Odido waarschuwt voor datalek (cyberaanval/hack)

[SaN]

Ik heb het topic een beetje doorgelezen de afgelopen dagen en ik zie dat er toch wel wat mensen zijn die redelijk wat actie gaan ondernemen vanwege het lekken van hun gegevens. Zelf dacht ik dat er net even wat meer kans zou zijn op meer gerichte phishing mails/telefoontjes, maar ik merk dat er wat meningsverschillen zijn over het praktisch nut van deze gegevens voor kwaadwillenden.

Zonder er verder heel diep in te duiken zou ik aannemen dat, wanneer er algemeen bekend is dat van ongeveer de helft van alle volwassen Nederlanders gevoelige gegevens zijn gelekt, hier rekening mee wordt gehouden door partijen/bedrijven/instanties die hierdoor zouden kunnen worden gemanipuleerd en dat juist door de omvang van het lek deze gegevens minder waard worden.

Is dit een te gemakkelijke aanname?

edit: Ik heb overigens nog geen enkele gerichte phishing mail ontvangen zoals de RiDo78 hieronder. Wellicht door het gebruikte domein? Of zouden de grote emailproviders dit soort mails al uitfilteren voordat er uberhaupt mails naar de spamfilter gaan?

[ Voor 13% gewijzigd door SaN op 01-03-2026 17:52 ]

[HowsMyApple]

Bastiaan schreef op zondag 1 maart 2026 @ 17:01:
Mijn gegevens zaten in de eerste batch met data die daadwerkelijk gepubliceerd was. Iets met mosterd en maaltijd, maar ondertussen ben ik wel begonnen om al mijn registraties met een alias-mailadres te gaan invullen.

Als andere instanties net zo met hun data omgaan als Odido dan heeft het achteraf veranderen van je emailadres naar een met een +alias helaas weinig nut.
Ik heb 5 jaar geleden mijn emailadres bij T-Mobile veranderd naar een met +alias erin, maar zowel de alias als m'n "originele" zijn te vinden in het Odido lek. M'n oude mailadres staat dus ook nog steeds in de database.

[RiDo78]

En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.



Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

[Wispe]

RiDo78 schreef op zondag 1 maart 2026 @ 17:48:
En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.

[Afbeelding]

Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

Zoek het verschil

[ArcticWolf]

SaN schreef op zondag 1 maart 2026 @ 17:47:
Ik heb het topic een beetje doorgelezen de afgelopen dagen en ik zie dat er toch wel wat mensen zijn die redelijk wat actie gaan ondernemen vanwege het lekken van hun gegevens. Zelf dacht ik dat er net even wat meer kans zou zijn op meer gerichte phishing mails/telefoontjes, maar ik merk dat er wat meningsverschillen zijn over het praktisch nut van deze gegevens voor kwaadwillenden.

Zonder er verder heel diep in te duiken zou ik aannemen dat, wanneer er algemeen bekend is dat van ongeveer de helft van alle volwassen Nederlanders gevoelige gegevens zijn gelekt, hier rekening mee wordt gehouden door partijen/bedrijven/instanties die hierdoor zouden kunnen worden gemanipuleerd en dat juist door de omvang van het lek deze gegevens minder waard worden.

Is dit een te gemakkelijke aanname?

Ik zou mij niet al teveel zorgen maken, kans op phising & fishing neemt iets toe maar voor het gros van de mensen is het risico op daadwerkelijke 'schade' klein.
Voor politici en mensen in hoger management/kritische functies is het wel een ding.

Het is in ieder geval niet mogelijk om bankzaken te regelen, nieuwe rekeningen te openen, geld op te nemen, geld over te schrijven of creditcards te openen met de gelekte data.
Malafide automatische incasso's zijn mogelijk, maar dat is gedekt via de storneringsregelingen en het kost de criminelen aardig wat moeite zonder geflagged te worden dus dat die methode gebruikt gaat worden is klein.

Radar zegt het volgende erover:

Mijn gegevens zijn gelekt, wat nu?
Als uit een van de bovenstaande websites blijkt dat jouw gegevens in handen van de hackers zijn gevallen, is dat best schrikken. Toch is er geen reden voor paniek. Criminelen kunnen niet zomaar bij je spaargeld. Wel is het belangrijk om de komende tijd alert te zijn op je bankafschriften en extra op te letten bij verdachte telefoontjes en mails.

📞
Nooit via de telefoon
Odido of je bank zal nooit via de telefoon of een linkje in een sms vragen om wachtwoorden, pincodes of om geld over te maken. Krijg je zo'n telefoontje? Hang direct op. Ze kunnen je bellen of appen en zich voordoen als een medewerker van Odido of je bank die je zogenaamd komt helpen met dit datalek.

💶
Bankfraude
Met alleen jouw IBAN (rekeningnummer) en naam kunnen criminelen geen geld pinnen. Wat ze wel kunnen proberen, is een valse automatische incasso starten, bijvoorbeeld voor een nep-abonnement. Kijk de komende maanden iets vaker naar je bankafschriften.

Zie je een bedrag dat is afgeschreven door een bedrijf dat je niet kent? Dan kun je dit via de app of klantenservice van je bank eenvoudig storneren (terugboeken). Dit kan tot 8 weken na de afschrijving.

🥸
Identiteitsfraude
Odido waarschuwt dat er mogelijk ook documentnummers van paspoorten of rijbewijzen zijn gestolen. Met deze gegevens kunnen criminelen proberen op jouw naam ergens een account aan te maken.

Krijg je ineens post, rekeningen of e-mails van onbekende bedrijven over bestellingen of abonnementen die je nooit hebt afgesloten? Negeer dit dan niet, maar meld dit direct bij het bedrijf in kwestie en bij het Centraal Meldpunt Identiteitsfraude (CMI).

https://radar.avrotros.nl...jn-gelekt-bij-odido-62413

[ Voor 5% gewijzigd door ArcticWolf op 01-03-2026 17:56 ]

[SgtElPotato]

RiDo78 schreef op zondag 1 maart 2026 @ 17:48:
En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.

[Afbeelding]

Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

Niet anders dan de rest van de spam dus..

[Bastiaan]

HowsMyApple schreef op zondag 1 maart 2026 @ 17:47:
[...]


Als andere instanties net zo met hun data omgaan als Odido dan heeft het achteraf veranderen van je emailadres naar een met een +alias helaas weinig nut.
Ik heb 5 jaar geleden mijn emailadres bij T-Mobile veranderd naar een met +alias erin, maar zowel de alias als m'n "originele" zijn te vinden in het Odido lek. M'n oude mailadres staat dus ook nog steeds in de database.

Ware het niet dat dit niet een gewoon +alias is, maar een volledig ander mailadres inclusief subdomein. Gelekt was mijn [e-mail], en het nieuwe adres is gebaseerd op [e-mail], wat pas eergisteren is aangemaakt - zowel het subdomein als het adres zelf.

Edit: een +alias is sowieso een wassen neus, want een beetje spammer filtert dat er gewoon weer uit

[ Voor 11% gewijzigd door Bastiaan op 01-03-2026 18:05 ]

[Naafkap]

RiDo78 schreef op zondag 1 maart 2026 @ 17:48:
En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.

[Afbeelding]

Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

Exact deze ook ontvangen.

[ernstoud]

licon schreef op zondag 1 maart 2026 @ 17:39:
[...]


De Beslagsyllabus vraagt juist om de gedetailleerde bewijslast die deze Salesforce-dump zo perfect biedt (Naam Wederpartij, Adres, Woonplaats, Klantnummer, Contractdatum, Producttype, Factuurnummer, Factuurdatum, Hoofdsom, Vervaldatum, IBAN Debiteur), terwijl de "anonimiteit" in de praktijk simpel wordt omzeild via katvangers en brievenbus/plof-B.V.’s die je rekening al hebben gegijzeld voordat de rechter de fraude doorziet en ze de boel al lang opgedoekt hebben voordat de rechter je beroep in behandeling heeft kunnen nemen. Dan sta je 2-0 achter met advocaten die je 200+ euro per uur moet betalen en waar je de kosten nooit kunt verhalen tegen een tegenpartij die niet meer bestaat! Dat allemaal terwijl ze zelf ondertussen vrolijk onder een andere naam doorgaan met advocaten die alle feiten natuurlijk in hun voordeel verdraaien!

Natuurlijk joh. Een onwaarschijnlijk scenario. Maar alles kan. Via katvangers zelfs. Toe maar.

En dan nog. Het is - als het lukt - een beslaglegging. Die je dus kunt aanvechten. En ja, dat kost geld. Dus dat is dan de schade. Via een eventuele rechtsbijstandsverzekering.

Ik geloof er niet in. Bangmakerij.

[Dacuuu]

GaHard schreef op zondag 1 maart 2026 @ 17:32:
[...]

Ik vind het gewoon vervelend dat iedereen nu in principe mijn nummer kan vinden online, mijn adres staat er ook op en daar baal ik ook van maarja dat valt niet zo makkelijk te wijzigen.

"vroeger" stond iedereen in de telefoongids

[Jerie]

Vorkie schreef op zondag 1 maart 2026 @ 10:50:
[...]

Drempel om te hard rijden is natuurlijk kwestie van je pedaal wat dieper in te drukken.

Niet eerst uitzoeken waar je een .onion browsers download (risico 1), de URL op moet zoeken (risico 2) en tooling opzetten om 90GB aan data te doorzoeken (risico 3)

Het gaat niet alleen maar om tweakers btw, ik zie op Facebook ook de "influencers" en goede buren ineens zich bezig houden met dit zoeken en vinden bijvoorbeeld in de data hun vrienden en familie.

Tor Browser staat op sommige OS'en standaard geïnstalleerd. Het is voor mij een van de eerste tools die ik op een computer met GUI installeer (niet per definitie gebruik maar wel beschikbaar wil hebben).

Het onion adres was behoorlijk eenvoudig te vinden. Ik ga niet zeggen hoe, maar een zekere journalist deelde al een deel er van. Was dat nodig? M.i. niet. Al ben ik het later ook organisch tegengekomen.

Tooling om te doorzoeken heb je niet nodig. Ik heb het al 46638x gezegd: het is JSON. Vanuit CLI kun je JSON met jq parsen. Standaard tooling.

Bovenstaande is geen hogere wiskunde. Wel nog stukje OPSEC noodzakelijk: gebruik VM enkel in RAM, donder deze data z.s.m. weg, en zoek niet naar allerlei onzin die je zaken niet zijn. Ook geen hogere wiskunde.

Het is hier Tweakers niet Hackforums. Je mag verwachten dat mensen willen leren. Ben ik fan van in dit soort datasets spitten? Eerlijk? Neen. Het liefst krijg je na het lekken te horen wat er exact van jou is gelekt. Dat is bij Odido teveel gevraagd.

[ernstoud]

licon schreef op zondag 1 maart 2026 @ 17:39:
[...]

Naam Wederpartij, Adres, Woonplaats, …

In de Odido dataset.

…Klantnummer, Contractdatum, Producttype, Factuurnummer, Factuurdatum, Hoofdsom, Vervaldatum, …

Daar zal de malafide crediteur dan valide gegevens moeten verstrekken van datgene wat hij (niet) geleverd heeft maar wel geld voor wil zien.

… IBAN Debiteur

In de Odido dataset.

