Odido waarschuwt voor datalek (cyberaanval/hack)

[jongetje]

GaHard schreef op zondag 1 maart 2026 @ 17:32:
[...]

Ik vind het gewoon vervelend dat iedereen nu in principe mijn nummer kan vinden online, mijn adres staat er ook op en daar baal ik ook van maarja dat valt niet zo makkelijk te wijzigen.

"Vroeger" was dat de normaalste zaak van de wereld. Als je iemand wilde bellen pakte je het telefoonboek waarin namen, adressen en telefoonnummers stonden. Sterker nog, elk jaar kreeg je een telefoonboek met al deze gegevens gratis in je brievenbus. En weinig mensen vonden dit een probleem.

[ Voor 4% gewijzigd door jongetje op 01-03-2026 18:57 ]

[SaN]

Ik heb het topic een beetje doorgelezen de afgelopen dagen en ik zie dat er toch wel wat mensen zijn die redelijk wat actie gaan ondernemen vanwege het lekken van hun gegevens. Zelf dacht ik dat er net even wat meer kans zou zijn op meer gerichte phishing mails/telefoontjes, maar ik merk dat er wat meningsverschillen zijn over het praktisch nut van deze gegevens voor kwaadwillenden.

Zonder er verder heel diep in te duiken zou ik aannemen dat, wanneer er algemeen bekend is dat van ongeveer de helft van alle volwassen Nederlanders gevoelige gegevens zijn gelekt, hier rekening mee wordt gehouden door partijen/bedrijven/instanties die hierdoor zouden kunnen worden gemanipuleerd en dat juist door de omvang van het lek deze gegevens minder waard worden.

Is dit een te gemakkelijke aanname?

edit: Ik heb overigens nog geen enkele gerichte phishing mail ontvangen zoals de RiDo78 hieronder. Wellicht door het gebruikte domein? Of zouden de grote emailproviders dit soort mails al uitfilteren voordat er uberhaupt mails naar de spamfilter gaan?

[ Voor 13% gewijzigd door SaN op 01-03-2026 17:52 ]

[HowsMyApple]

Bastiaan schreef op zondag 1 maart 2026 @ 17:01:
Mijn gegevens zaten in de eerste batch met data die daadwerkelijk gepubliceerd was. Iets met mosterd en maaltijd, maar ondertussen ben ik wel begonnen om al mijn registraties met een alias-mailadres te gaan invullen.

Als andere instanties net zo met hun data omgaan als Odido dan heeft het achteraf veranderen van je emailadres naar een met een +alias helaas weinig nut.
Ik heb 5 jaar geleden mijn emailadres bij T-Mobile veranderd naar een met +alias erin, maar zowel de alias als m'n "originele" zijn te vinden in het Odido lek. M'n oude mailadres staat dus ook nog steeds in de database.

[RiDo78]

En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.



Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

[Wispe]

RiDo78 schreef op zondag 1 maart 2026 @ 17:48:
En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.

[Afbeelding]

Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

Zoek het verschil

[ArcticWolf]

SaN schreef op zondag 1 maart 2026 @ 17:47:
Ik heb het topic een beetje doorgelezen de afgelopen dagen en ik zie dat er toch wel wat mensen zijn die redelijk wat actie gaan ondernemen vanwege het lekken van hun gegevens. Zelf dacht ik dat er net even wat meer kans zou zijn op meer gerichte phishing mails/telefoontjes, maar ik merk dat er wat meningsverschillen zijn over het praktisch nut van deze gegevens voor kwaadwillenden.

Zonder er verder heel diep in te duiken zou ik aannemen dat, wanneer er algemeen bekend is dat van ongeveer de helft van alle volwassen Nederlanders gevoelige gegevens zijn gelekt, hier rekening mee wordt gehouden door partijen/bedrijven/instanties die hierdoor zouden kunnen worden gemanipuleerd en dat juist door de omvang van het lek deze gegevens minder waard worden.

Is dit een te gemakkelijke aanname?

Ik zou mij niet al teveel zorgen maken, kans op phising & fishing neemt iets toe maar voor het gros van de mensen is het risico op daadwerkelijke 'schade' klein.
Voor politici en mensen in hoger management/kritische functies is het wel een ding.

Het is in ieder geval niet mogelijk om bankzaken te regelen, nieuwe rekeningen te openen, geld op te nemen, geld over te schrijven of creditcards te openen met de gelekte data.
Malafide automatische incasso's zijn mogelijk, maar dat is gedekt via de storneringsregelingen en het kost de criminelen aardig wat moeite zonder geflagged te worden dus dat die methode gebruikt gaat worden is klein.

Radar zegt het volgende erover:

Mijn gegevens zijn gelekt, wat nu?
Als uit een van de bovenstaande websites blijkt dat jouw gegevens in handen van de hackers zijn gevallen, is dat best schrikken. Toch is er geen reden voor paniek. Criminelen kunnen niet zomaar bij je spaargeld. Wel is het belangrijk om de komende tijd alert te zijn op je bankafschriften en extra op te letten bij verdachte telefoontjes en mails.

📞
Nooit via de telefoon
Odido of je bank zal nooit via de telefoon of een linkje in een sms vragen om wachtwoorden, pincodes of om geld over te maken. Krijg je zo'n telefoontje? Hang direct op. Ze kunnen je bellen of appen en zich voordoen als een medewerker van Odido of je bank die je zogenaamd komt helpen met dit datalek.

💶
Bankfraude
Met alleen jouw IBAN (rekeningnummer) en naam kunnen criminelen geen geld pinnen. Wat ze wel kunnen proberen, is een valse automatische incasso starten, bijvoorbeeld voor een nep-abonnement. Kijk de komende maanden iets vaker naar je bankafschriften.

