiddelde Nederlander misschien niet, maar die gaat ook geen tig mail aliassen kunnen configureren.

Vroeger werd nog wel eens het plus of punt (bla+bla of bla.bla) aangeraden. Maar helaas weten de spammers tegenwoordig ook dat ze dan alles voor de punt of + vaak weg kunnen laten.

Bij Gmail niet omdat Gmail zich niet aan de RFC houdt. Bij Gmail is een punt wel of niet om het even. Met of zonder punt is exact hetzelfde. Hierdoor kun je meerdere aliasen maken met punten. Bijvoorbeeld: dra...rdol.la.n@ is hetzelfde als Dr.a.r.dollan@

[SgtElPotato]

Lord_Dain schreef op zondag 1 maart 2026 @ 12:07:
[...]


Denk dat dit gewoon kan. Het is zelfs mijn 14-jarige dochter gelukt om iets via Klarna te bestellen zonder ook maar iets in te hoeven voeren. Dat kwam later wel zei ze... nou dat heb ik haar meteen afgeleerd.. kinderen komen echt snel in aanraking met het boze internet en je moet er bovenop zitten..

Net even geprobeerd, maar ik moet toch een verificatiecode invoeren bij het bestellen. Of een QR code scannen op mijn telefoon om verder te gaan via de app van Klarna. Misschien hebben ze dit dan beter beveiligd

[laurens0619]

Jerie schreef op zondag 1 maart 2026 @ 12:08:
[...]


Bij ransomware wanneer je geen (goede) backup hebt, zul je wel moeten.

Die heb ik hier vaker gelezen maar snap ik niet.

Als er ransomware is zonder backups en het bedrijf anders failliet dan is er begrip voor betalen.

Gaat het bedrijf niet failliet is is het puur potentieel de slachtoffers beschermen dan is het begrip er niet.

Ik heb meer begrip voor betalen om potentieel 6 miljoen onschuldige menen te beschermen dan betalen om potentieel een commercieel bedrijf te redden.

[ Voor 14% gewijzigd door laurens0619 op 01-03-2026 12:18 ]

[pjotter1965]

Wispe schreef op zondag 1 maart 2026 @ 12:05:
[...]


Gisteren was enkel mijn adres gelekt, nu ook mijn naam en mailadres. Telefoonnummer en IBAN niet.

Dat is toch vreemd?

Zal morgen ook even controleren
Vandaag was alleen mijn emailadres gelekt.

[P-Rock]

mkleinman schreef op zondag 1 maart 2026 @ 11:50:
[...]


OUderwetsch , ingevuld in blokletters, ingescand, "natte handtekening", en dat opgestuurd. Die handtekening van mij hebben ze al.

En daarnaast dus deze begeleidende tekst in de mail naar hun.

Ingevuld en opgestuurd.

Ik ben benieuwd hoe lang dit zal duren. Ik verwacht enkele weken...

[Jerie]

laurens0619 schreef op zondag 1 maart 2026 @ 12:13:
[...]

Die heb ik hier vaker gelezen maar snap ik niet.

Als er ransomware is zonder backups en het bedrijf anders failliet dan is er begrip voor betalen.

Gaat het bedrijf niet failliet is is het puur potentieel de slachtoffers beschermen dan is het begrip er niet.

Ik heb meer begrip voor betalen om potentieel 6 miljoen onschuldige menen te beschermen dan betalen om potentieel een commercieel bedrijf te redden.

Het ene is bestaansrecht op korte termijn, het ander gaat over bestaansrecht op lange termijn. VC en investeringsmaatschappijen zijn niet begaafd met langetermijndenken. Die kijken vaak niet verder dan hun neus lang is ¯\_($^$)_/¯

Het punt wat betreft:

Als er ransomware is zonder backups en het bedrijf anders failliet dan is er begrip voor betalen.

Tegenwoordig let men meer op adequate backups. Niet in de laatste plaats vanwege awareness.

https://www.ebay.nl/sch/i.html?_nkw=LTO-6&_sacat=0 ik ga niet naar een specifieke linken, ben geen reclame aan het maken. Zoek naar 300+ EUR en je ziet zo alle tweedehands drives. Ik heb de mijne in China gekocht. Testrapport erbij (authentiek). 30 EUR voor 6,5 TB compressed offline/offsite backup. Gaat je met een NVMe of HDD niet lukken. Dus ook voor MKB is dit een redelijke investering.

[ Voor 29% gewijzigd door Jerie op 01-03-2026 12:26 ]

[Nico_GTR]

Is er hier in het topic al geopperd om odido juridisch verantwoordelijk te houden?
Ik vind hun houding in deze casus erg laconiek. Ook vind ik dat ze een behoorlijk forse tik op de vingers mogen krijgen voor het omgaan met onze persoonsgegevens.

Ik ben al een aantal maanden geen klant meer maar mijn gegevens liggen toch op straat.

[laurens0619]

Jerie schreef op zondag 1 maart 2026 @ 12:22:
[...]


Het ene is bestaansrecht op korte termijn, het ander gaat over bestaansrecht op lange termijn. VC en investeringsmaatschappijen zijn niet begaafd met langetermijndenken. Die kijken vaak niet verder dan hun neus lang is ¯\_($^$)_/¯

Ik bedoel niet vanuit odido zelf maar vanuit de mensen hier in t topic

Dat odido niet betaald heeft snap ik, zakelijk, niets van maar wat ik eerder zei: er zal wel meer spelen wat wij niet weten

[Aziraphale]

Kan ik bij Mozilla Monitor ook daawerkelijk zien wat er gelekt is? Op de Datalek Checker vind ik alleen dat mijn e-mail en achternaam gelekt zijn (met voorletters pakt hij niets). Ben alleen wel benieuwd naar mijn id-nummer.

[Wispe]

Aziraphale schreef op zondag 1 maart 2026 @ 12:28:
Kan ik bij Mozilla Monitor ook daawerkelijk zien wat er gelekt is? Op de Datalek Checker vind ik alleen dat mijn e-mail en achternaam gelekt zijn (met voorletters pakt hij niets). Ben alleen wel benieuwd naar mijn id-nummer.

Ja dat kan.
In de mail naar mij staat dat ook ID-nummer is gelekt, maar dit staat er niet bij Mozilla. Dus ik denk dat wat in de mail staat, standaardtekst is.

