Odido waarschuwt voor datalek (cyberaanval/hack)

[ArcticWolf]

Yamy_Daffy schreef op dinsdag 3 maart 2026 @ 19:41:
[...]


Dat mijn gegevens zijn gelekt en niet meer te verwijderen zijn dat is mij echt bekend. De spam mails komen al binnen.

De sites waarop ik kan controleren of mijn gegevens erbij zitten heb ik gecheckt. Waar ik dan wel nieuwsgierig naar was is welke gegevens het dan waren. Want meer info dan je gegevens zitten erbij kom je niet. Ik had het netjes gevonden als Odido daarin wat meer het initiatief in had genomen.

En natuurlijk hebben andere providers ook storingen, maar Odido heeft het afgelopen jaar wel erg bont gemaakt. Denk niet dat dat echt te ontkennen valt.

En dan neem ik liever een abonnement bij een andere provider die wat stabieler is en wat minder negatief zichzelf zo in het nieuws zet.

Er is een site (die ik hier niet mag delen... maar je wel via deze website kan vinden: linken naar een website met daarop de links is natuurlijk ook niet de bedoeling.
Waarbij je meerdere (niet alle helaas) velden kan checken over wat er van je gelekt is.

[ Voor 7% gewijzigd door rens-br op 03-03-2026 20:38 ]

[NicoHF]

ernstoud schreef op dinsdag 3 maart 2026 @ 18:39:
[...]


Nah, ik denk dat Vodafone er achter zit.

Die wil voor weinig geld Odido overnemen en dan eindelijk wel N78 dekking hebben.

Mijn gebied Odido versus Vodafone:

[Afbeelding]

[Afbeelding]

Paar miljoen en Vodafone is binnen!

Nou mag hopen dat Vodafone Odido niet gaat overnemen, had nog nooit zulke slechte ontvangst gezien als bij Vodafone netwerk

[ernstoud]

NicoHF schreef op dinsdag 3 maart 2026 @ 19:48:
[...]

Nou mag hopen dat Vodafone Odido niet gaat overnemen, had nog nooit zulke slechte ontvangst gezien als bij Vodafone netwerk

Ik kan het niet anders dan 100% met je eens zijn: ernstoud in "[Vodafone] Ervaringen & Discussie - Deel 2"

Hoe een provider zoveel geld uitgeeft voor de N78 licentie en die dan nauwelijks gebruikt en hun netwerk degradeert voor een beetje energiebesparing (maar wel de prijs handhaaft) is ongekend.

Bagger bedrijf.

[Speedy_Gonzalez]

ernstoud schreef op dinsdag 3 maart 2026 @ 18:11:
[...]


Ik zie best wel veel informatie op: https://www.odido.nl/veiligheid

Je kan dan wel een vouchercode krijgen voor 2 jaar gratis F-Secure, maar waarom zou ik dat doen ?

Ik gebruik ondanks dat ik al 2 jaar bij ziggo weg ben, hun forever gratis F-Secure pakket.
Er staat dan wel ziggo vermeld, maar het werkt gewoon bij odido ook.

Zitten er nog speciale voordelen aan om dat 2 jarig pakket te gaan gebruiken van odido ?

[ernstoud]

Speedy_Gonzalez schreef op dinsdag 3 maart 2026 @ 19:53:
[...]


Je kan dan wel een vouchercode krijgen voor 2 jaar gratis F-Secure, maar waarom zou ik dat doen ?

Ik gebruik ondanks dat ik al 2 jaar bij ziggo weg ben, hun forever gratis F-Secure pakket.
Er staat dan wel ziggo vermeld, maar het werkt gewoon bij odido ook.

Zitten er nog speciale voordelen aan om dat 2 jarig pakket te gaan gebruiken van odido ?

Als het hetzelfde pakket aan functies biedt niet natuurlijk. Ik ken het niet. Heb het niet nodig en heb sowieso slechte ervaringen met resource vretende op achtergrond opererende software.

[jurroen]

Speedy_Gonzalez schreef op dinsdag 3 maart 2026 @ 19:53:
[...]

Je kan dan wel een vouchercode krijgen voor 2 jaar gratis F-Secure, maar waarom zou ik dat doen ?

Persoonlijk vind ik dat aanbod vanuit Odido een beetje een trap na. Zo van "wij hebben een datalek veroorzaakt omdat we de beveiliging en retentie van PII niet op orde hadden - maar weet je wat: hier heb je beveiligingssoftware".

Het veranderd geen snars aan het datalek of de extreme onzorgvuldigheid van Odido, wat echt volledig hun schuld is. Als ze hiermee willen communiceren dat beveiliging iets is wat je samen doet... Normaliter zou ik het daar volledig mee eens zijn maar hier niet.

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 20:05:
[...]

Persoonlijk vind ik dat aanbod vanuit Odido een beetje een trap na. Zo van "wij hebben een datalek veroorzaakt omdat we de beveiliging en retentie van PII niet op orde hadden - maar weet je wat: hier heb je beveiligingssoftware".

Niets doen was beter? Of hadden er dan opmerkingen gekomen om dergelijke software te verstrekken? Ik denk het. Je maakt nooit iedereen gelukkig.

EUR 4,99 per maand lees ik. Dus een waarde van EUR 120,- voor twee jaar. Niet mis.