Zie je een bedrag dat is afgeschreven door een bedrijf dat je niet kent? Dan kun je dit via de app of klantenservice van je bank eenvoudig storneren (terugboeken). Dit kan tot 8 weken na de afschrijving.

🥸
Identiteitsfraude
Odido waarschuwt dat er mogelijk ook documentnummers van paspoorten of rijbewijzen zijn gestolen. Met deze gegevens kunnen criminelen proberen op jouw naam ergens een account aan te maken.

Krijg je ineens post, rekeningen of e-mails van onbekende bedrijven over bestellingen of abonnementen die je nooit hebt afgesloten? Negeer dit dan niet, maar meld dit direct bij het bedrijf in kwestie en bij het Centraal Meldpunt Identiteitsfraude (CMI).

https://radar.avrotros.nl...jn-gelekt-bij-odido-62413

[ Voor 5% gewijzigd door ArcticWolf op 01-03-2026 17:56 ]

[SgtElPotato]

RiDo78 schreef op zondag 1 maart 2026 @ 17:48:
En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.

[Afbeelding]

Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

Niet anders dan de rest van de spam dus..

[Bastiaan]

HowsMyApple schreef op zondag 1 maart 2026 @ 17:47:
[...]


Als andere instanties net zo met hun data omgaan als Odido dan heeft het achteraf veranderen van je emailadres naar een met een +alias helaas weinig nut.
Ik heb 5 jaar geleden mijn emailadres bij T-Mobile veranderd naar een met +alias erin, maar zowel de alias als m'n "originele" zijn te vinden in het Odido lek. M'n oude mailadres staat dus ook nog steeds in de database.

Ware het niet dat dit niet een gewoon +alias is, maar een volledig ander mailadres inclusief subdomein. Gelekt was mijn [e-mail], en het nieuwe adres is gebaseerd op [e-mail], wat pas eergisteren is aangemaakt - zowel het subdomein als het adres zelf.

Edit: een +alias is sowieso een wassen neus, want een beetje spammer filtert dat er gewoon weer uit

[ Voor 11% gewijzigd door Bastiaan op 01-03-2026 18:05 ]

[Naafkap]

RiDo78 schreef op zondag 1 maart 2026 @ 17:48:
En daar is nummer twee. Wordt door de spamfilter van mijn provider niet herkend.

[Afbeelding]

Meer ga ik er niet posten; want ik verwacht een hele stortvloed aan die rotzooi. Maar het is duidelijk dat de ratjes zich alweer rijk rekenen en vrolijk zijn gaan vissen... Laten we hopen op een minimale vangst.

Exact deze ook ontvangen.

[ernstoud]

licon schreef op zondag 1 maart 2026 @ 17:39:
[...]


De Beslagsyllabus vraagt juist om de gedetailleerde bewijslast die deze Salesforce-dump zo perfect biedt (Naam Wederpartij, Adres, Woonplaats, Klantnummer, Contractdatum, Producttype, Factuurnummer, Factuurdatum, Hoofdsom, Vervaldatum, IBAN Debiteur), terwijl de "anonimiteit" in de praktijk simpel wordt omzeild via katvangers en brievenbus/plof-B.V.’s die je rekening al hebben gegijzeld voordat de rechter de fraude doorziet en ze de boel al lang opgedoekt hebben voordat de rechter je beroep in behandeling heeft kunnen nemen. Dan sta je 2-0 achter met advocaten die je 200+ euro per uur moet betalen en waar je de kosten nooit kunt verhalen tegen een tegenpartij die niet meer bestaat! Dat allemaal terwijl ze zelf ondertussen vrolijk onder een andere naam doorgaan met advocaten die alle feiten natuurlijk in hun voordeel verdraaien!

Natuurlijk joh. Een onwaarschijnlijk scenario. Maar alles kan. Via katvangers zelfs. Toe maar.

En dan nog. Het is - als het lukt - een beslaglegging. Die je dus kunt aanvechten. En ja, dat kost geld. Dus dat is dan de schade. Via een eventuele rechtsbijstandsverzekering.

Ik geloof er niet in. Bangmakerij.

[Dacuuu]

GaHard schreef op zondag 1 maart 2026 @ 17:32:
[...]

Ik vind het gewoon vervelend dat iedereen nu in principe mijn nummer kan vinden online, mijn adres staat er ook op en daar baal ik ook van maarja dat valt niet zo makkelijk te wijzigen.

"vroeger" stond iedereen in de telefoongids

[Jerie]

Vorkie schreef op zondag 1 maart 2026 @ 10:50:
[...]

Drempel om te hard rijden is natuurlijk kwestie van je pedaal wat dieper in te drukken.

Niet eerst uitzoeken waar je een .onion browsers download (risico 1), de URL op moet zoeken (risico 2) en tooling opzetten om 90GB aan data te doorzoeken (risico 3)

Het gaat niet alleen maar om tweakers btw, ik zie op Facebook ook de "influencers" en goede buren ineens zich bezig houden met dit zoeken en vinden bijvoorbeeld in de data hun vrienden en familie.

Tor Browser staat op sommige OS'en standaard geïnstalleerd. Het is voor mij een van de eerste tools die ik op een computer met GUI installeer (niet per definitie gebruik maar wel beschikbaar wil hebben).

Het onion adres was behoorlijk eenvoudig te vinden. Ik ga niet zeggen hoe, maar een zekere journalist deelde al een deel er van. Was dat nodig? M.i. niet. Al ben ik het later ook organisch tegengekomen.

