Odido waarschuwt voor datalek (cyberaanval/hack)

[alexshaman]

Harry720A schreef op woensdag 24 juni 2026 @ 23:44:
[...]
Mij is Odido nooit vergeten te factureren.

Bij een van mijn contracten zijn ze dat zelfs vergeten - het was bijna komisch. Ze verkochten (of gaven) mij een smartphone met simkaart en daarna... hoorde ik niets meer. De simkaart was niet actief en er kwamen geen facturen binnen.

Dit was in november 2024, en pas in april 2025 is het me gelukt om de boel te activeren en eindelijk te gaan betalen. Daar waren maar liefst drie bezoeken aan hun fysieke winkels voor nodig!

[mrmrmr]

@alexshaman
Eens, het lekken van persoonsgegevens is slecht voor de staatsveiligheid en veiligheid van personen op bepaalde posities. Buitenlandse "diensten" kunnen die gegevens gebruiken om mensen onder druk te zetten.

Maar dat kun je in de rechtszaal moeilijk als argument gebruiken als je geen vertegenwoordiger bent van deze groep of zelf slachtoffer bent. En als je zelf slachtoffer bent wil je (of mag je) niet de aandacht op jezelf vestigen.

Betekent niet dat je geen schadevergoeding zou kunnen krijgen, maar wel dat je dan dat op basis van een andere grond doet.

[alexshaman]

mrmrmr schreef op donderdag 25 juni 2026 @ 00:30:
@alexshaman
Eens, het lekken van persoonsgegevens is slecht voor de staatsveiligheid en veiligheid van personen op bepaalde posities. Buitenlandse "diensten" kunnen die gegevens gebruiken om mensen onder druk te zetten.

Maar dat kun je in de rechtszaal moeilijk als argument gebruiken als je geen vertegenwoordiger bent van deze groep of zelf slachtoffer bent. En als je zelf slachtoffer bent wil je (of mag je) niet de aandacht op jezelf vestigen.

Betekent niet dat je geen schadevergoeding zou kunnen krijgen, maar wel dat je dan dat op basis van een andere grond doet.

Los van de rechtszaak zelf wordt de impact van dit soort incidenten volgens mij vaak onderschat. Het gaat niet alleen om een privacykwestie van individuele slachtoffers, de mogelijke gevolgen kunnen veel breder zijn. Tegelijkertijd draagt het jarenlang rekken van onderzoeken en procedures, en het doorschuiven naar langdurige trajecten zoals via de AP of WAMCA, niet bij aan de veiligheid maar werkt het juist averechts.

[POTMA]

alexshaman schreef op donderdag 25 juni 2026 @ 05:54:
[...]

Los van de rechtszaak zelf wordt de impact van dit soort incidenten volgens mij vaak onderschat. Het gaat niet alleen om een privacykwestie van individuele slachtoffers, de mogelijke gevolgen kunnen veel breder zijn. Tegelijkertijd draagt het jarenlang rekken van onderzoeken en procedures, en het doorschuiven naar langdurige trajecten zoals via de AP of WAMCA, niet bij aan de veiligheid maar werkt het juist averechts.

Je gooit nu echt teveel op een hoop.
Ik vind het goed dat er onderzoek door AP en RDI gedaan wordt om alle feiten vast te stellen, dat heeft nou eenmaal tijd nodig. Ga je er vanuit dat het bedrijf niets doet om de processen, veiligheid en data retentie te verbeteren in de tussentijd?

[SgtElPotato]

Lord_Dain schreef op woensdag 24 juni 2026 @ 20:16:
Nou nou, de reacties zijn weer typisch hoor. Kan in ieder meteen zien wie er zich aangesproken voelen.. dat gezegd hebbende, een beetje empathie en/of compassie naar mensen toe die écht last hebben van de Odido hack en zich aangetast voelen in hun privacy en die hier mogelijk angst- of andere klachten door krijgen, dat zou jullie sieren. In plaats van het continu rationaliseren en rechtpraten wat krom is.

Mooi man. Een iemand vind dat een mening geven over het onderwerp 'beïnvloeden' van een gesprek is ten gunste van Odido. Lekker eenzijdig in je bubbel blijven, dat is DE oplossing!!