[anboni]

Drardollan schreef op zondag 1 maart 2026 @ 10:52:
[...]

Dat was toch al vanaf dag 1 bekend? Er was verwarring omdat er wachtwoorden genoemd is eerder deze week, maar dat waren de "codewoorden" die afgesproken zijn tussen de helpdesk en de klant. Buiten de CRM data uit SalesForce is er niks gelekt.

Wat overigens niet zegt dat dat niet erg is

Het was niet bekend, odido zei het. Gezien hoe slecht ze om zijn gegaan met de hele communicatie, vertrouw ik ze daar domweg niet in.

[P-Rock]

Lord_Dain schreef op zondag 1 maart 2026 @ 12:01:
[...]


Nope maar je kan op 5 velden zoeken. Hierdoor kan je iig zien welke velden er bekend /gelekt zijn.

Mijn IBAN volgens deze site niet. De rest wel.

Ik zou ook graag willen weten of mijn BSN-nummer is buitgemaakt.

[dutchgio]

pjotter1965 schreef op zondag 1 maart 2026 @ 12:30:
Als Odido klant krijg je 2 jaar gratis de mogelijkheid om gebruik te maken van F-secure.
Ik vind het wel bijzonder dat de website https://datagelekt.nl/odido/ nog niet is geanalyseerd door F-secure.
[Afbeelding]

Site is 3 dagen geleden geregistreerd. Die F-Secure is ook maar een database met websites, geen rocket science.

[Vorkie]

dutchgio schreef op zondag 1 maart 2026 @ 12:33:
[...]

Site is 3 dagen geleden geregistreerd. Die F-Secure is ook maar een database met websites, geen rocket science.

Plus die site is van een hobbyist en zou hier niet gedeeld moeten worden volgens de regels.

Gebruik alleen de gerenommeerde websites voor het zoeken naar je persoonlijke gegevens.

[Jerie]

laurens0619 schreef op zondag 1 maart 2026 @ 12:26:
[...]

Ik bedoel niet vanuit odido zelf maar vanuit de mensen hier in t topic

Dat odido niet betaald heeft snap ik, zakelijk, niets van maar wat ik eerder zei: er zal wel meer spelen wat wij niet weten

Wat bedoel je met mensen in het topic? Wat moeten die betalen? Aan dhr. Ruwhof? Dat was mosterd na de maaltijd. Veel te laat. Is makkelijk te zeggen natuurlijk vanaf de zijlijn (zoals wel meer), maar dat is wel wat het is.

Ging ongeveer zo, lijkt me: so heeft contact opgenomen met de politie. Die heeft goed zicht op de datalekken want daar zitten experts die dat (tegenwoordig) bijhouden. Die hebben geadviseerd om niet te betalen omdat je dan het bedrijfsmodel in stand houdt (hier is iets voor te zeggen). Contact opnemen met politie is ongunstig voor vd; immers vd weet dat dit niet goed is voor succes want politie raad af te betalen. Daarom willen ze dat so direct betaalt, zonder contact op te nemen met autoriteiten. Een trucje dat ze in verleden toepassen is de prijs verhogen indien men niet direct zou betalen. Dat zag je in verleden nog wel bij ransomware. Men wil de druk verhogen.

[Jerie]

dutchgio schreef op zondag 1 maart 2026 @ 12:33:
[...]

Site is 3 dagen geleden geregistreerd. Die F-Secure is ook maar een database met websites, geen rocket science.

Ik adviseer om alle nieuwe domeinen (<= 14 dagen oud) standaard te blokkeren. Dit zijn tegenwoordijg vrijwel altijd domeinen die gebruikt worden voor criminaliteit. Hier zijn blocklists voor.

[P-Rock]

Jerie schreef op zondag 1 maart 2026 @ 12:39:
[...]


Ik adviseer om alle nieuwe domeinen (<= 14 dagen oud) standaard te blokkeren. Dit zijn tegenwoordijg vrijwel altijd domeinen die gebruikt worden voor criminaliteit. Hier zijn blocklists voor.

TROS RADAR verwijst ook naar deze website. Ik neem aan dat die niet zomaar elke link op hun pagina droppen, zonder dat eerst uitvoerig te checken.

https://radar.avrotros.nl...jn-gelekt-bij-odido-62413

[ Voor 3% gewijzigd door P-Rock op 01-03-2026 12:42 ]

[GGdiArgos]

Even een kort vraagje, zou iemand op basis van de gelekte gegevens zomaar een klarna bestelling kunnen doen als je daar nog geen account had?

[Jerie]

Lord_Dain schreef op zondag 1 maart 2026 @ 12:07:
[...]


Denk dat dit gewoon kan. Het is zelfs mijn 14-jarige dochter gelukt om iets via Klarna te bestellen zonder ook maar iets in te hoeven voeren. Dat kwam later wel zei ze... nou dat heb ik haar meteen afgeleerd.. kinderen komen echt snel in aanraking met het boze internet en je moet er bovenop zitten..

Hoe heb je het haar afgeleerd?

[laurens0619]

Jerie schreef op zondag 1 maart 2026 @ 12:38:
[...]


Wat bedoel je met mensen in het topic?

Bv wat ik va jou quote maar dan he ik je verkeerd begrepen:)

[SgtElPotato]

GGdiArgos schreef op zondag 1 maart 2026 @ 12:44:
Even een kort vraagje, zou iemand op basis van de gelekte gegevens zomaar een klarna bestelling kunnen doen als je daar nog geen account had?

Tenzij ze je nummer hebben gespoofed of toegang tot je mail hebben kan dat voor zover ik zie niet. Ik heb net ook geprobeerd om een bestelling te plaatsen met een account (mijn eigen account), maar ik moet me verifieren met mijn nummer of via de app.

[Yucon]

Yucon schreef op dinsdag 17 februari 2026 @ 07:04:
[...]

Dit vind ik het vreemde. Ik ben ook klant maar ik heb geen mail gehad, ook niet in de spam folder. Wel een smsje. Ik lijk wel de enige.. zijn er nog meer hier die *geen* mail gekregen hebben?

Vanochtend kreeg ik een mailtje van haveibeenpwned. Gelekt. En nog steeds geen mail van odido. _{Nee. Ook niet in de spamfolder, met 100% zekerheid}

Elk laatste restje vertrouwen is weg nu ze zelfs dit stuk verprutst hebben.