Tooling om te doorzoeken heb je niet nodig. Ik heb het al 46638x gezegd: het is JSON. Vanuit CLI kun je JSON met jq parsen. Standaard tooling.

Bovenstaande is geen hogere wiskunde. Wel nog stukje OPSEC noodzakelijk: gebruik VM enkel in RAM, donder deze data z.s.m. weg, en zoek niet naar allerlei onzin die je zaken niet zijn. Ook geen hogere wiskunde.

Het is hier Tweakers niet Hackforums. Je mag verwachten dat mensen willen leren. Ben ik fan van in dit soort datasets spitten? Eerlijk? Neen. Het liefst krijg je na het lekken te horen wat er exact van jou is gelekt. Dat is bij Odido teveel gevraagd.

[ernstoud]

licon schreef op zondag 1 maart 2026 @ 17:39:
[...]

Naam Wederpartij, Adres, Woonplaats, …

In de Odido dataset.

…Klantnummer, Contractdatum, Producttype, Factuurnummer, Factuurdatum, Hoofdsom, Vervaldatum, …

Daar zal de malafide crediteur dan valide gegevens moeten verstrekken van datgene wat hij (niet) geleverd heeft maar wel geld voor wil zien.

… IBAN Debiteur

In de Odido dataset.

Kortom enige extra gegeven dat een malafide partij via conservatoir beleg kan gebruiken buiten NAW is het IBAN.

Onwaarschijnlijk verhaal.

[ernstoud]

Dacuuu schreef op zondag 1 maart 2026 @ 18:16:
[...]


"vroeger" stond iedereen in de telefoongids

https://www.detelefoongids.nl/

[Jerie]

ernstoud schreef op zondag 1 maart 2026 @ 18:13:
[...]


Natuurlijk joh. Een onwaarschijnlijk scenario. Maar alles kan. Via katvangers zelfs. Toe maar.

En dan nog. Het is - als het lukt - een beslaglegging. Die je dus kunt aanvechten. En ja, dat kost geld. Dus dat is dan de schade. Via een eventuele rechtsbijstandsverzekering.

Ik geloof er niet in. Bangmakerij.

Je weet dat dit een budgetprovider is en dat er hele hordes Nederlanders zijn die zich dat niet kunnen veroorloven? Naast 'bovenmodaal' heb je ook 'ondermodaal'

[ernstoud]

Jerie schreef op zondag 1 maart 2026 @ 18:27:
[...]


Je weet dat dit een budgetprovider is en dat er hele hordes Nederlanders zijn die zich dat niet kunnen veroorloven? Naast 'bovenmodaal' heb je ook 'ondermodaal'

En die krijgen dus pro-deo rechtsbijstand.

De hele discussie gaat over een hypothetisch verhaal. Dus ach.

[licon]

ernstoud schreef op zondag 1 maart 2026 @ 18:13:
[...]


Natuurlijk joh. Een onwaarschijnlijk scenario. Maar alles kan. Via katvangers zelfs. Toe maar.

En dan nog. Het is - als het lukt - een beslaglegging. Die je dus kunt aanvechten. En ja, dat kost geld. Dus dat is dan de schade. Via een eventuele rechtsbijstandsverzekering.

Ik geloof er niet in. Bangmakerij.

Tuurlijk, terwijl jij eventjes de verzekering belt en zij een dossier aanmaken (gemiddeld 5-10 werkdagen), staat je bankrekening bevroren. Je huur wordt gestorneerd of je hypotheek mislukt, en je kunt geen boodschappen meer doen als je zo weinig cash hebt als de hippe moderne mensen tegenwoordig. Die secundaire schade (boetes, BKR-meldingen, stress) vergoedt geen enkele verzekeraar.

[Jerie]

Bastiaan schreef op zondag 1 maart 2026 @ 17:58:
[...]

Ware het niet dat dit niet een gewoon +alias is, maar een volledig ander mailadres inclusief subdomein. Gelekt was mijn [e-mail], en het nieuwe adres is gebaseerd op [e-mail], wat pas eergisteren is aangemaakt - zowel het subdomein als het adres zelf.

Edit: een +alias is sowieso een wassen neus, want een beetje spammer filtert dat er gewoon weer uit

Een domein is een wassen neus. Een beetje spammer gebruikt postmaster@

Als je +alias uniek is, en de default (zonder +) naar /dev/null dondert dan heb je er geen last van. Mits je aliasen niet eenvoudig te raden zijn.

[Jerie]

ernstoud schreef op zondag 1 maart 2026 @ 18:28:
[...]

Dus ga je zelf het illegale pad op. Bijzonder.

Toevallig is het in mijn geval gerelateerd aan mijn opleiding en werk.

Maar inderdaad om jezelf in te dekken en voor te bereiden kun je ethisch met deze dataset handelen. Er was ooit een tijd dat ethisch met data omgaan werd gewaardeerd. Iets met ethisch hacken.

Als het nou BitTorrent betrof (waarbij je ook uploader bent) had je een sterker punt gehad.

En doe maar niet alsof onze diensten zich altijd helemaal netjes aan de wet houden. Daar is het soms ook een kwestie van de geest i.p.v. de letter van de wet.

[neeecht]

jongetje schreef op zondag 1 maart 2026 @ 17:46:
[...]

"Vroeger" was dat de normaalste zaak van de wereld. Als je iemand wilde bellen pakte je het telefoonboek waarin namen, adressen en telefoonnummers stonden. Sterker nog, elk jaar kreeg je een tlwfoonboek met al deze gegevens gratis in je brievenbus. En weinig mensen vonden dit een probleem.

Toen hadden we nog een redelijke high-trust-society...
Dat kan tegenwoordig niet meer met alles wat rond loopt.

