Odido waarschuwt voor datalek (cyberaanval/hack)

[redwing]

ArcticWolf schreef op woensdag 4 maart 2026 @ 11:26:
[...]

Ik ben vergeten te melden dat er geen namen en andere id informatie in de dossiers staat waar ik toegang tot heb (daar heb ik dan geen rechten op).

Dat is wel een heel verschil natuurlijk, maar dan nog steeds zou je niet zomaar in dossiers moeten kijken die niets met je werk te maken hebben. Maar in jouw geval weet ik natuurlijk niet of dat het geval is, of dat het wel degelijk zinvol is voor je normale werk.

[LordSinclair]

Wat ik mij afvraag, ik heb altijd alleen glasvezel gehad. Via Vodafone en T-Mobile thuis nu Odido. Ik kan mij niet heugen ooit mijn ID/Paspoort gegevens door gegeven te hebben. Dat is vaak enkel toch alleen voor mobiele telefonie klanten?

Daarnaast is dat ook al zo lang geleden, dat de documentnummers nu niet meer actueel zullen zijn.

[Wispe]

LordSinclair schreef op woensdag 4 maart 2026 @ 11:31:
Wat ik mij afvraag, ik heb altijd alleen glasvezel gehad. Via Vodafone en T-Mobile thuis nu Odido. Ik kan mij niet heugen ooit mijn ID/Paspoort gegevens door gegeven te hebben. Dat is vaak enkel toch alleen voor mobiele telefonie klanten?

Daarnaast is dat ook al zo lang geleden, dat de documentnummers nu niet meer actueel zullen zijn.

Nee, ook voor internet. Daarom hebben ze mijn paspoortnummer.

[Silahsor]

IJsbeer schreef op woensdag 4 maart 2026 @ 11:02:
[...]


Wat heeft het niet meer in kunnen loggen op MS account te maken met de hack van Odido? Er zijn geen wachtwoord gelekt, dus hergebruik van wachtwoorden is niet aan de orde.
Dat het telefoonnumer ook is geblokkeerd zou je natuurlijk wel via de helpdesk van Odido kunnen navragen, maar lijken me losse issues.

Door de lek zijn de mail adresen gelekt? Of zie ik het verkeerd? Door de lek, hebben 8 personen geprobeert inteloggen op haar mail adres dus als je er van uit gaat daat dat er geen wachtwoorden gelekt zijn heb je het heel mis er zijn wel wachtwoord gelekt van odido! Door dat probeerde personen inteloggen in outlook niet gelukt.

Probeem ze heeft geen Authentication app gebruik nooit aangemaakt, nu kan ik haar wachtwoord niet resetten niet via mail, niet via telefoon nummer, vooral niet via Authenticate app.

Microsoft heeft geen livechat, kan niet in contact komen, ze hebben herstel plek waar ik uiteindelijke 360 graden draai en punt kom waar ik begonnen was. Telefoon nummer hebben ze niet kan je niet breiken.
Voor gehackte account is er een plek je vult allts in 30 jaar geleden gemaakt is waarschijnlijk vul niet correct in krijg je mail sorry maak maar nieuwe mail.

Is nog mogenlijkheid om outlook terug te halen?


Ja het isnde schuld van odido

[edie]

DjoeC schreef op woensdag 4 maart 2026 @ 10:55:
Het blijft wachten of Odido zelf nog iets inhoudelijks gaat melden aan de gelekte accounts....

Wat verwacht je dat ze nu nog gaan melden dan?

[Lord_Dain]

Mogelijk interessant, ik heb dus surfshark als VPN maar surfshark bevat ook een 'Alert' functie.

Volgens surfshark zijn de volgende gegevens gelekt;



- Telefoonnummer (is niet mijn 06, maar het tel.nr wat gekoppeld is aan het mobiele abbo van een kind).
- Naam, Geboortedatum, Nationaliteit, Gender
- Last but not least; bevestiging dat het gelekte ID nummer dat van het rijbewijs is.

Er wordt dus gesproken over 8 records maar ik vind dit vreemd, ik ging er toch ook van uit dat het IBAN en/of adres ook gelekt zou zijn. Dus of surfshark heeft niet alle informatie, laat niet alle informatie zien, of dit is slechts 1 regel/record in de gelekte database.

[nlboy]

Van het bekendste VPN-bedrijf, waar ik klant van ben, kreeg ik een waarschuwings-e-mail waarbij aangegeven werd dat mijn gegevens bij Odido gelekt zijn vanwege mijn e-mailadres waar mijn VPN-account aan gekoppeld is.

Na een extra verificatiestap konden zij aangeven welke gegevens van mij in de lek terug te vinden zijn. Ik wil vooral weten welk ID-nummer (paspoort, rijbewijs of identiteitsbewijs) is gelekt. Dat is nu helder en een nieuwe aangevraagd.

[ Voor 22% gewijzigd door nlboy op 04-03-2026 11:51 ]

[Sende115]

Wispe schreef op woensdag 4 maart 2026 @ 11:32:
[...]


Nee, ook voor internet. Daarom hebben ze mijn paspoortnummer.

Ik heb voor het afsluiten van een internetverbinding (via glas) geen documentnummers hoeven overhandigen, Was het voor de K&K variant wel nodig?

[BassieB]

Lord_Dain schreef op woensdag 4 maart 2026 @ 11:38:
Mogelijk interessant, ik heb dus surfshark als VPN maar surfshark bevat ook een 'Alert' functie.

Volgens surfshark zijn de volgende gegevens gelekt;

[Afbeelding]

- Telefoonnummer (is niet mijn 06, maar het tel.nr wat gekoppeld is aan het mobiele abbo van een kind).
- Naam, Geboortedatum, Nationaliteit, Gender
- Last but not least; bevestiging dat het gelekte ID nummer dat van het rijbewijs is.

Er wordt dus gesproken over 8 records maar ik vind dit vreemd, ik ging er toch ook van uit dat het IBAN en/of adres ook gelekt zou zijn. Dus of surfshark heeft niet alle informatie, laat niet alle informatie zien, of dit is slechts 1 regel/record in de gelekte database.

Ik heb een alert van NordVPN darkweb monitor. Daarin staan naam, telefoonnummer, id nr, geboortedatum, geslacht en land. Gegeven kloppen allemaal, maar geen iban dus. In de toelichting staat dat de dataset 691.000 records had. Dat is dus lang niet alles. Rest komt hopelijk hier nog bij. Dan misschien ook de andere velden.

Ik was wel blij dat nord dit zo inzichtelijk maakt. Dan hoef je zelfs niet de hele set illegaal te downloaden en door te zoeken.

[Wispe]

Sende115 schreef op woensdag 4 maart 2026 @ 11:43:
[...]

Ik heb voor het afsluiten van een internetverbinding (via glas) geen documentnummers hoeven overhandigen, Was het voor de K&K variant wel nodig?

Ik weet niet of ik K&K heb afgesloten. Ik zie inderdaad niet zo snel in mijn contract of ik destijds mijn paspoortgegevens heb ingevuld. In het contract van mijn mobiel staat deze leeg en ik heb deze 2 jaar geleden verlengd.

[MonkeyJohn]

Treem schreef op woensdag 4 maart 2026 @ 11:25:
Leek alleen e-mail iban en telefoonnummer te zijn. (O.a. check op Mozilla monitor, hibp en hart van Nederland link )
Maar vandaag in F-Secure app ook bericht dat paspoort gelekt is.

Dus als je dacht dat je paspoort niet gelekt is check het nog even op F-Secure.
(Ps ik had het zelf nog niet ingevuld bij mijn gegevens (paspoort nummer) , F-secure kwam er zelf mee, inclusief het nummer)

Ik vraag mij af hoe accuraat Mozilla monitor is, die zeggen bij mij ook dat IBAN is gelekt, terwijl mijn VPN dark web monitor zegt van niet.
F-Secure moet ik nog doen, maar het lijkt tussen de verschillende monitoren ook nog wat te verschillen wat er nou wel of niet is gelekt.

Edit: F-Secure zegt ook "passport number", maar dat kan dus ook ID kaart of rijbewijs zijn en er wordt verder niet gezegd over IBAN.

[ Voor 10% gewijzigd door MonkeyJohn op 04-03-2026 17:20 ]

[Aziraphale]

F-Secure is bij mij nog steeds van mening dat er niets is gelekt, dus wat dat voor nut heeft...

[Treem]

Aziraphale schreef op woensdag 4 maart 2026 @ 11:49:
F-Secure is bij mij nog steeds van mening dat er niets is gelekt, dus wat dat voor nut heeft...

Ja was dus bij mij ook het geval tot gisteren.
Maar komt nu dus met mijn paspoort nummer naar voren. Dus zou me niks verbazen dat je binnenkort wel meer info krijgt. Helemaal als je via andere check sites wel bekend staat.