[ Voor 7% gewijzigd door ernstoud op 03-03-2026 20:19 ]

[RiDo78]

Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

[pjotter1965]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 19:45:
[...]

Er is een site (die ik hier niet mag delen... maar je wel via deze website kan vinden: knip
Waarbij je meerdere (niet alle helaas) velden kan checken over wat er van je gelekt is.

De bewuste website, die hier niet benoemd mag worden is nu ook weggehaald bij RADAR.avrotros.
https://radar.avrotros.nl...jn-gelekt-bij-odido-62413
Nu wordt er nog maar naar 2 websites verwezen.

[ Voor 20% gewijzigd door rens-br op 03-03-2026 20:39 ]

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 18:11:
[...]


Ik zie best wel veel informatie op: https://www.odido.nl/veiligheid

En “meer informatie” is een dooddoener. Dan moet je wat specifieker zijn. Ik vul dat in (corrigeer me als je dat niet bedoelt) dat jij en vele anderen meer gedetailleerd willen weten per account welke informatie gelekt is. Echter; wat wil je daarmee? Als je gemoedsrust wil kun je toch rekening houden met de worst case?

Ik heb overigens van de grotere hacks, en phishing attacks zoals LinkedIn in januari jl. (https://www.forbes.com/si...policy-violation-attacks/) nog veel minder communicatie gezien. Dat gaat over 1,2 miljard accounts.

In mijn opinie wordt er informatie verstrekt maar ik lees dat de toon niet goed is? Moeten we dan naar zoiets als in Korea? Huilende managers publiekelijk aan de schandpaal? Lost dat dan wat op?

Ik zal je vijf concrete voorbeelden geven:

1) Het betreft diverse datasets. Ik wil graag weten wat er van mij gelekt is. Later wil ik dat vergelijken met wat Odido voor gegevens van mij heeft (AVG verzoek) maar dat gaat hoe dan ook even duren. Terwijl deze gegevens nu op straat liggen, en ook al worden misbruikt.

2) Ik heb bij Odido een tijdje mijn eigen IBAN opgegeven gehad. Daarna heb ik dat verandert naar een andere rekening. Die oude rekening gebruik ik nog steeds. De nieuwe rekening daarentegen kunnen we allebei bij, maar in de praktijk enkel mijn vrouw. Ik wil dus graag weten of mijn oude rekening nummer er nog steeds in zit. Hier zit dus een substantieel verschil qua data.

3) Ik heb werkelijk geen idee of ik zo'n plaintekst wachtwoord erop had zitten. Volgens mij niet. Maar als dat wel zo is, dan wil ik weten wat het wachtwoord was, want die kan ik dan niet (her)gebruiken. Vooral mijn vrouw doet dat nog wel eens.

4) Mijn schoonmoeder heeft nog nooit in een datalek gezeten qua telefoonnummer. Die heeft dus (nog) weinig ervaring met oplichters per telefoon. De suggestie is gewekt dat Simpel klanten ook in de dataset(s) zitten, maar ik heb haar nummer hier niet in weten te vinden. Dit betreft bejaarden. Als ik minderjarige kinderen zou hebben die een eigen smartphone zouden hebben, zou ik als ouder zijnde direct willen weten wanneer zij in een datalek zouden zitten, en ook wat er dan gelekt is. Kinderen zijn immers vaak nogal goedgelovig.

5) Nu ik weet dat mijn paspoortnummer is gelekt, ga ik eerder aan de slag deze te verlengen. Mijn paspoortnummer is nog nooit eerder gelekt. Daarentegen die van mijn schoonmoeder en moeder heb ik (nog) niet weten te vinden. Als blijkt dat deze niet is gelekt, dan is dat interessant om hen te vermelden. Dat helpt overigens de gemoedstoestand. Jouw struisvogelpolitiek-tactiek doet dat niet. Integendeel...

Ik heb nog meer (wat mij betreft gegronde) redenen, maar die ga ik niet noemen, om de doodeenvoudige reden dat het dan wel heel simpel wordt voor iedere lezer om mij uit deze dataset te fil(t)eren.

Daarnaast, LinkedIn is een internationaal platform. Hoeveen Nederlanders daarin stonden, weet ik niet. Ik weet wel dat o.a. LinkedIn en Facebook al eerder zijn gelekt door scraping. LinkedIn is een optionele dienst. Iedere volwassene in Nederland wordt geacht telefonisch bereikbaar te zijn. Heb je doorgaans ook nodig om te functioneren in de maatschappij. Daarbij hebben we 3 mobiele netwerken, waarvan eentje van Odido.

[ernstoud]

RiDo78 schreef op dinsdag 3 maart 2026 @ 20:18:
Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

Ik geloof niet dat Odido beweert dat er niets aan de hand is?

[SgtElPotato]

RiDo78 schreef op dinsdag 3 maart 2026 @ 20:18:
Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

Wie beweert er dat er niets aan de hand is?

[jurroen]

ernstoud schreef op dinsdag 3 maart 2026 @ 20:17:
[...]


Niets doen was beter? Of hadden er dan opmerkingen gekomen om dergelijke software te verstrekken? Ik denk het. Je maakt nooit iedereen gelukkig.