[franssie]

neeecht schreef op zondag 1 maart 2026 @ 18:45:
[...]


Toen hadden we nog een redelijke high-trust-society...
Dat kan tegenwoordig niet meer met alles wat rond loopt.

En toen was er nog niet echt internet waardoor mensen in bulk gepersonifieerde mails konden schrijven. En zo een heel telefoonboek overtypen om het met Shift-F7 in brieven op te nemen om die te gaan versturen, postzegels waren toen goedkoper maar ook niet gratis

Maar ik vind de post van @jongetje toch wel relativerend.

[CR2032]

GaHard schreef op zondag 1 maart 2026 @ 16:20:
Ik overweeg om iig mijn telefoon nummer te wijzigen. Maar daar zitten vandaag de dag ook weer veel haken en ogen aan... Mogelijk nog accounts met 2fa of herstel opties waar je dan straks mogelijk niet meer bij kan. Meeste van mijn belangrijke accounts gaan via 2FA authenticator apps en niet via SMS maar toch, makkelijk om iets te vergeten en straks toegang te verliezen tot accounts. En dan moet je iedereen en alles weer informeren over je nieuwe nummer...

Ik raad iedereen die zich nu wat zorgen maken het gelekte email adres en telefoonnummer altijd te wijzigen.
Het is even werk, maar de nu gelekte gegevens gaan ook nooit meer weg moet je maar denken. Dit gaat nog jaren door.

Je email adres wijzigen kun je gelijk combineren met nu eens echt vertrekken van US big tech.
Het gratis Proton Mail geeft je ook 10 mail aliassen, wat erg handig is als wegwerp adressen.

Een nieuw telefoonnummer kan eerder in een data lek hebben gezeten, maar heeft tenminste geen verband met je andere gegevens.

Dit geeft rust. De Odido hackers en al die andere criminelen met de data kunnen je online niet meer bereiken.

[licon]

franssie schreef op zondag 1 maart 2026 @ 18:49:
[...]

En toen was er nog niet echt internet waardoor mensen in bulk gepersonifieerde mails konden schrijven. En zo een heel telefoonboek overtypen om het met Shift-F7 in brieven op te nemen om die te gaan versturen, postzegels waren toen goedkoper maar ook niet gratis

Maar ik vind de post van @jongetje toch wel relativerend.

Spammails zijn zo gedateerd... DeepFake RoboCallers die net als echte mensen klinken zijn de nieuwste trend zoals ik zei.

[GGdiArgos]

SgtElPotato schreef op zondag 1 maart 2026 @ 17:55:
[...]


Niet anders dan de rest van de spam dus..

En berichten van Mijn Overheid/Belastingdienst krijg je (gelukkig) tegenwoordig niet meer in je e-mail, dus dat is dan sowieso spam.

[Peer_76]

ArcticWolf schreef op zondag 1 maart 2026 @ 17:52:
Ik zou mij niet al teveel zorgen maken, kans op phising & fishing neemt iets toe

Het is wel een verschil tussen een mail van een willekeurige bank met "geachte klant" of een mail die die vanaf de bank lijkt te komen die overeen komt met de bank die bij de buitgemaakte iban hoort en met jouw echte naam in het bericht. Niet elke Odido klant is een Tweaker die zo'n valse mail als valse mail herkent. Zeker niet als in het bericht op het gevoel wordt ingespeeld.

[Soldaatje]

GGdiArgos schreef op zondag 1 maart 2026 @ 18:53:
[...]


En berichten van Mijn Overheid/Belastingdienst krijg je (gelukkig) tegenwoordig niet meer in je e-mail, dus dat is dan sowieso spam.

Ik wel, maar dan alleen 'er staat een bericht klaar in de berichtenbox', maar dat faken de spammers ook: 'door onderhoud werkt de berichtenbox tijdelijk niet klik hier... blabla'

[ernstoud]

licon schreef op zondag 1 maart 2026 @ 18:31:
[...]


Tuurlijk, terwijl jij eventjes de verzekering belt en zij een dossier aanmaken (gemiddeld 5-10 werkdagen), staat je bankrekening bevroren. Je huur wordt gestorneerd of je hypotheek mislukt, en je kunt geen boodschappen meer doen als je zo weinig cash hebt als de hippe moderne mensen tegenwoordig. Die secundaire schade (boetes, BKR-meldingen, stress) vergoedt geen enkele verzekeraar.

Reageer op een normale manier of reageer niet. Reageren op deze manier verziekt nogal de sfeer.

[ Voor 12% gewijzigd door rens-br op 01-03-2026 20:20 ]

[Waah]

Hier helaas alles beschikbaar in de hack. En ik gebruik bijna overal een catch-all constructie voor. Maar odido had ik dit blijkbaar later pas aangepast en zijn de catch-all en mijn hoofdmail dus gelekt.

Best balen, want het blokkeren van "[e-mail]" is een stuk simpeler dan "[e-mail]". Spam was heel makkelijk te herkennen aan het email waar het aan verzonden was. Dat is nu dus voorbij helaas.

[PauseBreak]

SaN schreef op zondag 1 maart 2026 @ 17:47:
Ik heb het topic een beetje doorgelezen de afgelopen dagen en ik zie dat er toch wel wat mensen zijn die redelijk wat actie gaan ondernemen vanwege het lekken van hun gegevens. Zelf dacht ik dat er net even wat meer kans zou zijn op meer gerichte phishing mails/telefoontjes, maar ik merk dat er wat meningsverschillen zijn over het praktisch nut van deze gegevens voor kwaadwillenden.