[Hemingr]

Toch weer een mazzeltje, schijnbaar had ik niet met mijn paspoort (waarin meerdere bijzondere dure meerjarige visas ingeplakt zijn) maar mij ID kaart is gelekt.

Ik wist niet eens dat ik een id kaart had! Tijd om die te blokkeren en we gaan weer verder met ons leven.

[ernstoud]

Silahsor schreef op woensdag 4 maart 2026 @ 11:33:
[...]

Door de lek zijn de mail adresen gelekt? Of zie ik het verkeerd? Door de lek, hebben 8 personen geprobeert inteloggen op haar mail adres…

Ja, e-mail adressen zijn gelekt.

… dus als je er van uit gaat daat dat er geen wachtwoorden gelekt zijn heb je het heel mis er zijn wel wachtwoord gelekt van odido! Door dat probeerde personen inteloggen in outlook niet gelukt.

Nogmaals: er zijn geen wachtwoorden van mijn.odido.nl gelekt of van de Odido app. En al zou dat wel zo zijn wat heeft dat dan te maken met een wachtwoord op Office365?

Office365 zal vermoedelijk nu een blokkade gezet hebben op toegang omdat er teveel inlogpogingen geweest zijn.

Probeem ze heeft geen Authentication app gebruik nooit aangemaakt, nu kan ik haar wachtwoord niet resetten niet via mail, niet via telefoon nummer, vooral niet via Authenticate app.

Microsoft heeft geen livechat, kan niet in contact komen, ze hebben herstel plek waar ik uiteindelijke 360 graden draai en punt kom waar ik begonnen was. Telefoon nummer hebben ze niet kan je niet breiken.
Voor gehackte account is er een plek je vult allts in 30 jaar geleden gemaakt is waarschijnlijk vul niet correct in krijg je mail sorry maak maar nieuwe mail.

Is nog mogenlijkheid om outlook terug te halen?

Hier staat alles wat je moet doen: Een vergeten wachtwoord van een Microsoft-account opnieuw instellen - Microso...

Ja het isnde schuld van odido

Nee. Je Office365 wachtwoord heeft niets te maken met het Odido lek. En het e-mail adres heeft je vrouw in die vele jaren waarschijnlijk met duizenden partijen gedeeld (iedere keer als ze e-mail verzendt) dus dat is weinig relevant.

[ernstoud]

Sende115 schreef op woensdag 4 maart 2026 @ 11:43:
[...]

Ik heb voor het afsluiten van een internetverbinding (via glas) geen documentnummers hoeven overhandigen, Was het voor de K&K variant wel nodig?

Ja.

[makreel]

De hoeveelheid berichten in de gmail spamfolder is sinds gisteren vertienvoudigd. Prijzen gewonnen en pakketjes die ik mag claimen.

[Gaitman]

makreel schreef op woensdag 4 maart 2026 @ 12:18:
De hoeveelheid berichten in de gmail spamfolder is sinds gisteren vertienvoudigd. Prijzen gewonnen en pakketjes die ik mag claimen.

Ik heb gisteren ook dat soort mailtjes gehad en ook zogenaamd over de Odido hack terwijl ik nooit bij Odido of voorgangers heb gezeten. Het zijn allemaal adressen die bij eerdere lekken zijn gelekt. Aangezien ik [e-mail] gebruik.

[DjoeC]

edie schreef op woensdag 4 maart 2026 @ 11:35:
[...]

Wat verwacht je dat ze nu nog gaan melden dan?

De exacte gegevens die ze van mij hebben met daarbij een opgave van welke gegevens in de gelekte dataset(s) zitten ZONDER dat ik daarvoor een inzage verzoek zou moeten doen waarbij ik nog meer gegevens moet delen dan ze - vermoedelijk - al van mij hebben.

[Herman]

DjoeC schreef op woensdag 4 maart 2026 @ 12:31:
[...]

De exacte gegevens die ze van mij hebben met daarbij een opgave van welke gegevens in de gelekte dataset(s) zitten ZONDER dat ik daarvoor een inzage verzoek zou moeten doen waarbij ik nog meer gegevens moet delen dan ze - vermoedelijk - al van mij hebben.

^^ Dit inderdaad.

Ze zouden in hun app of bij het inloggen in de browser een plekje moeten maken waarin je eenvoudig kunt zien welke gegevens exact zijn gelekt. Dan weet jij als gebruiker precies welke gegevens nu op straat liggen en hoe je je daar tegenover kunt beschermen. Nu krijg je dat mensen zelf op zoek gaan naar deze gegevens, met alle gevolgen van dien.

Maar goed, pro-actief informeren is blijkbaar niet Odidio's sterkste kant, heb ik bij deze hack wel begrepen

[SgtElPotato]

Herman schreef op woensdag 4 maart 2026 @ 12:42:
[...]

^^ Dit inderdaad.

Ze zouden in hun app of bij het inloggen in de browser een plekje moeten maken waarin je eenvoudig kunt zien welke gegevens exact zijn gelekt. Dan weet jij als gebruiker precies welke gegevens nu op straat liggen en hoe je je daar tegenover kunt beschermen. Nu krijg je dat mensen zelf op zoek gaan naar deze gegevens, met alle gevolgen van dien.

Maar goed, pro-actief informeren is blijkbaar niet Odidio's sterkste kant, heb ik bij deze hack wel begrepen

Verwacht er niet teveel van. Ook de grote organisaties zoals Dropbox, Meta etc geven dit vaak niet vrij op wat generieke informatie na..

[Draconian]

Ook nog een tip. Wees niet zo dom om met je voornaam en achternaam op Facebook te staan. Dan is het heel makkelijk te achterhalen waar deze personen wonen etc als ze voorkomen in de datalek van Odido. Heel veel mensen staan nog zo op Facebook zie ik. Zelfs met woonplaats. Nooit met je echte naam op sociale media.

[wvg321]

Ben toch wel blij met die F secure voucher van Odido. Via deze service kun je precies zien welke nummers gelekt zijn, zodat je ook kunt controleren of het je rijbewijs of paspoort is. Het lijkt er dus op dat niet alle IBAN nummers gelekt zijn.

[Arthion-nl]

Ik heb zelf op meerdere tools gecheckt of mijn gegevens zijn gelekt en welke maar kan er niet 1 duidelijk antwoord krijgen omdat de tools elkaar tegenspreken. Ik lees wel dat verschillende mensen al belletjes en phising mails hebben gehad maar het blijft bij mij opvallend stil.

[Treem]

Arthion-nl schreef op woensdag 4 maart 2026 @ 13:14:
Ik heb zelf op meerdere tools gecheckt of mijn gegevens zijn gelekt en welke maar kan er niet 1 duidelijk antwoord krijgen omdat de tools elkaar tegenspreken. Ik lees wel dat verschillende mensen al belletjes en phising mails hebben gehad maar het blijft bij mij opvallend stil.

Ja dit dus ☹️

Bij Mozilla wel Iban geen ID
Bij F-secure wel ID als gelekt maar niet IBAN

[wvg321]

Bij F secure kun je ook de nummers zelf zien die gelekt zijn. Dat geeft toch meer zekerheid dat het klopt

[Treem]

wvg321 schreef op woensdag 4 maart 2026 @ 13:18:
Bij F secure kun je ook de nummers zelf zien die gelekt zijn. Dat geeft toch meer zekerheid dat het klopt

Ja dat klopt, alleen verwacht ik eigenlijk dat Iban er ook wel bij zou moeten zitten

[SgtElPotato]

wvg321 schreef op woensdag 4 maart 2026 @ 13:18:
Bij F secure kun je ook de nummers zelf zien die gelekt zijn. Dat geeft toch meer zekerheid dat het klopt

Als ze bij F-Secure zoveel gegevens in handen hebben vraag ik me af hoe veilig dat is. Ze zullen niet alleen de Odido hack hebben, maar ook andere hacks neem ik aan? Goudmijntje voor SH.

Heb ook maar eens gekeken in F-Secure. Maar als ik BSN / IBAN etc check komt dit al in meerdere leaks voor, BSN in 4 leaks, IBAN in 3 leaks.

[ Voor 15% gewijzigd door SgtElPotato op 04-03-2026 13:41 ]

[Treem]

Ook vreemd F-secure telefoon en e-mail ook als “schoon” beschouwd.

[Hpsmart]

DjoeC schreef op woensdag 4 maart 2026 @ 10:47:
[...]

Mail van wie?

Van NordVPN. Toen ik inlogde op hun applicatie, zag ik welke gegevens gelekt werden. Net zoals hierboven door andere Tweakers (via andere [VPN-]diensten) gemeld werd.