[ernstoud]

alexshaman schreef op woensdag 24 juni 2026 @ 23:52:
[...]
Er zijn echter al vier maanden verstreken en het enige wat de telecomoperator aanbiedt, is een antivirusprogramma (en nog niet eens het beste) voor de klanten zelf.

Wat stel je voor dat ze wel zouden kunnen doen? Volgens mij is het enige dat rest een financiële genoegdoening. Maar wat lost dat op?

Dit alles getuigt van volkomen onverantwoordelijk gedrag, incompetentie en chaos in het management.

Grote woorden. Ze zijn gehackt, zoals ook veel andere organisaties. En communiceren niet optimaal. Maar voor je grote woorden heb je geen bewijs. Chaos? Incompetentie? Onverantwoordelijk?

[TexMex]

SgtElPotato schreef op donderdag 25 juni 2026 @ 08:52:
[...]

Mooi man. Een iemand vind dat een mening geven over het onderwerp 'beïnvloeden' van een gesprek is ten gunste van Odido. Lekker eenzijdig in je bubbel blijven, dat is DE oplossing!!

Sommige users trekken het inderdaad wat ver door. Toch denk ik niet dat we zomaar kunnen uitsluiten dat Odido in dit soort topics actief is op enigerlei wijze. Damage control en het beïnvloeden van de publieke opinie is alles voor dit soort bedrijven. En gezien het geweld waarmee ze die rechtszaak hierboven ingaan, zou ik er niet van opkijken als ze ook op andere fronten actief zijn.

[Cooyco]

ernstoud schreef op donderdag 25 juni 2026 @ 08:57:
[...]


Wat stel je voor dat ze wel zouden kunnen doen? Volgens mij is het enige dat rest een financiële genoegdoening. Maar wat lost dat op?

Bedrijven en zeker bedrijven met een nutsfunctie zullen dan in de toekomst weten dat het goedkoper is de beveiliging te optimaliseren dan een hack te riskeren. De boetes van welke overheidsinstantie lukt dat tot nu toe niet. En nee, geen beveiliging is absoluut maar de afwegingen kunnen echt anders.

[ernstoud]

Cooyco schreef op donderdag 25 juni 2026 @ 09:35:
[...]

Bedrijven en zeker bedrijven met een nutsfunctie zullen dan in de toekomst weten dat het goedkoper is de beveiliging te optimaliseren dan een hack te riskeren. De boetes van welke overheidsinstantie lukt dat tot nu toe niet. En nee, geen beveiliging is absoluut maar de afwegingen kunnen echt anders.

Omdat er verkeersboetes zijn rijdt niemand meer te hard?

Risico mitigeren kost heel veel geld, tijd en moeite. En “optimaliseren” betekent dan een restrisico. Daar kun je een hoop aan rekenen, discussie over voeren op alle lagen van de organisatie, certificeren, red/blue team sessies houden etc. etc. En dan nog kun je gehackt worden. Ik denk dat kerncentrales (heb ik een beveiligingsplan voor gemaakt, bij de IAEA in Wenen over gepresenteerd) het “best” beveiligd zijn. En kijk naar Stuxnet… ook die sector loopt risico.

Als je geen hack wil riskeren moet je je bedrijf stoppen. Ga je door, loop je risico’s, die je vaak niet kunt inschatten.

Dat Odido in dit geval laks is geweest door niet tijdig op de (late) door SalesForce aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van.

[ernstoud]

TexMex schreef op donderdag 25 juni 2026 @ 09:31:
[...]
Toch denk ik niet dat we zomaar kunnen uitsluiten dat Odido in dit soort topics actief is op enigerlei wijze.

Dat kan. En dan nog? Openbaar forum. Denk je dat Tweakers makke schapen zijn die dan alles voor zoete koek slikken?

Ik vind het wel bijzonder in deze en andere threads dat als je wat tegengas geeft op zwaar aangezette woorden hier direct in de hoek gezet wordt van “zal wel bij Odido of partner werken”. Kom op zeg.

[TexMex]

ernstoud schreef op donderdag 25 juni 2026 @ 09:53:
[...]

Dat kan. En dan nog? Openbaar forum.

Als dat direct gelieerd is aan Odido, zou het wel zo netjes zijn dat kenbaar te maken. Verder beschuldig ik niemand. Ik zeg louter dat ik niet uitsluit dat Odido hier actief is.