EUR 4,99 per maand lees ik. Dus een waarde van EUR 120,- voor twee jaar. Niet mis.

Betere communicatie was zinvoller geweest in mijn ogen. Een partij als Odido weet dondersgoed dat er gespreksnotities en gegevens over bewindvoerder in Salesforce staan.

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 20:19:
[...]


Ik zal je vijf concrete voorbeelden geven:

1) Het betreft diverse datasets. Ik wil graag weten wat er van mij gelekt is. Later wil ik dat vergelijken met wat Odido voor gegevens van mij heeft (AVG verzoek) maar dat gaat hoe dan ook even duren. Terwijl deze gegevens nu op straat liggen, en ook al worden misbruikt.

2) Ik heb bij Odido een tijdje mijn eigen IBAN opgegeven gehad. Daarna heb ik dat verandert naar een andere rekening. Die oude rekening gebruik ik nog steeds. De nieuwe rekening daarentegen kunnen we allebei bij, maar in de praktijk enkel mijn vrouw. Ik wil dus graag weten of mijn oude rekening nummer er nog steeds in zit. Hier zit dus een substantieel verschil qua data.

3) Ik heb werkelijk geen idee of ik zo'n plaintekst wachtwoord erop had zitten. Volgens mij niet. Maar als dat wel zo is, dan wil ik weten wat het wachtwoord was, want die kan ik dan niet (her)gebruiken. Vooral mijn vrouw doet dat nog wel eens.

4) Mijn schoonmoeder heeft nog nooit in een datalek gezeten qua telefoonnummer. Die heeft dus (nog) weinig ervaring met oplichters per telefoon. De suggestie is gewekt dat Simpel klanten ook in de dataset(s) zitten, maar ik heb haar nummer hier niet in weten te vinden. Dit betreft bejaarden. Als ik minderjarige kinderen zou hebben die een eigen smartphone zouden hebben, zou ik als ouder zijnde direct willen weten wanneer zij in een datalek zouden zitten, en ook wat er dan gelekt is. Kinderen zijn immers vaak nogal goedgelovig.

5) Nu ik weet dat mijn paspoortnummer is gelekt, ga ik eerder aan de slag deze te verlengen. Mijn paspoortnummer is nog nooit eerder gelekt. Daarentegen die van mijn schoonmoeder en moeder heb ik (nog) niet weten te vinden. Als blijkt dat deze niet is gelekt, dan is dat interessant om hen te vermelden. Dat helpt overigens de gemoedstoestand. Jouw struisvogelpolitiek-tactiek doet dat niet. Integendeel...

Ik heb nog meer (wat mij betreft gegronde) redenen, maar die ga ik niet noemen, om de doodeenvoudige reden dat het dan wel heel simpel wordt voor iedere lezer om mij uit deze dataset te fil(t)eren.

Daarnaast, LinkedIn is een internationaal platform. Hoeveen Nederlanders daarin stonden, weet ik niet. Ik weet wel dat o.a. LinkedIn en Facebook al eerder zijn gelekt door scraping. LinkedIn is een optionele dienst. Iedere volwassene in Nederland wordt geacht telefonisch bereikbaar te zijn. Heb je doorgaans ook nodig om te functioneren in de maatschappij. Daarbij hebben we 3 mobiele netwerken, waarvan eentje van Odido.

Niet op de man spelen Jerie met “Jouw struisvogelpolitiek-tactiek doet dat niet.”

Je noemt valide voorbeelden. Je gaat op die vragen gewoon geen antwoorden krijgen. Dus ga uit van worst case scenario als je dat gemoedsrust geeft.

Nog een paar al dan niet nuttige opmerkingen bij de diverse punten.

1. Ga je denk ik niet krijgen of veel te laat.
2. Worst case is dat beide IBAN in de gelekte datasets staan. Wat ga je doen?
3. Wachtwoorden zijn zover we weten niet gelekt. Is dat onverhoopt wel zo en wil je gemoedsrust dan nu veranderen.
4. Nooit in een datalek weet je nooit zeker. Juist dat is een beetje struisvogel spelen om in jouw termen te blijven. Gevaarlijk. Beter kun je haar inlichten over het fenomeen phishing i.h.a.
5. Je weet niet of je paspoortnr. eerder gelekt is! Het circuleert op veel plaatsen denk ik. Wel eens in een hotel gelogeerd?

[Amaze86]

RiDo78 schreef op dinsdag 3 maart 2026 @ 20:18:
Ik werd net door een 06 nummer gebeld op mijn mobiele nummer van Odido. Ik hoorde een monotone AI stem die zei: “Dit is een automatische noodoproep van <de bank>. Er is een betaling tegen gehouden van 1100 euro. Was u dit niet? Druk dan op 1 om doorverbonden te worden met een medewerker.”

Nummer 3… Gaat lekker zo.

Niets aan de hand toch Ofido?

Wel vaak raak bij jouw, elke dag iets?

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 20:21:
[...]

Betere communicatie was zinvoller geweest in mijn ogen.

Ik denk dat voor veel klanten die zich niet bewust zijn van de gevaren van phishing de f-secure software een beetje helpt.

Of “betere communicatie” bij diezelfde klanten zou helpen? Ik betwijfel het.

Een partij als Odido weet dondersgoed dat er gespreksnotities en gegevens over bewindvoerder in Salesforce staan.