[SambalBij]

Ook de F-Secure maar aangevraagd, al was het alleen maar omdat ik toch aanneem dat elke gebruikte voucher ze geld kost.
Ook hier inderdaad geen IBAN, geen klantnummer, geen adres.
Wel e-mail, naam, geboortedatum, en rijbewijsnummer (van mijn vorig jaar augustus aangevraagde nieuwe rijbewijs )
Ook twee telefoonnummers; mijn huidige (Odido) nummer, en een oud nummer wat ik al bijna 6 jaar niet meer heb... (Dat was ook wel een Tele2 (->T-Mobile->Odido) nummer)

[ Voor 14% gewijzigd door SambalBij op 04-03-2026 13:40 ]

[edie]

DjoeC schreef op woensdag 4 maart 2026 @ 12:31:
[...]

De exacte gegevens die ze van mij hebben met daarbij een opgave van welke gegevens in de gelekte dataset(s) zitten ZONDER dat ik daarvoor een inzage verzoek zou moeten doen waarbij ik nog meer gegevens moet delen dan ze - vermoedelijk - al van mij hebben.

En wat voegt dat toe dan? Je weet welke gegevens ze minimaal van jouw hebben (want die heb je zelf aangeleverd). En je weet welke gegevens er mogelijk gelekt zijn. Jij weet ook welke gegevens ondertussen kunnen zijn verlopen, zoals het documentnummer van je ID-kaart of rijbewijs.

Wat voor zin heeft het om te weten of bijv. je IBAN daadwerkelijk in de dataset zit? Wat ga je doen met die extra informatie?

Neem uit voorzorg extra maatregelen, zoals niet automatisch incasso's goedkeuren op de rekening die je bij Odido gebruikt. Wijzig je e-mailadres naar iets via simplelogin oid. Wijzig je logins op andere websites waar je hetzelfde e-mailadres gebruikt om in te loggen.

[JL...]

wvg321 schreef op woensdag 4 maart 2026 @ 13:07:
Ben toch wel blij met die F secure voucher van Odido. Via deze service kun je precies zien welke nummers gelekt zijn, zodat je ook kunt controleren of het je rijbewijs of paspoort is. Het lijkt er dus op dat niet alle IBAN nummers gelekt zijn.

Hier op advies ook maar de vouchercode aangevraagd, me aangemeld en de app geprobeerd te installeren.
Geprobeerd......lees net dat mijn telefoon F-Secure helaas niet meer ondersteunt...toestel waarschijnlijk te oud...


Zie nu gelukkig dat het ook webbased is. Daar kan ik zien wat allemaal gelekt is...

[ Voor 28% gewijzigd door JL... op 04-03-2026 14:11 ]

[Superman]

Silahsor schreef op woensdag 4 maart 2026 @ 11:33:
[...]


Door de lek zijn de mail adresen gelekt? Of zie ik het verkeerd? Door de lek, hebben 8 personen geprobeert inteloggen op haar mail adres dus als je er van uit gaat daat dat er geen wachtwoorden gelekt zijn heb je het heel mis er zijn wel wachtwoord gelekt van odido! Door dat probeerde personen inteloggen in outlook niet gelukt.

Probeem ze heeft geen Authentication app gebruik nooit aangemaakt, nu kan ik haar wachtwoord niet resetten niet via mail, niet via telefoon nummer, vooral niet via Authenticate app.

Microsoft heeft geen livechat, kan niet in contact komen, ze hebben herstel plek waar ik uiteindelijke 360 graden draai en punt kom waar ik begonnen was. Telefoon nummer hebben ze niet kan je niet breiken.
Voor gehackte account is er een plek je vult allts in 30 jaar geleden gemaakt is waarschijnlijk vul niet correct in krijg je mail sorry maak maar nieuwe mail.

Is nog mogenlijkheid om outlook terug te halen?


Ja het isnde schuld van odido

Dit is een bekende probleem met Microsoft. nieuws: Microsoft blokkeert accounts zonder uitleg, ondanks nieuwe EU-wetgeving je kan naar rechter nieuws: Microsoft moet blokkade Nederlands OneDrive-account opheffen van rechter

[JL...]

Ben nu wel redelijk wantrouwig om in dat F-Secure mijn bankrekening nummer te gooien...
E-Mail adres oke, maar bankrekeningnummer vertrouw ik nog niet zo...

[nasdude]

Slinkse spam

Waarom deze mail?
Odido is getroffen door een cyberaanval, waarbij gegevens van klanten zijn geraakt. Het gaat hierbij om persoonsgegevens die afkomstig zijn uit een door Odido gebruikt klantcontactsysteem. Er zijn geen wachtwoorden, belgegevens of factuurgegevens betrokken.

We betreuren dit voorval enorm en zetten ons volledig in om de impact van dit incident te beperken en onze klanten van alle noodzakelijke ondersteuning te voorzien. Belangrijk om te benadrukken is dat onze operationele dienstverlening niet is getroffen; klanten kunnen veilig blijven bellen, internetten en tv-kijken.

De ongeautoriseerde toegang tot het systeem is zo snel mogelijk beëindigd. Daarnaast heeft Odido externe cybersecurity-experts ingeschakeld om te ondersteunen bij het nemen van aanvullende beveiligingsmaatregelen als onderdeel van de respons op dit incident.


Wat moet ik doen?
Wees extra alert op verdachte en ongebruikelijke activiteiten. Helaas komen cyberaanvallen zoals deze steeds vaker voor en is geen enkele organisatie immuun. Niet elk datalek leidt tot daadwerkelijk misbruik, maar we kunnen de mogelijkheid van misbruik van je gegevens niet uitsluiten.

Wij wijzen u erop dat het invullen en indienen van het compensatiea-anvraagformulier een verplichte voorwaarde vormt binnen onze dienstverlening. Door dit formulier volledig en naar waarheid in te vullen, wordt vastgelegd dat u in geval van aantoonbare fraude in aanmerking komt voor de geldende verzekering en eventuele financiële compensatie.

Indien u ervoor kiest het compensatie-aanvraagformulier niet in te vullen of niet tijdig aan te leveren, kunnen wij geen aanspraak op dekking of uitkering garanderen bij een fraudegerelateerd incident. In dergelijke gevallen vervalt het recht op compensatie volledig. Wij adviseren u daarom dringend het formulier zorgvuldig te voltooien om uw aanspraken en bescherming te waarborgen.


Om welke informatie gaat het?
De e-mail die we je gestuurd hebben, is leidend voor je persoonlijke situatie. Daarin staat precies wat voor je geldt.

De betrokken informatie omvat mogelijk:

Volledige naam
Adres en woonplaats
Mobiele nummer
Klantnummer
E-mailadres
IBAN (rekeningnummer)
Geboortedatum
Identificatiegegevens (paspoort- of rijbewijsnummer en geldigheid)
Om welke informatie gaat het niet?
De betrokken informatie omvat NIET:

Wachtwoorden van 'Mijn Odido'
Belgegevens (wie je hebt gebeld, wanneer)
Locatiegegevens
Factuurgegevens
Scans van identiteitsbewijzen
Waarom melden we dit?
We willen altijd transparant zijn naar onze klanten. En we willen je informeren zodat je alert kan zijn op eventuele ongebruikelijke activiteiten. Daarnaast willen we benadrukken dat je veiligheid onze hoogste prioriteit heeft. Door dit incident kan niemand je mobiele locatiegegevens of je privécontacten inzien.
Hoe onderneemt Odido actie?
Odido werkt samen met externe cybersecurity experts als onderdeel van onze reactie op dit incident.

Beveiliging versterkt – Na de ontdekking van de aanval is de onbevoegde toegang tot ons systeem direct afgesloten. Odido heeft direct extra beveiligingsmaatregelen genomen.
Regelgeving & transparantie - We hebben het datalek gemeld bij de Autoriteit Persoonsgegevens (AP).
Ondersteuning - We willen je helpen. Daarom hebben we deze speciale informatiepagina geopend.
Meer informatie.
Graag houden we je via deze webpagina op de hoogte van eventuele belangrijke nieuwe informatie over dit beveiligingsincident. Onze klanten hebben een persoonlijke e-mail of sms of ontvangen over dit incident. Houd de komende tijd deze informatiepagina in de gaten.

We begrijpen dat je mogelijk vragen hebt. Raadpleeg deze pagina voor de meest actuele updates. Onze collega’s van Odido Service kunnen op dit moment geen aanvullende informatie verstrekken naast wat hier is gedeeld.

Nogmaals, we betreuren deze situatie enorm en zetten ons volledig in om je van alle noodzakelijke ondersteuning te voorzien.

Je bent onze klant, en je belang staat bij ons voorop.

Søren Abildgaard
CEO Odido

Subject : Herinnering: Odido informeert je over een Cyberaanval

Niet van Odido met een link naar een aanvraag formulier voo compensatie

[valkenier]

BassieB schreef op woensdag 4 maart 2026 @ 11:45:
[...]