[DjoeC]

Nu "alles" compleet is gelekt verwacht ik eigenlijk dat Odido die complete dataset analyseert, combineert en verwerkt tot een schriftelijke (dat is: op papier) mededeling aan alle getroffenen met niet alleen een excuus, maar ook een complete weergave van alle gelekte gegevens.

Zelf mag ik blijkbaar niet op zoek gaan naar die gegevens en dus verwacht ik dat een "geauthoriseerde" partij dat voor mij gaat regelen.

[Jerie]

P-Rock schreef op zondag 1 maart 2026 @ 12:41:
[...]


TROS RADAR verwijst ook naar deze website. Ik neem aan dat die niet zomaar elke link op hun pagina droppen, zonder dat eerst uitvoerig te checken.

https://radar.avrotros.nl...jn-gelekt-bij-odido-62413

Tros Radar verrrrrrrtrouw ik wel in deze context.

Mijn punt is meer dat deze website bij sommigen niet gaat werken wanneer ze dit advies (welke behoorlijk goed werkt tegen scams) opvolgen.

[ Voor 0% gewijzigd door Jerie op 01-03-2026 13:46 . Reden: rrrrrrr ]

[Jerie]

DjoeC schreef op zondag 1 maart 2026 @ 11:52:
[...]

Tip: Ik gebruik tegenwoordig ook de datum van eerste gebruik als onderdeel van het email alias. Dat vanwege "bewaartermijnen" en regelmatig switchen tussen providers. Mijn "vorige" contract heeft dus niet odido@ maar odido20240101@.

Dit is een mooie scheme er staan in dit topic meerdere schemes. Bijvoorbeeld Bitwarden gebruikers kunnen gebruik maken van Generator -> Username. Dan krijg je standaard een random word zoals aspergesoep8305. Je kunt dit in de toekomst altijd terug vinden op GoT door te zoeken naar 'aspergesoep'. Als je ook nog dit nummer zou onthouden, heb je gegarandeerd raak (tenzij iemand gaat trollen )

Het nadeel van deze schemes is dat ze ofwel uniek, ofwel zeldzaam zijn. Deel je ze, dan kunnen anderen dit herleiden naar jou in zelfs dit topic. Ook vallen dit soort schemes op in een dataset. Dat is het nadeel van je kop boven het maaiveld uitsteken. Door het te delen, vallen we (gebruikers van zo'n scheme) allen minder op. Want het is wel handig in gebruik. Toch zie ik de gemiddelde gebruiker dit niet zo snel gebruiken omdat het 'te ingewikkeld' is. Maar hetzelfde vond ik ook van Netscape 1.x, en kijk waar we nu zitten!

[mrmrmr]

EDIT schreef op zondag 1 maart 2026 @ 10:21:
ze hebben dus duidelijk niet alle accounts/gegevens geëxporteerd, tenzij dat uiteraard nu net die gegevens zijn geweest die ze achter gehouden zouden hebben.

Inderdaad, het lijkt wel duidelijk dat de laatste bestand niet alle data bevat. Het is niet zo dat de eerste gepubliceerde datasets ook zeker in de laatste voorkomen.

[DjoeC]

Jerie schreef op zondag 1 maart 2026 @ 13:03:
[...]
Het nadeel van deze schemes is dat ze ofwel uniek, ofwel zeldzaam zijn. Deel je ze, dan kunnen anderen dit herleiden naar jou in zelfs dit topic. Ook vallen dit soort schemes op in een dataset. Dat is het nadeel van je kop boven het maaiveld uitsteken. Door het te delen, vallen we (gebruikers van zo'n scheme) allen minder op. Want het is wel handig in gebruik. Toch zie ik de gemiddelde gebruiker dit niet zo snel gebruiken omdat het 'te ingewikkeld' is. Maar hetzelfde vond ik ook van Netscape 1.x, en kijk waar we nu zitten!

In mijn geval is het "schema" (naam-datum@) niet zo vast dat er een pratroon in zit. Alles, maar dan ook alles dat relevant is gaat bij mij ook nog Keepass in dus ook de nep voorletters/namen/geboortedata/antwoorden op veiligheidsvragen, etc.

Je hebt gelijk: Het moet niet AL te herleidbaar worden Mijn doel het hier te plaatsten is dat het ofwel veel vaker gebruikt wordt - daarmee wordt t "ruis", ofwel dat mensen zelf goed nadenken hoe ze met gegevens omgaan.

[GREENSKiN]

Jerie schreef op zondag 1 maart 2026 @ 13:01:
[...]
Tros Radar vetrouw ik wel in deze context.

Ha! Ja, dat is inderdaad mijn site. Bijna een miljoen keer gebruikt, tot nu. Mij is gevraagd de link hier niet te delen, dus dat zal ik ook niet meer doen. Dat begrijp ik overigens volledig, dit datalek is echt zeer serieus.

Vanmiddag rond 15:00 doe ik een korte livestream op X waarin we even door de code van de site lopen en inloggen op de server. Heb veel vragen over de werking gekregen, dus even de basistechniek tonen. En zodat mensen kunnen verifiëren (voor zover dat mogelijk is) dat er geen data opgeslagen wordt.

[ Voor 3% gewijzigd door GREENSKiN op 01-03-2026 13:17 . Reden: markdown versus myreact ;) ]

[Lord_Dain]

Jerie schreef op zondag 1 maart 2026 @ 12:45:
[...]


Hoe heb je het haar afgeleerd?

Ik heb haar verteld dat ze zolang ze minderjarig is nooit zelf iets mag bestellen en dat het via de ouders moet. Sindsdien krijg ik netjes een linkje of een productURL als ze iets wil bestellen, zo kan ik ook meteen van die vage dropship / scam sites voor haar er uit filteren. Helaas wel wat extra beheerwerk prive..

Daarnaast heb ik bij ons thuis een keiharde block op alles wat tiktok is..

[Jerie]

DjoeC schreef op zondag 1 maart 2026 @ 13:09:
[...]

In mijn geval is het "schema" (naam-datum@) niet zo vast dat er een pratroon in zit. Alles, maar dan ook alles dat relevant is gaat bij mij ook nog Keepass in dus ook de nep voorletters/namen/geboortedata/antwoorden op veiligheidsvragen, etc.

