Odido waarschuwt voor datalek (cyberaanval/hack)

[ArcticWolf]

Yamy_Daffy schreef op dinsdag 3 maart 2026 @ 19:41:
[...]


Dat mijn gegevens zijn gelekt en niet meer te verwijderen zijn dat is mij echt bekend. De spam mails komen al binnen.

De sites waarop ik kan controleren of mijn gegevens erbij zitten heb ik gecheckt. Waar ik dan wel nieuwsgierig naar was is welke gegevens het dan waren. Want meer info dan je gegevens zitten erbij kom je niet. Ik had het netjes gevonden als Odido daarin wat meer het initiatief in had genomen.

En natuurlijk hebben andere providers ook storingen, maar Odido heeft het afgelopen jaar wel erg bont gemaakt. Denk niet dat dat echt te ontkennen valt.

En dan neem ik liever een abonnement bij een andere provider die wat stabieler is en wat minder negatief zichzelf zo in het nieuws zet.

Er is een site (die ik hier niet mag delen... maar je wel via deze website kan vinden: linken naar een website met daarop de links is natuurlijk ook niet de bedoeling.
Waarbij je meerdere (niet alle helaas) velden kan checken over wat er van je gelekt is.

[ Voor 7% gewijzigd door rens-br op 03-03-2026 20:38 ]

[NicoHF]

ernstoud schreef op dinsdag 3 maart 2026 @ 18:39:
[...]


Nah, ik denk dat Vodafone er achter zit.

Die wil voor weinig geld Odido overnemen en dan eindelijk wel N78 dekking hebben.

Mijn gebied Odido versus Vodafone:

[Afbeelding]

[Afbeelding]

Paar miljoen en Vodafone is binnen!

Nou mag hopen dat Vodafone Odido niet gaat overnemen, had nog nooit zulke slechte ontvangst gezien als bij Vodafone netwerk

[ernstoud]

NicoHF schreef op dinsdag 3 maart 2026 @ 19:48:
[...]

Nou mag hopen dat Vodafone Odido niet gaat overnemen, had nog nooit zulke slechte ontvangst gezien als bij Vodafone netwerk

Ik kan het niet anders dan 100% met je eens zijn: ernstoud in "[Vodafone] Ervaringen & Discussie - Deel 2"

Hoe een provider zoveel geld uitgeeft voor de N78 licentie en die dan nauwelijks gebruikt en hun netwerk degradeert voor een beetje energiebesparing (maar wel de prijs handhaaft) is ongekend.

Bagger bedrijf.

[Speedy_Gonzalez]

ernstoud schreef op dinsdag 3 maart 2026 @ 18:11:
[...]


Ik zie best wel veel informatie op: https://www.odido.nl/veiligheid

Je kan dan wel een vouchercode krijgen voor 2 jaar gratis F-Secure, maar waarom zou ik dat doen ?

Ik gebruik ondanks dat ik al 2 jaar bij ziggo weg ben, hun forever gratis F-Secure pakket.
Er staat dan wel ziggo vermeld, maar het werkt gewoon bij odido ook.

Zitten er nog speciale voordelen aan om dat 2 jarig pakket te gaan gebruiken van odido ?

[ernstoud]

Speedy_Gonzalez schreef op dinsdag 3 maart 2026 @ 19:53:
[...]


Je kan dan wel een vouchercode krijgen voor 2 jaar gratis F-Secure, maar waarom zou ik dat doen ?

Ik gebruik ondanks dat ik al 2 jaar bij ziggo weg ben, hun forever gratis F-Secure pakket.
Er staat dan wel ziggo vermeld, maar het werkt gewoon bij odido ook.

Zitten er nog speciale voordelen aan om dat 2 jarig pakket te gaan gebruiken van odido ?

Als het hetzelfde pakket aan functies biedt niet natuurlijk. Ik ken het niet. Heb het niet nodig en heb sowieso slechte ervaringen met resource vretende op achtergrond opererende software.

[jurroen]

Speedy_Gonzalez schreef op dinsdag 3 maart 2026 @ 19:53:
[...]

Je kan dan wel een vouchercode krijgen voor 2 jaar gratis F-Secure, maar waarom zou ik dat doen ?

Persoonlijk vind ik dat aanbod vanuit Odido een beetje een trap na. Zo van "wij hebben een datalek veroorzaakt omdat we de beveiliging en retentie van PII niet op orde hadden - maar weet je wat: hier heb je beveiligingssoftware".

Het veranderd geen snars aan het datalek of de extreme onzorgvuldigheid van Odido, wat echt volledig hun schuld is. Als ze hiermee willen communiceren dat beveiliging iets is wat je samen doet... Normaliter zou ik het daar volledig mee eens zijn maar hier niet.

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 20:05:
[...]

Persoonlijk vind ik dat aanbod vanuit Odido een beetje een trap na. Zo van "wij hebben een datalek veroorzaakt omdat we de beveiliging en retentie van PII niet op orde hadden - maar weet je wat: hier heb je beveiligingssoftware".

Niets doen was beter? Of hadden er dan opmerkingen gekomen om dergelijke software te verstrekken? Ik denk het. Je maakt nooit iedereen gelukkig.

EUR 4,99 per maand lees ik. Dus een waarde van EUR 120,- voor twee jaar. Niet mis.

[ Voor 7% gewijzigd door ernstoud op 03-03-2026 20:19 ]

[RiDo78]

Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

[pjotter1965]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 19:45:
[...]

Er is een site (die ik hier niet mag delen... maar je wel via deze website kan vinden: knip
Waarbij je meerdere (niet alle helaas) velden kan checken over wat er van je gelekt is.

De bewuste website, die hier niet benoemd mag worden is nu ook weggehaald bij RADAR.avrotros.
https://radar.avrotros.nl...jn-gelekt-bij-odido-62413
Nu wordt er nog maar naar 2 websites verwezen.

[ Voor 20% gewijzigd door rens-br op 03-03-2026 20:39 ]

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 18:11:
[...]


Ik zie best wel veel informatie op: https://www.odido.nl/veiligheid

En “meer informatie” is een dooddoener. Dan moet je wat specifieker zijn. Ik vul dat in (corrigeer me als je dat niet bedoelt) dat jij en vele anderen meer gedetailleerd willen weten per account welke informatie gelekt is. Echter; wat wil je daarmee? Als je gemoedsrust wil kun je toch rekening houden met de worst case?

Ik heb overigens van de grotere hacks, en phishing attacks zoals LinkedIn in januari jl. (https://www.forbes.com/si...policy-violation-attacks/) nog veel minder communicatie gezien. Dat gaat over 1,2 miljard accounts.

In mijn opinie wordt er informatie verstrekt maar ik lees dat de toon niet goed is? Moeten we dan naar zoiets als in Korea? Huilende managers publiekelijk aan de schandpaal? Lost dat dan wat op?

Ik zal je vijf concrete voorbeelden geven:

1) Het betreft diverse datasets. Ik wil graag weten wat er van mij gelekt is. Later wil ik dat vergelijken met wat Odido voor gegevens van mij heeft (AVG verzoek) maar dat gaat hoe dan ook even duren. Terwijl deze gegevens nu op straat liggen, en ook al worden misbruikt.

2) Ik heb bij Odido een tijdje mijn eigen IBAN opgegeven gehad. Daarna heb ik dat verandert naar een andere rekening. Die oude rekening gebruik ik nog steeds. De nieuwe rekening daarentegen kunnen we allebei bij, maar in de praktijk enkel mijn vrouw. Ik wil dus graag weten of mijn oude rekening nummer er nog steeds in zit. Hier zit dus een substantieel verschil qua data.

3) Ik heb werkelijk geen idee of ik zo'n plaintekst wachtwoord erop had zitten. Volgens mij niet. Maar als dat wel zo is, dan wil ik weten wat het wachtwoord was, want die kan ik dan niet (her)gebruiken. Vooral mijn vrouw doet dat nog wel eens.

4) Mijn schoonmoeder heeft nog nooit in een datalek gezeten qua telefoonnummer. Die heeft dus (nog) weinig ervaring met oplichters per telefoon. De suggestie is gewekt dat Simpel klanten ook in de dataset(s) zitten, maar ik heb haar nummer hier niet in weten te vinden. Dit betreft bejaarden. Als ik minderjarige kinderen zou hebben die een eigen smartphone zouden hebben, zou ik als ouder zijnde direct willen weten wanneer zij in een datalek zouden zitten, en ook wat er dan gelekt is. Kinderen zijn immers vaak nogal goedgelovig.

5) Nu ik weet dat mijn paspoortnummer is gelekt, ga ik eerder aan de slag deze te verlengen. Mijn paspoortnummer is nog nooit eerder gelekt. Daarentegen die van mijn schoonmoeder en moeder heb ik (nog) niet weten te vinden. Als blijkt dat deze niet is gelekt, dan is dat interessant om hen te vermelden. Dat helpt overigens de gemoedstoestand. Jouw struisvogelpolitiek-tactiek doet dat niet. Integendeel...

Ik heb nog meer (wat mij betreft gegronde) redenen, maar die ga ik niet noemen, om de doodeenvoudige reden dat het dan wel heel simpel wordt voor iedere lezer om mij uit deze dataset te fil(t)eren.

Daarnaast, LinkedIn is een internationaal platform. Hoeveen Nederlanders daarin stonden, weet ik niet. Ik weet wel dat o.a. LinkedIn en Facebook al eerder zijn gelekt door scraping. LinkedIn is een optionele dienst. Iedere volwassene in Nederland wordt geacht telefonisch bereikbaar te zijn. Heb je doorgaans ook nodig om te functioneren in de maatschappij. Daarbij hebben we 3 mobiele netwerken, waarvan eentje van Odido.

[ernstoud]

RiDo78 schreef op dinsdag 3 maart 2026 @ 20:18:
Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

Ik geloof niet dat Odido beweert dat er niets aan de hand is?

[SgtElPotato]

RiDo78 schreef op dinsdag 3 maart 2026 @ 20:18:
Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

Wie beweert er dat er niets aan de hand is?

[jurroen]

ernstoud schreef op dinsdag 3 maart 2026 @ 20:17:
[...]


Niets doen was beter? Of hadden er dan opmerkingen gekomen om dergelijke software te verstrekken? Ik denk het. Je maakt nooit iedereen gelukkig.

EUR 4,99 per maand lees ik. Dus een waarde van EUR 120,- voor twee jaar. Niet mis.

Betere communicatie was zinvoller geweest in mijn ogen. Een partij als Odido weet dondersgoed dat er gespreksnotities en gegevens over bewindvoerder in Salesforce staan.

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 20:19:
[...]


Ik zal je vijf concrete voorbeelden geven:

1) Het betreft diverse datasets. Ik wil graag weten wat er van mij gelekt is. Later wil ik dat vergelijken met wat Odido voor gegevens van mij heeft (AVG verzoek) maar dat gaat hoe dan ook even duren. Terwijl deze gegevens nu op straat liggen, en ook al worden misbruikt.

2) Ik heb bij Odido een tijdje mijn eigen IBAN opgegeven gehad. Daarna heb ik dat verandert naar een andere rekening. Die oude rekening gebruik ik nog steeds. De nieuwe rekening daarentegen kunnen we allebei bij, maar in de praktijk enkel mijn vrouw. Ik wil dus graag weten of mijn oude rekening nummer er nog steeds in zit. Hier zit dus een substantieel verschil qua data.

3) Ik heb werkelijk geen idee of ik zo'n plaintekst wachtwoord erop had zitten. Volgens mij niet. Maar als dat wel zo is, dan wil ik weten wat het wachtwoord was, want die kan ik dan niet (her)gebruiken. Vooral mijn vrouw doet dat nog wel eens.