Dat zal vermoedelijk een staartje gaan krijgen en onderwerp in het onderzoek van de AP zijn. Ongetwijfeld is het zinvol dat Odido weet dat iemand onder bewind staat. Het lekken daarvan is kwalijk. Zoals de hele case natuurlijk.

Maar wat zou je daarover gecommuniceerd willen zien? Zowel klant als bewindvoerder weten het al. Toch?

[Yamy_Daffy]

ArcticWolf schreef op dinsdag 3 maart 2026 @ 19:45:
[...]

Er is een site (die ik hier niet mag delen... maar je wel via deze website kan vinden: https://www.hartvannederl...d-e-mailadres-controleren)
Waarbij je meerdere (niet alle helaas) velden kan checken over wat er van je gelekt is.

Ik ben gisteren zelf op onderzoek uit gegaan en ben wat wijzer geworden.

[Jerie]

NicoHF schreef op dinsdag 3 maart 2026 @ 19:48:
[...]

Nou mag hopen dat Vodafone Odido niet gaat overnemen, had nog nooit zulke slechte ontvangst gezien als bij Vodafone netwerk

Dat zou het netwerk van beide bedrijven ten goede komen.... maar het is voor de gezondheid van de markt niet wenselijk dat wij van drie naar twee grote mobiele providers met eigen netwerk (dus non-MVNO) zouden gaan. Gaat dan ook niet gebeuren.

10 jaar geleden had qua NL Vdf het beste netwerk volgens meerdere tests (waaronder die op T.net FP). Odido (destijds nog TMO NL) niet. Sinds hun overname van Tele2 hebben ze er substantieel meer masten bijgekregen. Dat betreft 4G/5G capable masten. Sinds 4G (LTE) gemeengoed is geworden, zijn de kaarten dan ook behoorlijk geschud.

Voorheen, toen de iPhone 3G uitkwam, moest je wel TMO NL nemen, en lange tijd waren ze ook de enige met visual voicemail.

Nu Odido last heeft gehad van dit grote lek, voorzie ik een uitstroom van klanten, maar ook een gedeeltelijke instroom. Immers zullen ze hun beveiliging op gaan schroeven, adverteren, ze zullen meer netwerkcapaciteit hebben dankzij de uitstroom.

Als ik Russisch staatshacker zou zijn, dan zou ik substantiële chaos kunnen (en willen) creëren middels drie targets: Odido (weer), KPN, Vodafone. Op de korte duur heb ik er weinig vertrouwen in dat Odido de zaakjes op orde heeft. Op de langere termijn is dat heel goed mogelijk, daar niet van.

Waarmee ik gezegd wil hebben dat nu niet enkel de druk bij Odido ligt, maar ook bij KPN en Vodafone. Daarnaast zal met name Vodafone betere dekkingsgraad moeten regelen. Het afgelopen decennium zijn ze immers ingehaald. Of dat ook gaat lukken? Dat weet ik niet. Wat ik wel weet is dat ik nooit in Zutphen kom. Nooit. Het zal me jeuken hoe goed de ontvangst daar is. De plaatsen die er voor mij toe doen, zijn plaatsen waar ik veel ben, of kom. Bijvoorbeeld thuis en op het werk. Ik heb wel eens gehad dat ik met Vdf thuis prima ontvangst had, maar op het werk in het gebouw niet. Tijdens een grootschalige stroomstoring in mijn wijk, viel de Vdf zendmast al vrij snel uit. Terwijl die van KPN (daar had ik een MiFi van) nog steeds werkte. Gevolg was dat ik nog internettoegang had. Sinds wij zijn verhuisd, is de afstand tussen de zendmast van Vdf en mijn huis veel groter geworden, terwijl die van Odido en KPN relatief dichtbij zijn. Ook gezien de inflatiecorrectie zou ik daarom afraden om langer dan 1 jaar een abonnement te nemen.

PS: En dan nog iets. Een groot datalek in 2012 is wel iets anders dan in 2026. Even voor de context: 2012 is pre-Snowden; toen gebruikten we nog vaak plaintext HTTP. HTTPS is daarna pas gemeengoed geworden. Ook zat er toen lachwekkend laaghangend fruit qua gaten in software.

[jurroen]

ernstoud schreef op dinsdag 3 maart 2026 @ 20:40:
[...]


Ik denk dat voor veel klanten die zich niet bewust zijn van de gevaren van phishing de f-secure software een beetje helpt.

Of “betere communicatie” bij diezelfde klanten zou helpen? Ik betwijfel het.

Diezelfde klanten waar jij op doelt is ook de groep die door een dergelijke handreiking een vals gevoel van veiligheid krijgen (en daarmee mogelijk minder oplettend acteren).

[...]


Dat zal vermoedelijk een staartje gaan krijgen en onderwerp in het onderzoek van de AP zijn. Ongetwijfeld is het zinvol dat Odido weet dat iemand onder bewind staat. Het lekken daarvan is kwalijk. Zoals de hele case natuurlijk.

Maar wat zou je daarover gecommuniceerd willen zien? Zowel klant als bewindvoerder weten het al. Toch?

Het feit dat die aanvullende informatie erin zat had door Odido gecommuniceerd moeten worden, in plaats van oplettende journalisten.