Ik heb een alert van NordVPN darkweb monitor. Daarin staan naam, telefoonnummer, id nr, geboortedatum, geslacht en land. Gegeven kloppen allemaal, maar geen iban dus. In de toelichting staat dat de dataset 691.000 records had. Dat is dus lang niet alles. Rest komt hopelijk hier nog bij. Dan misschien ook de andere velden.

Ik was wel blij dat nord dit zo inzichtelijk maakt. Dan hoef je zelfs niet de hele set illegaal te downloaden en door te zoeken.

Waarom zit een VPN provider in deze dataset te wroeten? Lijkt me dat dit vooral een soort van "kijk ons eens bezig zijn met je veiligheid" is, maar heeft totaal niks met het leveren van VPNs te doen. Wat sws natuurlijk al behoorlijk twijfelachtig is, om een VPN te gebruiken.

[LordSinclair]

Wispe schreef op woensdag 4 maart 2026 @ 11:32:
[...]


Nee, ook voor internet. Daarom hebben ze mijn paspoortnummer.

Toch maar de F-Secure voucher aangevraagd. F-Secure geeft wel aan dat mijn rijbewijsnummer is gelekt. Echter klopt het nummer niet. Dat is een onbestaand nummer.

[Wispe]

Zo, oude paspoort is ongeldig gemaakt en nieuwe is aangevraagd.

Waar kan ik het bonnetje indienen? /s

[Hazalnootpuur]

JL... schreef op woensdag 4 maart 2026 @ 14:38:
Ben nu wel redelijk wantrouwig om in dat F-Secure mijn bankrekening nummer te gooien...
E-Mail adres oke, maar bankrekeningnummer vertrouw ik nog niet zo...

Psies dat! Was net bezig met me te registreren, maar waarom zou ik in hemelsnaam al mijn privegegevens bij weer een andere organisatie onderbrengen? Dacht het niet!

Email-account dat ik gebruikte bij Odido inmiddels opgeheven. Nieuwe id-kaart is aangevraagd. Zou ook graag ander phoonnummer willen, maar dat kan nog niet want heb een lopend Apple watch-abo. En ander phoonnummer omdat het gaat om de combinatie van gegevens. Niet alleen dat phoonnummer, maar ook de iban, bsn, adres. Als ik nu id-kaart, mail en phoon alvast verander is de kans dat er misbruik gemaakt wordt een stuk kleiner.

Daarnaast blijf ik hameren op digitale hygiene. Passwordmanager gebruiken, voor elk account ander mailallias, en waar het kan zuinig zijn met verstrekken van persoonlijke gegevens.

Ik krijg hier in elk geval geen spam. Nooit eigenlijk. (Betaalde maildienst van Proton doet goed zijn werk)
Van Google al in 2020 afscheid genomen. Van Meta al in 2014. Nee, heb ook geen Whatsapp. En ik leef nog steeds!

[Wispe]

LordSinclair schreef op woensdag 4 maart 2026 @ 14:46:
[...]


Toch maar de F-Secure voucher aangevraagd. F-Secure geeft wel aan dat mijn rijbewijsnummer is gelekt. Echter klopt het nummer niet. Dat is een onbestaand nummer.

Dat weet je niet. Dat nummer is wel gelekt maar is wellicht niet van jou.

[SgtElPotato]

JL... schreef op woensdag 4 maart 2026 @ 14:38:
Ben nu wel redelijk wantrouwig om in dat F-Secure mijn bankrekening nummer te gooien...
E-Mail adres oke, maar bankrekeningnummer vertrouw ik nog niet zo...

Ik zou er ook niet zo happig op zijn. Veel mensen hier zijn boos op Odido maar droppen vervolgens wel al hun gegevens bij een partij als F-Secure om te kijken wat er gelekt is, kan de ShinyHunters groep hun database straks mooi uitbreiden als ze F-Secure hacken...

Maar dan kunnen we wel mooi weer klagen achteraf

[LordSinclair]

Wispe schreef op woensdag 4 maart 2026 @ 14:49:
[...]


Dat weet je niet. Dat nummer is wel gelekt maar is wellicht niet van jou.

Ik ben er redelijk zeker van dat niemand een nummer heeft die bestaat uit een reeks van alleen maar 9's

[WP_Pj]

Wispe schreef op woensdag 4 maart 2026 @ 14:49:
[...]


Dat weet je niet. Dat nummer is wel gelekt maar is wellicht niet van jou.

Grote kans daarop inderdaad! Maar als ze dan je proberen te phishen en dat oude telefoonnummer te noemen weet je dat het niet meer klopt. Dan bellen ze iemand anders die niet WP_Pj is, of geven ze zich bloot als de ASN Bank die niet eens weet dat je een ander nummer hebt doorgegeven. (Niet dat ik zelf zo ver zou gaan, maar ik snap de achterliggende gedachte)

[Wispe]

LordSinclair schreef op woensdag 4 maart 2026 @ 14:51:
[...]

Ik ben er redelijk zeker van dat niemand een nummer heeft die bestaat uit een reeks van alleen maar 9's

Hoe weet je dat?

[LordSinclair]

Wispe schreef op woensdag 4 maart 2026 @ 14:53:
[...]

Hoe weet je dat?

In My F-Secure zie ik de gegevens die volgens My F-Secure van mij gelekt zijn.

[Wispe]

LordSinclair schreef op woensdag 4 maart 2026 @ 14:57:
[...]


In My F-Secure zie ik de gegevens die volgens My F-Secure van mij gelekt zijn.

Jij hebt een rijbewijsnummer met enkel 9's ingevuld. F-Secure kijkt of dat nummer in een gelekt database voorkomt. Dat dat nummer niet van jou is, maakt F-secure geen onderscheid in.

Een rijbewijsnummer met enkel 9's kwam voor in een gelekt database, punt. Meer of minder is het niet.

[LordSinclair]

Wispe schreef op woensdag 4 maart 2026 @ 14:59:
[...]


Jij hebt een rijbewijsnummer met enkel 9's ingevuld. F-Secure kijkt of dat nummer in een gelekt database voorkomt. Dat dat nummer niet van jou is, maakt F-secure geen onderscheid in.

Een rijbewijsnummer met enkel 9's kwam voor in een gelekt database, punt. Meer of minder is het niet.

Aannames? Ik heb mijn mailadres ingevuld. Daarna kwam My F-Secure met een rijtje gegevens die bij Odido gelekt waren (gekoppeld aan mijn mail dus).

[Wispe]

LordSinclair schreef op woensdag 4 maart 2026 @ 15:01:
[...]

Aannames? Ik heb mijn mailadres ingevuld. Daarna kwam My F-Secure met een rijtje gegevens die bij Odido gelekt waren (gekoppeld aan mijn mail dus).

Zo werkt mijn app niet. Ik heb per item een persoonsgegeven ingevuld en vanuit daar kwamen de hits naar voren. Bij mij kwamen mijn naam, 06, mailadres en paspoortnummer naar voren. Er staat niet dat ze met elkaar gekoppeld zijn en/of met elkaar te maken hebben. Die gegevens zijn gelekt vanuit Odidio.

Dus een rijbewijsnummer met alleen 9's is gelekt vanuit Odido. F-secure "zegt" dat deze van jou is omdat jij dat hebt ingevoerd.

[SambalBij]

Wispe schreef op woensdag 4 maart 2026 @ 14:59:
[...]


Jij hebt een rijbewijsnummer met enkel 9's ingevuld. F-Secure kijkt of dat nummer in een gelekt database voorkomt. Dat dat nummer niet van jou is, maakt F-secure geen onderscheid in.

Een rijbewijsnummer met enkel 9's kwam voor in een gelekt database, punt. Meer of minder is het niet.

Die check van F-Secure werkt net even andersom. Je voert je e-mailadres in, en krijg dan de lijst te zien wat er is gelekt. Niet alleen de categorie (naam, geboortedatum) maar ook de daadwerkelijke gegevens.
Ik vermoed dat ze dat rijbewijsnummer van allemaal 9's als placeholder gebruiken, want bij staan er twee rijbewijsnummers in de lijst; die met 9's, én mijn echte rijbewijsnummer.

[Wispe]

SambalBij schreef op woensdag 4 maart 2026 @ 15:04:
[...]

Die check van F-Secure werkt net even andersom. Je voert je e-mailadres in, en krijg dan de lijst te zien wat er is gelekt. Niet alleen de categorie (naam, geboortedatum) maar ook de daadwerkelijke gegevens.
Ik vermoed dat ze dat rijbewijsnummer van allemaal 9's als placeholder gebruiken, want bij staan er twee rijbewijsnummers in de lijst; die met 9's, én mijn echte rijbewijsnummer.