4) Mijn schoonmoeder heeft nog nooit in een datalek gezeten qua telefoonnummer. Die heeft dus (nog) weinig ervaring met oplichters per telefoon. De suggestie is gewekt dat Simpel klanten ook in de dataset(s) zitten, maar ik heb haar nummer hier niet in weten te vinden. Dit betreft bejaarden. Als ik minderjarige kinderen zou hebben die een eigen smartphone zouden hebben, zou ik als ouder zijnde direct willen weten wanneer zij in een datalek zouden zitten, en ook wat er dan gelekt is. Kinderen zijn immers vaak nogal goedgelovig.

5) Nu ik weet dat mijn paspoortnummer is gelekt, ga ik eerder aan de slag deze te verlengen. Mijn paspoortnummer is nog nooit eerder gelekt. Daarentegen die van mijn schoonmoeder en moeder heb ik (nog) niet weten te vinden. Als blijkt dat deze niet is gelekt, dan is dat interessant om hen te vermelden. Dat helpt overigens de gemoedstoestand. Jouw struisvogelpolitiek-tactiek doet dat niet. Integendeel...

Ik heb nog meer (wat mij betreft gegronde) redenen, maar die ga ik niet noemen, om de doodeenvoudige reden dat het dan wel heel simpel wordt voor iedere lezer om mij uit deze dataset te fil(t)eren.

Daarnaast, LinkedIn is een internationaal platform. Hoeveen Nederlanders daarin stonden, weet ik niet. Ik weet wel dat o.a. LinkedIn en Facebook al eerder zijn gelekt door scraping. LinkedIn is een optionele dienst. Iedere volwassene in Nederland wordt geacht telefonisch bereikbaar te zijn. Heb je doorgaans ook nodig om te functioneren in de maatschappij. Daarbij hebben we 3 mobiele netwerken, waarvan eentje van Odido.

Niet op de man spelen Jerie met “Jouw struisvogelpolitiek-tactiek doet dat niet.”

Je noemt valide voorbeelden. Je gaat op die vragen gewoon geen antwoorden krijgen. Dus ga uit van worst case scenario als je dat gemoedsrust geeft.

Nog een paar al dan niet nuttige opmerkingen bij de diverse punten.

1. Ga je denk ik niet krijgen of veel te laat.
2. Worst case is dat beide IBAN in de gelekte datasets staan. Wat ga je doen?
3. Wachtwoorden zijn zover we weten niet gelekt. Is dat onverhoopt wel zo en wil je gemoedsrust dan nu veranderen.
4. Nooit in een datalek weet je nooit zeker. Juist dat is een beetje struisvogel spelen om in jouw termen te blijven. Gevaarlijk. Beter kun je haar inlichten over het fenomeen phishing i.h.a.
5. Je weet niet of je paspoortnr. eerder gelekt is! Het circuleert op veel plaatsen denk ik. Wel eens in een hotel gelogeerd?

[Amaze86]

RiDo78 schreef op dinsdag 3 maart 2026 @ 20:18:
Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

Wel vaak raak bij jouw, elke dag iets?

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 20:21:
[...]

Betere communicatie was zinvoller geweest in mijn ogen.

Ik denk dat voor veel klanten die zich niet bewust zijn van de gevaren van phishing de f-secure software een beetje helpt.

Of “betere communicatie” bij diezelfde klanten zou helpen? Ik betwijfel het.

Een partij als Odido weet dondersgoed dat er gespreksnotities en gegevens over bewindvoerder in Salesforce staan.

Dat zal vermoedelijk een staartje gaan krijgen en onderwerp in het onderzoek van de AP zijn. Ongetwijfeld is het zinvol dat Odido weet dat iemand onder bewind staat. Het lekken daarvan is kwalijk. Zoals de hele case natuurlijk.

Maar wat zou je daarover gecommuniceerd willen zien? Zowel klant als bewindvoerder weten het al. Toch?

[Yamy_Daffy]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 19:45:
[...]

Er is een site (die ik hier niet mag delen... maar je wel via deze website kan vinden: https://www.hartvannederl...d-e-mailadres-controleren)
Waarbij je meerdere (niet alle helaas) velden kan checken over wat er van je gelekt is.

Ik ben gisteren zelf op onderzoek uit gegaan en ben wat wijzer geworden.

[Jerie]

NicoHF schreef op dinsdag 3 maart 2026 @ 19:48:
[...]

Nou mag hopen dat Vodafone Odido niet gaat overnemen, had nog nooit zulke slechte ontvangst gezien als bij Vodafone netwerk

Dat zou het netwerk van beide bedrijven ten goede komen.... maar het is voor de gezondheid van de markt niet wenselijk dat wij van drie naar twee grote mobiele providers met eigen netwerk (dus non-MVNO) zouden gaan. Gaat dan ook niet gebeuren.

10 jaar geleden had qua NL Vdf het beste netwerk volgens meerdere tests (waaronder die op T.net FP). Odido (destijds nog TMO NL) niet. Sinds hun overname van Tele2 hebben ze er substantieel meer masten bijgekregen. Dat betreft 4G/5G capable masten. Sinds 4G (LTE) gemeengoed is geworden, zijn de kaarten dan ook behoorlijk geschud.

Voorheen, toen de iPhone 3G uitkwam, moest je wel TMO NL nemen, en lange tijd waren ze ook de enige met visual voicemail.

Nu Odido last heeft gehad van dit grote lek, voorzie ik een uitstroom van klanten, maar ook een gedeeltelijke instroom. Immers zullen ze hun beveiliging op gaan schroeven, adverteren, ze zullen meer netwerkcapaciteit hebben dankzij de uitstroom.

Als ik Russisch staatshacker zou zijn, dan zou ik substantiële chaos kunnen (en willen) creëren middels drie targets: Odido (weer), KPN, Vodafone. Op de korte duur heb ik er weinig vertrouwen in dat Odido de zaakjes op orde heeft. Op de langere termijn is dat heel goed mogelijk, daar niet van.

Waarmee ik gezegd wil hebben dat nu niet enkel de druk bij Odido ligt, maar ook bij KPN en Vodafone. Daarnaast zal met name Vodafone betere dekkingsgraad moeten regelen. Het afgelopen decennium zijn ze immers ingehaald. Of dat ook gaat lukken? Dat weet ik niet. Wat ik wel weet is dat ik nooit in Zutphen kom. Nooit. Het zal me jeuken hoe goed de ontvangst daar is. De plaatsen die er voor mij toe doen, zijn plaatsen waar ik veel ben, of kom. Bijvoorbeeld thuis en op het werk. Ik heb wel eens gehad dat ik met Vdf thuis prima ontvangst had, maar op het werk in het gebouw niet. Tijdens een grootschalige stroomstoring in mijn wijk, viel de Vdf zendmast al vrij snel uit. Terwijl die van KPN (daar had ik een MiFi van) nog steeds werkte. Gevolg was dat ik nog internettoegang had. Sinds wij zijn verhuisd, is de afstand tussen de zendmast van Vdf en mijn huis veel groter geworden, terwijl die van Odido en KPN relatief dichtbij zijn. Ook gezien de inflatiecorrectie zou ik daarom afraden om langer dan 1 jaar een abonnement te nemen.

PS: En dan nog iets. Een groot datalek in 2012 is wel iets anders dan in 2026. Even voor de context: 2012 is pre-Snowden; toen gebruikten we nog vaak plaintext HTTP. HTTPS is daarna pas gemeengoed geworden. Ook zat er toen lachwekkend laaghangend fruit qua gaten in software.

[jurroen]

ernstoud schreef op dinsdag 3 maart 2026 @ 20:40:
[...]


Ik denk dat voor veel klanten die zich niet bewust zijn van de gevaren van phishing de f-secure software een beetje helpt.

Of “betere communicatie” bij diezelfde klanten zou helpen? Ik betwijfel het.

Diezelfde klanten waar jij op doelt is ook de groep die door een dergelijke handreiking een vals gevoel van veiligheid krijgen (en daarmee mogelijk minder oplettend acteren).

[...]


Dat zal vermoedelijk een staartje gaan krijgen en onderwerp in het onderzoek van de AP zijn. Ongetwijfeld is het zinvol dat Odido weet dat iemand onder bewind staat. Het lekken daarvan is kwalijk. Zoals de hele case natuurlijk.

Maar wat zou je daarover gecommuniceerd willen zien? Zowel klant als bewindvoerder weten het al. Toch?

Het feit dat die aanvullende informatie erin zat had door Odido gecommuniceerd moeten worden, in plaats van oplettende journalisten.

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 20:32:
[...]


Niet op de man spelen Jerie met “Jouw struisvogelpolitiek-tactiek doet dat niet.”

Als jij vindt dat een uitspraak op de man is, dan kun je die rapporteren.

Wat mij betreft is het struisvogelpolitiek-tactiek. Het is "see no evil, hear no evil, I ain't hearin' ya".

Je noemt valide voorbeelden. Je gaat op die vragen gewoon geen antwoorden krijgen. Dus ga uit van worst case scenario als je dat gemoedsrust geeft.

Je andere oplossing om, maar aan te nemen dat alles is gelekt (wat is 'alles'?), is schieten met een kanon op een mug.

Zo wil ik van bank wisselen. Mijn bankgegevens zijn nog niet eerder in combinatie met mijn paspoort gelekt. Ik weet nog niet of mijn nieuwe bank ook whitelisting gebruikt voor incasso's. Mijn huidige bank doet dat wel, maar heeft... ehh... andere nadelen.

Als blijkt dat mijn bankrekeningnummer is gelekt in dit scenario, dan wil ik (ook gezien deze dataset zeer actief wordt misbruikt) mijn opties overwegen. Wil ik dan misschien een andere bank die wel whitelisting incasso heeft? Of wil ik misschien i.p.v de redirect gewoonweg silent overgaan? Of wil ik dan misschien bij mijn huidige bank blijven? Ik weet het nog niet.

Ook zie ik -heel gek- een oud e-mailadres van mij bij een totaal ander account staan in deze dataset. Ik weet niet precies wat daar plaats heeft gevonden, maar ik vind het wel raar.

1. Ga je denk ik niet krijgen of veel te laat.

Klopt, en daarom is het zaak om eerder te handelen, want de boefjes doen dat ook. Ik heb al geduld moeten hebben door de data via Tor te downloaden i.p.v. via een VPN of direct.

2. Worst case is dat beide IBAN in de gelekte datasets staan. Wat ga je doen?

Nou, dit:

code:

rg -C 2 -n "IBAN1|IBAN2|IBAN3|IBAN4"

Alle IBANs van: mij, mijn vrouw, mijn moeder, mijn schoonmoeder (het zijn er meer dan 4). Zus van ga ik vragen (die mag dan spreken voor rest van familie). Het is een service richting haar en haar gezin; voor mij hoeft het niet, ik voel me niet verantwoordelijk (al weet ik dat geen allen technisch begaafd is), maar ik kan het wel meenemen. Behalve de genoemde personen heb ik geen interesse of belang in deze dataset.

Ook: zie boven.

3. Wachtwoorden zijn zover we weten niet gelekt. Is dat onverhoopt wel zo en wil je gemoedsrust dan nu veranderen.

Wrong, wachtwoorden zijn wel gelekt. Namelijk het wachtwoord dat nodig is om informatie te wijzigen in account. Die stonden plaintekst in de database. Dat was zogenaamd nodig voor de medewerkers (ja, echt, dat gelooft men nog ook...)

4. Nooit in een datalek weet je nooit zeker. Juist dat is een beetje struisvogel spelen om in jouw termen te blijven. Gevaarlijk. Beter kun je haar inlichten over het fenomeen phishing i.h.a.