Zonder er verder heel diep in te duiken zou ik aannemen dat, wanneer er algemeen bekend is dat van ongeveer de helft van alle volwassen Nederlanders gevoelige gegevens zijn gelekt, hier rekening mee wordt gehouden door partijen/bedrijven/instanties die hierdoor zouden kunnen worden gemanipuleerd en dat juist door de omvang van het lek deze gegevens minder waard worden.

Is dit een te gemakkelijke aanname?

Je kunt er zelf proactief in staan en bijvoorbeeld je bank op de hoogte stellen dat je IBAN gelekt is. Van zowel mijn vrouw als mij is dat het geval, net als alle andere denkbare persoonlijke data. Dus op onze accounts staat nu telefonische verificatie uit en als er iets is moeten we voorlopig naar een kantoor om in persoon te identificeren en dingen akkoord te kunnen geven. Er staat ook een 'hold' op nieuwe automatische incasso's en dergelijke. Die moeten we in de bank app zelf allebei akkoord geven voordat die door kan gaan.

Maar dat zijn dus wel zaken die we zelf hebben moeten regelen. De bank kwam hier niet zelf mee. Dus ik denk ook niet dat andere instanties zelf proactief actie zullen ondernemen, dat moet echt uit jezelf komen.

Voor ons is de risico-inschatting wel wat anders door ons werk, dus daar zullen we ook wat maatregelen moeten gaan nemen. Maar ik denk niet dat de gemiddelde klant zich er zoveel zorgen over hoeft te maken om eerlijk te zijn. Je zult met name meer en beter gepersonaliseerde phishing binnenkrijgen dus je belangrijke dingen overzetten naar een nieuw e-mailadres is misschien wel het minimale dat je zou moeten overwegen. Wel een bitch om te doen trouwens.

[licon]

btw

Ja, btw-nummers, zitten in een bepaald gedeelte in duizenden tegelijk.

[Vld1989]

Net eens op knip. Zie topic warning. gekeken. Naam, telefoonnummer en emailadres zijn gelekt maar IBAN en woonadres blijkbaar niet.

Ben 2 jaar geleden verhuisd en m'n oude adres zit wel in het lek. Zou me na alles wat inmiddels bekend is niet verbazen als Odido z'n administratie zo brak is dat m'n oude adres er nog in staat al staat m'n adres wel juist op Mijn Odido.

Zelfde geldt voor m'n IBAN, die heb ik een jaar of 5 geleden gewijzigd. Zou graag eens m'n oude IBAN door de check halen maar die weet ik niet meer

[ Voor 3% gewijzigd door rens-br op 01-03-2026 20:17 ]

[licon]

Vld1989 schreef op zondag 1 maart 2026 @ 19:44:
Net eens op knip gekeken. Naam, telefoonnummer en emailadres zijn gelekt maar IBAN en woonadres blijkbaar niet.

Ben 2 jaar geleden verhuisd en m'n oude adres zit wel in het lek. Zou me na alles wat inmiddels bekend is niet verbazen als Odido z'n administratie zo brak is dat m'n oude adres er nog in staat al staat m'n adres wel juist op Mijn Odido.

Zelfde geldt voor m'n IBAN, die heb ik een jaar of 5 geleden gewijzigd. Zou graag eens m'n oude IBAN door de check halen maar die weet ik niet meer

Er staan zowel data van januari 2011 als data van februari 2026 met veel tussentijdse migraties. Zo staan ook veel ID-bewijzen standard als verlopen op 1 januari 2011, terwijl ze wel geldig zijn.

[ Voor 6% gewijzigd door rens-br op 01-03-2026 20:16 ]

[nasdude]

Vld1989 schreef op zondag 1 maart 2026 @ 19:44:
Net eens op knip gekeken. Naam, telefoonnummer en emailadres zijn gelekt maar IBAN en woonadres blijkbaar niet.

Datzelfde had ik ook, ik ben alleen klant van ze met glasvezel thuis internet dus dat mijn postcode er niet in staat is wel een beetje raar

[ Voor 2% gewijzigd door rens-br op 01-03-2026 20:16 ]

[licon]

Jerie schreef op zondag 1 maart 2026 @ 18:21:
[...]
Tooling om te doorzoeken heb je niet nodig. Ik heb het al 46638x gezegd: het is JSON. Vanuit CLI kun je JSON met jq parsen. Standaard tooling.

Ik gebruik python concurrent.futures, multiprocessing met chunks voor snellere multicore regex analyse, en LM studio voor semantische analyse.

[ Voor 24% gewijzigd door licon op 01-03-2026 20:02 ]

[Hemingr]

Jerie schreef op zondag 1 maart 2026 @ 18:21:
[...]


Tor Browser staat op sommige OS'en standaard geïnstalleerd. Het is voor mij een van de eerste tools die ik op een computer met GUI installeer (niet per definitie gebruik maar wel beschikbaar wil hebben).

Het onion adres was behoorlijk eenvoudig te vinden. Ik ga niet zeggen hoe, maar een zekere journalist deelde al een deel er van. Was dat nodig? M.i. niet. Al ben ik het later ook organisch tegengekomen.

Tooling om te doorzoeken heb je niet nodig. Ik heb het al 46638x gezegd: het is JSON. Vanuit CLI kun je JSON met jq parsen. Standaard tooling.

Bovenstaande is geen hogere wiskunde. Wel nog stukje OPSEC noodzakelijk: gebruik VM enkel in RAM, donder deze data z.s.m. weg, en zoek niet naar allerlei onzin die je zaken niet zijn. Ook geen hogere wiskunde.

Het is hier Tweakers niet Hackforums. Je mag verwachten dat mensen willen leren. Ben ik fan van in dit soort datasets spitten? Eerlijk? Neen. Het liefst krijg je na het lekken te horen wat er exact van jou is gelekt. Dat is bij Odido teveel gevraagd.