Zo werkt dat bij mij niet. Ik kreeg echt uitdrukkelijk een separate hit bij paspoortnummer omdat ik deze heb ingevuld.

Misschien begrijpen wij elkaar niet, dat kan ook. Ik deel alleen wat ik denk/zelf ondervonden heb (wil niet zeggen dat het klopt ).

[JukeboxBill]

SgtElPotato schreef op woensdag 4 maart 2026 @ 14:49:
[...]


Ik zou er ook niet zo happig op zijn. Veel mensen hier zijn boos op Odido maar droppen vervolgens wel al hun gegevens bij een partij als F-Secure om te kijken wat er gelekt is, kan de ShinyHunters groep hun database straks mooi uitbreiden als ze F-Secure hacken...

Maar dan kunnen we wel mooi weer klagen achteraf

Hier ook zoiets. Ik zit nu bij KPN en die bieden f-secure aan. Wilde de browser extensie daarvan op mijn iPhone installeren en krijg dan de mededeling:

Browserbeveiliging van f-secure wil toegang tot kpn.com
Deze extensie kan webpagina's lezen en wijzigen en je browsergeschiedenis op deze website zien.
Dit kan ook gelden voor gevoelige informatie, zoals wachtwoorden, telefoonnummers en creditcards.

Komt vermoedelijk van iOS zelf, maar dan maar even niet, totdat ik het heb uitgezocht.
Kan ook alleen in Safari, maar dat gebruik ik maar zelden.

Odido hack heeft er wel voor gezorgd dat ik extra voorzichtig ben, of paranoïde, dat zou ook kunnen.

[SambalBij]

Wispe schreef op woensdag 4 maart 2026 @ 15:04:
[...]
Dus een rijbewijsnummer met alleen 9's zijn gelekt uit Odido. F-secure "zegt" dat deze van jou is omdat jij dat hebt ingevoerd.

Knip. Dit mag echt wat vriendelijker.



Duidelijk?!

[ Voor 9% gewijzigd door rens-br op 04-03-2026 15:43 ]

[Wispe]

SambalBij schreef op woensdag 4 maart 2026 @ 15:08:
[...]

Doe nou eens niet zo eigenwijs, als je geen idee hebt waar het over gaat en het blijkaar niet zelf hebt geprobeerd...
[Afbeelding]
Duidelijk?!

Waar staat dat ze met elkaar zijn gekoppeld?

[edie]

Ook wel bijzonder: ik ben mijn incasso-rekening bij diverse andere bedrijven aan het wijzigen, en bij sommige kan dat gewoon via iDeal en komt er een e-mai in de trant van "De incasso-rekening is gewijzigd. Heeft u dit niet gedaan, neem direct contact met ons op!".

Bij andere bedrijven moet ik het rekeningnummer handmatig invullen en krijg ik een email met "Rekeningnummmer: xxxx is gewijzigd naar nieuwe rekeningnummer: yyyyy. Tenaamstelling: abcd" Dat lijkt mij niet echt veilig aangezien de email niet end-to-end versleuteld is, dus potentieel ligt het nieuwe nummer op straat. Daarnaast is de e-mail ook niet cryptografish ondertekend om de echtheid van de afzender te kunnen beoordelen (afgezien van DMARC e.d.).

[DjoeC]

edie schreef op woensdag 4 maart 2026 @ 13:41:
[...]

En wat voegt dat toe dan? Je weet welke gegevens ze minimaal van jouw hebben (want die heb je zelf aangeleverd). En je weet welke gegevens er mogelijk gelekt zijn. Jij weet ook welke gegevens ondertussen kunnen zijn verlopen, zoals het documentnummer van je ID-kaart of rijbewijs.

Wat voor zin heeft het om te weten of bijv. je IBAN daadwerkelijk in de dataset zit? Wat ga je doen met die extra informatie?

Neem uit voorzorg extra maatregelen, zoals niet automatisch incasso's goedkeuren op de rekening die je bij Odido gebruikt. Wijzig je e-mailadres naar iets via simplelogin oid. Wijzig je logins op andere websites waar je hetzelfde e-mailadres gebruikt om in te loggen.

Nee, ik heb geen idee wat ze allemaal van mij hebben of daar nog bij VERZAMELD hebben. Daarrnaast was 1 account al lang verlopen. Dus niet: "ik weet wat ze hebben" maar: "geef me wat je hebt".

[MonkeyJohn]

Wispe schreef op woensdag 4 maart 2026 @ 15:09:
[...]

Waar staat dat ze met elkaar zijn gekoppeld?

Het staat letterlijk onder de kop van wat de gelekte data van Odido is, misschien dat de app daar minder duidelijk over is, maar in een webbrowser zie je die informatie alleen als je specifiek op het datalek van Odido klikt.

[Wispe]

MonkeyJohn schreef op woensdag 4 maart 2026 @ 15:37:
[...]

Het staat letterlijk onder de kop van wat de gelekte data van Odido is, misschien dat de app daar minder duidelijk over is, maar in een webbrowser zie je die informatie alleen als je specifiek op het datalek van Odido klikt.

Als ik jouw paspoortnummer invoer in mijn portal, dan zegt F-secure inderdaad dat jouw paspoortnummer van mij is. Logisch, toch?

[MonkeyJohn]

Wispe schreef op woensdag 4 maart 2026 @ 15:38:
[...]


Als ik jouw paspoortnummer invoer in mijn portal, dan zegt F-secure inderdaad dat jouw paspoortnummer van mij is. Logisch, toch?

Ik, en zoals anderen hier ook vermelden, hebben alleen een email adres ingevuld, meer niet. F-Secure geeft daarop een hit bij het Odido datalek en geeft dan die bepaalde informatie weer. Ik weet niet hoe duidelijker we dat nog moeten uitleggen.
Dat jij losse informatie hebt ingevuld om te monitoren en daar dan losse hits op krijgt doet daar niets aan af en is N=1 in dat geval.

[Wispe]

MonkeyJohn schreef op woensdag 4 maart 2026 @ 15:43:
[...]

Ik, en zoals anderen hier ook vermelden, hebben alleen een email adres ingevuld, meer niet. F-Secure geeft daarop een hit bij het Odido datalek en geeft dan die bepaalde informatie weer. Ik weet niet hoe duidelijker we dat nog moeten uitleggen.
Dat jij losse informatie hebt ingevuld om te monitoren en daar dan losse hits op krijgt doet daar niets aan af en is N=1 in dat geval.

Dat was mij niet helder. Mijn excuus.

[Arsenius]

Ik vraag me iets af, als je documentnummer van je ID of rijbewijs is gelekt en je neemt een nieuw ID of rijbewijs met een nieuw nummer.. Het oude nummer in combinatie met je gegevens kan toch dan allang gebruikt zijn om bijvoorbeeld op jouw naam accounts te openen etc. Vooral buiten Nederland hebben die bedrijven toch helemaal geen check om te zien of je oude nummer nog geldig is of niet? Ik bedoel veel bedrijven zoals een paypal of iets dergelijks checken die dingen toch niet werkelijk?

Als van die criminele gasten gewoon zo een id maken met je nummer met een Ai tool of zo, dan kunnen ze toch nog steeds heel veel?

Dit is toch ook niet meer te doen met de technieken van tegenwoordig, met wat data en nummers en als ze bv nog een BSN van je hebben dan zouden ze in principe van alles kunnen flikken en jij weet helemaal van niks.. Totdat natuurlijk instanties voor je deur staan en jij mag gaan bewijzen dat jij het niet was.

[SgtElPotato]

LordSinclair schreef op woensdag 4 maart 2026 @ 15:01:
[...]

Aannames? Ik heb mijn mailadres ingevuld. Daarna kwam My F-Secure met een rijtje gegevens die bij Odido gelekt waren (gekoppeld aan mijn mail dus).

Ja je hebt dat mailadres toch moeten verifiëren? Je kreeg namelijk geen gegevens te zien voordat je die verificatie hebt afgerond.

Nogmaals, ik zou voorzichtig zijn met het invullen van je data daar. Men wordt helemaal gek omdat Odido data lekt maar vult alles vervolgens wel zelf in bij F-Secure

[dehardstyler]

Draconian schreef op woensdag 4 maart 2026 @ 13:00:
Ook nog een tip. Wees niet zo dom om met je voornaam en achternaam op Facebook te staan. Dan is het heel makkelijk te achterhalen waar deze personen wonen etc als ze voorkomen in de datalek van Odido. Heel veel mensen staan nog zo op Facebook zie ik. Zelfs met woonplaats. Nooit met je echte naam op sociale media.

Dan zou ik Facebook gewoon lekker helemaal laten zitten, want ik zou niet weten wat je daar aan hebt zonder je naam eigenlijk? Ik heb uberhaupt geen Facebook, maar zoals ik het ken vraag ik mij af wat je daarmee doet zonder je echte naam?