Je hebt gelijk: Het moet niet AL te herleidbaar worden Mijn doel het hier te plaatsten is dat het ofwel veel vaker gebruikt wordt - daarmee wordt t "ruis", ofwel dat mensen zelf goed nadenken hoe ze met gegevens omgaan.

Ik gebruik het niet omdat het deels een secret is dat ik niet voor me weet te houden (want het zijn mooie schemes / oplossingen). Als genoeg anderen het zouden gebruiken (al dan niet met zeggen dat ze dat doen) zou ik ook zo'n schema heroverwegen.

Mijn tactiek gaat anders worden: namelijk het opzeggen van accounts van diensten die ik niet (meer) gebruik. Om te beginnen allerlei Amerikaanse diensten. De flow is: eerst GDPR/AVG verzoek, dan opzeggen. Op dit moment ben ik zo ver dat ik bijvoorbeeld mijn Microsoft account op kan zeggen. OpenAI heb ik onlangs opgezegd. Maar ja, dat is eigenlijk voer voor een ander topic.

E-mail op eigen domein met self-hosting ben ik begin '00 mee gestopt. Ik vond destijds alle MTAs of kut, of onveilig. Mijn favoriet lag in de clinch met Microsoft Hotmail omdat die zich niet aan de RFC hielden. Iets met CR/LF/CRLF. Bovendien was destijds nog vrij gangbaar dat niet alle MTAs TLS gebruikten, en als ze dat wel deden waren het self-signed certs (het is wat mij betreft ook tijd voor meer root-servers buiten USA, en een LE buiten USA). Na die tijd werd het noodzakelijk om DMARC/SPF/DKIM in te voeren. Ik heb wel nog heel lang HTML mail weten te vermijden.

[rr7r]

Jerie schreef op zondag 1 maart 2026 @ 13:25:
[...]


Mijn tactiek gaat anders worden: namelijk het opzeggen van accounts van diensten die ik niet (meer) gebruik. Om te beginnen allerlei Amerikaanse diensten. De flow is: eerst GDPR/AVG verzoek, dan opzeggen. Op dit moment ben ik zo ver dat ik bijvoorbeeld mijn Microsoft account op kan zeggen. OpenAI heb ik onlangs opgezegd. Maar ja, dat is eigenlijk voer voor een ander topic.

Je bent naïef. En veel succes met opzeggen / verwijder-verzoeken. Oh je hebt je gegevens bij OpenAI laten verwijderen? Wacht maar tot je over een tijdje alsnog een servicevoorwaarden-update-email van ze krijgt op een emailadres die ze niet meer behoren te hebben.

[Jerie]

Lord_Dain schreef op zondag 1 maart 2026 @ 13:23:
[...]


Ik heb haar verteld dat ze zolang ze minderjarig is nooit zelf iets mag bestellen en dat het via de ouders moet. Sindsdien krijg ik netjes een linkje of een productURL als ze iets wil bestellen, zo kan ik ook meteen van die vage dropship / scam sites voor haar er uit filteren. Helaas wel wat extra beheerwerk prive..

Daarnaast heb ik bij ons thuis een keiharde block op alles wat tiktok is..

Interessant. Die van mij is nog iets jonger (krijgt net zakgeld). Hoe doe je dit met cadeautjes voor pap of mam? Momenteel ga ik met de kinderen nog fysiek naar de winkel voor cadeautjes, en qua cadeaus ben ik zen: ik hoef niets, behalve een leuke tekening en/of ontbijt op bed. Maar het is ook goed ze de verantwoordelijkheid te geven om wel een leuk cadeau voor pap of mam te regelen.

[W1ck1e]

Volgens "datagelekt", zijn de volgende zaken wel al dan niet gelekt

niet mijn fysieke adres
wel mijn "speciaal voor odido email adres" in eigen domein: die dus in de gaten houden
wel mijn telefoonnummer (vast toestel, geen mogelijkheid tot apps), succes daarmee
niet mijn iban, maar wel in de gaten houden
misschien mijn naam (achternaam komt voor)

via breedbandwinkel.nl mijn klik&klaar besteld.

[ Voor 6% gewijzigd door W1ck1e op 01-03-2026 13:40 ]

[Jerie]

rr7r schreef op zondag 1 maart 2026 @ 13:30:
[...]


Je bent naïef. En veel succes met opzeggen / verwijder-verzoeken. Oh je hebt je gegevens bij OpenAI laten verwijderen? Wacht maar tot je over een tijdje alsnog een servicevoorwaarden-update-email van ze krijgt op een emailadres die ze niet meer behoren te hebben.

Klopt, ik ben naïef, dom en lelijk. Vooral lelijk. Heel lelijk.

OpenAI moet zich aan de Nederlandse wet houden. Ik geef je gelijk dat ik ook de indruk heb dat ze daar lak aan gaan hebben, onder protectie van de 'heer' Trump. Maar dat houdt nog niet in dat we niet hoeven te proberen. Bovendien heb ik dermate goede alternatieven dat ik geen OpenAI meer nodig heb. Hetzelfde geldt voor Microsoft, al heb ik nooit diep in dat ecosysteem gezeten, dus da's een makkie.

Dat het overal er aan toe gaat zoals bij Odido qua verwijderen data, dat denk ik overigens niet.

[Jerie]

GREENSKiN schreef op zondag 1 maart 2026 @ 13:16:
[...]


Ha! Ja, dat is inderdaad mijn site. Bijna een miljoen keer gebruikt, tot nu. Mij is gevraagd de link hier niet te delen, dus dat zal ik ook niet meer doen. Dat begrijp ik overigens volledig, dit datalek is echt zeer serieus.

Vanmiddag rond 15:00 doe ik een korte livestream op X waarin we even door de code van de site lopen en inloggen op de server. Heb veel vragen over de werking gekregen, dus even de basistechniek tonen. En zodat mensen kunnen verifiëren (voor zover dat mogelijk is) dat er geen data opgeslagen wordt.

Weet ik. Het punt was of is niet dat ik jouw website niet vertrouw, maar dat het gros van de nieuwe domeinnamen misbruikt wordt voor criminaliteit. Dat is statistisch een gegeven. Daarom is het logisch om die te blokkeren, ook voor minder technisch onderlegde gebruikers.