Over je OPSEC, een downloadje met een Tails USBtje over TOR en geen hond die weet wie je bent of wat je uitvreet. Je OPSEC bestaat uit je mond houden tegen derden. Als je er van uit gaat dat het gedownloade bestand geen kwaadaardige code bevat, en alle nodes niet gecompromiteerd zijn door een state actor is er weinig aan de hand.

Als je daarna met je duffe kop op tweakers, facebook, tiktaktoe, instagram of wat dan ook gaat opscheppen dat je de data hebt, dan is dat aan jou.

Al dat blijft natuurlijk gewoon onderheven aan het feit dat je lekker bij deze data weg moet blijven. Check het via hibp of andere diensten zoals mozilla. Ga er maar van uit dat zodra je in de lek staat alles gelekt is. Als je daarvan slapeloze nachten krijgt neem je actie.

[ Voor 19% gewijzigd door Hemingr op 01-03-2026 20:10 ]

[SgtElPotato]

PauseBreak schreef op zondag 1 maart 2026 @ 19:27:
[...]


Je kunt er zelf proactief in staan en bijvoorbeeld je bank op de hoogte stellen dat je IBAN gelekt is. Van zowel mijn vrouw als mij is dat het geval, net als alle andere denkbare persoonlijke data. Dus op onze accounts staat nu telefonische verificatie uit en als er iets is moeten we voorlopig naar een kantoor om in persoon te identificeren en dingen akkoord te kunnen geven. Er staat ook een 'hold' op nieuwe automatische incasso's en dergelijke. Die moeten we in de bank app zelf allebei akkoord geven voordat die door kan gaan.

Maar dat zijn dus wel zaken die we zelf hebben moeten regelen. De bank kwam hier niet zelf mee. Dus ik denk ook niet dat andere instanties zelf proactief actie zullen ondernemen, dat moet echt uit jezelf komen.

Voor ons is de risico-inschatting wel wat anders door ons werk, dus daar zullen we ook wat maatregelen moeten gaan nemen. Maar ik denk niet dat de gemiddelde klant zich er zoveel zorgen over hoeft te maken om eerlijk te zijn. Je zult met name meer en beter gepersonaliseerde phishing binnenkrijgen dus je belangrijke dingen overzetten naar een nieuw e-mailadres is misschien wel het minimale dat je zou moeten overwegen. Wel een bitch om te doen trouwens.

Dat goedkeuren van incasso's zou wat mij betreft automatisch een goedkeuringslijst moeten zijn in plaats van een blokkadelijst zoals het nu bij de Rabo is. Enkele instanties zoals BD, overheid, banken zouden bij iedereen goedgekeurd moeten zijn, maar de rest niet, alleen goedkeuren via de app of kantoor.

[laurens0619]

@SgtElPotato
Eens

Hoe enorm verrot dit lek ook is misschien gaat het wel goede zaken teweegbrengen
- herontwerp van het incasso systeem
- herontwerp van telefonische authenticatie

Soms gaat dat laatste al beter trouwens. Als ik mn zorgverzwkering bel dan moet dat uit de app. De app belt dan telnr#7272673
Dat laatste is dan een unieke code die hij doorkiest en zo weet de ks dat ik uit een ingelogde app bel

Mrja dat lukt natuurlijk niet overal, iets uniforms wat ook voor mensen zonder smartphone zou mooi zijn

[Jerie]

Waah schreef op zondag 1 maart 2026 @ 19:10:
Hier helaas alles beschikbaar in de hack. En ik gebruik bijna overal een catch-all constructie voor. Maar odido had ik dit blijkbaar later pas aangepast en zijn de catch-all en mijn hoofdmail dus gelekt.

Best balen, want het blokkeren van "[e-mail]" is een stuk simpeler dan "[e-mail]". Spam was heel makkelijk te herkennen aan het email waar het aan verzonden was. Dat is nu dus voorbij helaas.

Da's balen maar een goede reden om af te stappen van hoofdemail@ en enkel nog dienstnaam@ (of variant) gebruiken.

[PauseBreak]

SgtElPotato schreef op zondag 1 maart 2026 @ 20:03:
[...]


Dat goedkeuren van incasso's zou wat mij betreft automatisch een goedkeuringslijst moeten zijn in plaats van een blokkadelijst zoals het nu bij de Rabo is. Enkele instanties zoals BD, overheid, banken zouden bij iedereen goedgekeurd moeten zijn, maar de rest niet, alleen goedkeuren via de app of kantoor.

Dat zou al een hoop schelen inderdaad. Het zou banken ook sieren wanneer ze zoiets standaard zouden aanzetten na een dergelijke grootschalige hack in plaats van het aan hun klanten te laten.

[rens-br]

Ik heb een aantal reacties verwijderen. Ook bespreken hoe data gedownload moet worden, welke tools er nodig zijn, hoe deze geparst kan worden is niet de bedoeling.

Verder liepen er een aantal discussies niet bepaald aardig en constructief. Het is vervelend dat data gelekt is, maar nergens voor nodig om dat op elkaar te gaan africhten.