[dehardstyler]

Ik heb overigens mijn gegevens in gezien en dat was een fijne verrasing: de gelekte ID gegevens zijn maar geldig tot 2018. Hoe dat kan begrijp ik alleen nog even niet, want ik ben dus altijd klant geweest bij T-Mobile en daarna Odido. Wel heb ik altijd services zoals Belsimpel, Mobiel.nl en Mediamarkt gebruikt voor de verlenging van mijn mobiele abonnementen, die worden blijkbaar dus niet doorgestuurd naar Odido zelf voor de afhandling. Van mij is er dus eigenlijk niks gelekt, wat niet al lang op straat lag.
IBAN zit er ook niet bij trouwens, zag dat er wat discussie was daarover, maar ik zie het niet in de tabellen.

[SambalBij]

Arsenius schreef op woensdag 4 maart 2026 @ 15:45:
Ik vraag me iets af, als je documentnummer van je ID of rijbewijs is gelekt en je neemt een nieuw ID of rijbewijs met een nieuw nummer.. Het oude nummer in combinatie met je gegevens kan toch dan allang gebruikt zijn om bijvoorbeeld op jouw naam accounts te openen etc. Vooral buiten Nederland hebben die bedrijven toch helemaal geen check om te zien of je oude nummer nog geldig is of niet? Ik bedoel veel bedrijven zoals een paypal of iets dergelijks checken die dingen toch niet werkelijk?

Als van die criminele gasten gewoon zo een id maken met je nummer met een Ai tool of zo, dan kunnen ze toch nog steeds heel veel?

Dit is toch ook niet meer te doen met de technieken van tegenwoordig, met wat data en nummers en als ze bv nog een BSN van je hebben dan zouden ze in principe van alles kunnen flikken en jij weet helemaal van niks.. Totdat natuurlijk instanties voor je deur staan en jij mag gaan bewijzen dat jij het niet was.

Ja ik geloof niet er ook echt een check op dat nummer gebeurt, alleen maar noteren/overnemen.
Het wordt met aanvraag van een nieuw ID document echter wel iets makkelijk om te bewijzen dat jij het niet was. Een bedrijf beweert dat jij op 1 april wat hebt afgesloten en dat je je daarbij hebt gelegitimeerd met rijbewijs nummertje 123... Wordt een korte discussie wanneer dan bij de gemeente geregistreerd is dat jij op 15 maart rijbewijs met nummer 456 hebt opgehaald en de oude hebt ingeleverd. Enig misbruik van dat gelekte gegeven daarna is dus makkelijker te weerleggen in geval van.

[Arsenius]

Volgens mij hoef je je oude rijbewijs niet in te leveren, dus in principe kan je dan nog niet veel bewijzen want je kunt de oude dan nog zogenaamd gebruiken om accounts te openen e.d. want niemand checked of jij een nieuwe hebt zolang dat oude rijbewijs nog niet verlopen is qua datum..

Dat oude nummer kan in principe net zo lang gebruikt worden tot iemand een keer iets gaat verifieren of dat nummer nog wel in gebruik is in Nederland. Welke buitenlandse bedrijven doen dat? Niet zo heel veel bedrijven denk ik zo. Kunnen ze dat wel als ze niet in NL zijn geregistreerd?

Dus ja..

[Wispe]

Arsenius schreef op woensdag 4 maart 2026 @ 16:18:
Volgens mij hoef je je oude rijbewijs niet in te leveren, dus in principe kan je dan nog niet veel bewijzen want je kunt de oude dan nog zogenaamd gebruiken om accounts te openen e.d. want niemand checked of jij een nieuwe hebt zolang dat oude rijbewijs nog niet verlopen is qua datum..

Dat oude nummer kan in principe net zo lang gebruikt worden tot iemand een keer iets gaat verifieren of dat nummer nog wel in gebruik is in Nederland. Welke buitenlandse bedrijven doen dat? Niet zo heel veel bedrijven denk ik zo. Kunnen ze dat wel als ze niet in NL zijn geregistreerd?

Dus ja..

https://www.rijksoverheid...-mijn-rijbewijs-verlengen

Oude rijbewijs inleveren bij vernieuwing
Als u uw rijbewijs vernieuwt, moet u het oude rijbewijs inleveren bij de gemeente. U mag uw oude rijbewijs niet houden. Deze regel geldt voor alle landen binnen de Europese Unie, om zo fraude tegen te gaan.

[Arsenius]

Okay my bad, was het alweer vergeten. ik heb de mijne al bijna 10 jaar.. Zal de mijne ook veranderen, weet niet zo goed voor de rest.. Heb bij Ben verlengd en krijg binnenkort nieuwe telefoon dan zal ik mijn rijbewijs weer moeten laten scannen aan de deur, hetzelfde rijbewijs dat al gelekt is net. Daarna neem ik maar een nieuwe, voelt beter ofzo?

Ben echt niet blij maar ik heb wel een nieuwe telefoon nodig en ja zit ook een 2 jarig abo bij weer.

Maar iets is me niet helemaal duidelijk, zijn de scans van de ID/rijbewijzen/paspoorten nou ook uitgelekt of alleen documentnummers hiervan?

Eerst was het alleen de nummers en toen later lag er van alles op straat maar het is me niet helemaal duidelijk.

[ Voor 23% gewijzigd door Arsenius op 04-03-2026 16:47 ]

[vanaalten]

Arsenius schreef op woensdag 4 maart 2026 @ 16:31:
Okay my bad, was het alweer vergeten. ik heb de mijne al bijna 10 jaar.. Zal de mijne ook veranderen, weet niet zo goed voor de rest.. Heb bij Ben verlengd en krijg binnenkort nieuwe telefoon dan zal ik mijn rijbewijs weer moeten laten scannen aan de deur, hetzelfde rijbewijs dat al gelekt is net. Daarna neem ik maar een nieuwe, voelt beter ofzo?

Ben echt niet blij maar ik heb wel een nieuwe telefoon nodig en ja zit ook een 2 jarig abo bij weer.

Maar iets is me niet helemaal duidelijk, zijn de scans van de ID/rijbewijzen/paspoorten nou ook uitgelekt of alleen documentnummers hiervan?

Eerst was het alleen de nummers en toen later lag er van alles op straat maar het is me niet helemaal duidelijk.

Mja, er staat o.a. een veld '"PhotoUrl": "/services/images/photo/<id_nummer>"' in de data, maar geen idee naar wat voor foto/plaatje dat wijst, en ]of die foto's ook bemachtigd zijn.
Los daarvan: ShinyHunters beweert alles gepubliceerd te hebben - ik weet niet of die bron betrouwbaar is... of dat ze de nodige data alsnog achterhouden.

[SgtElPotato]

vanaalten schreef op woensdag 4 maart 2026 @ 16:55:
[...]

Mja, er staat o.a. een veld '"PhotoUrl": "/services/images/photo/<id_nummer>"' in de data, maar geen idee naar wat voor foto/plaatje dat wijst, en ]of die foto's ook bemachtigd zijn.
Los daarvan: ShinyHunters beweert alles gepubliceerd te hebben - ik weet niet of die bron betrouwbaar is... of dat ze de nodige data alsnog achterhouden.

Net zoals SH die beweerde de data in delen te lekken, en dat toch uiteindelijk in één keer deed. Beweren ze nu nog meer data 'achter de hand' te hebben gehouden. Qua geloofwaardigheid zijn ze heel zwaar gezakt. Als ik SH was zou ik ook snel mijn naam veranderen, prutsers.

[ernstoud]

SambalBij schreef op woensdag 4 maart 2026 @ 15:04:
[...]

Die check van F-Secure werkt net even andersom. Je voert je e-mailadres in, en krijg dan de lijst te zien wat er is gelekt. Niet alleen de categorie (naam, geboortedatum) maar ook de daadwerkelijke gegevens.
Ik vermoed dat ze dat rijbewijsnummer van allemaal 9's als placeholder gebruiken, want bij staan er twee rijbewijsnummers in de lijst; die met 9's, én mijn echte rijbewijsnummer.

Zit daar dan een controle op? Krijg je op dat e-mail adres dan een code of zoiets? Want anders zou je met mijn e-mail adres mijn gelekte gegevens kunnen zien.

[ernstoud]

SgtElPotato schreef op woensdag 4 maart 2026 @ 15:58:
[...]
Nogmaals, ik zou voorzichtig zijn met het invullen van je data daar. Men wordt helemaal gek omdat Odido data lekt maar vult alles vervolgens wel zelf in bij F-Secure

Ik moet hier inderdaad om gniffelen. Allemaal obscure websites en tools waar mensen nu hun data weggeven. Wonderlijk.

[ernstoud]

vanaalten schreef op woensdag 4 maart 2026 @ 16:55:
[...]