Ik heb eigenlijk nooit last van dat nieuwe domeinen niet werken. De laatste keer dat ik er last van had, had te maken met Babboe bakfiets drama (goh, dan maar even 14 dagen wachten met de claim). Als een website niet werkt, zet me dat aan tot denken. Dan check ik de AS, en besluit ik of ik Tor Browser wil gebruiken ja of nee.

[quo_]

DjoeC schreef op zondag 1 maart 2026 @ 12:56:
Nu "alles" compleet is gelekt verwacht ik eigenlijk dat Odido die complete dataset analyseert, combineert en verwerkt tot een schriftelijke (dat is: op papier) mededeling aan alle getroffenen met niet alleen een excuus, maar ook een complete weergave van alle gelekte gegevens.

Zelf mag ik blijkbaar niet op zoek gaan naar die gegevens en dus verwacht ik dat een "geauthoriseerde" partij dat voor mij gaat regelen.

En dan komen ze daar tot de ontdekking dat 6,2 miljoen brieven met een postzegel van 1,40 euro ook best veel geld is.
Misschien was 500 k betalen wel slmimer geweest.

[DjoeC]

quo_ schreef op zondag 1 maart 2026 @ 14:02:
[...]

En dan komen ze daar tot de ontdekking dat 6,2 miljoen brieven met een postzegel van 1,40 euro ook best veel geld is.
Misschien was 500 k betalen wel slmimer geweest.

offtopic:
Quantumkorting? Met Quantum gaat het maken, verzenden en ontvangen van die brieven ook nog eens "onmiddellijk"

[rr7r]

.

[ Voor 99% gewijzigd door rr7r op 01-03-2026 14:10 ]

[SgtElPotato]

quo_ schreef op zondag 1 maart 2026 @ 14:02:
[...]

En dan komen ze daar tot de ontdekking dat 6,2 miljoen brieven met een postzegel van 1,40 euro ook best veel geld is.
Misschien was 500 k betalen wel slmimer geweest.

Per brief? Dat is wel heel erg ouderwets

[swop007]

Yucon schreef op zondag 1 maart 2026 @ 12:56:
[...]

Vanochtend kreeg ik een mailtje van haveibeenpwned. Gelekt. En nog steeds geen mail van odido. _{Nee. Ook niet in de spamfolder, met 100% zekerheid}

Elk laatste restje vertrouwen is weg nu ze zelfs dit stuk verprutst hebben.

Had ik ook, maar volgens https://datagelekt.nl/odido/ is het beperkt tot mijn e-mailadres, voor -en achternaam. Wat het niet minder zorgelijk maakt, want het betekent dat Odido een deel van de hack nog niet in beeld heeft. Vermoedelijk een component wat mailings verzorgt, als ik deduceer dat alleen deze gegevens erin staan. [sarcasm] Ze doen dus wel aan dataminimalisatie [/sarcasm]

[anboni]

P-Rock schreef op zondag 1 maart 2026 @ 12:33:
[...]


Mijn IBAN volgens deze site niet. De rest wel.

Ik zou ook graag willen weten of mijn BSN-nummer is buitgemaakt.

Odido heeft totaal geen enkele grondslag om BSNs te verwerken of op te slaan. Ze slaan ook geen scans van ID bewijzen op, alleen het nummer. Ze zijn incompetent gebleken, maar zo incompetent lijken ze nou ook weer niet te zijn.

[P-Rock]

anboni schreef op zondag 1 maart 2026 @ 14:24:
[...]


Odido heeft totaal geen enkele grondslag om BSNs te verwerken of op te slaan. Ze slaan ook geen scans van ID bewijzen op, alleen het nummer. Ze zijn incompetent gebleken, maar zo incompetent lijken ze nou ook weer niet te zijn.

Niks verbaast mij meer bij Odido.

[anboni]

P-Rock schreef op zondag 1 maart 2026 @ 14:27:
[...]


Niks verbaast mij meer bij Odido.

Nee, eens. Maar onterecht BSNs op grote schaal opslaan levert ze, als dat uitkomt, een hele fikse boete op. Daar zijn CxOs over het algemeen redelijk gevoelig voor.

[Bigg Balls]

Ben al heel lang geen klant meer van T-Mobile / ODIDO. Denk langer dan 10 jaar geleden en toch zit ik in de hack… hoe kan dat nu weer?

[_Bailey_]

P-Rock schreef op zondag 1 maart 2026 @ 14:27:
[...]


Niks verbaast mij meer bij Odido.

Heb ook sterk het idee dat het ze niet écht boeit cq de regie in PR / communicatie volledig kwijt zijn

[Arjan90]

Bigg Balls schreef op zondag 1 maart 2026 @ 14:30:
Ben al heel lang geen klant meer van T-Mobile / ODIDO. Denk langer dan 10 jaar geleden en toch zit ik in de hack… hoe kan dat nu weer?

Geen of niet goed uitgevoerd AVG beleid

[Jerie]

rr7r schreef op zondag 1 maart 2026 @ 14:05:
Ik krijg gewoon, geadresseerd op voornaam+achternaam, op mijn emailadres, een update-mail over hun privacybeleid terwijl ik mijn account daar heb laten verwijderen. Ik kan ook niet inloggen daar omdat mijn account dus 'weg' is.

Ja, en dat is een probleem. Maar aan de andere kant:

1) Je weet niet hoe vaak dit statistisch bij Odido voor zou komen.

2) Je weet niet hoe vaak dit statistisch bij anderen voor zou komen.

3) Je weet niet hoe vaak dit statistisch bij Odido voor blijft komen.

4) Je weet niet hoe vaak dit statistisch bij anderen voor blijft komen.

Op zich is het uitgangspunt dat bedrijven zich aan de wet houden binnen een rules based world gangbaar. Helaas is de geopolitiek dermate instabiel, ik kan er niet van op aan. Sterker nog, mijn indruk is dat OpenAI misbruikt gaat worden door DoD. Aan de andere kant is hindsight 20/20, en beter laat dan nooit.

Ik begin je eerdere standpunt over hoe om te gaan met die odido hack criminelen nu wel steeds beter te begrijpen.