Daarom ga je uit van signalen die beschikbaar zijn. Signalen die beschikbaar zijn voor jou, voor mij, voor de rest van Nederland, en de gehele wereld. Iedereen die een clue heeft om een bestandje te downloaden met een programma dat het protocol 'HTTP' spreekt. Waarschijnlijk kun je het met Netscape uit de prehistorie nog downloaden. Ik noem dat 'openbaar'.

5. Je weet niet of je paspoortnr. eerder gelekt is! Het circuleert op veel plaatsen denk ik. Wel eens in een hotel gelogeerd?

Ja, toen weigerde ik het te geven. Mijn vrouw deed er niet moeilijk over (ik was het ook daar niet mee eens, ander verhaal). Voor de medewerker was dat voldoende. Ook gebruik ik doorgaans KopieID.

Inmiddels overweeg ik om maar verschillende nummers te nemen, misschien i.c.m. SIP (VoIP). Dan zou ik bijvoorbeeld een nummer dat ik steeds met iedereen deel gebruiken voor een andere toepassing dan mijn andere privénummer. Voorheen heb ik dat als Vodafone-klant niet overwogen. Vodafone blokkeerde dat immers. Of ze dat nu nog doen, weet ik niet. Een andere optie die ik overweeg is een tweede (prepaid) SIM te nemen, ofwel een goedkoop abonnement. Het is namelijk gebleken dat dergelijke redunantie handig is als een van de netwerken uitvalt. Bij de eerdergenoemde stroomstoring bleef KPN significant langer werkend. Nu ik er nog eens over nadenk, is dat ook logisch geweest: die mast staat fysiek niet eens zo heel ver weg, maar gezien de fysieke eigenschappen van het landschap () valt dat waarschijnlijk onder een andere wijk, postcode, en is ook de stroomtoevoer anders.

[Jerie]

jurroen schreef op dinsdag 3 maart 2026 @ 20:05:
[...]

Persoonlijk vind ik dat aanbod vanuit Odido een beetje een trap na. Zo van "wij hebben een datalek veroorzaakt omdat we de beveiliging en retentie van PII niet op orde hadden - maar weet je wat: hier heb je beveiligingssoftware".

Het veranderd geen snars aan het datalek of de extreme onzorgvuldigheid van Odido, wat echt volledig hun schuld is. Als ze hiermee willen communiceren dat beveiliging iets is wat je samen doet... Normaliter zou ik het daar volledig mee eens zijn maar hier niet.

Het is vooral karig omdat een grote concurrent (KPN) dit al jarenlang samen met hun internetverbinding levert. Ziggo blijkbaar ook; dat wist ik niet.

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 20:44:
[...]


Dat zou het netwerk van beide bedrijven ten goede komen.... maar het is voor de gezondheid van de markt niet wenselijk dat wij van drie naar twee grote mobiele providers met eigen netwerk (dus non-MVNO) zouden gaan. Gaat dan ook niet gebeuren.

Het was een grap, dat speculeren over een complot. Heeft niet zoveel zin om daar hier diep op in te gaan toch?

…

Wat ik wel weet is dat ik nooit in Zutphen kom. Nooit. Het zal me jeuken hoe goed de ontvangst daar is. De plaatsen die er voor mij toe doen, zijn plaatsen waar ik veel ben, of kom.

Je bent welkom om Veluwe Oost te bezoeken. Mooi hoor hier, ik woon overigens niet in Zutphen.

Een goed netwerk is overigens landelijk dekkend.

[Oliebolleke]

wat was de software waarmee het datalek was onstaan?

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 20:53:
[...]

Diezelfde klanten waar jij op doelt is ook de groep die door een dergelijke handreiking een vals gevoel van veiligheid krijgen (en daarmee mogelijk minder oplettend acteren).

Zeg je hier nou dat AV, spam, phishing tools geen meerwaarde hebben omdat het “een vals gevoel van veiligheid” geeft? Nee toch? Jij zet toch ook je auto, huis e.d. op slot ook al zijn die sloten te doorbreken? Alle beetjes helpen.

[...]
Het feit dat die aanvullende informatie erin zat had door Odido gecommuniceerd moeten worden, in plaats van oplettende journalisten.

In grote mate met je eens. Waarbij ik me toch wel blijf afvragen wat het nut is dat iedereen alles te horen krijgt. En er is een kleine kans dat kritieke personen in de dataset dat wel al gehoord hebben. Dat weten we niet.

[Gr4mpyC3t]

Oliebolleke schreef op dinsdag 3 maart 2026 @ 21:32:
wat was de software waarmee het datalek was onstaan?

Is dit een quizvraag?

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 21:24:
[...]


Het was een grap, dat speculeren over een complot. Heeft niet zoveel zin om daar hier diep op in te gaan toch?

Ik volg je niet meer. Laat ook maar, het zal wel.

Je bent welkom om Veluwe Oost te bezoeken. Mooi hoor hier, ik woon overigens niet in Zutphen.

Mijn vrouw wil graag daar in de buurt op vakantie. Ik niet...

Een goed netwerk is overigens landelijk dekkend.

Nee, dat is subjectief, afhankelijk van je belangen.

Zeer zeker is de landelijke dekkingsgraad een factor die je mee kunt nemen in je afweging.

Voor de een is landelijk dekkend belangrijk. Voor de ander is het belangrijk dat je niet steeds in Duitsland zit terwijl je in Nederland woont (been there, done it, kostte me veel pegels bij 'Dutchtone'). Voor weer een ander is IPv6 van belang, voor weer een ander is percentage downtime van belang, voor weer een ander is geen port blocking van belang, voor weer een ander is het maximum snelheid van groot belang, en ga zo maar door.

Ik weet niet hoe Odido dat doet, maar Tele2 kickte me er voorheen volledig af toen mijn bundel op was. Vodafone niet, die schakelde terug naar 2G. Nu heb ik daar tegenwoordig niets meer aan want ik heb 2G/3G uit staan op mijn smartphone, maar toch.

[ernstoud]

Oliebolleke schreef op dinsdag 3 maart 2026 @ 21:32:
wat was de software waarmee het datalek was onstaan?

Salesforce en de data extractie tooling daarvoor.

[Oliebolleke]

@Gr4mpyC3t jij gaat niet door voor de koelkast.

[Martinez-]

jurroen schreef op dinsdag 3 maart 2026 @ 20:53:
[...]

Diezelfde klanten waar jij op doelt is ook de groep die door een dergelijke handreiking een vals gevoel van veiligheid krijgen (en daarmee mogelijk minder oplettend acteren).


[...]

Het feit dat die aanvullende informatie erin zat had door Odido gecommuniceerd moeten worden, in plaats van oplettende journalisten.

In feite heeft Odido bijzondere persoonsgegevens vergaard zonder grondslag. Gegevens die je normaliter in een politie- of medisch dossier zou vinden. Ik ben benieuwd wat de AP daar van vindt.

[Oliebolleke]

@ernstoud ah dit was dus een nasleep van de grote en jaren durende migratie naar salesforce als nieuw crm systeem.

[jurroen]

ernstoud schreef op dinsdag 3 maart 2026 @ 21:33:
[...]


In grote mate met je eens. Waarbij ik me toch wel blijf afvragen wat het nut is dat iedereen alles te horen krijgt. En er is een kleine kans dat kritieke personen in de dataset dat wel al gehoord hebben. Dat weten we niet.

Mijn inziens heeft Odido - net als welke partij dan ook - een informatieplicht. En daarbij mag het geen verschil maken of ik een 'kritiek persoon' ben.

Ik heb mijn data aan hun toevertrouwd, zij hebben een lek waar mijn data in zit. Vertel mij dan maar om welke data dat gaat.

Als journalisten vervolgens met berichtgeving komen dat het verhaal van Odido niet volledig is en dat er meer informatie in zit dan (door Odido) aangegeven, neem ik ze dat kwalijk. En dat is mijn goed recht.

[jurroen]

Martinez- schreef op dinsdag 3 maart 2026 @ 21:58:
[...]


In feite heeft Odido bijzondere persoonsgegevens vergaard zonder grondslag. Gegevens die je normaliter in een politie- of medischdossier zou vinden. Ik ben benieuwd wat de AP daar van vindt.

En volledig eens!

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 21:18:
[...]

Als jij vindt dat een uitspraak op de man is, dan kun je die rapporteren.

Wat mij betreft is het struisvogelpolitiek-tactiek. Het is "see no evil, hear no evil, I ain't hearin' ya".


[...]


Je andere oplossing om, maar aan te nemen dat alles is gelekt (wat is 'alles'?), is schieten met een kanon op een mug.

Daar ga ik wel van uit. En ik denk dat het verstandig is dat iedereen dat doet. En dan bedoel ik met “alles” echt alles. Niet alleen van de Odido hack.

Zo wil ik van bank wisselen. Mijn bankgegevens zijn nog niet eerder in combinatie met mijn paspoort gelekt. Ik weet nog niet of mijn nieuwe bank ook whitelisting gebruikt voor incasso's. Mijn huidige bank doet dat wel, maar heeft... ehh... andere nadelen.

Als blijkt dat mijn bankrekeningnummer is gelekt in dit scenario, dan wil ik (ook gezien deze dataset zeer actief wordt misbruikt) mijn opties overwegen. Wil ik dan misschien een andere bank die wel whitelisting incasso heeft? Of wil ik misschien i.p.v de redirect gewoonweg silent overgaan? Of wil ik dan misschien bij mijn huidige bank blijven? Ik weet het nog niet.

Maar je meldt iedere keer dat je de dataset hebt. Dan weet je dat toch? En over de nog ontbrekende data zul je nooit wat horen. Dat is kwalijk maar wel de realiteit.

code:

rg -C 2 -n "IBAN1|IBAN2|IBAN3|IBAN4"

Alle IBANs van: mij, mijn vrouw, mijn moeder, mijn schoonmoeder (het zijn er meer dan 4). Zus van ga ik vragen (die mag dan spreken voor rest van familie). Het is een service richting haar en haar gezin; voor mij hoeft het niet, ik voel me niet verantwoordelijk (al weet ik dat geen allen technisch begaafd is), maar ik kan het wel meenemen. Behalve de genoemde personen heb ik geen interesse of belang in deze dataset.

Sorry, ik ben je kwijt. Je wil veel meer horen van Odido wat er gelekt is maar wat er gelekt is heb je toch al in “bezit”?

Wrong, wachtwoorden zijn wel gelekt. Namelijk het wachtwoord dat nodig is om informatie te wijzigen in account. Die stonden plaintekst in de database. Dat was zogenaamd nodig voor de medewerkers (ja, echt, dat gelooft men nog ook...)

Zover we weten is er een klein aantal code woorden gelekt die gebruikt werden om de identiteit van de klant nog verder zeker te stellen. Geen wachtwoorden.

Ja, toen weigerde ik het te geven. Mijn vrouw deed er niet moeilijk over (ik was het ook daar niet mee eens, ander verhaal). Voor de medewerker was dat voldoende. Ook gebruik ik doorgaans KopieID.

Het was een voorbeeld. Je rijbewijs, ID of pasnr. zal op nog veel meer plaatsen staan. Bij veel overheidsinstanties e.d., en zoals nu in het nieuws is hebben politieambtenaren vrij toegang tot alles. Ga er maar vanuit dat alles van je bekend is op meer plaatsen dan je lief is. Is dat erg? Ja. Is er wat aan te doen? Weinig. Alert zijn.

[ernstoud]

Oliebolleke schreef op dinsdag 3 maart 2026 @ 21:59:
@ernstoud ah dit was dus een nasleep van de grote en jaren durende migratie naar salesforce als nieuw crm systeem.

Die informatie heb ik niet. Maar het kan goed zijn dat bij zo’n migratie van een oude omgeving naar de nieuwe data import heeft plaatsgevonden zonder controle of de te importeren data juist was en of conform de AVG weggehaald had moeten worden.

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 21:35:
[...]