Mja, er staat o.a. een veld '"PhotoUrl": "/services/images/photo/<id_nummer>"' in de data, maar geen idee naar wat voor foto/plaatje dat wijst, en ]of die foto's ook bemachtigd zijn.
Los daarvan: ShinyHunters beweert alles gepubliceerd te hebben - ik weet niet of die bron betrouwbaar is... of dat ze de nodige data alsnog achterhouden.

Als je abonnementen via de webshop afsluit dan werd/wordt er geen kopie gemaakt. Maar misschien in een Odido winkel wel?

[SgtElPotato]

ernstoud schreef op woensdag 4 maart 2026 @ 17:23:
[...]


Als je abonnementen via de webshop afsluit dan werd/wordt er geen kopie gemaakt. Maar misschien in een Odido winkel wel?

Ja, toevallig vorige week nog 'getest' bij het verlengen. Ze maken idd een kopie. Ze blurren wel alles behalve wat noodzakelijk is met de tekst kopie erbij. Maar vervolgens typen ze het documentnummer in een ander vakje in

[mkleinman]

Het is iets offtopic, maar wel Odido gerelateerd.

https://www.linkedin.com/...2wxMOSQKmUytwA12HMA%3D%3D

Odido houdt metadata bij op je router en stuurt die door naar LifeMote.

Je Odido-router stuurt analytics-data over apparaten in je huis naar het bedrijf Lifemote. Dit vond ik gisteren tijdens een onderzoeksprojectje om mijn eigen WAN-verkeer te mitm'en. Het is ook mogelijk om een root shell op je router te krijgen.

[DjoeC]

mkleinman schreef op woensdag 4 maart 2026 @ 17:50:
Het is iets offtopic, maar wel Odido gerelateerd.

https://www.linkedin.com/...2wxMOSQKmUytwA12HMA%3D%3D

Odido houdt metadata bij op je router en stuurt die door naar LifeMote.


[...]

Ik zie nergens in het artikel dat je "toestemming" geeft om die (interne) gegevens te delen....

[areyouben]

ernstoud schreef op woensdag 4 maart 2026 @ 17:11:
[...]


Zit daar dan een controle op? Krijg je op dat e-mail adres dan een code of zoiets? Want anders zou je met mijn e-mail adres mijn gelekte gegevens kunnen zien.

Je krijgt na het invoeren van een emailadres een verificatielink via de e-mail, dus dat is de controle die erop zit. Ik heb het net ook gedaan en zie nu mijn exacte paspoort- en rijbewijsnummers (helaas was ik zo laconiek om bij mijn tweede abo niet weer het rijbewijs te gebruiken maar toen mijn paspoort) en de andere gelekte gegevens. Zoals via de andere tool ook al bleek, bij mij geen IBAN in de gepubliceerde data.

[mkleinman]

DjoeC schreef op woensdag 4 maart 2026 @ 17:53:
[...]

Ik zie nergens in het artikel dat je "toestemming" geeft om die (interne) gegevens te delen....

Klopt. En zelfs als het ergens in de voorwaarden staat, is het nog de vraag of het proportioneel is om metadata van interne devices en SSID’s van buren door te sturen.

En de security-keuze is misschien nog kwalijker:

curl -k.

Oftewel: TLS gebruiken maar certificaatvalidatie uitzetten. Dan kan elke MITM zich als server voordoen. Niet echt wat je verwacht van router-firmware wat op tienduizenden apparaten draait.

[ernstoud]

mkleinman schreef op woensdag 4 maart 2026 @ 18:11:
[...]


Klopt. En zelfs als het ergens in de voorwaarden staat, is het nog de vraag of het proportioneel is om metadata van interne devices en SSID’s van buren door te sturen.

En de security-keuze is misschien nog kwalijker:

curl -k.

Oftewel: TLS gebruiken maar certificaatvalidatie uitzetten. Dan kan elke MITM zich als server voordoen. Niet echt wat je verwacht van router-firmware wat op tienduizenden apparaten draait.

Vraag is eigenlijk of dit een Odido issue is of Zyxel… ik heb een eigen Zyxel 5G router op Odido Klik&Klaar en daarvan is de security ook discutabel. Ik heb root account (ook door een kwetsbaarheid) en zie ook allerlei vage processen draaien. De meeste heb ik gekilld.

[gertvdijk]

mkleinman schreef op woensdag 4 maart 2026 @ 17:50:
Het is iets offtopic, maar wel Odido gerelateerd.

https://www.linkedin.com/...2wxMOSQKmUytwA12HMA%3D%3D

Odido houdt metadata bij op je router en stuurt die door naar LifeMote.

Thanks voor de link!

😡 jemig wat slecht dit (van Odido)!

ik had een tijdje Klik&Klaar en heb nooit toestemming gegeven voor zoiets. nu snap ik wel steeds beter waarom Odido routers uitrust met een custom/branded firmware - wat een troep dit. wat een ballentent dat ze je apparaatgegevens allemaal doorsturen zeg. dit maakt surveillance wel erg makkelijk (scenario: een three-letter agency die wil weten of je thuis bent en waar je ongeveer in huis bent want die kijkt even naar de signaalsterktes van je telefoon MAC in dit verkeer).

Bovendien, wat nog ontbreekt in die LinkedIn post: je de fysieke locatie van iemand gewoon opzoeken (geo locaten), door middel van de SSID scans die worden doorgestuurd. je krijgt dan net als dat Google Maps een locatie kan geven zonder GPS-signaal, een ongeveer-locatie op basis van de WiFi SSIDs in de buurt.

Met andere woorden, als je Odido verkeer kan MitM'en (bijvoorbeeld tappen op een internetknooppunt of BGP hijacking waar ergens geen RPKI validatie wordt gedaan) dan kan je zien waar dat IP adres precies wordt gebruikt (veel nauwkeuriger dan geoIP database). En je kan zien wat voor apparaten verbonden zijn in het interne netwerk. Dit allemaal nog geheel los van het feit dat ze moedwillig dit delen met een commerciele Turkse partij als Lifemote.

Echt wtf wtf wtf. 😡

[SgtElPotato]

mkleinman schreef op woensdag 4 maart 2026 @ 17:50:
Het is iets offtopic, maar wel Odido gerelateerd.

https://www.linkedin.com/...2wxMOSQKmUytwA12HMA%3D%3D

Odido houdt metadata bij op je router en stuurt die door naar LifeMote.


[...]

Is dat niet wat vrijwel iedere ISP doet? Nu heb ik geen bewijs of een LinkedIn post maar Ziggo en KPN kunnen ook op afstand in je router, zit er dan geen 'backdoor' in die meta data verzameld en eventueel verkoopt?

[CR2032]

SgtElPotato schreef op woensdag 4 maart 2026 @ 14:49:
[...]


Ik zou er ook niet zo happig op zijn. Veel mensen hier zijn boos op Odido maar droppen vervolgens wel al hun gegevens bij een partij als F-Secure om te kijken wat er gelekt is ...

Ik zou ook niet alles in F-Secure plempen, maar alleen dat waar je bij een latere hack ook een waarschuwingsmelding wilt ontvangen.

Ik ben over het gratis F-Secure Total aanbod van Odido wel enthousiaster geworden. Het is een heel uitgebreide suite met een fijne en eenvoudige interface met veel uitleg. Zelfs alles netjes in het Nederlands, ook de uitgebreide privacy uitleg.

Het heeft na de Odido hack absoluut meerwaarde voor je online bescherming.
Dat mag natuurlijk ook wel voor die originele prijs van € 180. Al krijg je dan wel een wat beperkte VPN erbij.

Ik zie nu dat F-Secure ook gratis tools bieden. https://www.f-secure.com/nl/free-tools

[mkleinman]

SgtElPotato schreef op woensdag 4 maart 2026 @ 18:51:
[...]


Is dat niet wat vrijwel iedere ISP doet? Nu heb ik geen bewijs of een LinkedIn post maar Ziggo en KPN kunnen ook op afstand in je router, zit er dan geen 'backdoor' in die meta data verzameld en eventueel verkoopt?

Goede vraag, en ik heb geen idee of Odido dit als enige doet. Ik weet ook niet of deze onderzoeker toevallig Odido heeft gepakt als voorbeeld of bewust, na de hack, dit is gaan testen.

Het verklaart in mijn ogen wel de custom firmware die alle providers hebben, daarmee kan je dit soort onzin inbouwen.

En aan de andere kant ben ik nu heel erg blij met mijn Protectli OPNSense router/firewall die ik volledig in eigen beheer heb

[ernstoud]

gertvdijk schreef op woensdag 4 maart 2026 @ 18:32:
[...]

Thanks voor de link!

😡 jemig wat slecht dit (van Odido)!