Kortom enige extra gegeven dat een malafide partij via conservatoir beleg kan gebruiken buiten NAW is het IBAN.

Onwaarschijnlijk verhaal.

[ernstoud]

Dacuuu schreef op zondag 1 maart 2026 @ 18:16:
[...]


"vroeger" stond iedereen in de telefoongids

https://www.detelefoongids.nl/

[Jerie]

ernstoud schreef op zondag 1 maart 2026 @ 18:13:
[...]


Natuurlijk joh. Een onwaarschijnlijk scenario. Maar alles kan. Via katvangers zelfs. Toe maar.

En dan nog. Het is - als het lukt - een beslaglegging. Die je dus kunt aanvechten. En ja, dat kost geld. Dus dat is dan de schade. Via een eventuele rechtsbijstandsverzekering.

Ik geloof er niet in. Bangmakerij.

Je weet dat dit een budgetprovider is en dat er hele hordes Nederlanders zijn die zich dat niet kunnen veroorloven? Naast 'bovenmodaal' heb je ook 'ondermodaal'

[ernstoud]

Jerie schreef op zondag 1 maart 2026 @ 18:27:
[...]


Je weet dat dit een budgetprovider is en dat er hele hordes Nederlanders zijn die zich dat niet kunnen veroorloven? Naast 'bovenmodaal' heb je ook 'ondermodaal'

En die krijgen dus pro-deo rechtsbijstand.

De hele discussie gaat over een hypothetisch verhaal. Dus ach.

[licon]

ernstoud schreef op zondag 1 maart 2026 @ 18:13:
[...]


Natuurlijk joh. Een onwaarschijnlijk scenario. Maar alles kan. Via katvangers zelfs. Toe maar.

En dan nog. Het is - als het lukt - een beslaglegging. Die je dus kunt aanvechten. En ja, dat kost geld. Dus dat is dan de schade. Via een eventuele rechtsbijstandsverzekering.

Ik geloof er niet in. Bangmakerij.

Tuurlijk, terwijl jij eventjes de verzekering belt en zij een dossier aanmaken (gemiddeld 5-10 werkdagen), staat je bankrekening bevroren. Je huur wordt gestorneerd of je hypotheek mislukt, en je kunt geen boodschappen meer doen als je zo weinig cash hebt als de hippe moderne mensen tegenwoordig. Die secundaire schade (boetes, BKR-meldingen, stress) vergoedt geen enkele verzekeraar.

[Jerie]

Bastiaan schreef op zondag 1 maart 2026 @ 17:58:
[...]

Ware het niet dat dit niet een gewoon +alias is, maar een volledig ander mailadres inclusief subdomein. Gelekt was mijn [e-mail], en het nieuwe adres is gebaseerd op [e-mail], wat pas eergisteren is aangemaakt - zowel het subdomein als het adres zelf.

Edit: een +alias is sowieso een wassen neus, want een beetje spammer filtert dat er gewoon weer uit

Een domein is een wassen neus. Een beetje spammer gebruikt postmaster@

Als je +alias uniek is, en de default (zonder +) naar /dev/null dondert dan heb je er geen last van. Mits je aliasen niet eenvoudig te raden zijn.

[Jerie]

ernstoud schreef op zondag 1 maart 2026 @ 18:28:
[...]

Dus ga je zelf het illegale pad op. Bijzonder.

Toevallig is het in mijn geval gerelateerd aan mijn opleiding en werk.

Maar inderdaad om jezelf in te dekken en voor te bereiden kun je ethisch met deze dataset handelen. Er was ooit een tijd dat ethisch met data omgaan werd gewaardeerd. Iets met ethisch hacken.

Als het nou BitTorrent betrof (waarbij je ook uploader bent) had je een sterker punt gehad.

En doe maar niet alsof onze diensten zich altijd helemaal netjes aan de wet houden. Daar is het soms ook een kwestie van de geest i.p.v. de letter van de wet.

[neeecht]

jongetje schreef op zondag 1 maart 2026 @ 17:46:
[...]

"Vroeger" was dat de normaalste zaak van de wereld. Als je iemand wilde bellen pakte je het telefoonboek waarin namen, adressen en telefoonnummers stonden. Sterker nog, elk jaar kreeg je een tlwfoonboek met al deze gegevens gratis in je brievenbus. En weinig mensen vonden dit een probleem.

Toen hadden we nog een redelijke high-trust-society...
Dat kan tegenwoordig niet meer met alles wat rond loopt.

[franssie]

neeecht schreef op zondag 1 maart 2026 @ 18:45:
[...]


Toen hadden we nog een redelijke high-trust-society...
Dat kan tegenwoordig niet meer met alles wat rond loopt.

En toen was er nog niet echt internet waardoor mensen in bulk gepersonifieerde mails konden schrijven. En zo een heel telefoonboek overtypen om het met Shift-F7 in brieven op te nemen om die te gaan versturen, postzegels waren toen goedkoper maar ook niet gratis

Maar ik vind de post van @jongetje toch wel relativerend.

[CR2032]

GaHard schreef op zondag 1 maart 2026 @ 16:20:
Ik overweeg om iig mijn telefoon nummer te wijzigen. Maar daar zitten vandaag de dag ook weer veel haken en ogen aan... Mogelijk nog accounts met 2fa of herstel opties waar je dan straks mogelijk niet meer bij kan. Meeste van mijn belangrijke accounts gaan via 2FA authenticator apps en niet via SMS maar toch, makkelijk om iets te vergeten en straks toegang te verliezen tot accounts. En dan moet je iedereen en alles weer informeren over je nieuwe nummer...

Ik raad iedereen die zich nu wat zorgen maken het gelekte email adres en telefoonnummer altijd te wijzigen.
Het is even werk, maar de nu gelekte gegevens gaan ook nooit meer weg moet je maar denken. Dit gaat nog jaren door.

Je email adres wijzigen kun je gelijk combineren met nu eens echt vertrekken van US big tech.
Het gratis Proton Mail geeft je ook 10 mail aliassen, wat erg handig is als wegwerp adressen.

Een nieuw telefoonnummer kan eerder in een data lek hebben gezeten, maar heeft tenminste geen verband met je andere gegevens.

Dit geeft rust. De Odido hackers en al die andere criminelen met de data kunnen je online niet meer bereiken.

[licon]

franssie schreef op zondag 1 maart 2026 @ 18:49:
[...]

En toen was er nog niet echt internet waardoor mensen in bulk gepersonifieerde mails konden schrijven. En zo een heel telefoonboek overtypen om het met Shift-F7 in brieven op te nemen om die te gaan versturen, postzegels waren toen goedkoper maar ook niet gratis

Maar ik vind de post van @jongetje toch wel relativerend.

Spammails zijn zo gedateerd... DeepFake RoboCallers die net als echte mensen klinken zijn de nieuwste trend zoals ik zei.

[GGdiArgos]

SgtElPotato schreef op zondag 1 maart 2026 @ 17:55:
[...]


Niet anders dan de rest van de spam dus..

En berichten van Mijn Overheid/Belastingdienst krijg je (gelukkig) tegenwoordig niet meer in je e-mail, dus dat is dan sowieso spam.

[Peer_76]

ArcticWolf schreef op zondag 1 maart 2026 @ 17:52:
Ik zou mij niet al teveel zorgen maken, kans op phising & fishing neemt iets toe

Het is wel een verschil tussen een mail van een willekeurige bank met "geachte klant" of een mail die die vanaf de bank lijkt te komen die overeen komt met de bank die bij de buitgemaakte iban hoort en met jouw echte naam in het bericht. Niet elke Odido klant is een Tweaker die zo'n valse mail als valse mail herkent. Zeker niet als in het bericht op het gevoel wordt ingespeeld.

[Soldaatje]

GGdiArgos schreef op zondag 1 maart 2026 @ 18:53:
[...]


En berichten van Mijn Overheid/Belastingdienst krijg je (gelukkig) tegenwoordig niet meer in je e-mail, dus dat is dan sowieso spam.

Ik wel, maar dan alleen 'er staat een bericht klaar in de berichtenbox', maar dat faken de spammers ook: 'door onderhoud werkt de berichtenbox tijdelijk niet klik hier... blabla'

[ernstoud]

licon schreef op zondag 1 maart 2026 @ 18:31:
[...]


Tuurlijk, terwijl jij eventjes de verzekering belt en zij een dossier aanmaken (gemiddeld 5-10 werkdagen), staat je bankrekening bevroren. Je huur wordt gestorneerd of je hypotheek mislukt, en je kunt geen boodschappen meer doen als je zo weinig cash hebt als de hippe moderne mensen tegenwoordig. Die secundaire schade (boetes, BKR-meldingen, stress) vergoedt geen enkele verzekeraar.

Reageer op een normale manier of reageer niet. Reageren op deze manier verziekt nogal de sfeer.

[ Voor 12% gewijzigd door rens-br op 01-03-2026 20:20 ]

[Waah]

Hier helaas alles beschikbaar in de hack. En ik gebruik bijna overal een catch-all constructie voor. Maar odido had ik dit blijkbaar later pas aangepast en zijn de catch-all en mijn hoofdmail dus gelekt.

Best balen, want het blokkeren van "[e-mail]" is een stuk simpeler dan "[e-mail]". Spam was heel makkelijk te herkennen aan het email waar het aan verzonden was. Dat is nu dus voorbij helaas.

[PauseBreak]

SaN schreef op zondag 1 maart 2026 @ 17:47:
Ik heb het topic een beetje doorgelezen de afgelopen dagen en ik zie dat er toch wel wat mensen zijn die redelijk wat actie gaan ondernemen vanwege het lekken van hun gegevens. Zelf dacht ik dat er net even wat meer kans zou zijn op meer gerichte phishing mails/telefoontjes, maar ik merk dat er wat meningsverschillen zijn over het praktisch nut van deze gegevens voor kwaadwillenden.

Zonder er verder heel diep in te duiken zou ik aannemen dat, wanneer er algemeen bekend is dat van ongeveer de helft van alle volwassen Nederlanders gevoelige gegevens zijn gelekt, hier rekening mee wordt gehouden door partijen/bedrijven/instanties die hierdoor zouden kunnen worden gemanipuleerd en dat juist door de omvang van het lek deze gegevens minder waard worden.

Is dit een te gemakkelijke aanname?

Je kunt er zelf proactief in staan en bijvoorbeeld je bank op de hoogte stellen dat je IBAN gelekt is. Van zowel mijn vrouw als mij is dat het geval, net als alle andere denkbare persoonlijke data. Dus op onze accounts staat nu telefonische verificatie uit en als er iets is moeten we voorlopig naar een kantoor om in persoon te identificeren en dingen akkoord te kunnen geven. Er staat ook een 'hold' op nieuwe automatische incasso's en dergelijke. Die moeten we in de bank app zelf allebei akkoord geven voordat die door kan gaan.

Maar dat zijn dus wel zaken die we zelf hebben moeten regelen. De bank kwam hier niet zelf mee. Dus ik denk ook niet dat andere instanties zelf proactief actie zullen ondernemen, dat moet echt uit jezelf komen.