[Jerie]

laurens0619 schreef op zondag 1 maart 2026 @ 20:10:
@SgtElPotato
Eens

Hoe enorm verrot dit lek ook is misschien gaat het wel goede zaken teweegbrengen
- herontwerp van het incasso systeem
- herontwerp van telefonische authenticatie

Soms gaat dat laatste al beter trouwens. Als ik mn zorgverzwkering bel dan moet dat uit de app. De app belt dan telnr#7272673
Dat laatste is dan een unieke code die hij doorkiest en zo weet de ks dat ik uit een ingelogde app bel

Mrja dat lukt natuurlijk niet overal, iets uniforms wat ook voor mensen zonder smartphone zou mooi zijn

Ik zeg dagelijks tegen mijn kinderen: van fouten maken kun je leren. Toch maken ze nog steeds fouten, dagelijks. We hebben nog een lange weg te gaan. Ik denk dat we zullen moeten gaan naar een authenticatie met overheid (of een stichting die deels gefinancierd wordt met publiek geld), waarbij overheid (of stichting) de partij is die de authenticatie met een derde partij kan regelen. Ofwel een brede uitrol en acceptatie van Yivi. Al die oplossingen hebben wel een nadeel, namelijk SPOF.

Apps zijn gewoon obscurity op de grootste scriptkiddies (die niet uit kunnen vinden hoe deze werkt) buiten de deur te houden. Onzin, bovendien forceer je mensen ook nog eens nog meer richting een ecosysteem. Moeten we niet willen.

[laurens0619]

Jerie schreef op zondag 1 maart 2026 @ 20:17:
[...]


Ik zeg dagelijks tegen mijn kinderen: van fouten maken kun je leren. Toch maken ze nog steeds fouten, dagelijks. We hebben nog een lange weg te gaan. Ik denk dat we zullen moeten gaan naar een authenticatie met overheid (of een stichting die deels gefinancierd wordt met publiek geld), waarbij overheid (of stichting) de partij is die de authenticatie met een derde partij kan regelen. Ofwel een brede uitrol en acceptatie van Yivi. Al die oplossingen hebben wel een nadeel, namelijk SPOF.

Apps zijn gewoon obscurity op de grootste scriptkiddies (die niet uit kunnen vinden hoe deze werkt) buiten de deur te houden. Onzin, bovendien forceer je mensen ook nog eens nog meer richting een ecosysteem. Moeten we niet willen.

Als mensen niet acteren op fouten is het probleem vaak niet groot genoeg voor ze.

Hoe erg dit lek voor vele nu ook is (lijkt?)? Ik ben bang dat het niet groot genoeg is dat er echt zaken gaan veranderen.

Tenzij mensen/bedrijven proactief gaan acteren

Ik zie het in de digitale wereld wel somber in. Je kunt je als aanvaller zo overal doorheen tunnelen/verstoppen, het maakt t lastig.

[Waah]

Jerie schreef op zondag 1 maart 2026 @ 20:10:
[...]


Da's balen maar een goede reden om af te stappen van hoofdemail@ en enkel nog dienstnaam@ (of variant) gebruiken.

De grap is dat ik dat al een tijdje doe. Maar als Odido dan vervolgens het oude emailadres toch bewaart en lekt tja. Dat maakt het lastig in dit specifieke geval.

En als ik mensen persoonlijk ken en die vragen mijn email, geef ik mijn hoofdemail ja ☺️

[ Voor 10% gewijzigd door Waah op 01-03-2026 20:31 ]

[Jerie]

laurens0619 schreef op zondag 1 maart 2026 @ 20:22:
[...]

Als mensen niet acteren op fouten is het probleem vaak niet groot genoeg voor ze.

Hoe erg dit lek voor vele nu ook is (lijkt?)? Ik ben bang dat het niet groot genoeg is dat er echt zaken gaan veranderen.

Tenzij mensen/bedrijven proactief gaan acteren

Ik zie het in de digitale wereld wel somber in. Je kunt je als aanvaller zo overal doorheen tunnelen/verstoppen, het maakt t lastig.

Tunnel is eenvoudig te correleren. Een tunnel is adequaat voor kleinschalige auteursrechten schending (wil je grootschalig, richt dan een LLM bedrijf op in VS en zorg voor big guns backstopping; niemand zal je dan wat maken).

1) De pakkans van dit soort criminaliteit moet omhoog.

2) Er zijn jurisdicties waar men met zware (internet)criminaliteit wegkomt. Waar voorheen Russische politie nog samenwerkte met de Nederlandse, is dat nu niet meer het geval.

[gixslayer]

Nou, volgens Ben was mijn geboortedatum -niet- gelekt. Net van iemand vernomen dat dit wel degelijk het geval is. Ga je dan toch afvragen wat er nog meer gelekt is, en mogelijk niet eens vrijgegeven aangezien de hackers claimen sommige data achterwege te hebben gehouden.

Communicatie vanuit Ben/Odido heb je dus vrij weinig aan, klopt gewoon letterlijk niet

Er gaat/ging veel mis bij ze, maar letterlijk onjuist, niet eens onvolledig, informeren? Dat is wel erg kwalijk.

[Jerie]

Waah schreef op zondag 1 maart 2026 @ 20:30:
[...]

De grap is dat ik dat al een tijdje doe. Maar als Odido dan vervolgens het oude emailadres toch bewaart en lekt tja. Dat maakt het lastig in dit specifieke geval.

En als ik mensen persoonlijk ken en die vragen mijn email, geef ik mijn hoofdemail ja ☺️

Die mensen kunnen ook lekken.

Sommige apps lezen complete Contacts list uit.

Dan heb je nog dat andere probleem van die anti spam callers. Zoals True Caller (in dit topic kwam iemand met soortgelijke suggestie). Ook die werkt met uploads van Contacts list richting ik meen India om dan data te vergelijken.

Client-side(-only) phone number whitelisting is er v.z.i.w. niet. Wel neem ik nooit anonieme telefoontjes op. Je wilt niet zeggen wie jij bent als je belt? Prima, dan hoef ik jou niet te spreken. Ook neem ik internationaal nooit op, tenzij wanneer ik dat verwacht. Maar het is dweilen met de kraan open.