[alexshaman]

ernstoud schreef op donderdag 25 juni 2026 @ 09:49:
[...]


Omdat er verkeersboetes zijn rijdt niemand meer te hard?

Risico mitigeren kost heel veel geld, tijd en moeite. En “optimaliseren” betekent dan een restrisico. Daar kun je een hoop aan rekenen, discussie over voeren op alle lagen van de organisatie, certificeren, red/blue team sessies houden etc. etc. En dan nog kun je gehackt worden. Ik denk dat kerncentrales (heb ik een beveiligingsplan voor gemaakt, bij de IAEA in Wenen over gepresenteerd) het “best” beveiligd zijn. En kijk naar Stuxnet… ook die sector loopt risico.

Als je geen hack wil riskeren moet je je bedrijf stoppen. Ga je door, loop je risico’s, die je vaak niet kunt inschatten.

Dat Odido in dit geval laks is geweest door niet tijdig op de (late) door SalesForce aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van.

Slechts nalatigheid? Dat zeiden ze in 1986 ook bij de kerncentrale van Tsjernobyl. Laten we onze reactie van toen eens voorstellen: "Dat de kerncentrale van Tsjernobyl in dit geval laks is geweest door niet tijdig op de (late) door het engineeringteam aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van".

Een modern telecombedrijf moet beschikken over een gelaagde beveiligingsbasis en standaard "Zero Trust" hanteren, zeker bij toegang tot bedrijfskritieke gegevens. We hebben hier niet zomaar te maken met een phishing- (of vishing-) aanval - een volstrekt elementaire aanval die zelfs door een redelijk ontwikkelde scholier uit China of Wit-Rusland kan worden uitgevoerd. Het punt is echter dat deze vishing niet alleen de diefstal van een deel van de data mogelijk maakte (wat nog enigszins verklaard had kunnen worden), maar de volledige klantendatabase, inclusief financieel gevoelige informatie.

Hier zijn werkelijk alle protocollen voor informatiebeveiliging geschonden:

1. Centrale opslag van data met de mogelijkheid tot volledige export.
2. Falen van SIEM/SOC-systemen.
3. Falen van firewalls en overige WAF-configuraties die op verdachte activiteiten zijn ingesteld.
4. Falen van alle antifraude systemen.
5. Ontbreken van enige alarmering bij verdachte acties.

U haalt een belachelijk voorbeeld aan met Stuxnet. Dat was een andere wereld 2010 toen 3D/VBV nog niet eens volledig was geïntegreerd. Dat is hetzelfde als een voorbeeld uit 1980 aanhalen.

Maar u merkt terecht op: "Daar kun je een hoop aan rekenen, discussie over voeren op alle lagen van de organisatie, certificeren, red/blue team sessies houden etc. etc. En dan nog kun je gehackt worden."

Misschien is het beter om er in plaats van eindeloze vergaderingen en het onderhouden van incompetent C-level personeel (CEO, CISO), beter mensen ingehuurd kunnen worden die niet vergaderen, maar hun werk doen en ervoor zorgen dat de onderneming aan haar contractuele verplichtingen voldoet. Een essentieel onderdeel van dat contract is het waarborgen van de veiligheid van abonneedata.

Nogmaals, het gaat hier primair om compensatie als opvoedkundig middel - niemand is uit op verrijking ten koste van hen, maar zij zijn verplicht om financiële verantwoordelijkheid te dragen. En dan niet alleen het bedrijf, maar de gehele lijn van verantwoordelijk personeel: de CEO en CISO. U beweert dat de chaos in het bedrijf niet bewezen is, waarom beweert u dat?

Lees dit: https://stratedigi.medium.com/how-i-tried-to-improve-the-unimprovable-or-the-odido-project-fbb44776e0c3

Denkt u dat er iets is veranderd? Nee! De mobiele app werkt niet. Ze begrijpen zelf niet wat er in hun billing gebeurt.

En toch: hoe kan Odido volgens u het gebrek aan chaos aantonen en de bekwaamheid van het management bevestigen? Door advocaten van een miljoen in te schakelen voor een zaak van 100 euro? Door maandelijkse uitval van de verbinding? Door een klantenservice die alleen uit bots bestaat, of met wachttijden van 100 dagen? Of misschien door de beveiliging van hun informatie en daadwerkelijk geleerd te hebben van hun fouten?