Geen idee wat je hier mee probeert te zeggen. Mijn standpunt is namelijk helaas enigszins gedraaid sinds ik de gegevens in heb gezien, en een completer beeld heb van de situatie. Er zijn details bekend geworden die mij voorheen nog niet waren (deels ligt dat aan mij, deels ook aan dat informatie nu helderder is geworden).

[Lord_Dain]

Jerie schreef op zondag 1 maart 2026 @ 13:34:
[...]


Interessant. Die van mij is nog iets jonger (krijgt net zakgeld). Hoe doe je dit met cadeautjes voor pap of mam? Momenteel ga ik met de kinderen nog fysiek naar de winkel voor cadeautjes, en qua cadeaus ben ik zen: ik hoef niets, behalve een leuke tekening en/of ontbijt op bed. Maar het is ook goed ze de verantwoordelijkheid te geven om wel een leuk cadeau voor pap of mam te regelen.

Ze heeft wel een rekening en een pinpas, dus ze kan en mag gewoon zelf betalingen doen. Alleen niet online, dan moet het via de security afdeling thuis Ik laat het iig niet los, de jongste is zelfs nu al handiger en slimmer met dit soort zaken, per kind een iets andere handleiding en manier van 'loslaten' en zelf leren hoe er mee om te gaan..

[licon]

Homeland schreef op zondag 1 maart 2026 @ 09:33:
Het is echt volslagen idioot om te denken dat criminelen naar een rechter stappen om beslag op je rekening te leggen, echt zo compleet idioot en onrealistisch.

Je zegt dat het "onrealistisch" is, maar de praktijk van het Nederlands beslagrecht voor conservatoir beslag (art. 700 Rv) is een bulkmachine. Een voorzieningenrechter toets een beslagverzoek marginaal en ex parte (zonder jou te horen). Als het er op papier legitiem uitziet — en dat doet het met deze data zeker — wordt het verlof bijna altijd verleend. De rechter is geen detective: hij gaat er vanuit dat een eiser met zulke specifieke details een valide vordering heeft.

[Lord_Dain]

licon schreef op zondag 1 maart 2026 @ 14:55:
[...]


Je zegt dat het "onrealistisch" is, maar de praktijk van het Nederlands beslagrecht voor conservatoir beslag (art. 700 Rv) een bulkmachine. Een voorzieningenrechter toets een beslagverzoek marginaal en ex parte (zonder jou te horen). Als het er op papier legitiem uitziet — en dat doet het met deze data zeker — wordt het verlof bijna altijd verleend. De rechter is geen detective: hij gaat er vanuit dat een eiser met zulke specifieke details een valide vordering heeft.

Dan klopt er iets niet (meer) aan dit proces en zal het veranderd moeten worden. Tot die tijd maar hopen dat je niet bij de eerste batches zit als ze zoiets daadwerkelijk gaan doen. Zodra er genoeg sociale ophef is, zal dit onder druk van MSM en politiek snel de nek omgedraaid worden.

[Jerie]

Lord_Dain schreef op zondag 1 maart 2026 @ 14:44:
[...]


Ze heeft wel een rekening en een pinpas, dus ze kan en mag gewoon zelf betalingen doen. Alleen niet online, dan moet het via de security afdeling thuis Ik laat het iig niet los, de jongste is zelfs nu al handiger en slimmer met dit soort zaken, per kind een iets andere handleiding en manier van 'loslaten' en zelf leren hoe er mee om te gaan..

Ik vind het erg interessant om te lezen hoe andere ouders met de digitale uitdagingen omgaan mocht er ooit een specifiek topic voor zijn of komen; ik heb interesse.

Qua rekening kun je bij bunq dual PIN instellen, en die tweede PIN op een andere IBAN zetten. Vroeger had je nog chipknip. Dat is was en leek ook interessant, ware het niet dat je soms moet pinnen.

Vanaf welke leeftijd die van ons een eigen pinpas gaan krijgen, weet ik (nog) niet. Ik gok zo rond de 12. In ieder geval zijn ze rond de 12 of 14 nog niet juridisch verantwoordelijk; dat zijn de ouders/verzorgers.

[rclahsen]

licon schreef op zondag 1 maart 2026 @ 14:55:
[...]


Je zegt dat het "onrealistisch" is, maar de praktijk van het Nederlands beslagrecht voor conservatoir beslag (art. 700 Rv) is een bulkmachine. Een voorzieningenrechter toets een beslagverzoek marginaal en ex parte (zonder jou te horen). Als het er op papier legitiem uitziet — en dat doet het met deze data zeker — wordt het verlof bijna altijd verleend. De rechter is geen detective: hij gaat er vanuit dat een eiser met zulke specifieke details een valide vordering heeft.

Laat onverlet wat ik eerder zei: een procedure tot conservatoir beslag is nog steeds niet gratis. En de eisende partij zal zich ook bekend moeten maken, dit kan dus niet anoniem. Tot slot betekent conservatoir beslag nog steeds geen garantie tot het krijgen van euro’s.

Allemaal zaken die malafide partijen mee moeten wegen voordat zij op basis van AI-luchtkastelen obv deze dataset fictieve vorderingen voldaan willen krijgen.

[ernstoud]

rclahsen schreef op zondag 1 maart 2026 @ 15:05:
[...]


Laat onverlet wat ik eerder zei: een procedure tot conservatoir beslag is nog steeds niet gratis. En de eisende partij zal zich ook bekend moeten maken, dit kan dus niet anoniem. Tot slot betekent conservatoir beslag nog steeds geen garantie tot het krijgen van euro’s.

Allemaal zaken die malafide partijen mee moeten wegen voordat zij op basis van AI-luchtkastelen obv deze dataset fictieve vorderingen voldaan willen krijgen.

En er zijn omdat het ex parte gaat al jaren extra regels voor rechters: https://www.rechtspraak.n...ndelsrecht/beslagsyllabus.

Leuk grotendeels hypothetisch verhaal van @licon . Gaat niet gebeuren. Vooral omdat het niet anoniem kan.

[ArcticWolf]

GREENSKiN schreef op zondag 1 maart 2026 @ 13:16:
[...]


Ha! Ja, dat is inderdaad mijn site. Bijna een miljoen keer gebruikt, tot nu. Mij is gevraagd de link hier niet te delen, dus dat zal ik ook niet meer doen. Dat begrijp ik overigens volledig, dit datalek is echt zeer serieus.