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 20:32:
[...]


Niet op de man spelen Jerie met “Jouw struisvogelpolitiek-tactiek doet dat niet.”

Als jij vindt dat een uitspraak op de man is, dan kun je die rapporteren.

Wat mij betreft is het struisvogelpolitiek-tactiek. Het is "see no evil, hear no evil, I ain't hearin' ya".

Je noemt valide voorbeelden. Je gaat op die vragen gewoon geen antwoorden krijgen. Dus ga uit van worst case scenario als je dat gemoedsrust geeft.

Je andere oplossing om, maar aan te nemen dat alles is gelekt (wat is 'alles'?), is schieten met een kanon op een mug.

Zo wil ik van bank wisselen. Mijn bankgegevens zijn nog niet eerder in combinatie met mijn paspoort gelekt. Ik weet nog niet of mijn nieuwe bank ook whitelisting gebruikt voor incasso's. Mijn huidige bank doet dat wel, maar heeft... ehh... andere nadelen.

Als blijkt dat mijn bankrekeningnummer is gelekt in dit scenario, dan wil ik (ook gezien deze dataset zeer actief wordt misbruikt) mijn opties overwegen. Wil ik dan misschien een andere bank die wel whitelisting incasso heeft? Of wil ik misschien i.p.v de redirect gewoonweg silent overgaan? Of wil ik dan misschien bij mijn huidige bank blijven? Ik weet het nog niet.

Ook zie ik -heel gek- een oud e-mailadres van mij bij een totaal ander account staan in deze dataset. Ik weet niet precies wat daar plaats heeft gevonden, maar ik vind het wel raar.

1. Ga je denk ik niet krijgen of veel te laat.

Klopt, en daarom is het zaak om eerder te handelen, want de boefjes doen dat ook. Ik heb al geduld moeten hebben door de data via Tor te downloaden i.p.v. via een VPN of direct.

2. Worst case is dat beide IBAN in de gelekte datasets staan. Wat ga je doen?

Nou, dit:

code:

rg -C 2 -n "IBAN1|IBAN2|IBAN3|IBAN4"

Alle IBANs van: mij, mijn vrouw, mijn moeder, mijn schoonmoeder (het zijn er meer dan 4). Zus van ga ik vragen (die mag dan spreken voor rest van familie). Het is een service richting haar en haar gezin; voor mij hoeft het niet, ik voel me niet verantwoordelijk (al weet ik dat geen allen technisch begaafd is), maar ik kan het wel meenemen. Behalve de genoemde personen heb ik geen interesse of belang in deze dataset.

Ook: zie boven.

3. Wachtwoorden zijn zover we weten niet gelekt. Is dat onverhoopt wel zo en wil je gemoedsrust dan nu veranderen.

Wrong, wachtwoorden zijn wel gelekt. Namelijk het wachtwoord dat nodig is om informatie te wijzigen in account. Die stonden plaintekst in de database. Dat was zogenaamd nodig voor de medewerkers (ja, echt, dat gelooft men nog ook...)

4. Nooit in een datalek weet je nooit zeker. Juist dat is een beetje struisvogel spelen om in jouw termen te blijven. Gevaarlijk. Beter kun je haar inlichten over het fenomeen phishing i.h.a.

Daarom ga je uit van signalen die beschikbaar zijn. Signalen die beschikbaar zijn voor jou, voor mij, voor de rest van Nederland, en de gehele wereld. Iedereen die een clue heeft om een bestandje te downloaden met een programma dat het protocol 'HTTP' spreekt. Waarschijnlijk kun je het met Netscape uit de prehistorie nog downloaden. Ik noem dat 'openbaar'.

5. Je weet niet of je paspoortnr. eerder gelekt is! Het circuleert op veel plaatsen denk ik. Wel eens in een hotel gelogeerd?

Ja, toen weigerde ik het te geven. Mijn vrouw deed er niet moeilijk over (ik was het ook daar niet mee eens, ander verhaal). Voor de medewerker was dat voldoende. Ook gebruik ik doorgaans KopieID.

Inmiddels overweeg ik om maar verschillende nummers te nemen, misschien i.c.m. SIP (VoIP). Dan zou ik bijvoorbeeld een nummer dat ik steeds met iedereen deel gebruiken voor een andere toepassing dan mijn andere privénummer. Voorheen heb ik dat als Vodafone-klant niet overwogen. Vodafone blokkeerde dat immers. Of ze dat nu nog doen, weet ik niet. Een andere optie die ik overweeg is een tweede (prepaid) SIM te nemen, ofwel een goedkoop abonnement. Het is namelijk gebleken dat dergelijke redunantie handig is als een van de netwerken uitvalt. Bij de eerdergenoemde stroomstoring bleef KPN significant langer werkend. Nu ik er nog eens over nadenk, is dat ook logisch geweest: die mast staat fysiek niet eens zo heel ver weg, maar gezien de fysieke eigenschappen van het landschap () valt dat waarschijnlijk onder een andere wijk, postcode, en is ook de stroomtoevoer anders.

[Jerie]

jurroen schreef op dinsdag 3 maart 2026 @ 20:05:
[...]

Persoonlijk vind ik dat aanbod vanuit Odido een beetje een trap na. Zo van "wij hebben een datalek veroorzaakt omdat we de beveiliging en retentie van PII niet op orde hadden - maar weet je wat: hier heb je beveiligingssoftware".