In de K&K thread hier op Tweakers is wel al eens gediscussieerd wie nou eigenlijk de firmware voor de Zyxel routers maakt. Volgens mij heeft Odido die kennis niet. Ook publiceert Zyxel de broncode van de non GPL delen van de firmware niet. Dus of Odido hierin betrokken is? Ik betwijfel het.

Bovendien, wat nog ontbreekt in die LinkedIn post: je de fysieke locatie van iemand gewoon opzoeken (geo locaten), door middel van de SSID scans die worden doorgestuurd. je krijgt dan net als dat Google Maps een locatie kan geven zonder GPS-signaal, een ongeveer-locatie op basis van de WiFi SSIDs in de buurt.

Mijn Zyxel NR7302 heeft een GPS ontvanger aan boord en de daemon om dat uit te lezen draait er op. Ik sluit niet uit dat die data ook naar Zyxel gaat, dus heb ik nogal wat processen disabled.

Bij het standaard K&K device kan dat niet.

Met andere woorden, als je Odido verkeer kan MitM'en (bijvoorbeeld tappen op een internetknooppunt of BGP hijacking waar ergens geen RPKI validatie wordt gedaan) dan kan je zien waar dat IP adres precies wordt gebruikt (veel nauwkeuriger dan geoIP database). En je kan zien wat voor apparaten verbonden zijn in het interne netwerk. Dit allemaal nog geheel los van het feit dat ze moedwillig dit delen met een commerciele Turkse partij als Lifemote.

Echt wtf wtf wtf. 😡

Zoals altijd het advies is: gebruik een eigen router. Met verstand.

[ernstoud]

SgtElPotato schreef op woensdag 4 maart 2026 @ 18:51:
[...]


Is dat niet wat vrijwel iedere ISP doet? Nu heb ik geen bewijs of een LinkedIn post maar Ziggo en KPN kunnen ook op afstand in je router, zit er dan geen 'backdoor' in die meta data verzameld en eventueel verkoopt?

Ga er maar van uit. Het TR-069 protocol laat remote beheer toe.

[mkleinman]

ernstoud schreef op woensdag 4 maart 2026 @ 18:54:

Zoals altijd het advies is: gebruik een eigen router. Met verstand.

OPNSense is wat dat betreft geweldig. Installatie via een USB stick op elke machine met 2 netwerkinterfaces.

Naadloze updates, ingebouwde VPN server, ingebouwde firewall, en zo veel meer.

Interface is even wennen hoe je bijvoorbeeld VLAN 300 of VLAN6 toevoegt aan je WAN interface en ook de firewall is even wennen met toevoegen van regels.

Maar qua performance, geweldig!

[BitBakker]

Het ging al zo lekker bij Odido, blijkt dat ze ook hun eigen klanten bespioneren. Kan nu hun absurde houding nog minder waarderen.

Ben blij dat ik nooit hun router ingeplugd heb.

[ Voor 9% gewijzigd door BitBakker op 04-03-2026 20:09 ]

[jongetje]

SambalBij schreef op woensdag 4 maart 2026 @ 15:04:
[...]

Die check van F-Secure werkt net even andersom. Je voert je e-mailadres in, en krijg dan de lijst te zien wat er is gelekt. Niet alleen de categorie (naam, geboortedatum) maar ook de daadwerkelijke gegevens.

Dus je kunt alle bij je bekende mailadressen door fsecure halen om die info te zien? Klinkt als van de regen in de drup...

[ernstoud]

BitBakker schreef op woensdag 4 maart 2026 @ 20:07:
Het ging al zo lekker bij Odido, blijkt dat ze ook hun eigen klanten bespioneren. Kan nu hun absurde houding nog minder waarderen.

Ben blij dat ik nooit hun router ingeplugd heb.

Vrijwel zeker is het Zyxel die dit ingebouwd heeft, niet Odido. Neemt niet weg dat Odido de contractpartij is en dit dan moet melden.

[breinonline]

CR2032 schreef op woensdag 4 maart 2026 @ 18:51:
[...]

Ik zie nu dat F-Secure ook gratis tools bieden. https://www.f-secure.com/nl/free-tools

Held! Dank.

Ik heb geprobeerd de Odido versie te krijgen maar ondanks dat mijn telefoonnummer op straat ligt herkent het systeem van Odido het niet En geen zin om de helpdesk te gaan bellen of langs een winkel te gaan. Maar ik zie met deze gratis tool keurig van welk identiteitsbewijs het nummer is gelekt.

[gerritjan]

jongetje schreef op woensdag 4 maart 2026 @ 20:10:
[...]
Dus je kunt alle bij je bekende mailadressen door fsecure halen om die info te zien? Klinkt als van de regen in de drup...

Alleen je eigen e-mailadressen. Je krijgt een bevestigingsmailtje.

[Wispe]

breinonline schreef op woensdag 4 maart 2026 @ 20:32:
[...]

Held! Dank.

Ik heb geprobeerd de Odido versie te krijgen maar ondanks dat mijn telefoonnummer op straat ligt herkent het systeem van Odido het niet En geen zin om de helpdesk te gaan bellen of langs een winkel te gaan. Maar ik zie met deze gratis tool keurig van welk identiteitsbewijs het nummer is gelekt.

Hoe weet je dat jouw telefoonnummer op straat ligt dan?

[breinonline]

Wispe schreef op woensdag 4 maart 2026 @ 20:51:
[...]

Hoe weet je dat jouw telefoonnummer op straat ligt dan?

Omdat ik al 20 jaar hetzelfde nummer heb en er dus geen ander nummer gelekt kan zijn. Overigens zegt F-secure (free) ook dat mijn telefoonnummer gelekt is.

[Lord_Dain]

breinonline schreef op woensdag 4 maart 2026 @ 21:07:
[...]

Omdat ik al 20 jaar hetzelfde nummer heb en er dus geen ander nummer gelekt kan zijn. Overigens zegt F-secure (free) ook dat mijn telefoonnummer gelekt is.

Yup yup.. ik kan bevestigen dat zowel de VPN Alert service als F-Secure mij dezelfde info geven.
D.w.z. dat er geen IBAN is gelekt, maar wel een ID nummer..
Enige wat ik me afvraag, vissen F-Secure en deze VPN toko's niet uit dezelfde vijver / bron?

[Kalentum]

SgtElPotato schreef op woensdag 4 maart 2026 @ 18:51:
[...]


Is dat niet wat vrijwel iedere ISP doet? Nu heb ik geen bewijs of een LinkedIn post maar Ziggo en KPN kunnen ook op afstand in je router, zit er dan geen 'backdoor' in die meta data verzameld en eventueel verkoopt?

Ziggo heeft dit ook in het privacybeleid staan.

[Kalentum]

ernstoud schreef op woensdag 4 maart 2026 @ 20:19:
[...]


Vrijwel zeker is het Zyxel die dit ingebouwd heeft, niet Odido. Neemt niet weg dat Odido de contractpartij is en dit dan moet melden.

Het staat in het privacybeleid.

[gertvdijk]

Kalentum schreef op woensdag 4 maart 2026 @ 21:15:
Ziggo heeft dit ook in het privacybeleid staan.

Fact check: klopt, maar wel alleen opt-in zoals ik het lees (met jouw toestemming).

Kalentum schreef op woensdag 4 maart 2026 @ 21:15:
Het staat in het privacybeleid.

Bij Odido staat het er ook in inderdaad, maar is het sowieso opt-out.


hier ontbreekt echter wel de verzameling van SSIDs in de omgeving - om je locatie wel of niet te bepalen is dit een belangrijk dingetje. dus dit is niet volledig!

[ Voor 11% gewijzigd door gertvdijk op 04-03-2026 21:32 ]

[ernstoud]

Kalentum schreef op woensdag 4 maart 2026 @ 21:15:
[...]


Het staat in het privacybeleid.

Deels, onder de kop M. van https://assets.odido.nl/x...025-privacy-statement.pdf maar niet dat ze ook gegevens van devices buiten je eigen netwerk in de datastream meenemen.

[SgtElPotato]

breinonline schreef op woensdag 4 maart 2026 @ 20:32:
[...]

Held! Dank.

Ik heb geprobeerd de Odido versie te krijgen maar ondanks dat mijn telefoonnummer op straat ligt herkent het systeem van Odido het niet En geen zin om de helpdesk te gaan bellen of langs een winkel te gaan. Maar ik zie met deze gratis tool keurig van welk identiteitsbewijs het nummer is gelekt.

En met het invullen nog een extra kans dat je data gelekt kan worden.

[ernstoud]

gertvdijk schreef op woensdag 4 maart 2026 @ 21:24:
[...]
Fact check: klopt, maar wel alleen opt-in zoals ik het lees (met jouw toestemming).

Is de “jouw toestemming” misschien juridisch automatisch als je een contract aangaat met algemene voorwaarden waarin naar het privacy reglement verwezen wordt?