Voor ons is de risico-inschatting wel wat anders door ons werk, dus daar zullen we ook wat maatregelen moeten gaan nemen. Maar ik denk niet dat de gemiddelde klant zich er zoveel zorgen over hoeft te maken om eerlijk te zijn. Je zult met name meer en beter gepersonaliseerde phishing binnenkrijgen dus je belangrijke dingen overzetten naar een nieuw e-mailadres is misschien wel het minimale dat je zou moeten overwegen. Wel een bitch om te doen trouwens.

[licon]

btw

Ja, btw-nummers, zitten in een bepaald gedeelte in duizenden tegelijk.

[Vld1989]

Net eens op knip. Zie topic warning. gekeken. Naam, telefoonnummer en emailadres zijn gelekt maar IBAN en woonadres blijkbaar niet.

Ben 2 jaar geleden verhuisd en m'n oude adres zit wel in het lek. Zou me na alles wat inmiddels bekend is niet verbazen als Odido z'n administratie zo brak is dat m'n oude adres er nog in staat al staat m'n adres wel juist op Mijn Odido.

Zelfde geldt voor m'n IBAN, die heb ik een jaar of 5 geleden gewijzigd. Zou graag eens m'n oude IBAN door de check halen maar die weet ik niet meer

[ Voor 3% gewijzigd door rens-br op 01-03-2026 20:17 ]

[licon]

Vld1989 schreef op zondag 1 maart 2026 @ 19:44:
Net eens op knip gekeken. Naam, telefoonnummer en emailadres zijn gelekt maar IBAN en woonadres blijkbaar niet.

Ben 2 jaar geleden verhuisd en m'n oude adres zit wel in het lek. Zou me na alles wat inmiddels bekend is niet verbazen als Odido z'n administratie zo brak is dat m'n oude adres er nog in staat al staat m'n adres wel juist op Mijn Odido.

Zelfde geldt voor m'n IBAN, die heb ik een jaar of 5 geleden gewijzigd. Zou graag eens m'n oude IBAN door de check halen maar die weet ik niet meer

Er staan zowel data van januari 2011 als data van februari 2026 met veel tussentijdse migraties. Zo staan ook veel ID-bewijzen standard als verlopen op 1 januari 2011, terwijl ze wel geldig zijn.

[ Voor 6% gewijzigd door rens-br op 01-03-2026 20:16 ]

[nasdude]

Vld1989 schreef op zondag 1 maart 2026 @ 19:44:
Net eens op knip gekeken. Naam, telefoonnummer en emailadres zijn gelekt maar IBAN en woonadres blijkbaar niet.

Datzelfde had ik ook, ik ben alleen klant van ze met glasvezel thuis internet dus dat mijn postcode er niet in staat is wel een beetje raar

[ Voor 2% gewijzigd door rens-br op 01-03-2026 20:16 ]

[licon]

Jerie schreef op zondag 1 maart 2026 @ 18:21:
[...]
Tooling om te doorzoeken heb je niet nodig. Ik heb het al 46638x gezegd: het is JSON. Vanuit CLI kun je JSON met jq parsen. Standaard tooling.

Ik gebruik python concurrent.futures, multiprocessing met chunks voor snellere multicore regex analyse, en LM studio voor semantische analyse.

[ Voor 24% gewijzigd door licon op 01-03-2026 20:02 ]

[Hemingr]

Jerie schreef op zondag 1 maart 2026 @ 18:21:
[...]


Tor Browser staat op sommige OS'en standaard geïnstalleerd. Het is voor mij een van de eerste tools die ik op een computer met GUI installeer (niet per definitie gebruik maar wel beschikbaar wil hebben).

Het onion adres was behoorlijk eenvoudig te vinden. Ik ga niet zeggen hoe, maar een zekere journalist deelde al een deel er van. Was dat nodig? M.i. niet. Al ben ik het later ook organisch tegengekomen.

Tooling om te doorzoeken heb je niet nodig. Ik heb het al 46638x gezegd: het is JSON. Vanuit CLI kun je JSON met jq parsen. Standaard tooling.

Bovenstaande is geen hogere wiskunde. Wel nog stukje OPSEC noodzakelijk: gebruik VM enkel in RAM, donder deze data z.s.m. weg, en zoek niet naar allerlei onzin die je zaken niet zijn. Ook geen hogere wiskunde.

Het is hier Tweakers niet Hackforums. Je mag verwachten dat mensen willen leren. Ben ik fan van in dit soort datasets spitten? Eerlijk? Neen. Het liefst krijg je na het lekken te horen wat er exact van jou is gelekt. Dat is bij Odido teveel gevraagd.

Over je OPSEC, een downloadje met een Tails USBtje over TOR en geen hond die weet wie je bent of wat je uitvreet. Je OPSEC bestaat uit je mond houden tegen derden. Als je er van uit gaat dat het gedownloade bestand geen kwaadaardige code bevat, en alle nodes niet gecompromiteerd zijn door een state actor is er weinig aan de hand.

Als je daarna met je duffe kop op tweakers, facebook, tiktaktoe, instagram of wat dan ook gaat opscheppen dat je de data hebt, dan is dat aan jou.

Al dat blijft natuurlijk gewoon onderheven aan het feit dat je lekker bij deze data weg moet blijven. Check het via hibp of andere diensten zoals mozilla. Ga er maar van uit dat zodra je in de lek staat alles gelekt is. Als je daarvan slapeloze nachten krijgt neem je actie.

[ Voor 19% gewijzigd door Hemingr op 01-03-2026 20:10 ]

[SgtElPotato]

PauseBreak schreef op zondag 1 maart 2026 @ 19:27:
[...]


Je kunt er zelf proactief in staan en bijvoorbeeld je bank op de hoogte stellen dat je IBAN gelekt is. Van zowel mijn vrouw als mij is dat het geval, net als alle andere denkbare persoonlijke data. Dus op onze accounts staat nu telefonische verificatie uit en als er iets is moeten we voorlopig naar een kantoor om in persoon te identificeren en dingen akkoord te kunnen geven. Er staat ook een 'hold' op nieuwe automatische incasso's en dergelijke. Die moeten we in de bank app zelf allebei akkoord geven voordat die door kan gaan.

Maar dat zijn dus wel zaken die we zelf hebben moeten regelen. De bank kwam hier niet zelf mee. Dus ik denk ook niet dat andere instanties zelf proactief actie zullen ondernemen, dat moet echt uit jezelf komen.

Voor ons is de risico-inschatting wel wat anders door ons werk, dus daar zullen we ook wat maatregelen moeten gaan nemen. Maar ik denk niet dat de gemiddelde klant zich er zoveel zorgen over hoeft te maken om eerlijk te zijn. Je zult met name meer en beter gepersonaliseerde phishing binnenkrijgen dus je belangrijke dingen overzetten naar een nieuw e-mailadres is misschien wel het minimale dat je zou moeten overwegen. Wel een bitch om te doen trouwens.

Dat goedkeuren van incasso's zou wat mij betreft automatisch een goedkeuringslijst moeten zijn in plaats van een blokkadelijst zoals het nu bij de Rabo is. Enkele instanties zoals BD, overheid, banken zouden bij iedereen goedgekeurd moeten zijn, maar de rest niet, alleen goedkeuren via de app of kantoor.

[laurens0619]

@SgtElPotato
Eens

Hoe enorm verrot dit lek ook is misschien gaat het wel goede zaken teweegbrengen
- herontwerp van het incasso systeem
- herontwerp van telefonische authenticatie

Soms gaat dat laatste al beter trouwens. Als ik mn zorgverzwkering bel dan moet dat uit de app. De app belt dan telnr#7272673
Dat laatste is dan een unieke code die hij doorkiest en zo weet de ks dat ik uit een ingelogde app bel

Mrja dat lukt natuurlijk niet overal, iets uniforms wat ook voor mensen zonder smartphone zou mooi zijn

[Jerie]

Waah schreef op zondag 1 maart 2026 @ 19:10:
Hier helaas alles beschikbaar in de hack. En ik gebruik bijna overal een catch-all constructie voor. Maar odido had ik dit blijkbaar later pas aangepast en zijn de catch-all en mijn hoofdmail dus gelekt.

Best balen, want het blokkeren van "[e-mail]" is een stuk simpeler dan "[e-mail]". Spam was heel makkelijk te herkennen aan het email waar het aan verzonden was. Dat is nu dus voorbij helaas.

Da's balen maar een goede reden om af te stappen van hoofdemail@ en enkel nog dienstnaam@ (of variant) gebruiken.

[PauseBreak]

SgtElPotato schreef op zondag 1 maart 2026 @ 20:03:
[...]


Dat goedkeuren van incasso's zou wat mij betreft automatisch een goedkeuringslijst moeten zijn in plaats van een blokkadelijst zoals het nu bij de Rabo is. Enkele instanties zoals BD, overheid, banken zouden bij iedereen goedgekeurd moeten zijn, maar de rest niet, alleen goedkeuren via de app of kantoor.

Dat zou al een hoop schelen inderdaad. Het zou banken ook sieren wanneer ze zoiets standaard zouden aanzetten na een dergelijke grootschalige hack in plaats van het aan hun klanten te laten.

[rens-br]

Ik heb een aantal reacties verwijderen. Ook bespreken hoe data gedownload moet worden, welke tools er nodig zijn, hoe deze geparst kan worden is niet de bedoeling.

Verder liepen er een aantal discussies niet bepaald aardig en constructief. Het is vervelend dat data gelekt is, maar nergens voor nodig om dat op elkaar te gaan africhten.

[Jerie]

laurens0619 schreef op zondag 1 maart 2026 @ 20:10:
@SgtElPotato
Eens

Hoe enorm verrot dit lek ook is misschien gaat het wel goede zaken teweegbrengen
- herontwerp van het incasso systeem
- herontwerp van telefonische authenticatie

Soms gaat dat laatste al beter trouwens. Als ik mn zorgverzwkering bel dan moet dat uit de app. De app belt dan telnr#7272673
Dat laatste is dan een unieke code die hij doorkiest en zo weet de ks dat ik uit een ingelogde app bel

Mrja dat lukt natuurlijk niet overal, iets uniforms wat ook voor mensen zonder smartphone zou mooi zijn

Ik zeg dagelijks tegen mijn kinderen: van fouten maken kun je leren. Toch maken ze nog steeds fouten, dagelijks. We hebben nog een lange weg te gaan. Ik denk dat we zullen moeten gaan naar een authenticatie met overheid (of een stichting die deels gefinancierd wordt met publiek geld), waarbij overheid (of stichting) de partij is die de authenticatie met een derde partij kan regelen. Ofwel een brede uitrol en acceptatie van Yivi. Al die oplossingen hebben wel een nadeel, namelijk SPOF.

Apps zijn gewoon obscurity op de grootste scriptkiddies (die niet uit kunnen vinden hoe deze werkt) buiten de deur te houden. Onzin, bovendien forceer je mensen ook nog eens nog meer richting een ecosysteem. Moeten we niet willen.

[laurens0619]

Jerie schreef op zondag 1 maart 2026 @ 20:17:
[...]


Ik zeg dagelijks tegen mijn kinderen: van fouten maken kun je leren. Toch maken ze nog steeds fouten, dagelijks. We hebben nog een lange weg te gaan. Ik denk dat we zullen moeten gaan naar een authenticatie met overheid (of een stichting die deels gefinancierd wordt met publiek geld), waarbij overheid (of stichting) de partij is die de authenticatie met een derde partij kan regelen. Ofwel een brede uitrol en acceptatie van Yivi. Al die oplossingen hebben wel een nadeel, namelijk SPOF.