Het veranderd geen snars aan het datalek of de extreme onzorgvuldigheid van Odido, wat echt volledig hun schuld is. Als ze hiermee willen communiceren dat beveiliging iets is wat je samen doet... Normaliter zou ik het daar volledig mee eens zijn maar hier niet.

Het is vooral karig omdat een grote concurrent (KPN) dit al jarenlang samen met hun internetverbinding levert. Ziggo blijkbaar ook; dat wist ik niet.

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 20:44:
[...]


Dat zou het netwerk van beide bedrijven ten goede komen.... maar het is voor de gezondheid van de markt niet wenselijk dat wij van drie naar twee grote mobiele providers met eigen netwerk (dus non-MVNO) zouden gaan. Gaat dan ook niet gebeuren.

Het was een grap, dat speculeren over een complot. Heeft niet zoveel zin om daar hier diep op in te gaan toch?

…

Wat ik wel weet is dat ik nooit in Zutphen kom. Nooit. Het zal me jeuken hoe goed de ontvangst daar is. De plaatsen die er voor mij toe doen, zijn plaatsen waar ik veel ben, of kom.

Je bent welkom om Veluwe Oost te bezoeken. Mooi hoor hier, ik woon overigens niet in Zutphen.

Een goed netwerk is overigens landelijk dekkend.

[Oliebolleke]

wat was de software waarmee het datalek was onstaan?

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 20:53:
[...]

Diezelfde klanten waar jij op doelt is ook de groep die door een dergelijke handreiking een vals gevoel van veiligheid krijgen (en daarmee mogelijk minder oplettend acteren).

Zeg je hier nou dat AV, spam, phishing tools geen meerwaarde hebben omdat het “een vals gevoel van veiligheid” geeft? Nee toch? Jij zet toch ook je auto, huis e.d. op slot ook al zijn die sloten te doorbreken? Alle beetjes helpen.

[...]
Het feit dat die aanvullende informatie erin zat had door Odido gecommuniceerd moeten worden, in plaats van oplettende journalisten.

In grote mate met je eens. Waarbij ik me toch wel blijf afvragen wat het nut is dat iedereen alles te horen krijgt. En er is een kleine kans dat kritieke personen in de dataset dat wel al gehoord hebben. Dat weten we niet.

[Gr4mpyC3t]

Oliebolleke schreef op dinsdag 3 maart 2026 @ 21:32:
wat was de software waarmee het datalek was onstaan?

Is dit een quizvraag?

[Jerie]

ernstoud schreef op dinsdag 3 maart 2026 @ 21:24:
[...]


Het was een grap, dat speculeren over een complot. Heeft niet zoveel zin om daar hier diep op in te gaan toch?

Ik volg je niet meer. Laat ook maar, het zal wel.

Je bent welkom om Veluwe Oost te bezoeken. Mooi hoor hier, ik woon overigens niet in Zutphen.

Mijn vrouw wil graag daar in de buurt op vakantie. Ik niet...

Een goed netwerk is overigens landelijk dekkend.

Nee, dat is subjectief, afhankelijk van je belangen.

Zeer zeker is de landelijke dekkingsgraad een factor die je mee kunt nemen in je afweging.

Voor de een is landelijk dekkend belangrijk. Voor de ander is het belangrijk dat je niet steeds in Duitsland zit terwijl je in Nederland woont (been there, done it, kostte me veel pegels bij 'Dutchtone'). Voor weer een ander is IPv6 van belang, voor weer een ander is percentage downtime van belang, voor weer een ander is geen port blocking van belang, voor weer een ander is het maximum snelheid van groot belang, en ga zo maar door.

Ik weet niet hoe Odido dat doet, maar Tele2 kickte me er voorheen volledig af toen mijn bundel op was. Vodafone niet, die schakelde terug naar 2G. Nu heb ik daar tegenwoordig niets meer aan want ik heb 2G/3G uit staan op mijn smartphone, maar toch.

[ernstoud]

Oliebolleke schreef op dinsdag 3 maart 2026 @ 21:32:
wat was de software waarmee het datalek was onstaan?

Salesforce en de data extractie tooling daarvoor.

[Oliebolleke]

@Gr4mpyC3t jij gaat niet door voor de koelkast.

[Martinez-]

jurroen schreef op dinsdag 3 maart 2026 @ 20:53:
[...]

Diezelfde klanten waar jij op doelt is ook de groep die door een dergelijke handreiking een vals gevoel van veiligheid krijgen (en daarmee mogelijk minder oplettend acteren).


[...]

Het feit dat die aanvullende informatie erin zat had door Odido gecommuniceerd moeten worden, in plaats van oplettende journalisten.

In feite heeft Odido bijzondere persoonsgegevens vergaard zonder grondslag. Gegevens die je normaliter in een politie- of medischdossier zou vinden. Ik ben benieuwd wat de AP daar van vindt.

[Oliebolleke]

@ernstoud ah dit was dus een nasleep van de grote en jaren durende migratie naar salesforce als nieuw crm systeem.

[jurroen]

ernstoud schreef op dinsdag 3 maart 2026 @ 21:33:
[...]