Kijk overigens eens naar de staat van hun Surface for Potential Cyberattack via DNS-dumpster. Er is in vier maanden tijd niets veranderd - deze onderneming kan opnieuw worden aangevallen door elk willekeurig, enigszins voorbereid team.

Ik wil er direct bij zeggen dat dit openbare gegevens zijn, zodat de vertegenwoordigers van de CEO/CISO van Odido niet de enige truc proberen die ze beheersen: het verzoeken om verwijdering van gegevens van websites, in plaats van zich te focussen op hun eigenlijke verantwoordelijkheden.

En voor de duidelijkheid: stuur deze schermafbeeldingen simpelweg naar een willekeurig AI-systeem en vraag wat de risico's voor de informatiebeveiliging zijn. Iedere willekeurige LLM zal u hetzelfde antwoord geven.

[alexshaman]

TexMex schreef op donderdag 25 juni 2026 @ 10:05:
[...]


Als dat direct gelieerd is aan Odido, zou het wel zo netjes zijn dat kenbaar te maken. Verder beschuldig ik niemand. Ik zeg louter dat ik niet uitsluit dat Odido hier actief is.

Ik kan u echter met volledige zekerheid zeggen - natuurlijk is Odido hier actief, dat weet ik inmiddels juridisch gezien direct. Ze maken zich grote zorgen over de discussie die ik hier ben gestart. Maar om andere reageerders ervan te verdenken dat ze voor hen werken, is waarschijnlijk wat overbodig.

[ernstoud]

alexshaman schreef op donderdag 25 juni 2026 @ 10:57:
[...]

Slechts nalatigheid? Dat zeiden ze in 1986 ook bij de kerncentrale van Tsjernobyl. Laten we onze reactie van toen eens voorstellen: "Dat de kerncentrale van Tsjernobyl in dit geval laks is geweest door niet tijdig op de (late) door het engineeringteam aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van".

Er speelden daar heel andere problemen dan wat je hier schetst. Voornamelijk het gebruik van sterk verouderde technologie.

Een modern telecombedrijf moet beschikken over een gelaagde beveiligingsbasis en standaard "Zero Trust" hanteren, zeker bij toegang tot bedrijfskritieke gegevens. We hebben hier niet zomaar te maken met een phishing- (of vishing-) aanval - een volstrekt elementaire aanval die zelfs door een redelijk ontwikkelde scholier uit China of Wit-Rusland kan worden uitgevoerd. Het punt is echter dat deze vishing niet alleen de diefstal van een deel van de data mogelijk maakte (wat nog enigszins verklaard had kunnen worden), maar de volledige klantendatabase, inclusief financieel gevoelige informatie.

Hier zijn werkelijk alle protocollen voor informatiebeveiliging geschonden:

1. Centrale opslag van data met de mogelijkheid tot volledige export.
2. Falen van SIEM/SOC-systemen.
3. Falen van firewalls en overige WAF-configuraties die op verdachte activiteiten zijn ingesteld.
4. Falen van alle antifraude systemen.
5. Ontbreken van enige alarmering bij verdachte acties.

Valide opsomming. Maar zonder inside informatie is het lastig om alles wat het beveiligingsmodel heeft doen falen met zekerheid op te sommen.

Je vergeet er overigens wel één, een belangrijke: een leverancier die software levert met een enorme kwetsbaarheid.

U haalt een belachelijk voorbeeld aan met Stuxnet. Dat was een andere wereld 2010 toen 3D/VBV nog niet eens volledig was geïntegreerd. Dat is hetzelfde als een voorbeeld uit 1980 aanhalen.

Belachelijk? Waarom? Ik geef aan dat in de nucleaire wereld waar ik een tijd heb rondgelopen en waar qua security/safety de standaards heel hoog liggen, er nog steeds rest risico is. Leren uit het verleden is erg verstandig.

Misschien is het beter om er in plaats van eindeloze vergaderingen en het onderhouden van incompetent C-level personeel (CEO, CISO), beter mensen ingehuurd kunnen worden die niet vergaderen, maar hun werk doen en ervoor zorgen dat de onderneming aan haar contractuele verplichtingen voldoet.