Apps zijn gewoon obscurity op de grootste scriptkiddies (die niet uit kunnen vinden hoe deze werkt) buiten de deur te houden. Onzin, bovendien forceer je mensen ook nog eens nog meer richting een ecosysteem. Moeten we niet willen.

Als mensen niet acteren op fouten is het probleem vaak niet groot genoeg voor ze.

Hoe erg dit lek voor vele nu ook is (lijkt?)? Ik ben bang dat het niet groot genoeg is dat er echt zaken gaan veranderen.

Tenzij mensen/bedrijven proactief gaan acteren

Ik zie het in de digitale wereld wel somber in. Je kunt je als aanvaller zo overal doorheen tunnelen/verstoppen, het maakt t lastig.

[Waah]

Jerie schreef op zondag 1 maart 2026 @ 20:10:
[...]


Da's balen maar een goede reden om af te stappen van hoofdemail@ en enkel nog dienstnaam@ (of variant) gebruiken.

De grap is dat ik dat al een tijdje doe. Maar als Odido dan vervolgens het oude emailadres toch bewaart en lekt tja. Dat maakt het lastig in dit specifieke geval.

En als ik mensen persoonlijk ken en die vragen mijn email, geef ik mijn hoofdemail ja ☺️

[ Voor 10% gewijzigd door Waah op 01-03-2026 20:31 ]

[Jerie]

laurens0619 schreef op zondag 1 maart 2026 @ 20:22:
[...]

Als mensen niet acteren op fouten is het probleem vaak niet groot genoeg voor ze.

Hoe erg dit lek voor vele nu ook is (lijkt?)? Ik ben bang dat het niet groot genoeg is dat er echt zaken gaan veranderen.

Tenzij mensen/bedrijven proactief gaan acteren

Ik zie het in de digitale wereld wel somber in. Je kunt je als aanvaller zo overal doorheen tunnelen/verstoppen, het maakt t lastig.

Tunnel is eenvoudig te correleren. Een tunnel is adequaat voor kleinschalige auteursrechten schending (wil je grootschalig, richt dan een LLM bedrijf op in VS en zorg voor big guns backstopping; niemand zal je dan wat maken).

1) De pakkans van dit soort criminaliteit moet omhoog.

2) Er zijn jurisdicties waar men met zware (internet)criminaliteit wegkomt. Waar voorheen Russische politie nog samenwerkte met de Nederlandse, is dat nu niet meer het geval.

[gixslayer]

Nou, volgens Ben was mijn geboortedatum -niet- gelekt. Net van iemand vernomen dat dit wel degelijk het geval is. Ga je dan toch afvragen wat er nog meer gelekt is, en mogelijk niet eens vrijgegeven aangezien de hackers claimen sommige data achterwege te hebben gehouden.

Communicatie vanuit Ben/Odido heb je dus vrij weinig aan, klopt gewoon letterlijk niet

Er gaat/ging veel mis bij ze, maar letterlijk onjuist, niet eens onvolledig, informeren? Dat is wel erg kwalijk.

[Jerie]

Waah schreef op zondag 1 maart 2026 @ 20:30:
[...]

De grap is dat ik dat al een tijdje doe. Maar als Odido dan vervolgens het oude emailadres toch bewaart en lekt tja. Dat maakt het lastig in dit specifieke geval.

En als ik mensen persoonlijk ken en die vragen mijn email, geef ik mijn hoofdemail ja ☺️

Die mensen kunnen ook lekken.

Sommige apps lezen complete Contacts list uit.

Dan heb je nog dat andere probleem van die anti spam callers. Zoals True Caller (in dit topic kwam iemand met soortgelijke suggestie). Ook die werkt met uploads van Contacts list richting ik meen India om dan data te vergelijken.

Client-side(-only) phone number whitelisting is er v.z.i.w. niet. Wel neem ik nooit anonieme telefoontjes op. Je wilt niet zeggen wie jij bent als je belt? Prima, dan hoef ik jou niet te spreken. Ook neem ik internationaal nooit op, tenzij wanneer ik dat verwacht. Maar het is dweilen met de kraan open.

Liever zou ik iets zien zoals met antispam en uBlock. Dat je spammers en scammers kunt crowdsourcen via publieke lijsten, transparant.

[licon]

licon schreef op zondag 1 maart 2026 @ 19:43:
[...]


Ja, btw-nummers, zitten in een bepaald gedeelte in duizenden tegelijk.

29666 BTW-nummers in totaal. Even natellen?

[prOnorama2]

Héééél lang gelden was Ben mijn 1e mobiele telecomprovider: op 25 februari 2003 werd de naam Ben omgedoopt naar T-Mobile. Voor die datum was ik al overgestapt naar Telfort.

Ben dus al zeker 23 jaar al geen klant meer maar ik ben ergens wel benieuwd of er nog ergens een oud hotmail adres van mij te vinden zou kunnen zijn dat van Ben via T-Mobile naar Odido is 'meeverhuisd'.

[japie06]

Jerie schreef op zondag 1 maart 2026 @ 20:44:
[...]


Client-side(-only) phone number whitelisting is er v.z.i.w. niet. Wel neem ik nooit anonieme telefoontjes op. Je wilt niet zeggen wie jij bent als je belt? Prima, dan hoef ik jou niet te spreken. Ook neem ik internationaal nooit op, tenzij wanneer ik dat verwacht. Maar het is dweilen met de kraan open.

Liever zou ik iets zien zoals met antispam en uBlock. Dat je spammers en scammers kunt crowdsourcen via publieke lijsten, transparant.

Ik ben laatst op deze FOSS app SpamBlocker gestuit. Je kan regex gebruiken, maar ook basis van herhaalde belletjes, of het nummer bekend is in je contacten etc. Ook kan je dus (offline evt) de app een lookup laten doen in bekende spamlijsten.

Voor nu gebruik het ik het alleen om nummers uit bepaalde landen te blokkeren met een simpele regex. Werkt voor mij prima. Maar het is dus best uitgebreid.

[Jerie]

jongetje schreef op zondag 1 maart 2026 @ 17:46:
[...]

"Vroeger" was dat de normaalste zaak van de wereld. Als je iemand wilde bellen pakte je het telefoonboek waarin namen, adressen en telefoonnummers stonden. Sterker nog, elk jaar kreeg je een telefoonboek met al deze gegevens gratis in je brievenbus. En weinig mensen vonden dit een probleem.

"Vroeger" was internationaal contact leggen (lees: bellen) duur.

"Vroeger" kon een oplichter slechts met één mark tegelijk communiceren.

"Vroeger" had je ook al methodes als geheim nummer, meerdere nummers, en fronts (backstopping).

"Vroeger" mochten bedrijven je helemaal naar de klote spammen (bellen, post).

En tenslotte: "vroeger" had je ook oplichting. Staat zelfs in bijbel. Mensen die zich voordeden als tollenaar.

Begin alsjeblieft niet over "vroeger". Deels is er gelijkenis, helemaal waar. Maar er zijn ook veranderingen, inclusief achteruitgang. Ik heb ooit last gehad van een stalker (naast de spam). Daarna geheim nummer genomen, probleem opgelost. Ben ooit een keer thuisgekomen van vakantie, brievenbus verstopt met spam. Tijdje later nee/nee sticker (was toen in opkomst), daarna nooit meer last van gehad.

Ik ontvang momenteel nog nul spam op mijn huidige email adres. Logisch, het is nu pas voor het eerst gelekt. Tot enkele dagen geleden...

Fysieke spam ontvang ik nagenoeg niet. De grootste pannenkoeken wat dit betreft waren de figuren van 'AZC nee', maar dat is logisch gezien het aanwezige zaagsel.

[licon]

Jerie schreef op zondag 1 maart 2026 @ 21:07:
[...]
"Vroeger"

knip. Publiceren van data is niet de bedoeling.

[ Voor 70% gewijzigd door rens-br op 02-03-2026 08:23 ]

[NicoHF]

ArcticWolf schreef op zondag 1 maart 2026 @ 15:23:
[...]

Vraagje, ik heb net alle velden met mijn gegevens nagelopen op knip. [mbr]Zie topic warning[/mbr].

Maar kreeg alleen bij naam, emailadres en telefoonnummer de melding dat die gevonden waren, bij IBAN en fysieke adres kreeg ik dat er niks gevonden was. Kan ik er dan echt van uit gaan dat die 2 zaken niet gelekt zijn? Vind het wel vreemd namelijk als er zoveel records zijn gelekt en deze dan toevallig niet bij mij (opzich vind ik dat niet erg... )

Ik heb precies hetzelfde op die bepaalde site.
Ben ook benieuwd of Iban en adres dan definitief niet gelekt zijn?

Weet alleen niet hoe ik nu kan checken of rijbewijs nummer gelekt is ja of de nee?

Email adres helaas wel vanochtend, staat ook op Have I Been Pwned.
Gisteren nog niet.

[Jerie]

RiDo78 schreef op zondag 1 maart 2026 @ 17:48:
En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.

[Afbeelding]

Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

Dankjewel! ik heb dit screenshot doorgestuurd naar mijn schoonmoeder en moeder, en andere gezins- en familieleden. Vooral mijn moeder (klant Odido), en helaas enkele jaren geleden in malafide slotenmaker getuind dus krijg je double dipping (beproefde tactiek van oplichters; om van te gruwelen en boos van te worden).

Heel smerig, wat dit screenshot laat zien @rens-br misschien een pin waardig?

[CR2032]

NicoHF schreef op zondag 1 maart 2026 @ 21:17:
[...]

Ik heb precies hetzelfde op die bepaalde site.
Ben ook benieuwd of Iban en adres dan definitief niet gelekt zijn?

Weet alleen niet hoe ik nu kan checken of rijbewijs nummer gelekt is ja of de nee?

Email adres helaas wel vanochtend, staat ook op Have I Been Pwned.
Gisteren nog niet.

Rijbewijzen en nog veel meer kun je ook checken met F-Secure Total. Is een Finse app.
Via Odido kun je een voucher code nu voor 2 jaar gratis krijgen. Aanrader.

https://www.f-secure.com/nl/id-protection

[ Voor 3% gewijzigd door CR2032 op 01-03-2026 21:33 ]

[licon]

licon schreef op zondag 1 maart 2026 @ 21:12:
[...]


knip

Misschien is een meer tweakers persbericht waardige analyse met meer big data analyse als alles toch binnen een paar seconden geanalyseerd kan worden ook interessant. Nieuwe suggesties zijn ook welkom.

Knip. Voor dit soort zaken kan je beter contact opnemen met de redactie. Het hier neerzetten van de geanalyseerde data is in ieder geval niet de bedoeling.

[ Voor 72% gewijzigd door rens-br op 02-03-2026 08:23 ]

[Wispe]

CR2032 schreef op zondag 1 maart 2026 @ 21:31:
[...]