Ik volg je niet meer. Laat ook maar, het zal wel.

Je ging de diepte in over Odido en Vodafone terwijl ik en een andere Tweaker daarover een gebbetje hadden.

Mijn vrouw wil graag daar in de buurt op vakantie. Ik niet...

Mooi hoor hier. Vriendelijke mensen. Zeggen elkaar nog gedag en zo. Frisse lucht ook.

[Yamy_Daffy]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:03:
[...]


Daar ga ik wel van uit. En ik denk dat het verstandig is dat iedereen dat doet. En dan bedoel ik met “alles” echt alles. Niet alleen van de Odido hack.

Gisteren kreeg mijn vrouw een email. Daarin stond dat al haar gegevens bekend waren van woonadres tot aan creditcard nummer en beveiliging codes alles. Of ze even wilde betalen om het geheim te houden.
Dan ga je toch af vragen na zo'n enorme lek wat er uitgelekt is? Hoeveel zorgen moet je je gaan maken. Wat hebben ze echt in handen gekregen?

En dan is het toch fijn om te weten dat alleen haar Naam Email en telefoonnummer in die lek stonden.
Dan zelf maar gaan speuren als diegene waarbij het lek gebeurd is niet thuis geeft.

Soms is iets meer informatie over welke dingen er gelekt zijn rustgevend.

[ernstoud]

Martinez- schreef op dinsdag 3 maart 2026 @ 21:58:
[...]

In feite heeft Odido bijzondere persoonsgegevens vergaard zonder grondslag. Gegevens die je normaliter in een politie- of medischdossier zou vinden. Ik ben benieuwd wat de AP daar van vindt.

En ik ben benieuwd wat de AP hier van vindt: https://nos.nl/artikel/26...or-neuzen-in-dossier-lisa

Bij het Haga Ziekenhuis was indertijd de boete 350.000 euro voor onterechte toegang van enkele tientallen zorgmedewerkers tot het medisch dossier en onvoldoende beveiliging. Bij de politie nu een veelvoud daarvan?

Gokje: Odido als waar is wat we lezen… 4 miljoen?

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 21:59:
[...]


Mijn inziens heeft Odido - net als welke partij dan ook - een informatieplicht. En daarbij mag het geen verschil maken of ik een 'kritiek persoon' ben.

Het was een aanname van mij dat er een kans is dat kritieke personen al meer gehoord hebben. En welkom in de realiteit dat er redenen zijn om sommige personen anders te behandelen ondanks artikel 1 van de grondwet.

Ik heb mijn data aan hun toevertrouwd, zij hebben een lek waar mijn data in zit. Vertel mij dan maar om welke data dat gaat.

Als journalisten vervolgens met berichtgeving komen dat het verhaal van Odido niet volledig is en dat er meer informatie in zit dan (door Odido) aangegeven, neem ik ze dat kwalijk. En dat is mijn goed recht.

Zeker. Maar recht hebben en krijgen is twee. Ook bij mij botst dat. Heb rechtszaken gevoerd en weet nu ook dat “recht” niet rechtlijnig is.

Ik lees hier (niet persoonlijk bedoeld!) in deze thread iets wat ik al eens tegen een dwarse collega vertelde: “Wil jij op je grafsteen hebben staan: en toch kwam ik van rechts?”

Ja, het is … met peren wat er bij Odido gebeurd is. En het is kwalijk dat er voor velen te weinig informatie is. En guess what; grote kans dat het zo blijft. Het onderzoek van de AP kan zo een jaar duren. Horen we dan alles? Ook niet.

[ernstoud]

Yamy_Daffy schreef op dinsdag 3 maart 2026 @ 22:11:
[...]


Gisteren kreeg mijn vrouw een email. Daarin stond dat al haar gegevens bekend waren van woonadres tot aan creditcard nummer en beveiliging codes alles. Of ze even wilde betalen om het geheim te houden.

En wat was jullie reactie? En was die voor 12 februari anders geweest?

[Jerie]

Opgelet: Checkjehack van de politie is op zich verstandig om te gebruiken i.p.v een derde partij, maar deze stuurt geen notificatie wanneer je e-mailadres enkel in de communicatie voor komt. Zojuist achter gekomen. Van mij zijn in ieder geval minimaal twee email adressen gelekt, en ik gok een oudere ook nog (maar die zit in tientallen datalekken )

[ArcticWolf]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:17:
[...]


En ik ben benieuwd wat de AP hier van vindt: https://nos.nl/artikel/26...or-neuzen-in-dossier-lisa

Bij het Haga Ziekenhuis was indertijd de boete 350.000 euro voor onterechte toegang van enkele tientallen zorgmedewerkers tot het medisch dossier en onvoldoende beveiliging. Bij de politie nu een veelvoud daarvan?

Gokje: Odido als waar is wat we lezen… 4 miljoen?

Eerlijk, ik heb ook inzage in sensitieve dossiers, ooit aangevraagd om onderzoek te doen vanuit m'n functie waarom en hoe bepaalde incidenten plaatsvonden. En ja, ik kijk ook weleens in random dossiers uit interesse, en nee daar praat ik met niemand over en deel ze al helemaal niet op het internet.

Werk niet bij de politie maar kan mij voorstellen dat menig politie medewerker geïnteresseerd was in het dossier van Lisa en dat daar echt geen kwade bedoeling achter zit, dus vind de reactie op de politie ansich best wel hard.

[Yamy_Daffy]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:33:
[...]


En wat was jullie reactie? En was die voor 12 februari anders geweest?

Voor 12 Februari zou de reactie zijn geweest: Het zal wel...
Na 12 Februari was de reactie: F**K, wat is er allemaal gelekt waarvan wij geen idee hebben? Wat weten ze echt over ons?

En als we na 12 februari een mailtje hadden gehad van Odido met daarin joh hee we zijn gehacked sorry daarvoor en er is data gelekt en daarin staan jullie telefoonnummer, naam en email en voor zover we nu weten meer niet. Mocht dit in de toekomst veranderen dan komen we hierop terug...

Dan had ik gisteravond niet voor het eerst op het darkweb gezeten.

[ Voor 32% gewijzigd door Yamy_Daffy op 03-03-2026 22:50 ]

[ernstoud]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 22:35:
[...]
Eerlijk, ik heb ook inzage in sensitieve dossiers, ooit aangevraagd om onderzoek te doen vanuit m'n functie waarom en hoe bepaalde incidenten plaatsvonden. En ja, ik kijk ook weleens in random dossiers uit interesse, en nee daar praat ik met niemand over en deel ze al helemaal niet op het internet.

Als auditor (ISO27001) moest ik ook personeelsdossiers zien. Maar dan is er een reden. En waar nodig kon de betreffende medewerker in de steekproef toestemming geven.

Uit interesse, dus zonder reden en/of toestemming, is het vrijwel zeker niet toegestaan. Afhankelijk van allerlei factoren misschien ook wel strafbaar.

Werk niet bij de politie maar kan mij voorstellen dat menig politie medewerker geïnteresseerd was in het dossier van Lisa en dat daar echt geen kwade bedoeling achter zit, dus vind de reactie op de politie ansich best wel hard.

Ook politiemensen zijn mensen. En nieuwsgierig ben ik ook. Maar 1700 onbevoegden de snuffelden in een dergelijk dossier is wel erg veel. In mijn ogen goed dat hier onderzoek naar komt.

Maar goed, terug naar Odido. Toont wel aan hoe ook mensen die weten hoe vertrouwelijk informatie in een nog niet afgesloten onderzoek is ook fouten maken. Laat staan een voor minimumloon werkende student bij de Odido klantenservice.

[SgtElPotato]

Yamy_Daffy schreef op dinsdag 3 maart 2026 @ 22:11:
[...]


Gisteren kreeg mijn vrouw een email. Daarin stond dat al haar gegevens bekend waren van woonadres tot aan creditcard nummer en beveiliging codes alles. Of ze even wilde betalen om het geheim te houden.
Dan ga je toch af vragen na zo'n enorme lek wat er uitgelekt is? Hoeveel zorgen moet je je gaan maken. Wat hebben ze echt in handen gekregen?

En dan is het toch fijn om te weten dat alleen haar Naam Email en telefoonnummer in die lek stonden.
Dan zelf maar gaan speuren als diegene waarbij het lek gebeurd is niet thuis geeft.

Soms is iets meer informatie over welke dingen er gelekt zijn rustgevend.

Deze scam is al oud en gaat al jaren rond. Zo ook met ‘gelekte’ foto’s en noem maar op. Of het erger is geworden of gaat worden door het lek, geen idee ik denk het niet.

Ik probeer niks goed te praten, maar je kunt er tegenwoordig helaas bijna vanuit gaan dat vroeg of laat een keer je gegevens gelekt worden. Ik heb mailadressen en een telefoonnummer van inmiddels bijna 20 jaar oud, maar ook daar krijg ik al jaren spam op.

Ik denk dat we onszelf voornamelijk moeten voorbereiden om niet in dit soort vallen te trappen, vroeg of laat krijg je ermee te maken.

Uiteraard hoop ik op een passende straf voor odido vanwege nalatigheid in het Salesforce programma.

[Yamy_Daffy]

SgtElPotato schreef op dinsdag 3 maart 2026 @ 22:50:
[...]


Deze scam is al oud en gaat al jaren rond. Zo ook met ‘gelekte’ foto’s en noem maar op. Of het erger is geworden of gaat worden door het lek, geen idee ik denk het niet.

Ik probeer niks goed te praten, maar je kunt er tegenwoordig helaas bijna vanuit gaan dat vroeg of laat een keer je gegevens gelekt worden. Ik heb mailadressen en een telefoonnummer van inmiddels bijna 20 jaar oud, maar ook daar krijg ik al jaren spam op.

Ik denk dat we onszelf voornamelijk moeten voorbereiden om niet in dit soort vallen te trappen, vroeg of laat krijg je ermee te maken.

Uiteraard hoop ik op een passende straf voor odido vanwege nalatigheid in het Salesforce programma.

Ik denk het ook niet, ik weet het wel zeker dat het erger is geworden. (bij ons is het een feit) Bij ons komen de mails nu echt binnen na de datalek. Ik had vrijwel nooit phishingmails en vanochtend al 2 in de spam box.
Maar we gaan het mee maken in de toekomst.

[ernstoud]

Yamy_Daffy schreef op dinsdag 3 maart 2026 @ 22:46:
[...]

Voor 12 Februari zou de reactie zijn geweest: Het zal wel...
Na 12 Februari was de reactie: F**K, wat is er allemaal gelekt waarvan wij geen idee hebben? Wat weten ze echt over ons?

Dan zijn jullie je nog beter bewust geworden wat er allemaal wel/niet van je bekend is. En dat is goed.

En als we na 12 februari een mailtje hadden gehad van Odido met daarin joh hee we zijn gehacked sorry daarvoor en er is data gelekt en daarin staan jullie telefoonnummer, naam en email en voor zover we nu weten meer niet. Mocht dit in de toekomst veranderen dan komen we hierop terug...

Dan had ik gisteravond niet voor het eerst op het darkweb gezeten.

Zelf weten maar ik vind dat niet verstandig. Heb je een VM gebruikt? En die nu verwijderd?

[ArcticWolf]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:50:
[...]


Als auditor (ISO27001) moest ik ook personeelsdossiers zien. Maar dan is er een reden. En waar nodig kon de betreffende medewerker in de steekproef toestemming geven.

Uit interesse, dus zonder reden en/of toestemming, is het vrijwel zeker niet toegestaan. Afhankelijk van allerlei factoren misschien ook wel strafbaar.


[...]


Ook politiemensen zijn mensen. En nieuwsgierig ben ik ook. Maar 1700 onbevoegden de snuffelden in een dergelijk dossier is wel erg veel. In mijn ogen goed dat hier onderzoek naar komt.