Liever zou ik iets zien zoals met antispam en uBlock. Dat je spammers en scammers kunt crowdsourcen via publieke lijsten, transparant.

[licon]

licon schreef op zondag 1 maart 2026 @ 19:43:
[...]


Ja, btw-nummers, zitten in een bepaald gedeelte in duizenden tegelijk.

29666 BTW-nummers in totaal. Even natellen?

[prOnorama2]

Héééél lang gelden was Ben mijn 1e mobiele telecomprovider: op 25 februari 2003 werd de naam Ben omgedoopt naar T-Mobile. Voor die datum was ik al overgestapt naar Telfort.

Ben dus al zeker 23 jaar al geen klant meer maar ik ben ergens wel benieuwd of er nog ergens een oud hotmail adres van mij te vinden zou kunnen zijn dat van Ben via T-Mobile naar Odido is 'meeverhuisd'.

[japie06]

Jerie schreef op zondag 1 maart 2026 @ 20:44:
[...]


Client-side(-only) phone number whitelisting is er v.z.i.w. niet. Wel neem ik nooit anonieme telefoontjes op. Je wilt niet zeggen wie jij bent als je belt? Prima, dan hoef ik jou niet te spreken. Ook neem ik internationaal nooit op, tenzij wanneer ik dat verwacht. Maar het is dweilen met de kraan open.

Liever zou ik iets zien zoals met antispam en uBlock. Dat je spammers en scammers kunt crowdsourcen via publieke lijsten, transparant.

Ik ben laatst op deze FOSS app SpamBlocker gestuit. Je kan regex gebruiken, maar ook basis van herhaalde belletjes, of het nummer bekend is in je contacten etc. Ook kan je dus (offline evt) de app een lookup laten doen in bekende spamlijsten.

Voor nu gebruik het ik het alleen om nummers uit bepaalde landen te blokkeren met een simpele regex. Werkt voor mij prima. Maar het is dus best uitgebreid.

[Jerie]

jongetje schreef op zondag 1 maart 2026 @ 17:46:
[...]

"Vroeger" was dat de normaalste zaak van de wereld. Als je iemand wilde bellen pakte je het telefoonboek waarin namen, adressen en telefoonnummers stonden. Sterker nog, elk jaar kreeg je een telefoonboek met al deze gegevens gratis in je brievenbus. En weinig mensen vonden dit een probleem.

"Vroeger" was internationaal contact leggen (lees: bellen) duur.

"Vroeger" kon een oplichter slechts met één mark tegelijk communiceren.

"Vroeger" had je ook al methodes als geheim nummer, meerdere nummers, en fronts (backstopping).

"Vroeger" mochten bedrijven je helemaal naar de klote spammen (bellen, post).

En tenslotte: "vroeger" had je ook oplichting. Staat zelfs in bijbel. Mensen die zich voordeden als tollenaar.

Begin alsjeblieft niet over "vroeger". Deels is er gelijkenis, helemaal waar. Maar er zijn ook veranderingen, inclusief achteruitgang. Ik heb ooit last gehad van een stalker (naast de spam). Daarna geheim nummer genomen, probleem opgelost. Ben ooit een keer thuisgekomen van vakantie, brievenbus verstopt met spam. Tijdje later nee/nee sticker (was toen in opkomst), daarna nooit meer last van gehad.

Ik ontvang momenteel nog nul spam op mijn huidige email adres. Logisch, het is nu pas voor het eerst gelekt. Tot enkele dagen geleden...

Fysieke spam ontvang ik nagenoeg niet. De grootste pannenkoeken wat dit betreft waren de figuren van 'AZC nee', maar dat is logisch gezien het aanwezige zaagsel.

[licon]

Jerie schreef op zondag 1 maart 2026 @ 21:07:
[...]
"Vroeger"

Vroeger zou je niet van een bestand van bijna 100GB even binnen een paar minuten zo'n overzichtje maken:
Lijnen 1 – 2.000.000 (2 miljoen lijnen): Contactschema
Lijnen 2.000.001 – 7.000.000 (5 miljoen lijnen): Accountschema
Lijnen 7.000.001 – 10.000.000 (3 miljoen lijnen): Contactschema
Lijnen 10.000.001 – 11.054.974 (1,05 miljoen lijnen): Accountschema
Lijnen 11.054.975 – 15.058.382 (≈4 miljoen lijnen): Contactschema

15 miljoen lijnen: 9 miljoen Contactschema. 6 miljoen Accountschema.

[ Voor 6% gewijzigd door licon op 01-03-2026 21:14 ]

[NicoHF]

ArcticWolf schreef op zondag 1 maart 2026 @ 15:23:
[...]

Vraagje, ik heb net alle velden met mijn gegevens nagelopen op knip. [mbr]Zie topic warning[/mbr].

Maar kreeg alleen bij naam, emailadres en telefoonnummer de melding dat die gevonden waren, bij IBAN en fysieke adres kreeg ik dat er niks gevonden was. Kan ik er dan echt van uit gaan dat die 2 zaken niet gelekt zijn? Vind het wel vreemd namelijk als er zoveel records zijn gelekt en deze dan toevallig niet bij mij (opzich vind ik dat niet erg... )

Ik heb precies hetzelfde op die bepaalde site.
Ben ook benieuwd of Iban en adres dan definitief niet gelekt zijn?

Weet alleen niet hoe ik nu kan checken of rijbewijs nummer gelekt is ja of de nee?

Email adres helaas wel vanochtend, staat ook op Have I Been Pwned.
Gisteren nog niet.