Rijbewijzen en nog veel meer kun je ook checken met F-Secure Total. Is een Finse app.
Via Odido kun je een voucher code nu voor 2 jaar gratis krijgen. Aanrader.

https://www.f-secure.com/nl/id-protection

Als ik het stappenplan van Odido volg, kom ik terecht bij my.f-secure.com/register/odido. Ik krijg de volgende melding:

”Account maken
Fout bij het gebruik van de registratie
Registratie of gebruik van deze code is niet geldig in uw land of via deze internetverbinding. Registreer via een breedband- of mobiele verbinding van de provider van uw F-Secure-service of, indien u een winkelversie hebt, registreer in het land van aankoop.
Als u gebruikmaakt van Apple Private Relay, schakelt u deze functie uit en probeert u het opnieuw.”

Ik zie niet wat ik fout doe. Op 5G en Wifi krijg ik dezelfde melding?

Edit; laat maar, gelukt.

[c-nan]

gixslayer schreef op zondag 1 maart 2026 @ 20:34:
Nou, volgens Ben was mijn geboortedatum -niet- gelekt. Net van iemand vernomen dat dit wel degelijk het geval is. Ga je dan toch afvragen wat er nog meer gelekt is, en mogelijk niet eens vrijgegeven aangezien de hackers claimen sommige data achterwege te hebben gehouden.

Communicatie vanuit Ben/Odido heb je dus vrij weinig aan, klopt gewoon letterlijk niet

Er gaat/ging veel mis bij ze, maar letterlijk onjuist, niet eens onvolledig, informeren? Dat is wel erg kwalijk.

Ik heb niet eens een e-mail gekregen van ze terwijl mijn e-mail adres wel voorkomt in de db bij haveibeenpwned.

[NicoHF]

CR2032 schreef op zondag 1 maart 2026 @ 21:31:
[...]


Rijbewijzen en nog veel meer kun je ook checken met F-Secure Total. Is een Finse app.
Via Odido kun je een voucher code nu voor 2 jaar gratis krijgen. Aanrader.

https://www.f-secure.com/nl/id-protection

Staat daar nu ook de hele Odido database in en kan ik dan het rijbewijs nummer invoeren en dan zie ik of het bekend is?

[Jerie]

japie06 schreef op zondag 1 maart 2026 @ 20:55:
[...]


Ik ben laatst op deze FOSS app SpamBlocker gestuit. Je kan regex gebruiken, maar ook basis van herhaalde belletjes, of het nummer bekend is in je contacten etc. Ook kan je dus (offline evt) de app een lookup laten doen in bekende spamlijsten.

Voor nu gebruik het ik het alleen om nummers uit bepaalde landen te blokkeren met een simpele regex. Werkt voor mij prima. Maar het is dus best uitgebreid.

Dank, ga ik proberen. Voor mij nuttig. Ik heb er zelf echter (momenteel) geen last van. Ook mijn vrouw niet. Mijn moeder wel, en behoorlijk ook (bijna dagelijks), maar die gebruikt iOS. Ze staat in het BelMeNiet register (wij allemaal). Dat is trouwens wel een tip nog van mijn kant, wellicht overbodig, maar toch.

[Wispe]

NicoHF schreef op zondag 1 maart 2026 @ 21:41:
[...]

Staat daar nu ook de hele Odido database in en kan ik dan het rijbewijs nummer invoeren en dan zie ik of het bekend is?

Ik denk het niet. Volgens een van de bekende ‘doorzoekers’ (beginnend met H) staat Odido ertussen onder mijn mailadres en bij F-Secure staat van niet.

[SMSfreakie]

nu de hele DB er is weten we zeker dat gegevens er in staan.. niks aan te doen.. nu maar hopen dat ik niet een leuk slachtoffer ben voor phishing

[ Voor 84% gewijzigd door SMSfreakie op 01-03-2026 22:03 ]

[Jerie]

CR2032 schreef op zondag 1 maart 2026 @ 18:50:
[...]


Ik raad iedereen die zich nu wat zorgen maken het gelekte email adres en telefoonnummer altijd te wijzigen.
Het is even werk, maar de nu gelekte gegevens gaan ook nooit meer weg moet je maar denken. Dit gaat nog jaren door.

Je email adres wijzigen kun je gelijk combineren met nu eens echt vertrekken van US big tech.
Het gratis Proton Mail geeft je ook 10 mail aliassen, wat erg handig is als wegwerp adressen.

Een nieuw telefoonnummer kan eerder in een data lek hebben gezeten, maar heeft tenminste geen verband met je andere gegevens.

Dit geeft rust. De Odido hackers en al die andere criminelen met de data kunnen je online niet meer bereiken.

Hier wil ik ook nog even op reageren. Je suggesties zijn noemenswaardig en hebben een goede bedoeling, maar qua telefoonnummer is er wel een probleempje.

Een nieuw, schoon nummer met kengetal, dat gaat wel lukken. 06? No... friggin' way. Gaat niet lukken. Net zoals IPv4. Die zijn er niet schoon, forget it.

Moet je het dan niet proberen? Het kan misschien beter worden? Da's fair enough, een heldere keuze. Maar wees wel eerlijk over de verwachtingen, dan is de potentiële teleurstelling kleiner.

[Jerie]

Hemingr schreef op zondag 1 maart 2026 @ 19:54:
[...]


Over je OPSEC, een downloadje met een Tails USBtje over TOR en geen hond die weet wie je bent of wat je uitvreet. Je OPSEC bestaat uit je mond houden tegen derden. Als je er van uit gaat dat het gedownloade bestand geen kwaadaardige code bevat, en alle nodes niet gecompromiteerd zijn door een state actor is er weinig aan de hand.

Als je daarna met je duffe kop op tweakers, facebook, tiktaktoe, instagram of wat dan ook gaat opscheppen dat je de data hebt, dan is dat aan jou.

Al dat blijft natuurlijk gewoon onderheven aan het feit dat je lekker bij deze data weg moet blijven. Check het via hibp of andere diensten zoals mozilla. Ga er maar van uit dat zodra je in de lek staat alles gelekt is. Als je daarvan slapeloze nachten krijgt neem je actie.

Ik ben geen fan van Tails, ik gebruik liever Whonix, en QubesOS. Maar iedereen 't zijne/hare/enz.

Er werken 65k mensen bij de politie. De kans dat er eentje hier meeleest, is nogal groot. Vervolging kans acht ik daarentegen miniem. Hoogstens stopgesprek. Stopgesprek met so, tja. Ik vind het buitenproportioneel, en met een beetje verstand over deze materie weet je ook dat er echt heel wat grove criminaliteit (met winstbejag) op bepaalde platformen plaatsvindt. Hier niet (hoogstens iets richting het illegaal downloaden, Usenet, BitTorrent, enz). Ook zit data gebaseerd op dergelijke metadata in Kali Linux, en dat OS gebruikt men in Driebergen ook. En dan hebben we het nog niet gehad over LLMs. Die fantastische scrapers die het hele internet leegzuigen. Een schending van auteursrechten waar je u tegen zegt (fair-use komt toch niet door de giegeltest?)

Je mag hier niet enige metadata delen zoals de velden, dus het is nogal lastig om elkaar te informeren welke metadata er gelekt is als je er niet over mag praten (overigens valt er wat voor te zeggen hoor, daar niet van).

Zoals ik al eerder zei: ik ben er geen fan van om deze data te downloaden, maar Odido is onbetrouwbaar gebleken over wie er wel en wie er niet in deze dataset zit, en wat. Ik wil ook graag weten welk IBAN is gelekt (mijn vermoeden is meerdere), en welk adres (idem), en nog enkele zaken (die ik voor me hou, ze zijn gerelateerd aan mij, en als je wilt begrijpen waarom zie de NB onderaan). Ik wil voor onze schoonmoeders en mijn gezin 1:1 de data hebben die iedere scammer/spammer/scriptkiddie heeft. Daarna maak ik screenshots. Als ik dat heb gedaan, is de data weg. Pleite. Snap je dat? Het is er niet meer. Tot die tijd (en lang zal het niet duren) zul je met vloeibare stikstof aan de gang moeten. Lijkt me zeer buitenproportioneel, tot bij het lachwekkende af.

Ik twijfel nog of ik schoonfamilie (zus van + gezin) in moet willen lichten. Ik denk dat ik het ze gewoon vraag, dan is het ja of nee, simpel zat. Het is een gunst; nul dwang, ook geen stoerdoenerij o.i.d. Vrienden en buren blijf ik in deze context ver bij uit de buurt, die zoeken het zelf maar uit. Je moet schifting maken, en die mensen hebben waarschijnlijk betere contacten met anderen die ook technisch begaafd zijn. Maar wij hebben dan ook een behoorlijk goede band met onze (schoon)moeders. Ik regel veel voor ze, digitaal gezien. YMMV.

NB: Ik geef wel toe dat ik getraumatiseerd ben door stalking. Misschien daardoor mijn reactie een beetje overtrokken? Wie het weet mag het zeggen. Ik wens het niemand toe, dergelijke terreur. Vergeten zal ik het nooit. Vergeven wel, maar ik wens het niet nog eens mee te maken in die hoedanigheid. Als je dan ook nog in acht neemt dat dit best voorkomen had kunnen worden... pijnlijk, voor velen.

[JeroenTheStig]

Mijn emailadres is met de Odido-hack voor de 8e keer gelekt, dus vond ik het vandaag tijd om mijn online accounts op een andere manier te managen. Mijn huidige emailadres wil ik gaan uitfaseren, ook omdat hier inmiddels een gigantische hoeveelheid spam op binnenkomt. In eerste instantie was ik van plan om Apple's hide my email service in te gaan zetten om per account een uniek, willekeurig emailadres te genereren. Voordeel hiervan is dat adressen in te trekken zijn zodra er spam op terecht komt en je bovendien weet welke organisatie z'n zaakjes niet voor elkaar heeft. Vervelende is dat ik hiermee een vendor lock-in creëer en is dus niet houdbaar voor de lange termijn.

Ik heb daarom een nieuw domein geregistreerd, waar ik een email service aan heb geknoopt. Hierin een catch-all rule toegevoegd die alles wat op het domein binnenkomt naar mijn mailbox wordt geforward. Als een organisatie een adres van mij nodig heeft, bijv. als username of één of andere klantenkaart, dan krijgen ze van mijn een adres die gebaseerd is op de organisatienaam. Wel deterministisch, zodat ze later weer opnieuw herleidbaar zijn, maar als één of meerdere adressen lekken, zijn adressen voor andere services niet herleidbaar.

In redelijk kort-door-de-bocht pseudo-code doe ik dat als volgt:

code:

BIP39(HMAC_SHA256(pepper, organisatienaam), nrOfWords: 3) + '@mydomain.nl'

Script kan in Scriptable app geplaatst worden, zodat ik het direct bij de hand heb op m'n iphone.
Output van het script is bijv. [e-mail]. Niet direct herleidbaar naar een service/organisatie, ook geen mogelijkheid om voor andere services het adres te herleiden.

Is het overkill? Vast. Maar het helpt mij te reageren op grote fuck-ups van organisaties zoals Odido, zodat ik phishing en spam tegen kan houden.

[franssie]

@licon bedoel je SBI sector codes?

[licon]

franssie schreef op zondag 1 maart 2026 @ 23:06:
@licon bedoel je SBI sector codes?

Ja, dit zijn (geaggregeerde) SBI-sectoren.