Maar goed, terug naar Odido. Toont wel aan hoe ook mensen die weten hoe vertrouwelijk informatie in een nog niet afgesloten onderzoek is ook fouten maken. Laat staan een voor minimumloon werkende student bij de Odido klantenservice.

Er werken 63.000 mensen bij de politie, dus 1700 is echt een druppel op een gloeiende plaat. En onbevoegden? Per rechercheur bepalen wie waar toegang tot welk dossier heeft is ook niet te doen, daarom krijgt functieprofiel X, Y, Z toegang tot alle dossiers en de rest niet.

Dit laat overigens wel zien hoe lastig het privacy gedeelte binnen NL (en de rest van de wereld) is en wat je ook zegt... een student bij Odido kan 1 fout maken en de hele database ligt online.

[Jerie]

SgtElPotato schreef op dinsdag 3 maart 2026 @ 22:50:
[...]


Deze scam is al oud en gaat al jaren rond. Zo ook met ‘gelekte’ foto’s en noem maar op. Of het erger is geworden of gaat worden door het lek, geen idee ik denk het niet.

Ik probeer niks goed te praten, maar je kunt er tegenwoordig helaas bijna vanuit gaan dat vroeg of laat een keer je gegevens gelekt worden. Ik heb mailadressen en een telefoonnummer van inmiddels bijna 20 jaar oud, maar ook daar krijg ik al jaren spam op.

Ik denk dat we onszelf voornamelijk moeten voorbereiden om niet in dit soort vallen te trappen, vroeg of laat krijg je ermee te maken.

Uiteraard hoop ik op een passende straf voor odido vanwege nalatigheid in het Salesforce programma.

Zoek op aspergesoep in dit topic om diverse schema's te vinden waarbij je gebruik maakt van verschillende e-email identiteiten per service. Het vereist wel altijd een degelijke wachtwoordmanager.

En ja, ik denk dat het wel erger wordt. Dat valt te wijten aan:

• Grote hoeveelheid (% NL'ers) in deze dataset, tesamen met recentheid van de data.
• Zeer gevoelige content inzake BN'ers, VIPs, vitale beroepen, enz.
• Bovenstsaande dientengevolge de grote mediaaandacht, wellicht ook aandacht in de onderwereld / donkere krochten op het internet.
• Hoewel 17 juli 2014 verbroederde, is de maatschappij sinds medio maart 2020, 24 februari 2022, 7 oktober 2023, 20 januari 2025 significant verplinterd. De tectonische platen der geopolitiek zijn ernstig aan het verschuiven. We zien bijvoorbeeld ook een criminalisering van mensen die deze data voor eigen gebruik (ofwel familiare kring) zeggen te willen gebruiken.
• Het feit dat de data beschikbaar was of is op het clearweb (http://)
• De combinatie van bepaalde gevoelige gegevens eenvoudig te koppelen valt aan minder gevoelige gegevens.
• De opkomst van ML (AI), specifiek voice cloning, LLM (de grootste openbare schending van auteursrechten. ever), *claw of hoe het tegenwoordig ook heet. Waarschijnlijk heeft er al iemand een SLM getraind op basis van deze content.
• Cryptocurrency is nog steeds geheel legaal, ondanks het feit dat dit louter gebruikt wordt voor duistere doeleinden. Ik vind dit een veel groter issue dan Tor, of specifiek dit datalek omdat het criminele netwerken wereldwijd in verbinding stelt.

Klein voordeeltje is dat RAM en GPUs peperduur zijn, ook voor criminelen.

[ernstoud]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 22:57:
[...]

Er werken 63.000 mensen bij de politie, dus 1700 is echt een druppel op een gloeiende plaat. En onbevoegden? Per rechercheur bepalen wie waar toegang tot welk dossier heeft is ook niet te doen, daarom krijgt functieprofiel X, Y, Z toegang tot alle dossiers en de rest niet.

Ik hoop toch echt niet dat het zo werkt. Toegang door het onderzoeksteam prima. Maar 1700? No way.

Dit laat overigens wel zien hoe lastig het privacy gedeelte binnen NL (en de rest van de wereld) is en wat je ook zegt... een student bij Odido kan 1 fout maken en de hele database ligt online.

Het bijzonder is dat we al sinds vele, vele jaren weten hoe het theoretisch moet met toegang verlenen tot gevoelige informatie (voor de geïnteresseerde: Wikipedia: Bell–LaPadula model) alleen is de vertaling ervan naar de digitale wereld lastig. Het kan wel. En het wordt ook wel hier en daar waar het echt nodig is (NATO e.d.) strikt toegepast. Maar goed, Edward Snowden was niet eens in vaste dienst bij de CIA en kon overal bij.

Ik heb gewerkt bij clubs met staatsgeheimen. Ging nog wel in de papieren wereld met 6 classificaties. En toen kwam SAP om de hoek, drie landen met vestigingen die aan elkaar geknoopt moesten worden met staatsgeheimen. Je weet wel, oude wetgeving die spreekt over de “verboden plaats”. Waar de informatie moet blijven. Waar staat dat dan in de Oracle database? Hoe houden we dat in NL?

De programmeurs wisten op vrijwel elke vraag geen antwoord te geven.

De werkelijkheid is weerbarstig. Vrij vertaald: we klungelen maar wat aan. En daarom ben ik cynisch. Waardoor ik begrijp (niet goedpraat!) dat wat bij Odido gebeurd is morgen bij welk ander bedrijf kan en gaat gebeuren.

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:56:

Zelf weten maar [...]

Voor de goede orde, de data is te vinden via HTTP. Er is geen noodzaak om Tor te gebruiken. Zelfs die LLM van Musk.. en nee, daar ben ik niet blij mee

Het delen van parsing parameters om elkaar te helpen, daar ben ik wel een voorstander van. Dat dat ook voor slechte doeleinden gebruikt kan worde, is jammer, maar dat kan een TCP/IP stack of een keukenmes ook. Als je wilt weten welke data er van jou in de dataset staat, tja...

[ Voor 7% gewijzigd door rens-br op 04-03-2026 08:14 . Reden: Laten we zaken gewoon benoemen zoals ze heten ]

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 23:16:
[...]


Voor de goede orde, de data is te vinden via HTTP. Er is geen noodzaak om Tor te gebruiken. Zelfs die LLM van die geinponem die op 20 januari 2025 de Hiltergroet deed, deelt het met droge ogen... en nee, daar ben ik niet blij mee

Het delen van parsing parameters om elkaa te helpen, daar ben ik wel een voorstander van. Dat dat ook voor slechte doeleinden gebruikt kan worde, is jammer, maar dat kan een TCP/IP stack of een keukenmes ook. Als je wilt weten welke data er van jou in de dataset staat, tja...

Knip. Alleen een TR is volgende keer voldoende.

[ Voor 7% gewijzigd door rens-br op 04-03-2026 08:14 ]

[ArcticWolf]

ernstoud schreef op dinsdag 3 maart 2026 @ 23:13:
[...]


Ik hoop toch echt niet dat het zo werkt. Toegang door het onderzoeksteam prima. Maar 1700? No way.

MazeWing in '1700 politiemedewerkers bekeken dossier vermoorde Lisa: 'Buitengewoon kwalijk''

Hier staat meer info over hoe en wat en is het toch een stuk genuanceerder dan dat het ministerie en de media het doet klinken.

Systemen zoals BVH (Basisvoorziening Handhaving), Summit (recherche systeem waar je handmatig aan het onderzoek toegevoegd moet worden), algemene bevragingssystemen maar ook het systeem waarin de meldkamer hun zaken in verwerkt (GMS).

Teams worden dus weldegelijk handmatig aan onderzoeken toegevoegd.

Queries zonder inzage zijn blijkbaar ook geflagged, zonder dat ze inzage hadden (dat begrijp ik eruit).

[...]


Het bijzonder is dat we al sinds vele, vele jaren weten hoe het theoretisch moet met toegang verlenen tot gevoelige informatie (voor de geïnteresseerde: Wikipedia: Bell–LaPadula model) alleen is de vertaling ervan naar de digitale wereld lastig. Het kan wel. En het wordt ook wel hier en daar waar het echt nodig is (NATO e.d.) strikt toegepast. Maar goed, Edward Snowden was niet eens in vaste dienst bij de CIA en kon overal bij.

Ik heb gewerkt bij clubs met staatsgeheimen. Ging nog wel in de papieren wereld met 6 classificaties. En toen kwam SAP om de hoek, drie landen met vestigingen die aan elkaar geknoopt moesten worden met staatsgeheimen. Je weet wel, oude wetgeving die spreekt over de “verboden plaats”. Waar de informatie moet blijven. Waar staat dat dan in de Oracle database? Hoe houden we dat in NL?

De programmeurs wisten op vrijwel elke vraag geen antwoord te geven.

De werkelijkheid is weerbarstig. Vrij vertaald: we klungelen maar wat aan. En daarom ben ik cynisch. Waardoor ik begrijp (niet goedpraat!) dat wat bij Odido gebeurd is morgen bij welk ander bedrijf kan en gaat gebeuren.

[ernstoud]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 23:18:
[...]

MazeWing in '1700 politiemedewerkers bekeken dossier vermoorde Lisa: 'Buitengewoon kwalijk''

Hier staat meer info over hoe en wat en is het toch een stuk genuanceerder dan dat het ministerie en de media het doet klinken.

Grappig. Als het om politie gaat is er “nuance” nodig.

Enfin, Odido dus.

[ArcticWolf]

ernstoud schreef op dinsdag 3 maart 2026 @ 23:21:
[...]


Grappig. Als het om politie gaat is er “nuance” nodig.

Enfin, Odido dus.

De politie heeft ansich geen data gelekt... Odido wel.

De werkelijkheid is weerbarstig. Vrij vertaald: we klungelen maar wat aan. En daarom ben ik cynisch.

Ik ben ook cynisch, maar overdrijven is ook een kunst, iets minder mag ook wel.

[jurroen]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:28:
[...]


Het was een aanname van mij dat er een kans is dat kritieke personen al meer gehoord hebben. En welkom in de realiteit dat er redenen zijn om sommige personen anders te behandelen ondanks artikel 1 van de grondwet.

Dit gaat misschien wel heel erg / te offtopic. Persoonlijk vind ik dat er zeker een argument te maken valt om die personen eerder te verwittigen. Sterker nog, als hun leven er vanaf kan hangen is het misschien onethisch om dat níét te doen.

De vraag is echter in hoeverre een provider dat zou mogen weten. Ja, natuurlijk, ze kunnen echt wel nazoeken welke prominente politieke figuren er in hun klantbestand staan. Maar bedreigde personen? Vrouwen in een blijf van mijn lijf huis?

[...]

Ja, het is … met peren wat er bij Odido gebeurd is. En het is kwalijk dat er voor velen te weinig informatie is. En guess what; grote kans dat het zo blijft. Het onderzoek van de AP kan zo een jaar duren. Horen we dan alles? Ook niet.

Het is mij persoonlijk daar niet om te doen. Liever dat ze een dag gewacht hadden (mits het nog niet gepubliceerd is) en een volledig bericht kunnen communiceren, dan half waarbij een andere partij ze moet wijzen op het feit dat er iets mist.

Data die gegijzeld wordt is in mijn optiek geen vraag óf het gebeurd, maar wanneer het gebeurd. En vanuit die gedachte kies ik liever een leverancier die al eerder een datalek/ransomware aanval heeft gehad en daar zo goed mogelijk mee is omgegaan.

Ik vind dat Odido daar niet onder valt - dankzij die extra data die niet gecommuniceerd was, maar vooral omdat ze data veel te lang bewaard hebben. Tien jaar, terwijl het twee jaar zou moeten zijn volgens hun eigen beleid (en dus ook de overeenkomst die ik met ze had). Plus dat ze waarschuwingen vanuit Salesforce zelf genegeerd hebben.... En zo kan ik nog wel even doorgaan.