Vanmiddag rond 15:00 doe ik een korte livestream op X waarin we even door de code van de site lopen en inloggen op de server. Heb veel vragen over de werking gekregen, dus even de basistechniek tonen. En zodat mensen kunnen verifiëren (voor zover dat mogelijk is) dat er geen data opgeslagen wordt.

Vraagje, ik heb net alle velden met mijn gegevens nagelopen op https://datagelekt.nl/odido/

Maar kreeg alleen bij naam, emailadres en telefoonnummer de melding dat die gevonden waren, bij IBAN en fysieke adres kreeg ik dat er niks gevonden was. Kan ik er dan echt van uit gaan dat die 2 zaken niet gelekt zijn? Vind het wel vreemd namelijk als er zoveel records zijn gelekt en deze dan toevallig niet bij mij (opzich vind ik dat niet erg... )

[Aggressor]

@ArcticWolf bij mij komt alleen mijn email adres voor....

[ernstoud]

ArcticWolf schreef op zondag 1 maart 2026 @ 15:23:
[...]

Vraagje, ik heb net alle velden met mijn gegevens nagelopen op (verwijderd).

Lees eens dat gele blok onderaan.

[laurens0619]

Zou fijn als er een officiele tool zou komen waarmee je de data gemasked kan opvragen.

Bv:
Input: [e-mail]

Output:
Postcode: **32a*
Tel: 061******6
Liefst dat deze output niet getoond wordt maar gemaild wordt naar t email adres

[ Voor 20% gewijzigd door laurens0619 op 01-03-2026 15:43 ]

[Herman]

laurens0619 schreef op zondag 1 maart 2026 @ 15:41:
Zou fijn als er een officiele tool zou komen waarmee je de data gemasked kan opvragen.

Bv:
Input: [e-mail]

Output:
Postcode: **32a*
Tel: 061******6
Liefst dat deze output niet getoond wordt maar gemaild wordt naar t email adres

Ik denk niet dat iemand zich hier aan gaat branden. E-mail is niet veilig en degene die deze tool aanbiedt doet zodoende vermoedelijk mee met het verspreiden van persoonsgegevens

[mark777]

Hmm vreemd als ik mijn naam invoer dan ben ik wel gehacked maar mijn telefoonnr en email komen niet voor in de database. Heb wel een email van ben gehad dus ik snap het niet meer helemaal

[laurens0619]

Herman schreef op zondag 1 maart 2026 @ 16:05:
[...]

Ik denk niet dat iemand zich hier aan gaat branden. E-mail is niet veilig en degene die deze tool aanbiedt doet zodoende vermoedelijk mee met het verspreiden van persoonsgegevens

Denk het ook niet, ach dan gaan mensen zelf de complete set maar downloaden, stuk privacy vriendelijker

[GaHard]

Ik overweeg om iig mijn telefoon nummer te wijzigen. Maar daar zitten vandaag de dag ook weer veel haken en ogen aan... Mogelijk nog accounts met 2fa of herstel opties waar je dan straks mogelijk niet meer bij kan. Meeste van mijn belangrijke accounts gaan via 2FA authenticator apps en niet via SMS maar toch, makkelijk om iets te vergeten en straks toegang te verliezen tot accounts. En dan moet je iedereen en alles weer informeren over je nieuwe nummer...

[kilon]

laurens0619 schreef op zondag 1 maart 2026 @ 16:15:
[...]

Denk het ook niet, ach dan gaan mensen zelf de complete set maar downloaden, stuk privacy vriendelijker

Misschien dat de politie het zelf allemaal nog gaat verwerken bij Checkjehack , maar dat moet natuurlijk extra secuur gebeuren dus daar gaan dan nog wel wat dagen overheen.

[laurens0619]

kilon schreef op zondag 1 maart 2026 @ 16:29:
[...]

Misschien dat de politie het zelf allemaal nog gaat verwerken bij Checkjehack , maar dat moet natuurlijk extra secuur gebeuren dus daar gaan dan nog wel wat dagen overheen.

Maar dan krijg je wss een binaire hit of niet.
Ik wil beter weten welke data er precies gehackt is (nou niet precies maar masked dat ik t kan herkennen)

[pjotter1965]

GaHard schreef op zondag 1 maart 2026 @ 16:20:
Ik overweeg om iig mijn telefoon nummer te wijzigen. Maar daar zitten vandaag de dag ook weer veel haken en ogen aan... Mogelijk nog accounts met 2fa of herstel opties waar je dan straks mogelijk niet meer bij kan. Meeste van mijn belangrijke accounts gaan via 2FA authenticator apps en niet via SMS maar toch, makkelijk om iets te vergeten en straks toegang te verliezen tot accounts. En dan moet je iedereen en alles weer informeren over je nieuwe nummer...

Ik las van iemand anders die ook zijn telefoonnummer had veranderd. Dit kunnen ook nummers zijn die zijn hergebruikt. In zijn geval was het “ nieuwe “ nummer ook bij een datalek betrokken geweest
CR2032 in "Odido waarschuwt voor datalek (cyberaanval/hack)"

[ Voor 5% gewijzigd door pjotter1965 op 01-03-2026 17:10 ]

[ArcticWolf]

GaHard schreef op zondag 1 maart 2026 @ 16:20:
Ik overweeg om iig mijn telefoon nummer te wijzigen. Maar daar zitten vandaag de dag ook weer veel haken en ogen aan... Mogelijk nog accounts met 2fa of herstel opties waar je dan straks mogelijk niet meer bij kan. Meeste van mijn belangrijke accounts gaan via 2FA authenticator apps en niet via SMS maar toch, makkelijk om iets te vergeten en straks toegang te verliezen tot accounts. En dan moet je iedereen en alles weer informeren over je nieuwe nummer...

Ik ben idd dagen bezig geweest om alles weer te herstellen na een nummer wijziging. Beter is om een overlap te hebben in de nummer wijziging, dus dat je tijdelijk 2 nummers op 1 toestel hebt, dan alles over zet en dan pas het andere abonnement annuleert.

[Bastiaan]

Mijn gegevens zaten in de eerste batch met data die daadwerkelijk gepubliceerd was. Iets met mosterd en maaltijd, maar ondertussen ben ik wel begonnen om al mijn registraties met een alias-mailadres te gaan invullen.