[Jerie]

JeroenTheStig schreef op zondag 1 maart 2026 @ 23:01:
Mijn emailadres is met de Odido-hack voor de 8e keer gecompromitteerd, dus vond ik het vandaag tijd om mijn online accounts op een andere manier te managen. Mijn huidige emailadres wil ik gaan uitfaseren, ook omdat hier inmiddels een gigantische hoeveelheid spam op binnenkomt. In eerste instantie was ik van plan om Apple's hide my email service in te gaan zetten om per account een uniek, willekeurig emailadres te genereren. Voordeel hiervan is dat adressen in te trekken zijn zodra er spam op terecht komt en je bovendien weet welke organisatie z'n zaakjes niet voor elkaar heeft. Vervelende is dat ik hiermee een vendor lock-in creëer en is dus niet houdbaar voor de lange termijn.

Ik heb daarom een nieuw domein geregistreerd, waar ik een email service aan heb geknoopt. Hierin een catch-all rule toegevoegd die alles wat op het domein binnenkomt naar mijn mailbox wordt geforward. Als een organisatie een adres van mij nodig heeft, bijv. als username of één of andere klantenkaart, dan krijgen ze van mijn een adres die gebaseerd is op de organisatienaam. Wel deterministisch, zodat ze later weer opnieuw herleidbaar zijn, maar als één of meerdere adressen gecompromitteerd worden, zijn adressen voor andere services niet herleidbaar.

In redelijk kort-door-de-bocht pseudo-code doe ik dat als volgt:

code:

BIP39(HMAC_SHA256(pepper, organisatienaam), nrOfWords: 3) + '@mydomain.nl'

Script kan in Scriptable app geplaatst worden, zodat ik het direct bij de hand heb op m'n iphone.
Output van het script is bijv. [e-mail]. Niet direct herleidbaar naar een service/organisatie, ook geen mogelijkheid om voor andere services het adres te herleiden.

Is het overkill? Vast. Maar het helpt mij te reageren op grote fuck-ups van organisaties zoals Odido, zodat ik phishing en spam tegen kan houden.

Dit is een goede suggestie. Ik hoop dat meer mensen soortgelijke schema's aannemen.

Hier staan nog twee voorbeelden: Jerie in "Odido waarschuwt voor datalek (cyberaanval/hack)" (random word + 4 cijfers, gebaseerd op username generator van Bitwarden, en de meer standaard (eenvoudig te raden) user+tld.domain.subdomain)
DjoeC in "Odido waarschuwt voor datalek (cyberaanval/hack)" (naam aanbieder + datum van ontstaan relatie)

Wel nog een kanttekening:

Een dergelijk email adres overtikken of telefonisch dooregeven is foutgevoelig. Dan kun je beter een wat kortere gebruikersnaam gebruiken. Maar, A for effort. Raden gaat niet lukken (mits met geen username iteration kan doen op de MTA of webmail enz?)

ooo.. en een aspergesoep voor de tag.

[franssie]

licon schreef op zondag 1 maart 2026 @ 23:09:
[...]


Ja, dit zijn (geaggregeerde) SBI-sectoren.

ah - omdat je BTW nummers schreef, die zijn wat persoonlijker.

[Intercity]

licon schreef op zondag 1 maart 2026 @ 23:36:
[...]
knip

Als Odido er op een fatsoenlijke manier mee zou omgaan ze iedereen die dat wil een nieuw nummer moeten geven maar er letterlijk te weinig 06-nummers zijn om dat te doen ?

Dan moet ofwel een andere reeks gebruikt gaan worden, of een wijziging van wetgeving om elf-lengte nummers te introduceren... ( https://wetten.overheid.nl/BWBR0010198/2025-10-03 )

[ Voor 17% gewijzigd door rens-br op 02-03-2026 08:22 ]

[mrmrmr]

licon schreef op zondag 1 maart 2026 @ 23:36:
Zeker is het een datagoudmijn als je bijna 100GB binnen 30 seconden volledig kunt doorzoeken op een M3 Ultra bijvoorbeeld...

De bottleneck voor zulke grote bestanden is het geheugen. Niet iedereen heeft 128GB RAM geheugen en steeds een stukje I/O en dan weer intensief processorgebruik is inefficiënt. Dat is wel wat de meeste tools zullen doen, bij iedere zoekactie opnieuw.

Er zijn veel optimalisaties mogelijk:
- verwijderen data die niet van belang is, bijvoorbeeld ongebruikte (lege) velden
- alles in 1 keer in geheugen laden en vervolgens zoekacties uitvoeren
- case sensitive zoeken is veel sneller dan case insensitive
- programmatisch per 4 bytes (int32) vergelijken of per byte (char)
- zoekstrings dat begint met weinig voorkomende karakters, zoek bijvoorbeeld beter op '@' dan op 'a'.
- gebruik van OS native API calls kunnen sneller zijn dan standaard C libraries.

[mrmrmr]

Intercity schreef op zondag 1 maart 2026 @ 23:56:
Als Odido er op een fatsoenlijke manier mee zou omgaan ze iedereen die dat wil een nieuw nummer moeten geven maar er letterlijk te weinig 06-nummers zijn om dat te doen ?

Als het goed is moeten veel 06 nummers die nog worden gebruikt voor niet-spraaktoepassingen ook een keer worden vervangen en vrijgegeven voor spraak. Ik weet niet hoeveel dat er nu nog zijn. Het is al ongeveer 10 jaar verboden dergelijke nummers te gebruiken voor niet-spraak ("slimme" apparaten) en telecombedrijven zijn verantwoordelijk. Apparaten mogen onderling alleen 097 gebruiken.

Overigens mogen 097 nummers met 12 cijfers ook worden gebruikt voor spraak, alleen kan dat wel wat beter worden gepromoot onder ontwikkelaars die daarvan niet op de hoogte zijn en dingen doen zoals 06 eisen en 097 niet accepteren.

Dan moet ofwel een andere reeks gebruikt gaan worden, of een wijziging van wetgeving om elf-lengte nummers te introduceren... ( https://wetten.overheid.nl/BWBR0010198/2025-10-03 )

[franssie]

beyazz06 schreef op maandag 2 maart 2026 @ 00:31:
[...]


İk vind het persoonlijk ook erg krom dat een tech-news site als Tweakers iedere keer weer NOS als bron noemt ipv zelf daadwerkelijk een nieuwsitem te dichten.

Ik denk dat ze niet mogen van de juridische afdeling. Prima toch?
Ik ga morgen mijn eigen onderzoek doen zoals vele tweakers ook al deden.
Wel grappig - de politie dossiers en tweak2Jhon hacks indachtig

[Jerie]

licon schreef op zondag 1 maart 2026 @ 21:12:
[...]

knip

Dat is zo, aan de andere kant ga je ook op in de massa van andere so. D.w.z. er is niet slechts één so, of enkele. Het zijn er gigantisch veel.

Wat je krijgt is spraying. Dat is de mensen pakken die goedgelovig zijn, of geloven dat ze toch nooit opgelicht zullen worden. Je zult denken hoe kan iemand nou zo dom zijn om daar in te tuinen? Het is toch overduidelijk! Alle signal die ze krijgen, is echter waarschijnlijk beet. Dus hoge signal to noise ratio. Geraffineerd.

En je gaat targeted scamming krijgen. Die is m.i. nog enger (ik ben immers veel te intelligent om in zo'n massa scam te vallen!!!11 wij allemaal, toch??!!??!!). Even, ... waarom enger? Omdat je hierbij afhankelijk bent van hoe goedgelovig derde partijen zijn. Je hebt het niet zelf in de hand, maar kunt wel so worden.

Vroeger had je ook dumpster diving. En plaintekst geprinte wachtwoorden. Zijn zelfs militaire geheimen van VS en NAVO gelekt via internet (en sneakerweb) mid jaren 80. True crime tech leestip: Wikipedia: The Cuckoo's Egg (book) uit 1989 (!!). 1989, dat is nog voor Snow Crash. Vroeger was sci-fi nog fictie. Snow Crash, Neuromancer, etc ...

[ Voor 16% gewijzigd door rens-br op 02-03-2026 08:23 ]

[Jerie]

Intercity schreef op zondag 1 maart 2026 @ 23:28:
[...]

Je ziet daarin wel meteen dat mensen hun (eerste) e-mailadres (be)houden. @home (home.nl) is 18 jaar geleden al Ziggo geworden. Overstappen is lastig, wellicht verandert deze lek dat.

Verder is deze situatie voor andere bedrijven een goudmijn voor risico-analyse van klanten. Zie bijv. [...]

Bedrijven die bijv. postcode-kredietchecks uitvoeren gaan deze data echt wel gebruiken voor hun bedrijfsvoering. (Al gaan ze dat natuurlijk nooit zeggen; maar ze hoefden voorheen al nooit verantwoording of uitleg te geven dus dat wordt gewoon nog een stapje minder transparant.)

Probleem met die 'data-analyse' is dat het een alt-right propaganda talking point (zoals deze (bron: lees mijn boek )) is dat ik al eerder in dit topic heb aangekaart, inclusief de haken en ogen. Het is ook niet te bewijzen of te ontkrachten. Want de data is proprietary; bezit is immers strafbaar. Dat is ook exact het probleem met AI: blackbox says no. We hoeven nog net niet richting Silicon Valley te knielen.

En dit vind ik ook veel te ver gaan, dit soort data analyses. Die van @licon zijn relatief harmless, maar er valt iets te zeggen om ook dat niet te willen (tegenpartij leest ook mee). Balen, want je weet dat er in allerlei (lichte|schemer|donkere) krochten (white|grey|black)hats zijn die dit bespreken. NOS heeft wel de ballen het te bespreken, hulde voor Joost Schellevis + collegae. Maar het ligt niet aan de redactie alhier; het ligt aan de laag boven hen.

[Jerie]

mrmrmr schreef op maandag 2 maart 2026 @ 00:02:
[...]


De bottleneck voor zulke grote bestanden is het geheugen. Niet iedereen heeft 128GB RAM geheugen en steeds een stukje I/O en dan weer intensief processorgebruik is inefficiënt. Dat is wel wat de meeste tools zullen doen, bij iedere zoekactie opnieuw.

Er zijn veel optimalisaties mogelijk:
- verwijderen data die niet van belang is, bijvoorbeeld ongebruikte (lege) velden
- alles in 1 keer in geheugen laden en vervolgens zoekacties uitvoeren
- case sensitive zoeken is veel sneller dan case insensitive
- programmatisch per 4 bytes (int32) vergelijken of per byte (char)
- zoekstrings dat begint met weinig voorkomende karakters, zoek bijvoorbeeld beter op '@' dan op 'a'.
- gebruik van OS native API calls kunnen sneller zijn dan standaard C libraries.

- Zoveel mogelijk applicaties afsluiten (zoals browser, Electron apps). Eerst een restart, om alle memory leaks kwijt te zijn.
- Verwijderen van velden die leeg zijn, of die je niet interessant vind. Zeg je eigenlijk ook al.
- Streamen, rg is retesnel. Helaas ook een bugje in gevonden, maar kan ik niet reproduceren.
- Encrypted swap kan ook. Dat is dan weer niet zo snel maar wel veilig. Je wilt naderhand geen artifacts van deze dataset in bezit hebben. Ook qua VM, moet je op FDE zetten, en de host moet encrypted swap hebben.
- Je jq queries eerst testen op een kleine snippet v/d dataset.