In grote mate met je eens. Waarbij ik me toch wel blijf afvragen wat het nut is dat iedereen alles te horen krijgt. En er is een kleine kans dat kritieke personen in de dataset dat wel al gehoord hebben. Dat weten we niet.

Mijn inziens heeft Odido - net als welke partij dan ook - een informatieplicht. En daarbij mag het geen verschil maken of ik een 'kritiek persoon' ben.

Ik heb mijn data aan hun toevertrouwd, zij hebben een lek waar mijn data in zit. Vertel mij dan maar om welke data dat gaat.

Als journalisten vervolgens met berichtgeving komen dat het verhaal van Odido niet volledig is en dat er meer informatie in zit dan (door Odido) aangegeven, neem ik ze dat kwalijk. En dat is mijn goed recht.

[jurroen]

Martinez- schreef op dinsdag 3 maart 2026 @ 21:58:
[...]


In feite heeft Odido bijzondere persoonsgegevens vergaard zonder grondslag. Gegevens die je normaliter in een politie- of medischdossier zou vinden. Ik ben benieuwd wat de AP daar van vindt.

En volledig eens!

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 21:18:
[...]

Als jij vindt dat een uitspraak op de man is, dan kun je die rapporteren.

Wat mij betreft is het struisvogelpolitiek-tactiek. Het is "see no evil, hear no evil, I ain't hearin' ya".


[...]


Je andere oplossing om, maar aan te nemen dat alles is gelekt (wat is 'alles'?), is schieten met een kanon op een mug.

Daar ga ik wel van uit. En ik denk dat het verstandig is dat iedereen dat doet. En dan bedoel ik met “alles” echt alles. Niet alleen van de Odido hack.

Zo wil ik van bank wisselen. Mijn bankgegevens zijn nog niet eerder in combinatie met mijn paspoort gelekt. Ik weet nog niet of mijn nieuwe bank ook whitelisting gebruikt voor incasso's. Mijn huidige bank doet dat wel, maar heeft... ehh... andere nadelen.

Als blijkt dat mijn bankrekeningnummer is gelekt in dit scenario, dan wil ik (ook gezien deze dataset zeer actief wordt misbruikt) mijn opties overwegen. Wil ik dan misschien een andere bank die wel whitelisting incasso heeft? Of wil ik misschien i.p.v de redirect gewoonweg silent overgaan? Of wil ik dan misschien bij mijn huidige bank blijven? Ik weet het nog niet.

Maar je meldt iedere keer dat je de dataset hebt. Dan weet je dat toch? En over de nog ontbrekende data zul je nooit wat horen. Dat is kwalijk maar wel de realiteit.

code:

rg -C 2 -n "IBAN1|IBAN2|IBAN3|IBAN4"

Alle IBANs van: mij, mijn vrouw, mijn moeder, mijn schoonmoeder (het zijn er meer dan 4). Zus van ga ik vragen (die mag dan spreken voor rest van familie). Het is een service richting haar en haar gezin; voor mij hoeft het niet, ik voel me niet verantwoordelijk (al weet ik dat geen allen technisch begaafd is), maar ik kan het wel meenemen. Behalve de genoemde personen heb ik geen interesse of belang in deze dataset.

Sorry, ik ben je kwijt. Je wil veel meer horen van Odido wat er gelekt is maar wat er gelekt is heb je toch al in “bezit”?

Wrong, wachtwoorden zijn wel gelekt. Namelijk het wachtwoord dat nodig is om informatie te wijzigen in account. Die stonden plaintekst in de database. Dat was zogenaamd nodig voor de medewerkers (ja, echt, dat gelooft men nog ook...)

Zover we weten is er een klein aantal code woorden gelekt die gebruikt werden om de identiteit van de klant nog verder zeker te stellen. Geen wachtwoorden.

Ja, toen weigerde ik het te geven. Mijn vrouw deed er niet moeilijk over (ik was het ook daar niet mee eens, ander verhaal). Voor de medewerker was dat voldoende. Ook gebruik ik doorgaans KopieID.

Het was een voorbeeld. Je rijbewijs, ID of pasnr. zal op nog veel meer plaatsen staan. Bij veel overheidsinstanties e.d., en zoals nu in het nieuws is hebben politieambtenaren vrij toegang tot alles. Ga er maar vanuit dat alles van je bekend is op meer plaatsen dan je lief is. Is dat erg? Ja. Is er wat aan te doen? Weinig. Alert zijn.

[ernstoud]

Oliebolleke schreef op dinsdag 3 maart 2026 @ 21:59:
@ernstoud ah dit was dus een nasleep van de grote en jaren durende migratie naar salesforce als nieuw crm systeem.

Die informatie heb ik niet. Maar het kan goed zijn dat bij zo’n migratie van een oude omgeving naar de nieuwe data import heeft plaatsgevonden zonder controle of de te importeren data juist was en of conform de AVG weggehaald had moeten worden.

[ernstoud]

Jerie schreef op dinsdag 3 maart 2026 @ 21:35:
[...]


Ik volg je niet meer. Laat ook maar, het zal wel.

Je ging de diepte in over Odido en Vodafone terwijl ik en een andere Tweaker daarover een gebbetje hadden.

Mijn vrouw wil graag daar in de buurt op vakantie. Ik niet...