Dat betekent ook dat ik bij Odido een alias-adres ben gaan gebruiken, ná deze publicatie. Echter, ik krijg nu op dát mailadres (wat daarvoor nog niet bestond) ook meteen phising attempts binnen. Nou hoop ik maar dat het niet het geval is, maar mij bekruipt dan wel het gevoel dat er ergens nog een achterdeurtje bij Odido open staat...

[mkleinman]

Bij het invullen van het inzageformulier viel mij nog iets op. Op mijn facturen staat nog steeds dat er wordt geincasseerd van een oud IBAN nummer (KNAB) maar ze incasseren al een tijdje van de juiste bank ( ING ).

En nu ben ik helemaal benieuwd welke IBAN nu in die gelekte dataset zit.

[Ramon]

GaHard schreef op zondag 1 maart 2026 @ 16:20:
Ik overweeg om iig mijn telefoon nummer te wijzigen. Maar daar zitten vandaag de dag ook weer veel haken en ogen aan... Mogelijk nog accounts met 2fa of herstel opties waar je dan straks mogelijk niet meer bij kan. Meeste van mijn belangrijke accounts gaan via 2FA authenticator apps en niet via SMS maar toch, makkelijk om iets te vergeten en straks toegang te verliezen tot accounts. En dan moet je iedereen en alles weer informeren over je nieuwe nummer...

Wat hoop je hier mee voor elkaar te krijgen dan

[mooiboy]

Mijn telefoonnummer, naam en email adres zaten bij de laatste batch volgens datagelekt.nl
Wat ik wel vreemd vind, is dat er op mijn woonadres en IBAN niets wordt gevonden. Hebben meerdere mensen dit?

[Gosat]

GaHard schreef op zondag 1 maart 2026 @ 16:20:
Ik overweeg om iig mijn telefoon nummer te wijzigen. Maar daar zitten vandaag de dag ook weer veel haken en ogen aan... Mogelijk nog accounts met 2fa of herstel opties waar je dan straks mogelijk niet meer bij kan. Meeste van mijn belangrijke accounts gaan via 2FA authenticator apps en niet via SMS maar toch, makkelijk om iets te vergeten en straks toegang te verliezen tot accounts. En dan moet je iedereen en alles weer informeren over je nieuwe nummer...

Ik overweeg ook een nieuw tel nummer. Ik zal het dan zo gaan doen: nieuwe prepaid en mijn huidige nummer overzetten op die prepaid(eentje waarbij je zonder teveel moeite deze actief kan houden). Dit nummer zal ik minimaal 5 jaar nog houden om te voorkomen dat iemand anders deze krijgt op korte termijn.

Daarnaast dus een nieuw abonnement met een nieuw nummer(en dan niet meer bij Odido).

[mooiboy]

mkleinman schreef op zondag 1 maart 2026 @ 17:18:
Bij het invullen van het inzageformulier viel mij nog iets op. Op mijn facturen staat nog steeds dat er wordt geincasseerd van een oud IBAN nummer (KNAB) maar ze incasseren al een tijdje van de juiste bank ( ING ).

En nu ben ik helemaal benieuwd welke IBAN nu in die gelekte dataset zit.

Dit is omdat er een switching service actief is. Jouw oude IBAN blijft nog een jaar werken en geld wordt automatisch van je nieuwe afgeschreven.

[GaHard]

Ramon schreef op zondag 1 maart 2026 @ 17:21:
[...]

Wat hoop je hier mee voor elkaar te krijgen dan

Ik vind het gewoon vervelend dat iedereen nu in principe mijn nummer kan vinden online, mijn adres staat er ook op en daar baal ik ook van maarja dat valt niet zo makkelijk te wijzigen.

[ArcticWolf]

mooiboy schreef op zondag 1 maart 2026 @ 17:28:
Mijn telefoonnummer, naam en email adres zaten bij de laatste batch volgens datagelekt.nl
Wat ik wel vreemd vind, is dat er op mijn woonadres en IBAN niets wordt gevonden. Hebben meerdere mensen dit?

ja:
ArcticWolf in "Odido waarschuwt voor datalek (cyberaanval/hack)"

Heb de vraag gesteld aan de eigenaar of je de check echt kan vertrouwen of niet.

[laurens0619]

GaHard schreef op zondag 1 maart 2026 @ 17:32:
[...]

Ik vind het gewoon vervelend dat iedereen nu in principe mijn nummer kan vinden online, mijn adres staat er ook op en daar baal ik ook van maarja dat valt niet zo makkelijk te wijzigen.

Ik heb hetzelfde maar daarom ga ik mijn email aanpassen overal.
Dan kunnen mensen die mij bij naam kennen nog mijn nummer vinde maar kijkende naar de dagelijkse commerciele spam waarmee ik gebeld wordt was dat al bekend overal

[licon]

ernstoud schreef op zondag 1 maart 2026 @ 15:20:
[...]


En er zijn omdat het ex parte gaat al jaren extra regels voor rechters: https://www.rechtspraak.n...ndelsrecht/beslagsyllabus.

Leuk grotendeels hypothetisch verhaal van @licon . Gaat niet gebeuren. Vooral omdat het niet anoniem kan.

De Beslagsyllabus vraagt juist om de gedetailleerde bewijslast die deze Salesforce-dump zo perfect biedt (Naam Wederpartij, Adres, Woonplaats, Klantnummer, Contractdatum, Producttype, Factuurnummer, Factuurdatum, Hoofdsom, Vervaldatum, IBAN Debiteur), terwijl de "anonimiteit" in de praktijk simpel wordt omzeild via katvangers en brievenbus/plof-B.V.’s die je rekening al hebben gegijzeld voordat de rechter de fraude doorziet en ze de boel al lang opgedoekt hebben voordat de rechter je beroep in behandeling heeft kunnen nemen. Dan sta je 2-0 achter met advocaten die je 200+ euro per uur moet betalen en waar je de kosten nooit kunt verhalen tegen een tegenpartij die niet meer bestaat! Dat allemaal terwijl ze zelf ondertussen vrolijk onder een andere naam doorgaan met advocaten die alle feiten natuurlijk in hun voordeel verdraaien!

[ Voor 21% gewijzigd door licon op 01-03-2026 17:51 ]