Het leuke van MBP M-series is dat je RAM ook in kunt zetten voor delen met GPU (ML). Aan de andere kant kun je dat dan beter op een x86-64 Hackintosh draaien met veel RAM. Of gewoon Linux moet je wel een machine met RAM beschikbaar hebben. Nu kopen ben je zo straatarm.

[Intercity]

Jerie schreef op maandag 2 maart 2026 @ 01:31:
[...]


Probleem met die 'data-analyse' is dat het een alt-right propaganda talking point (zoals deze (bron: lees mijn boek )) is dat ik al eerder in dit topic heb aangekaart, inclusief de haken en ogen. Het is ook niet te bewijzen of te ontkrachten. Want de data is proprietary; bezit is immers strafbaar. Dat is ook exact het probleem met AI: blackbox says no. We hoeven nog net niet richting Silicon Valley te knielen.

En dit vind ik ook veel te ver gaan, dit soort data analyses. Die van @licon zijn relatief harmless, maar er valt iets te zeggen om ook dat niet te willen (tegenpartij leest ook mee). Balen, want je weet dat er in allerlei (lichte|schemer|donkere) krochten (white|grey|black)hats zijn die dit bespreken. NOS heeft wel de ballen het te bespreken, hulde voor Joost Schellevis + collegae. Maar het ligt niet aan de redactie alhier; het ligt aan de laag boven hen.

Ik ook; begrijp me niet verkeerd. Waar ik meer bedoelde is dat je weet dat er voldoende AI/ML-modellen op getraind zullen worden, en dat er voldoende private partijen de data gewoon gaan gebruiken. Er is (kort de bocht) een fantastische 'gratis' dataset. Proprietary of niet, darkweb of niet. Bedrijven hoeven geen inzicht te bieden of verantwoording af te leggen over hun algoritmes en kunnen het gewoon gebruiken. Ongeacht politiek narratief.

[Harold Finch]

Jerie schreef op maandag 2 maart 2026 @ 01:08:
[...]
En je gaat targeted scamming krijgen. Die is m.i. nog enger (ik ben immers veel te intelligent om in zo'n massa scam te vallen!!!11 wij allemaal, toch??!!??!!). Even, ... waarom enger? Omdat je hierbij afhankelijk bent van hoe goedgelovig derde partijen zijn. Je hebt het niet zelf in de hand, maar kunt wel so worden.

Dit is inderdaad best eng, ja. Hier maak ik mij denk ik ook de meeste zorgen over. Alles valt of staat met een goede verificatie bij de helpdesk. Een helpdeskmedewerker zal op op een of andere moeten vaststellen dat de ander daadwerkelijk een klant is. Dat gebeurt echter lang niet altijd voldoende is mijn indruk.

PS Ik zie bijvoorbeeld bij een niet nader te noemen hostingpartij dat je kan opzeggen via e-mail. Dat lijkt me vragen om problemen.

[ Voor 21% gewijzigd door Harold Finch op 02-03-2026 03:57 ]

[beyazz06]

Harold Finch schreef op maandag 2 maart 2026 @ 03:29:
[...]

Dit is inderdaad best eng, ja. Hier maak ik mij denk ik ook de meeste zorgen over. Alles valt of staat met een goede verificatie bij de helpdesk. Een helpdeskmedewerker zal op op een of andere moeten vaststellen dat de ander daadwerkelijk een klant is. Dat gebeurt echter lang niet altijd voldoende is mijn indruk.

PS Ik zie bijvoorbeeld bij een niet nader te noemen hostingpartij dat je kan opzeggen via e-mail. Dat lijkt me vragen om problemen.

Het is nog te vroeg om te zeggen wat de impact van deze lek zal zijn. De toekomst (2/3 jaar) zal leren watvoor UC er bedacht worden cq wat de impact gaat worden.

Er wordt bijv. momenteel behoorlijk gefocust op persoon, terwijl bedrijven waar de gedupeerde van het datalek werken met deze lek ook opeens interessant worden.

Wie weet wat de toekomst ons nog gaat brengen in een veranderende wereld waarin we steeds meer en meer aan het digitaliseren zijn.

franssie schreef op maandag 2 maart 2026 @ 01:05:
[...]

Ik denk dat ze niet mogen van de juridische afdeling. Prima toch?
Ik ga morgen mijn eigen onderzoek doen zoals vele tweakers ook al deden.
Wel grappig - de politie dossiers en tweak2Jhon hacks indachtig

İndien NOS het kan, waarom een tech-site als Tweakers niet denk ik dan..

[ Voor 16% gewijzigd door beyazz06 op 02-03-2026 05:44 ]

[licon]

mrmrmr schreef op maandag 2 maart 2026 @ 00:02:
[...]
De bottleneck voor zulke grote bestanden is het geheugen. Niet iedereen heeft 128GB RAM geheugen en steeds een stukje I/O en dan weer intensief processorgebruik is inefficiënt. Dat is wel wat de meeste tools zullen doen, bij iedere zoekactie opnieuw.

Nee, 128GB RAM geheugen is alleen het probleem als je alles in 1 keer wilt inladen. Maar je kunt het ook in chunks van 1M regels (10GB) tegelijk inladen en dan heb je niet zoveel RAM geheugen nodig. Dan is de bottleneck de I/O. De Global Interpreter Lock (GIL) dient als eerste omzeilt te worden in python voor parallele verwerkering. Bovendien kan de M3 Ultra gewoon alle 28/32 CPU-cores op de volle 100% tegelijkertijd gebruiken zonder problemen, terwijl een Core i9-14900KS bij 24 CPU-cores al vast kan lopen. De SSD in de Apple M3 Ultra is aanzienlijk sneller dan de meeste standaard SSD: het heeft leessnelheden tot rond de 6.000MB/s, terwjil SATA SSD's (Standaard 2,5 inch) maximaal 600 MB/s halen (hoewel PCIe 5.0 NVMe SSD ook snelheden tot 14.500 MB/s halen). De Apple M3 Ultra beschikt over een extreem hoge geheugenbandbreedte van 819 GB/s. Een typische i9-14900KS PC met DDR5-5600 geheugen (dual-channel) is gelimiteerd tot ongeveer 89,6 GB/s, wat bij zware workloads leidt tot data starvation: de cores zitten letterlijk te wachten op de veel te smalle geheugenbus. Zelfs de Threadripper Pro 7995WX die € 10.077 kost is gelimiteerd tot ~358 GB/s.

[ Voor 15% gewijzigd door licon op 02-03-2026 06:50 ]

[saikol]

Is er ook bekend welke data er gelekt is?

Tweakers bijvoorbeeld spreekt over ‘identiteitsbewijzen en rijbewijzen’ gaat dit dat echt om de fotokopieën of alleen de documentnummers? Odido zegt dat deze NIET gelekt zijn, maar dat zeiden ze van wachtwoorden ook.

Oftewel ik zoek bevestiging hiervan van een andere partij dan odido .

[licon]

saikol schreef op maandag 2 maart 2026 @ 07:04:
Is er ook bekend welke data er gelekt is?

Tweakers bijvoorbeeld spreekt over ‘identiteitsbewijzen en rijbewijzen’ gaat dit dat echt om de fotokopieën of alleen de documentnummers? Odido zegt dat deze NIET gelekt zijn, maar dat zeiden ze van wachtwoorden ook.

Oftewel ik zoek bevestiging hiervan van een andere partij dan odido .

RTL zegt: 'Het gaat om 365.000 documentnummers van rijbewijzen, 245.000 documentnummers van Europese identiteitsbewijzen en 180.000 documentnummers van paspoorten. Ook zijn er identificatiegegevens te vinden van duizenden verblijfs- en gepriviligieerdendocumenten. Laatstgenoemde zijn identiteitsbewijzen voor diplomaten en ambassadepersoneel. ' https://www.rtl.nl/nieuws...spoort-rijbewijs-idbewijs

Zou het even moeten natellen.
EDIT: Nageteld. Kom op zo'n 7X zoveel uit...

[breinonline]

beyazz06 schreef op maandag 2 maart 2026 @ 05:40:
[...]
İndien NOS het kan, waarom een tech-site als Tweakers niet denk ik dan..

Omdat NOS serieuze journalistiek als een publieke taak ziet en DPG Media alleen op winst uit is. Die willen op dit vlak geen risico lopen dat het hun winst aantast.

[licon]

breinonline schreef op maandag 2 maart 2026 @ 07:13:
[...]

Omdat NOS serieuze journalistiek als een publieke taak ziet en DPG Media alleen op winst uit is. Die willen op dit vlak geen risico lopen dat het hun winst aantast.

Kan ik met mijn scoops beter bij NOS/RTL terecht dan?

[Xtinction89]

Ik ben meer dan 2 jaar geleden overgestapt maar heb toch een e-mail of sms ontvangen. Hoe kan dat?
Odido hanteert in het systeem een termijn van 2 jaar nadat alle wederzijdse verplichtingen zijn afgehandeld. Had je na je overstap nog openstaande rekeningen, servicevragen die nog niet afgehandeld waren, dan is de 2 jaar gestart op het moment dat rekeningen betaald zijn en vragen afgehandeld waren.

Bovenstaande staat op de website van Odido.
Ik ben al meer dan 8 jaar geen klant meer bij Odido, toch zitten mijn gegevens er ook bij.

Rekeningen altijd gewoon maandelijks betaald, en kan me geen servicevraag herinneren. Logisch ook natuurlijk na al die jaren

[licon]

Xtinction89 schreef op maandag 2 maart 2026 @ 07:30:
Ik ben meer dan 2 jaar geleden overgestapt maar heb toch een e-mail of sms ontvangen. Hoe kan dat?
Odido hanteert in het systeem een termijn van 2 jaar nadat alle wederzijdse verplichtingen zijn afgehandeld. Had je na je overstap nog openstaande rekeningen, servicevragen die nog niet afgehandeld waren, dan is de 2 jaar gestart op het moment dat rekeningen betaald zijn en vragen afgehandeld waren.

Bovenstaande staat op de website van Odido.
Ik ben al meer dan 8 jaar geen klant meer bij Odido, toch zitten mijn gegevens er ook bij.

Rekeningen altijd gewoon maandelijks betaald, en kan me geen servicevraag herinneren. Logisch ook natuurlijk na al die jaren

Ze hebben honderden identiteitsbewijzen die in 1900 zijn verlopen, dus dat zegt veel over hun datavervuiling.

[jongetje]

Ik lees een hoop "paniek" van zakelijke klanten. Maar precies de info die gelekt is, is toch informatie die de KvK al jaren gewoon verkoopt aan iedereen die ze maar betaald?

[licon]

jongetje schreef op maandag 2 maart 2026 @ 07:54:
Ik lees een hoop "paniek" van zakelijke klanten. Maar precies de info die gelekt is, is toch informatie die de KvK al jaren gewoon verkoopt aan iedereen die ze maar betaald?

KvK verkoopt geloof ik geen paspoortnummers en dergelijke? Bovendien is vooral de financiele sector hard geraakt, vanwege de zeer grote afhankelijkheid van de financiele sector op Odido.

[ericplan]

Kijk, zo kan het dus ook. Niets bewaren wat je niet meer nodig hebt. Netjes van de NEN

[JeroenTheStig]

Jerie schreef op zondag 1 maart 2026 @ 23:12:
[...]