[ernstoud]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 23:24:
[...]

De politie heeft ansich geen data gelekt...

Zeker weten?

Stel dat de dader daderkennis heeft. En dat een grote rol in de rechtszaak heeft. Welnu, zijn advocaat kan nu het lekken daarvan gaan benoemen. Bewijs maar dat het niet zo is. Kan de zaak erg beïnvloeden.

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 23:24:
[...]
Data die gegijzeld wordt is in mijn optiek geen vraag óf het gebeurd, maar wanneer het gebeurd. En vanuit die gedachte kies ik liever een leverancier die al eerder een datalek/ransomware aanval heeft gehad en daar zo goed mogelijk mee is omgegaan.

Ik vind dat Odido daar niet onder valt…

Beetje selectief gequote, sorry. Omdat ik het met de rest wel eens ben.

Maar welke provider moet ik dan nu kiezen? Vodafone is gewoon … met peren, KPN is ook wel eens gehackt en ik kan me daarover vanuit hen ook geen communicatie herinneren. Ik heb Odido als backup voor glasvezel. Zo’n product hebben de anderen niet. Dus tja.

[Q]

Q schreef op dinsdag 3 maart 2026 @ 14:06:
Ik wil even inloggen bij odido om mijn wachtwoord voor de zekerheid te wijzigen.
Ze sturen me een code per SMS toe maar ik ontvang nooit wat.
Ben ik de enige of herkennen mensen dit probleem?

Inmiddels werkt de site weer en krijg ik nu ook een SMS, en heb ik mijn gegevens kunnen wijzigen.

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:03:
[...]


Daar ga ik wel van uit. En ik denk dat het verstandig is dat iedereen dat doet. En dan bedoel ik met “alles” echt alles. Niet alleen van de Odido hack.

De gegevens die Odido bezit, die ze gaan delen n.a.v. AVG verzoek, zijn ter verificatie van de gelekte gegevens. Als daar meer in staat, kan dat reden zijn om nog meer actie te ondernemen.

En 'alles', is schijnbaar toch meer dan de verbeelding over zou laten. Daar staan toch werkelijk legio voorbeelden van in dit topic? Bijv. ook BSN? Tot nu toe ben ik het paspoortnummer (voor zover het een nummer is ..) van mijn moeder nog niet tegengekomen, maar dat van mijn vrouw en ik wel.

Maar je meldt iedere keer dat je de dataset hebt. Dan weet je dat toch? En over de nog ontbrekende data zul je nooit wat horen. Dat is kwalijk maar wel de realiteit.

Iedere keer, kom op. Ik had de volledige dataset vrij laat omdat ik via Tor downloadde. Zoals je weet is dat niet al te snel. Ook heeft mijn MBP (die er enkele seconden over doet) maar 16 GB RAM, en swappen wil ik niet. Daarom ben ik het elders gaan draaien (nog steeds hardware in mijn bezit) maar dan wel een mechanische, versleutelde harddisk. Op dit moment is deze machine airgapped, dus ik moet steeds fysiek erheen. Een query op de data duurt ook dik een uur. Logisch, dat is het nadeel van FDE, maar wel van belang in deze context.

In de tussentijd ben ik diverse parameters in de regexp toe gaan voegen. Uiteindelijk wil ik vier zoekslagen doen (want ik zoek data van de vier eerdergenoemde persona), met de parameters gerelateerd aan de betreffende persoon. Die wil ik opslaan, veilig aan de persoon laten zien (Signal), en dan wil ik de content verwijderen. Ik heb echter ook nog wat andere zaken te doen...

Sorry, ik ben je kwijt. Je wil veel meer horen van Odido wat er gelekt is maar wat er gelekt is heb je toch al in “bezit”?

Yup, ik ben van mening dat Odido iedere gebruiker moet melden wat er is gelekt. Niet qua inhoud, maar eerlijk zijn over welke data er is gelekt, en welke niet.

Zover we weten is er een klein aantal code woorden gelekt die gebruikt werden om de identiteit van de klant nog verder zeker te stellen. Geen wachtwoorden.

Ernst, kom op, zo'n woord heet een wachtwoord. Dat het ogenschijnlijk niet het wachtwoord is om in te loggen op Odido account, is wat anders. Iedereen moet weten welk wachtwoord dit is geweest, en deze als openbaar beschouwen. Ze zijn ook kinderlijk eenvoudig te parsen. En Ernst, je weet ook best dat mensen (delen van) wachtwoorden graag hergebruiken...

Het was een voorbeeld. Je rijbewijs, ID of pasnr. zal op nog veel meer plaatsen staan. Bij veel overheidsinstanties e.d., en zoals nu in het nieuws is hebben politieambtenaren vrij toegang tot alles. Ga er maar vanuit dat alles van je bekend is op meer plaatsen dan je lief is. Is dat erg? Ja. Is er wat aan te doen? Weinig. Alert zijn.

Ik heb bij minfin gewerkt, en heb persoonlijk meegemaakt hoe mensen eruit werden gekegeld omdat men loog over zaken als strafblad ('VOG komt wel' riiiight ). Dat is alweer bijna dertig jaar geleden. Er zal nu e.e.a. verbeterd zijn. Een familielid van mij werkt er nog steeds (nou ja, soort van, tegenwoordig gedetacheerd, met 2x het loon als voorheen ), en ik heb haar altijd afgeraden om onnodige zoekslagen te gebruiken omdat het hebben van die informatie niet nodig is om de functie uit te oefenen (en dat kan bewezen worden), en omdat alles wordt gelogd. Dat advies geldt voor eenieder die werkt met bijzondere persoonsgegevens. Stel jezelf altijd de vraag: hoe zou jijj het vinden als iemand in jouw functie hetzelfde met jouw gegevens zou doen?

In die context: nee, ik heb er NUL problemen mee als iemand deze dataset download in een VM, en gaat graven welke informatie van diegene plus directe kring in staat, mits men toestemming heeft van de betreffende personen. Dat noem ik een zwaarwegend belang hebben. Wel de dataset (de VM) z.s.m. verwijderen!

Over politieambtenaren maak ik mij niet zo'n zorgen omdat ik denk te weten dat men daar goede logging gebruikt m.b.t. gegevens, en goede screening voor wie bij zeer vertrouwelijke informatie mag komen. Ook denk ik dat corruptie binnen deze dienst goed aangepakt wordt. Zelfde over wapengebruik van agenten. Daar is men zeer kritisch op, ontstaat altijd een onderzoek. Dat is echt niet hetzelfde als de situatie in VS.

Wat betreft die 1700. Natuurlijk zitten daar rotte appels tussen, maar niet allemaal. Daar mag je niet vanuit gaan. Het feit dat het nu onderzocht wordt, houdt in dat het VIK het de moeite waard vindt en dat is een significant detail. Maar het gaan er geen 1700 zijn, dat is zeker.

Dat wij kritisch en inhoudelijk op onze diensten mogen zijn, is een groot goed. Dat we daar nog vele jaren van mogen genieten

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 23:34:
[...]


Beetje selectief gequote, sorry. Omdat ik het met de rest wel eens ben.

Maar welke provider moet ik dan nu kiezen? Vodafone is gewoon … met peren, KPN is ook wel eens gehackt en ik kan me daarover vanuit hen ook geen communicatie herinneren. Ik heb Odido als backup voor glasvezel. Zo’n product hebben de anderen niet. Dus tja.

Die KPN hack was in 2012. Dat was nog voor de tijd dat er Huawei medewerkers vanuit China invlogen om het core netwerk te updaten. Ik snap niet waarom je dat steeds probeert te vergelijken met 2026. Je draait al 40 jaar mee in de IT. Dan weet je ook dat 14 jaar een lange tijd is in de IT. De geopolitieke situatie is significant veranderd sindsdien, zie Jerie in "Odido waarschuwt voor datalek (cyberaanval/hack)"

Bij Vodafone hoef je alleen maar de website te checken om te zien uit welke decennium ze komen, en dat stemt me niet vrolijk, nee.

KPN is duur maar

• Voor volume wordt het gunstig(er)
• Je kunt data delen (bijvoorbeeld met je kinderen)
• Ze hebben een gedegen SOC
• Het is vooralsnog een Nederlands bedrijf

Dat SOC is eigenlijk opgezet voor hun klanten, maar zullen ze voor consumenten. Odido heeft v.z.i.w. niet dergelijke volumes aan klanten (denk aan hosting/colo e.d.)

Als ik KPN was, zou ik trouwens investeren in een 'Nederlandse cloud' (hyperscaler). Daar is grote maatschappelijke behoefte aan. Eventueel in een consortium.

Wat mij betreft heeft KPN van deze drie dan ook verreweg de beste naam. En dat zeg ik als ex-Xs4all gebruiker van het eerste uur en wat heb ik ze gehaat met hun trage glasvezel uitrol om DSL uit te knijpen ... zo kan ik nog wel even doorgaan -- kortom, ik ben geen fan/shill van KPN, laat dat duidelijk zijn.

Daarnaast heb je ook nog de optie MVNOs die gebruik maken van KPN netwerk.

We hebben het bij bovenstaande over mobiel, maar Odido levert ook glasvezel. Via ODF hebben ze het eerste jaar alleenrecht op het netwerk, maar dat is slechts tijdelijk. Daarna kun je gaan shoppen, en daar zitten mooie deals bij, ben ik onlangs achtergekomen.

[beyazz06]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 23:24:
[...]

De politie heeft ansich geen data gelekt... Odido wel.


[...]

Ik ben ook cynisch, maar overdrijven is ook een kunst, iets minder mag ook wel.

Niet om je persoonlijk aan te vallen oid, maar ik hoop dat je niet als İT-auditor/security adviseur aan het werk bent. Je maakt namelijk allerlei aannames in je voorbeelden ipv te kijken naar de risico's die gepaard gaan met onkundige privacy/security configuraties.

Om maar iets te roepen; Er hoeft van die 1700 maar 1 medewerker corrupt te zijn en weg is je gevoelige data met alle gevolgen van dien. Wat overigens niet enkel voor de betreffende zaak geldt, maar voor elke zaak binnen de politie.

Hiernaast betekent het niet dat we over 1700 medewerkers spreken, maar potentieel 63.000 medewerkers die toegang hebben tot informatie die ze niet hoeven te zien.

Bovenstaande is nu werkelijkheid/bekend geworden voor Odido.

Kan de politie met 100% zekerheid zeggen, dat geen een van die 1700 medewerkers ook maar iets gelekt heeft? Lijkt mij niet, dus we weten niet of de Politie data wel of niet gelekt heeft.

Om er nog een schepjeboven op te doen, stel dat de account gegevens van een van die 1700 door derden zijn bemachtigd en er een daadwerkelijke datalek naar boven komt; ik wens je veel succes met het vinden van het account die verantwoordelijk is geweest.

[ Voor 19% gewijzigd door beyazz06 op 04-03-2026 06:42 ]

[Draconian]

Ik wou nog even melden dat ik dus ben overgestapt naar KPN door deze datalek bij Odido. Veel beter bereik en snelheid met 5G. Maar de beveiliging is net zo slecht. Gisteren toen ik de KPN helpdesk belde moest ik mij identificeren via de standaard controle vragen.

• Achternaam
• Voornaam
• Geboortedatum
• Postcode + huisnummer
• Laatste 3 cijfers INAN nummer.

En ik was binnen. Maar dit is de data die gelekt is bij Odido. Hoe weet KPN dat ze mij aan de lijn hebben? Met onze gelekte gegevens kan iedereen wel bellen. Ik ben hier niet blij mee. Het is wachten op een medewerker bij KPN die in phishing gaat trappen.