Mooi hoor hier. Vriendelijke mensen. Zeggen elkaar nog gedag en zo. Frisse lucht ook.

[Yamy_Daffy]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:03:
[...]


Daar ga ik wel van uit. En ik denk dat het verstandig is dat iedereen dat doet. En dan bedoel ik met “alles” echt alles. Niet alleen van de Odido hack.

Gisteren kreeg mijn vrouw een email. Daarin stond dat al haar gegevens bekend waren van woonadres tot aan creditcard nummer en beveiliging codes alles. Of ze even wilde betalen om het geheim te houden.
Dan ga je toch af vragen na zo'n enorme lek wat er uitgelekt is? Hoeveel zorgen moet je je gaan maken. Wat hebben ze echt in handen gekregen?

En dan is het toch fijn om te weten dat alleen haar Naam Email en telefoonnummer in die lek stonden.
Dan zelf maar gaan speuren als diegene waarbij het lek gebeurd is niet thuis geeft.

Soms is iets meer informatie over welke dingen er gelekt zijn rustgevend.

[ernstoud]

Martinez- schreef op dinsdag 3 maart 2026 @ 21:58:
[...]

In feite heeft Odido bijzondere persoonsgegevens vergaard zonder grondslag. Gegevens die je normaliter in een politie- of medischdossier zou vinden. Ik ben benieuwd wat de AP daar van vindt.

En ik ben benieuwd wat de AP hier van vindt: https://nos.nl/artikel/26...or-neuzen-in-dossier-lisa

Bij het Haga Ziekenhuis was indertijd de boete 350.000 euro voor onterechte toegang van enkele tientallen zorgmedewerkers tot het medisch dossier en onvoldoende beveiliging. Bij de politie nu een veelvoud daarvan?

Gokje: Odido als waar is wat we lezen… 4 miljoen?

[ernstoud]

jurroen schreef op dinsdag 3 maart 2026 @ 21:59:
[...]


Mijn inziens heeft Odido - net als welke partij dan ook - een informatieplicht. En daarbij mag het geen verschil maken of ik een 'kritiek persoon' ben.

Het was een aanname van mij dat er een kans is dat kritieke personen al meer gehoord hebben. En welkom in de realiteit dat er redenen zijn om sommige personen anders te behandelen ondanks artikel 1 van de grondwet.

Ik heb mijn data aan hun toevertrouwd, zij hebben een lek waar mijn data in zit. Vertel mij dan maar om welke data dat gaat.

Als journalisten vervolgens met berichtgeving komen dat het verhaal van Odido niet volledig is en dat er meer informatie in zit dan (door Odido) aangegeven, neem ik ze dat kwalijk. En dat is mijn goed recht.

Zeker. Maar recht hebben en krijgen is twee. Ook bij mij botst dat. Heb rechtszaken gevoerd en weet nu ook dat “recht” niet rechtlijnig is.

Ik lees hier (niet persoonlijk bedoeld!) in deze thread iets wat ik al eens tegen een dwarse collega vertelde: “Wil jij op je grafsteen hebben staan: en toch kwam ik van rechts?”

Ja, het is … met peren wat er bij Odido gebeurd is. En het is kwalijk dat er voor velen te weinig informatie is. En guess what; grote kans dat het zo blijft. Het onderzoek van de AP kan zo een jaar duren. Horen we dan alles? Ook niet.

[ernstoud]

Yamy_Daffy schreef op dinsdag 3 maart 2026 @ 22:11:
[...]


Gisteren kreeg mijn vrouw een email. Daarin stond dat al haar gegevens bekend waren van woonadres tot aan creditcard nummer en beveiliging codes alles. Of ze even wilde betalen om het geheim te houden.

En wat was jullie reactie? En was die voor 12 februari anders geweest?

[Jerie]

Opgelet: Checkjehack van de politie is op zich verstandig om te gebruiken i.p.v een derde partij, maar deze stuurt geen notificatie wanneer je e-mailadres enkel in de communicatie voor komt. Zojuist achter gekomen. Van mij zijn in ieder geval minimaal twee email adressen gelekt, en ik gok een oudere ook nog (maar die zit in tientallen datalekken )

[ArcticWolf]

ernstoud schreef op dinsdag 3 maart 2026 @ 22:17:
[...]


En ik ben benieuwd wat de AP hier van vindt: https://nos.nl/artikel/26...or-neuzen-in-dossier-lisa

Bij het Haga Ziekenhuis was indertijd de boete 350.000 euro voor onterechte toegang van enkele tientallen zorgmedewerkers tot het medisch dossier en onvoldoende beveiliging. Bij de politie nu een veelvoud daarvan?

Gokje: Odido als waar is wat we lezen… 4 miljoen?

Eerlijk, ik heb ook inzage in sensitieve dossiers, ooit aangevraagd om onderzoek te doen vanuit m'n functie waarom en hoe bepaalde incidenten plaatsvonden. En ja, ik kijk ook weleens in random dossiers uit interesse, en nee daar praat ik met niemand over en deel ze al helemaal niet op het internet.

Werk niet bij de politie maar kan mij voorstellen dat menig politie medewerker geïnteresseerd was in het dossier van Lisa en dat daar echt geen kwade bedoeling achter zit, dus vind de reactie op de politie ansich best wel hard.