Dit is een goede suggestie. Ik hoop dat meer mensen soortgelijke schema's aannemen.

[ ... ]

Wel nog een kanttekening:

Een dergelijk email adres overtikken of telefonisch dooregeven is foutgevoelig. Dan kun je beter een wat kortere gebruikersnaam gebruiken. Maar, A for effort. Raden gaat niet lukken (mits met geen username iteration kan doen op de MTA of webmail enz?)

ooo.. en een aspergesoep voor de tag.

Goed punt. Ik heb mijn domeinnaam juist gekozen met het idee dat deze ook telefonisch goed te communiceren is. De BIP39 word list bevat woorden die foutgevoelig zijn. Wellicht dat ik de nederlandse variant ga pakken, maar weet niet of dat een officiele lijst is. Zie https://github.com/OpenTaal/opentaal-bip39

Wat bedoel je met "mits met geen username iteration kan doen op de MTA of webmail enz"?

[SgtElPotato]

ericplan schreef op maandag 2 maart 2026 @ 08:06:
Kijk, zo kan het dus ook. Niets bewaren wat je niet meer nodig hebt. Netjes van de NEN

[Afbeelding]

Nu maar hopen dat ze hun belofte ook waar maken..

[RiDo78]

JeroenTheStig schreef op maandag 2 maart 2026 @ 08:30:
[...]


Goed punt. Ik heb mijn domeinnaam juist gekozen met het idee dat deze ook telefonisch goed te communiceren is. De BIP39 word list bevat woorden die foutgevoelig zijn. Wellicht dat ik de nederlandse variant ga pakken, maar weet niet of dat een officiele lijst is. Zie https://github.com/OpenTaal/opentaal-bip39

Wat bedoel je met "mits met geen username iteration kan doen op de MTA of webmail enz"?

Ik weet niet of dit is wat hij bedoeld, maar technisch gesproken kan een mailserver kan drie dingen doen wanneer een emailadres in een aangeboden email (voor een domain waar hij zelf verantwoordelijk is) niet bestaat:
1 - Direct weigeren - de verzendende mailserver weet dan meteen dat de mail niet afgeleverd kan worden en afhankelijk van de instelling bij de ontvangende server ook waarom)
2 - Accepteren en zelf een foutmelding terugsturen - de verzendende mailserver denkt dan succesvol afgeleverd te hebben, maar de afzender wordt wel op de hoogte gebracht
3 - Accepteren en stilletjes weggooien - De mail lijkt afgeleverd te zijn en er is geen response wat het tegendeel bewijst.

Met optie 1 lever je dus gewoon een mailtje aan met een hele lijst aan ontvangers voor dat domain en je ziet meteen welke wel en niet geaccepteerd worden. Bovendien kan de afzender een vals afzenderadres gebruiken. Met optie 2 is het al wat lastiger, al is daar is vast ook wel tooling voor te vinden. Maar dan moet de afzender wel een valide afzenderadres gebruiken anders krijgt hij de foutrapporten niet. Optie 3 spreekt voor zich.

[RiDo78]

SgtElPotato schreef op maandag 2 maart 2026 @ 08:44:
[...]


Nu maar hopen dat ze hun belofte ook waar maken..

Het feit dat ze dat proactief communiceren betekent vaak dat ze er over hebben nagedacht en een proces hebben opgezet om dat te regelen. Dus de kans dat ze die belofte niet waarmaken acht ik vrij klein. Ze hadden dat mailtje ook niet hoeven sturen; het kost alleen maar geld om die functionaliteit aan te kunnen bieden (ontwikkellen, email template opstellen, enz).

[Jumpman]

Hier wil ik graag weten welke data ze exact hebben van mijn account. Maar ik kan dit eigenlijk alleen verifiëren door de hele dataset te downloaden en te analyseren?

[licon]

Intercity schreef op maandag 2 maart 2026 @ 02:09:
[...]

Waar ik meer bedoelde is dat je weet dat er voldoende AI/ML-modellen op getraind zullen worden

Odi-Dont-7B is het enige grote taal model waarbij de --ignore-compliance flag fysiek aan de broncode is vastgesoldeerd met speciale API-endpoint /blame-it-on-the-hackers en NIS2-Deniability Module... Nee, grapje.

[SgtElPotato]

RiDo78 schreef op maandag 2 maart 2026 @ 08:52:
[...]

Het feit dat ze dat proactief communiceren betekent vaak dat ze er over hebben nagedacht en een proces hebben opgezet om dat te regelen. Dus de kans dat ze die belofte niet waarmaken acht ik vrij klein. Ze hadden dat mailtje ook niet hoeven sturen; het kost alleen maar geld om die functionaliteit aan te kunnen bieden (ontwikkellen, email template opstellen, enz).

Zoveel stelt het niet voor. Het is gewoon een 'activatie mailing'. Of ze er ook echt iets mee doen is de vraag en is lastig vast te stellen aan de hand van een mailtje.

[JeroenTheStig]

RiDo78 schreef op maandag 2 maart 2026 @ 08:49:
[...]

Ik weet niet of dit is wat hij bedoeld, maar technisch gesproken kan een mailserver kan drie dingen doen wanneer een emailadres in een aangeboden email (voor een domain waar hij zelf verantwoordelijk is) niet bestaat:
1 - Direct weigeren - de verzendende mailserver weet dan meteen dat de mail niet afgeleverd kan worden en afhankelijk van de instelling bij de ontvangende server ook waarom)
2 - Accepteren en zelf een foutmelding terugsturen - de verzendende mailserver denkt dan succesvol afgeleverd te hebben, maar de afzender wordt wel op de hoogte gebracht
3 - Accepteren en stilletjes weggooien - De mail lijkt afgeleverd te zijn en er is geen response wat het tegendeel bewijst.

Met optie 1 lever je dus gewoon een mailtje aan met een hele lijst aan ontvangers voor dat domain en je ziet meteen welke wel en niet geaccepteerd worden. Bovendien kan de afzender een vals afzenderadres gebruiken. Met optie 2 is het al wat lastiger, al is daar is vast ook wel tooling voor te vinden. Maar dan moet de afzender wel een valide afzenderadres gebruiken anders krijgt hij de foutrapporten niet. Optie 3 spreekt voor zich.

Ah op die fiets. In mijn geval is het optie 3 wat ik geimplementeerd heb. In mijn mailbox maak ik gebruik van rules om alle ongewenste mails naar de spambox te sturen. Zo is voor kwaadwillenden niet herleidbaar welke adressen gebruikt worden.

[Gwaihir]

RiDo78 schreef op maandag 2 maart 2026 @ 08:49:
2 - Accepteren en zelf een foutmelding terugsturen - de verzendende mailserver denkt dan succesvol afgeleverd te hebben, maar de afzender wordt wel op de hoogte gebracht

Deze optie is al vele jaren absoluut not done.

Je stuurt dan de foutmelding naar het adres op de envelop - wat doorgaans vals is. Oftewel: jij spamt naar dat adres en zal dus zelf, terecht, als spammer behandeld worden.

Dit is echt 'n speak now (optie 1) or forever hold your peace (optie 3).

[MikeyMan]

JeroenTheStig schreef op zondag 1 maart 2026 @ 23:01:
Mijn emailadres is met de Odido-hack voor de 8e keer gelekt, dus vond ik het vandaag tijd om mijn online accounts op een andere manier te managen. Mijn huidige emailadres wil ik gaan uitfaseren, ook omdat hier inmiddels een gigantische hoeveelheid spam op binnenkomt. In eerste instantie was ik van plan om Apple's hide my email service in te gaan zetten om per account een uniek, willekeurig emailadres te genereren. Voordeel hiervan is dat adressen in te trekken zijn zodra er spam op terecht komt en je bovendien weet welke organisatie z'n zaakjes niet voor elkaar heeft. Vervelende is dat ik hiermee een vendor lock-in creëer en is dus niet houdbaar voor de lange termijn.

Ik heb daarom een nieuw domein geregistreerd, waar ik een email service aan heb geknoopt. Hierin een catch-all rule toegevoegd die alles wat op het domein binnenkomt naar mijn mailbox wordt geforward. Als een organisatie een adres van mij nodig heeft, bijv. als username of één of andere klantenkaart, dan krijgen ze van mijn een adres die gebaseerd is op de organisatienaam. Wel deterministisch, zodat ze later weer opnieuw herleidbaar zijn, maar als één of meerdere adressen lekken, zijn adressen voor andere services niet herleidbaar.

In redelijk kort-door-de-bocht pseudo-code doe ik dat als volgt:

code:

BIP39(HMAC_SHA256(pepper, organisatienaam), nrOfWords: 3) + '@mydomain.nl'

Script kan in Scriptable app geplaatst worden, zodat ik het direct bij de hand heb op m'n iphone.
Output van het script is bijv. [e-mail]. Niet direct herleidbaar naar een service/organisatie, ook geen mogelijkheid om voor andere services het adres te herleiden.

Is het overkill? Vast. Maar het helpt mij te reageren op grote fuck-ups van organisaties zoals Odido, zodat ik phishing en spam tegen kan houden.

Ja, dat is een goede suggestie... Maar heel eerlijk; hoewel ik het technisch wellicht wel zou kunnen, is het me de tijd en de moeite niet waard. Tijd om het in te regelen, gezeur om adressen te wisselen. Gebruiksvriendelijkheid bij later gebruik...

En dan zou ik het wellicht nog voor elkaar krijgen, voor 90% van de bevolking is dat hoogstwaarschijnlijk niet het geval.

[Cubico]

nafofella schreef op maandag 2 maart 2026 @ 11:16:
[...]

ik zie alleen hele oude leaks waar mijn email in zit terwijl bij haveibeenpowned ik er gewoon in sta.
En ik heb een normaal nordvpn account.

Ik had een oude leak van twitter en een nieuwe van Odido. Maar bij Odido mis ik de 06 en identieteit, die zaten wel weer bij HIBB.

[SgtElPotato]

Cubico schreef op maandag 2 maart 2026 @ 11:23:
[...]

Ik had een oude leak van twitter en een nieuwe van Odido. Maar bij Odido mis ik de 06 en identieteit, die zaten wel weer bij HIBB.

HIBP geeft dat niet aan. Ze geven alleen aan wat mogelijk gelekt kan zijn.

[CR2032]

Jerie schreef op zondag 1 maart 2026 @ 22:13:
[...]


Hier wil ik ook nog even op reageren. Je suggesties zijn noemenswaardig en hebben een goede bedoeling, maar qua telefoonnummer is er wel een probleempje.

Een nieuw, schoon nummer met kengetal, dat gaat wel lukken. 06? No... friggin' way. Gaat niet lukken. Net zoals IPv4. Die zijn er niet schoon, forget it.

Moet je het dan niet proberen? Het kan misschien beter worden? Da's fair enough, een heldere keuze. Maar wees wel eerlijk over de verwachtingen, dan is de potentiële teleurstelling kleiner.

Dat is anders precies wat ik aangeef.
Met een nieuw telefoonnummer en email adres heb je rust want is er geen link meer met je andere gelekte gegevens van de Odido hack. Ook wanneer je een nieuw nummer krijgt wat eerder ergens anders is gelekt.