Ik eis dat alle telecomproviders 2FA gaan invoeren zoals een SMS of melding via de app zoals ook de Rabobank heeft dat ook daadwerkelijk jij aan de lijn bent. Het is niet meer van deze tijd met een paar controle vragen.

[ Voor 13% gewijzigd door Draconian op 04-03-2026 07:38 ]

[SgtElPotato]

Draconian schreef op woensdag 4 maart 2026 @ 06:54:
Ik wou nog even melden dat ik dus ben overgestapt naar KPN door deze datalek bij Odido. Veel beter bereik en snelheid met 5G.

Dat ligt dus puur aan je locatie en je dekking. M.i. heeft dit roepen echt 0,0 nut.

[rens-br]

Laten we het hier vriendelijk houden? Het lek an sich is al vervelend genoeg, we hoeven elkaar hier dan ook nog niet in de haren te vliegen.

[ Voor 4% gewijzigd door rens-br op 04-03-2026 09:44 ]

[Wispe]

Jerie schreef op dinsdag 3 maart 2026 @ 20:19:
[...]

Iedere volwassene in Nederland wordt geacht telefonisch bereikbaar te zijn. Heb je doorgaans ook nodig om te functioneren in de maatschappij.

Weliswaar off-topic, maar hierop wilde ik even inhaken: dit is onjuist. Denk hierbij aan doven/slechthorenden, zij zijn telefonisch niet bereikbaar en functioneren prima in de maatschappij zonder telefonisch bereikbaar te zijn.

Er is meer dan bellen of gebeld worden.

[Wispe]

Afgelopen dagen was het onduidelijk of mijn gegevens gelekt waren, want F-secure zei niets. Deze is nu up-to-date: mijn paspoort, 06 en mailadres zijn gelekt. De rest (nog) niet.

Ik overweeg om mijn paspoort te vervangen. Of zijn er redenen om dat niet te hoeven doen?

[ArcticWolf]

Draconian schreef op woensdag 4 maart 2026 @ 06:54:
Ik wou nog even melden dat ik dus ben overgestapt naar KPN door deze datalek bij Odido. Veel beter bereik en snelheid met 5G. Maar de beveiliging is net zo slecht. Gisteren toen ik de KPN helpdesk belde moest ik mij identificeren via de standaard controle vragen.

• Achternaam
• Voornaam
• Geboortedatum
• Postcode + huisnummer
• Laatste 3 cijfers INAN nummer.

En ik was binnen. Maar dit is de data die gelekt is bij Odido. Hoe weet KPN dat ze mij aan de lijn hebben? Met onze gelekte gegevens kan iedereen wel bellen. Ik ben hier niet blij mee. Het is wachten op een medewerker bij KPN die in phishing gaat trappen.

Ik eis dat alle telecomproviders 2FA gaan invoeren zoals een SMS of melding via de app zoals ook de Rabobank heeft dat ook daadwerkelijk jij aan de lijn bent. Het is niet meer van deze tijd met een paar controle vragen.

KPN heeft 2FA, je simkaart moet geverifieerd worden dmv een code als je die fysiek ontvangen hebt en automatische incasso via ideal.

Wat heeft een crimineel eraan om zich voor te doen als jou? Je abonnement opzeggen?

[Hemingr]

ArcticWolf schreef op woensdag 4 maart 2026 @ 08:55:
[...]

KPN heeft 2FA, je simkaart moet geverifieerd worden dmv een code als je die fysiek ontvangen hebt en automatische incasso via ideal.

Wat heeft een crimineel eraan om zich voor te doen als jou? Je abonnement opzeggen?

Activatie code van simkaart komt via SMS.

[sten123]

Is er al iemand benaderd door Odido nadat zijn gegevens op straat liggen?
Las wel dat mensen de Incasso stopgezet hadden om zo een reactie te krijgen van Odido, is dat wel de manier?

[Draconian]

sten123 schreef op woensdag 4 maart 2026 @ 09:28:
Is er al iemand benaderd door Odido nadat zijn gegevens op straat liggen?
Las wel dat mensen de Incasso stopgezet hadden om zo een reactie te krijgen van Odido, is dat wel de manier?

Uiteindelijk komt er een incassobureau en dan de deurwaarder. Voor die tijd hebben ze je nummer al geblokkeerd. Is geen oplossing. Koop dan al je maanden af en stap over.

[Electr0n]

Wispe schreef op dinsdag 3 maart 2026 @ 17:45:
[...]


Heb je een advocaat ingeschakeld? Hier zul je niet vinden die dat gratis wil doen voor je.

Nee was gewoon opzoek naar 'mede' tweakers of die hetzelfde dachten en of die toevallig iets weten.
Nothing more, nothing less.

[Electr0n]

Gr4mpyC3t schreef op dinsdag 3 maart 2026 @ 17:47:
[...]


De Autoriteit Persoonsgegevens is belast met de taak om te controleren of er wordt voldaan aan de AVG, enzovoorts. Als er uit onderzoek blijkt dat Odido nalatig is geweest met het beveiligen van persoonsgegevens, zal ongetwijfeld een boete volgen. Het is gewoon afwachten hoe dit afloopt en tot die tijd heb je als klant alleen invloed op de zaak door over te stappen.

Het kwantificeren van geleden schade is simpelweg super moeilijk met dit soort datalekken.

Ben je bijvoorbeeld wel tevreden met een compensatie van je abonnement? Ik niet, want daardoor zijn persoonsgegevens niet ineens uit de openbaarheid.

Nee dat is een lachertje inderdaad.
Ik was nieuwsgierig of hier mede tweakers waren die hetzelfde dachten en meer over dit soort zaken kon vertellen. Het is een kwestie van wachten iig.

[ArcticWolf]

Hemingr schreef op woensdag 4 maart 2026 @ 09:11:
[...]


Activatie code van simkaart komt via SMS.

Ja die fysiek naar jouw adres is gestuurd en de SMS wordt naar het nummer gestuurd waarop de SIM geactiveerd gaat worden.

Dus ze kunnen je naam wel gebruiken om een abonnement af te sluiten maar dat zou dan wel op een ander adres en andere IBAN gedaan moeten worden, dus dan hebben ze er nog niks aan.
Ze kunnen zichzelf voordoen als jou bij de KPN helpdesk bv... En dan? Wat willen ze daarmee bereiken?

[NicoHF]

sten123 schreef op woensdag 4 maart 2026 @ 09:28:
Is er al iemand benaderd door Odido nadat zijn gegevens op straat liggen?
Las wel dat mensen de Incasso stopgezet hadden om zo een reactie te krijgen van Odido, is dat wel de manier?

Wat willen ze ermee opschieten om de automatische incasso te stoppen?
Betalen moeten ze toch, met of zonder incasso gaat dat uiteindelijk wel lukken alleen wordt de prijs dan een stukje hoger.

[Tomoth]

ernstoud schreef op dinsdag 3 maart 2026 @ 18:46:
[...]
Soms helpt het om in een discussie de bandbreedte te weten. Dat is geen ”doorslaan”. Huilende managers dus niet. Maar wel een andere toon. Maar wat dan? Niemand duidt dat hier in deze thread. Omdat het per persoon verschillend ervaren wordt denk ik.

Je antwoorden hebben me wel aan het denken gezet, waar zit het dan vooral in bij mij? Want ja, het is inderdaad vooral emotie. En ik denk voor mij wat punten te hebben gevonden op hun informatiepagina:

Odido:
Nadat de criminelen toegang hebben weten te verkrijgen hebben zij op een slinkse en onbevoegde manier klantdata weten te downloaden.

Wat er gebeurd is: Via social engineering en scraping hadden ze toegang tot miljoenen (gevoelige!) klantgegevens. En ik weet niet hoe lang je bezig bent met scrapen van miljoenen gegevens, maar ze hebben blijkbaar tijd genoeg gehad om onopgemerkt hun slag te slaan. Dan zijn die criminelen misschien "slinks", je hebt je eigen veiligheid totaal niet op orde.

Odido:
Daarnaast willen we benadrukken dat je veiligheid onze hoogste prioriteit heeft.

Uit de media:
• Odido wist naar eigen zeggen niet dat die extra informatie ook in handen was van de criminelen en heeft daarover dus niets gecommuniceerd
• Toeleverancier Odido waarschuwde voor gebruikte hackmethode
• De Autoriteit Persoonsgegevens liet gisteren weten uitleg te willen van Odido vanwege de mogelijke te lange opslag van gegevens.

Odido:
Helaas komen cyberaanvallen zoals deze steeds vaker voor en is geen enkele organisatie immuun.

Oh, nou dan is het allemaal niet zo erg hoor.

Odido:
Ons onderzoek naar welke gegevens precies getroffen zijn loopt nog. Zodra er meer bekend is, zullen we via deze pagina verdere updates delen.

Uit de media:
Bij de hack deze maand bij Odido zijn ook gevoelige aantekeningen over klanten buitgemaakt. Odido wist naar eigen zeggen niet dat die extra informatie ook in handen was van de criminelen en heeft daarover dus niets gecommuniceerd.

Odido:
We willen altijd transparant zijn naar onze klanten.

Uit de media:
Odido laat weten niet te reageren zolang het onderzoek nog loopt.


Kortom: ik snap bepaalde keuzes, maar zeg niet "altijd transparant" te zijn en dat "veiligheid de hoogste prioriteit heeft" als je de schijn zo tegen hebt. Gebruik dan andere woorden en poets de boel niet op.

[SgtElPotato]

sten123 schreef op woensdag 4 maart 2026 @ 09:28:
Is er al iemand benaderd door Odido nadat zijn gegevens op straat liggen?
Las wel dat mensen de Incasso stopgezet hadden om zo een reactie te krijgen van Odido, is dat wel de manier?

Dat is de wel de manier om afgesloten te worden en een deurwaarder achter je aan te krijgen

[Wispe]

sten123 schreef op woensdag 4 maart 2026 @ 09:28:
Is er al iemand benaderd door Odido nadat zijn gegevens op straat liggen?
Las wel dat mensen de Incasso stopgezet hadden om zo een reactie te krijgen van Odido, is dat wel de manier?

Is dat een serieuze vraag?

[Hemingr]

Gaat lekker bij ze.

[lucatoni]

Vanochtend een mail van een tool over Odido hack. Ik kan daar exact zien welke data van mij gelekt is (na 2FA). Dat is iets beter dan have i been pwned, maar wel zorgelijk dat er straks meerdere externe partijen zijn die deze data opslaan.

[ Voor 7% gewijzigd door rens-br op 04-03-2026 10:23 ]

[HowsMyApple]

Sinds alle gegevens zijn gepubliceerd krijg ik elke dag wel een paar mails in m'n spamfolder in Gmail. Daarvoor was dat 1 keer per .. 2 weken oid.

Wat mij wel opvalt is dat het wel direct naar mijn hoofdemailadres is geaddresseerd, en niet naar de "[e-mail]" wat sinds 5 jaar mijn emailadres was bij Odido. Helaas bewaarde Odido ook mijn originele emailadres dus enerzijds snap ik dat ik nu veel spam krijg op "[e-mail]", maar ik had het óók verwacht op "[e-mail]".

Zouden 'ze' wellicht standaard alle +alias er al afhalen?

[BigLebowski]

Same here.

Ik weet niet zeker of deze gegevens correct of volledig zijn (mijn adres staat er bijvoorbeeld niet bij, wat vreemd is)

[rens-br]

HowsMyApple schreef op woensdag 4 maart 2026 @ 10:20:
Zouden 'ze' wellicht standaard alle +alias er al afhalen?

Ik verwacht / vermoed dat de meeste spammers wel weten dat alles na de + er staat voor nop.

[FRANQ]

FRANQ schreef op dinsdag 3 maart 2026 @ 16:37:
[...]


Zojuist 2x geprobeerd, ik krijg gewoon beide keren de sms code binnen.

Ik kreeg gisteravond, en nu weer geen sms.
Het werkt dus af en toe wel/niet.

Overstappen heb ik ook over nagedacht.
Maar alternatieven zoals freedom of kpn zijn twee tientjes duurder per maand voor alleen al het internet abonnement.
Dan komen de mobiele abonnementen er nog bij die voor gelijkwaardig ook duurder zijn.

Sinds T-Mobile Odido geworden is, kijk ik zo af en toe eens rond, maar mijn abonnementen zijn in die tussentijd nooit in prijs verhoogd. Dus ik zit erg goedkoop nu in vergelijking met andere providers.
(Zelfs bij odido kan ik alleen duurdere abonnementen kiezen)

[DjoeC]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 22:35:
[...]
En ja, ik kijk ook weleens in random dossiers uit interesse, en nee daar praat ik met niemand over en deel ze al helemaal niet op het internet.

Hmm.... Herkenbaar maar ook dat valt onder "not done" en dat weet je ook vast wel

Ook je werkgever/opdrachtgever valt hier wel iets te verwijten: Extra authorisaties horen na verstrijken van de noodzaak automatisch onmiddellijk of na een paar dagen te worden ingetrokken.

[ Voor 21% gewijzigd door DjoeC op 04-03-2026 10:43 ]

[Martinez-]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 22:57:
[...]

Er werken 63.000 mensen bij de politie, dus 1700 is echt een druppel op een gloeiende plaat. En onbevoegden? Per rechercheur bepalen wie waar toegang tot welk dossier heeft is ook niet te doen, daarom krijgt functieprofiel X, Y, Z toegang tot alle dossiers en de rest niet.

Dit laat overigens wel zien hoe lastig het privacy gedeelte binnen NL (en de rest van de wereld) is en wat je ook zegt... een student bij Odido kan 1 fout maken en de hele database ligt online.

In de zorg kennen we hiervoor het break the glass principe. Dat houdt in dat alleen de mensen betrokken bij een bepaald zorgtraject ongestoord inzicht kunnen hebben op een dossier, zoals het hoort.

Moet er uit noodzaak toch iemand buiten dat zorgtraject inzicht hebben, dan kunnen ze een reden daartoe geven in het systeem en kunnen we achteraf nakijken of het een terechte toegang was. Juist om nieuwsgierigheid de kop in te drukken.

[SgtElPotato]

HowsMyApple schreef op woensdag 4 maart 2026 @ 10:20:
Sinds alle gegevens zijn gepubliceerd krijg ik elke dag wel een paar mails in m'n spamfolder in Gmail. Daarvoor was dat 1 keer per .. 2 weken oid.

Wat mij wel opvalt is dat het wel direct naar mijn hoofdemailadres is geaddresseerd, en niet naar de "[e-mail]" wat sinds 5 jaar mijn emailadres was bij Odido. Helaas bewaarde Odido ook mijn originele emailadres dus enerzijds snap ik dat ik nu veel spam krijg op "[e-mail]", maar ik had het óók verwacht op "[e-mail]".

Zouden 'ze' wellicht standaard alle +alias er al afhalen?

Je gegevens zouden ook in een ander lek voor kunnen komen (al dan niet openbaar beschikbaar om te controleren) en dat de hackers nu met dit lek weer een poging zien om de spam / scam mails te activeren.

[Hpsmart]

Via mijn VPN-dienst heb ik zojuist een e-mail ontvangen dat mijn data gelekt is door de Odido-hack (maar dat wist ik al, want Odido had me een e-mail gestuurd). Er staat nu echter wélke data zijn gelekt, o.a. "ID-nummer". Het daadwerkelijke nummer (evenals de andere gelekte gegevens) staat erin.
Eerder in dit topic had ik al aangegeven dat ik langer dan vijf jaar geleden klant ben geweest van Odido (toentertijd heette het Tele2). Frappant detail: tussen de gegevens staat “inactive”, wat kan duiden op een inactief klantaccount?

Update: Kleine tekstuele wijzigingen.

[ Voor 5% gewijzigd door Hpsmart op 04-03-2026 10:47 ]

[Draconian]

Was deze al gedeeld van Ben van den Burg over Odido op RTL Tonight?
Ik geef hem groot gelijk. ‘Het is armoedig en slecht’

https://www.rtl.nl/tv/fra...urg-woest-op-handelen-van

[ Voor 6% gewijzigd door Draconian op 04-03-2026 10:46 ]

[DjoeC]

Martinez- schreef op woensdag 4 maart 2026 @ 10:41:
[...]


In de zorg kennen we hiervoor het break the glass principe. Dat houdt in dat alleen de mensen betrokken bij een bepaald zorgtraject ongestoord inzicht kunnen hebben op een dossier, zoals het hoort.

Moet er uit noodzaak toch iemand buiten dat zorgtraject inzicht hebben, dan kunnen ze een reden daartoe geven in het systeem en kunnen we achteraf nakijken of het een terechte toegang was. Juist om nieuwsgierigheid de kop in te drukken.

"speciale rechten" worden vaak wel op rechten niveau geadministreerd maar niet op feitelijk toegansniveau. Op systeem toegang tot brongegevens wordt vaak minimaale logging toegepast. Applicatief is dat meestal veel strakker ingericht.

[DjoeC]

Hpsmart schreef op woensdag 4 maart 2026 @ 10:45:
Via mijn VPN-dienst heb ik zojuist een e-mail ontvangen dat mijn data gelekt door de Odido-hack (maar dat wist ik al, want Odido had me een e-mail gestuurd). Er staat nu echter wélke data is gelekt, o.a. "ID-nummer". Het daadwerkelijke nummer (evenals de andere gelekte gegevens) staat erin.
Eerder in dit topic had ik al aangegeven dat ik langer dan vijf jaar klant ben geweest van Odido (toentertijd heette het Tele2). Frappant detail: tussen de gegevens staat “inactive”, wat kan duiden op een inactief klantaccount?

Mail van wie?

[Martinusz]

Via één van de sites gecheckt, rare is dat hij wel hit geeft op mijn emailadres + telefoonnummer, maar adres, bankrekeningnummer bijvoorbeeld niet. Ook niet op vorige adressen. Toch maar een deel gelekt

[redwing]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 22:35:
[...]

Eerlijk, ik heb ook inzage in sensitieve dossiers, ooit aangevraagd om onderzoek te doen vanuit m'n functie waarom en hoe bepaalde incidenten plaatsvonden. En ja, ik kijk ook weleens in random dossiers uit interesse, en nee daar praat ik met niemand over en deel ze al helemaal niet op het internet.

Werk niet bij de politie maar kan mij voorstellen dat menig politie medewerker geïnteresseerd was in het dossier van Lisa en dat daar echt geen kwade bedoeling achter zit, dus vind de reactie op de politie ansich best wel hard.

Ik vind het vooral apart dat je zelf niet door schijnt te hebben dat je hiermee de privacy van mensen aan het schaden bent. Ongeacht of je verder wel wat met die random dossiers doet heb je er helemaal niets in te zoeken.

Dus nee, de reactie op de politie is juist niet hard, maar helaas juist hard nodig. De enige reden om in zo'n dossier te kijken is als je het nodig hebt voor je werk, zodra je dat doet uit nieuwsgierigheid doet ben je gewoon heel fout bezig.

[Silahsor]

Peeeh nu kan me vrouw niet meer inloggen in haar ze heeft ook geen Authentication aangemaakt haar outlook is geblokeerd, telfoon nummer geblokeerd geen Authentication app, door ik wil egt schelden, ik kan ook nergens bij j le hebt geen klantensevice zo dat microsft kan bellen wat een ...... odido doet niks, haar 30 jaar oude mail is nu weg haar loonstroken gesprekken fotos alles is weg.

Wie kan mij hierbij helpen.

[DjoeC]

Het blijft wachten of Odido zelf nog iets inhoudelijks gaat melden aan de gelekte accounts....

[IJsbeer]

Silahsor schreef op woensdag 4 maart 2026 @ 10:55:
Peeeh nu kan me vrouw niet meer inloggen in haar ze heeft ook geen Authentication aangemaakt haar outlook is geblokeerd, telfoon nummer geblokeerd geen Authentication app, door ik wil egt schelden, ik kan ook nergens bij j le hebt geen klantensevice zo dat microsft kan bellen wat een ...... odido doet niks, haar 30 jaar oude mail is nu weg haar loonstroken gesprekken fotos alles is weg.

Wie kan mij hierbij helpen.

Wat heeft het niet meer in kunnen loggen op MS account te maken met de hack van Odido? Er zijn geen wachtwoord gelekt, dus hergebruik van wachtwoorden is niet aan de orde.
Dat het telefoonnumer ook is geblokkeerd zou je natuurlijk wel via de helpdesk van Odido kunnen navragen, maar lijken me losse issues.

[SgtElPotato]

IJsbeer schreef op woensdag 4 maart 2026 @ 11:02:
[...]


Wat heeft het niet meer in kunnen loggen op MS account te maken met de hack van Odido? Er zijn geen wachtwoord gelekt, dus hergebruik van wachtwoorden is niet aan de orde.
Dat het telefoonnumer ook is geblokkeerd zou je natuurlijk wel via de helpdesk van Odido kunnen navragen, maar lijken me losse issues.

Dit is sowieso de schuld van Odido

[IJsbeer]

SgtElPotato schreef op woensdag 4 maart 2026 @ 11:06:
[...]


Dit is sowieso de schuld van Odido

Goed punt! Hoorde zelfs de kringen rond Khomeini zeggen dat het de schuld is van Odido dat hij nu dood is...

[Treem]

Dacht er tot vandaag goed vanaf te komen.

Leek alleen e-mail iban en telefoonnummer te zijn. (O.a. check op Mozilla monitor, hibp en hart van Nederland link )
Maar vandaag in F-Secure app ook bericht dat paspoort gelekt is.

Dus als je dacht dat je paspoort niet gelekt is check het nog even op F-Secure.
(Ps ik had het zelf nog niet ingevuld bij mijn gegevens (paspoort nummer) , F-secure kwam er zelf mee, inclusief het nummer)

[Wispe]

Treem schreef op woensdag 4 maart 2026 @ 11:25:
Dacht er tot vandaag goed vanaf te komen.

Leek alleen e-mail iban en telefoonnummer te zijn. (O.a. check op Mozilla monitor, hibp en hart van Nederland link )
Maar vandaag in F-Secure app ook bericht dat paspoort gelekt is.

Dus als je dacht dat je paspoort niet gelekt is check het nog even op F-Secure.
(Ps ik had het zelf nog niet ingevuld bij mijn gegevens (paspoort nummer) , F-secure kwam er zelf mee, inclusief het nummer)

F-secure zegt bij mij ook paspoortnummer (en e-mail en 06).
Direct afspraak gemaakt bij mijn kapper, daarna naar een fotowinkel en het stadsloket.

[ArcticWolf]

redwing schreef op woensdag 4 maart 2026 @ 10:53:
[...]

Ik vind het vooral apart dat je zelf niet door schijnt te hebben dat je hiermee de privacy van mensen aan het schaden bent. Ongeacht of je verder wel wat met die random dossiers doet heb je er helemaal niets in te zoeken.

Dus nee, de reactie op de politie is juist niet hard, maar helaas juist hard nodig. De enige reden om in zo'n dossier te kijken is als je het nodig hebt voor je werk, zodra je dat doet uit nieuwsgierigheid doet ben je gewoon heel fout bezig.

Ik ben vergeten te melden dat er geen namen en andere id informatie in de dossiers staat waar ik toegang tot heb (daar heb ik dan geen rechten op).