Je ben cybersecurity specialist begrijp ik. In het algemeen hebben die zo is mijn ruime ervaring, het idee dat zij beleid bepalen. Dat is niet zo, dat is het management. Je harde woorden over incompetentie e.d. tonen frustratie. Dat begrijp ik maar jij zit niet achter de stuurknuppel bij Odido. Het is niet anders.

Nogmaals, het gaat hier primair om compensatie als opvoedkundig middel - niemand is uit op verrijking ten koste van hen, maar zij zijn verplicht om financiële verantwoordelijkheid te dragen. En dan niet alleen het bedrijf, maar de gehele lijn van verantwoordelijk personeel: de CEO en CISO.

Opvoedkundig middel? Je zou echt eens in een directie van een grote organisatie moeten deelnemen. Die zijn niet bezig met dat wat jij schetst.

U beweert dat de chaos in het bedrijf niet bewezen is, waarom beweert u dat?

Omdat het te grote woorden zijn. Allerlei voorbeelden noemen wat fout gaat bij Odido of KPN, de overheid of wie dan ook, impliceert geen “chaos”. Elke dag weer komen miljoenen mensen veilig op hun werk. De krant noemt alleen de ongelukken. Betekent dat, dat er chaos op de weg is?

Lees dit: https://stratedigi.medium.com/how-i-tried-to-improve-the-unimprovable-or-the-odido-project-fbb44776e0c3

Duidelijk van jouw hand? Zelfde toon, zelfde n=1 rant, kan er niet veel mee. De miljoenen tevreden Odido gebruikers ook niet.

Ik kan over mijn recente ervaringen met het omzetten van zakelijke KPN contracten ook mijn frustratie delen. Betekent dat chaos bij KPN?

[ernstoud]

alexshaman schreef op donderdag 25 juni 2026 @ 10:59:
[...]
Ze maken zich grote zorgen over de discussie die ik hier ben gestart.

[redwing]

alexshaman schreef op donderdag 25 juni 2026 @ 10:59:
[...]

Ik kan u echter met volledige zekerheid zeggen - natuurlijk is Odido hier actief, dat weet ik inmiddels juridisch gezien direct. Ze maken zich grote zorgen over de discussie die ik hier ben gestart. Maar om andere reageerders ervan te verdenken dat ze voor hen werken, is waarschijnlijk wat overbodig.

Het eerste geloof ik gelijk, het zou raar zijn als ze niet de kanalen in de gaten houden. Maar dat ze zich grote zorgen over de discussie hier maken lijkt me sterk. Het is niet alsof er hier nu echt nieuwe zaken boven water worden gehaald of uitgezocht. Heel dit topic is weinig meer dan een hoop gerant richting Odido, zonder echt inhoudelijk veel toe te voegen.

En daarbij, hoezo ben jij de discussie hier gestart? Dit topic loopt al vanaf 12 februari en deze discussie is hier al tig keer voorbij gekomen. Ik heb de afgelopen pagina's niets aan nieuwe info/discussie voorbij zien komen iig.

[alexshaman]

redwing schreef op donderdag 25 juni 2026 @ 13:09:
[...]

Het eerste geloof ik gelijk, het zou raar zijn als ze niet de kanalen in de gaten houden. Maar dat ze zich grote zorgen over de discussie hier maken lijkt me sterk. Het is niet alsof er hier nu echt nieuwe zaken boven water worden gehaald of uitgezocht. Heel dit topic is weinig meer dan een hoop gerant richting Odido, zonder echt inhoudelijk veel toe te voegen.

En daarbij, hoezo ben jij de discussie hier gestart? Dit topic loopt al vanaf 12 februari en deze discussie is hier al tig keer voorbij gekomen. Ik heb de afgelopen pagina's niets aan nieuwe info/discussie voorbij zien komen iig.

Iemand zit alleen maar te klagen, terwijl een ander actie onderneemt. Stel je voor dat er 100 mensen zijn zoals ik, die de zaak in een stroomversnelling naar de rechter brengen. Als Odido dan het topadvocatenkantoor Freshfields uit de 'magic circle' blijft inschakelen voor hun verdediging, wordt de kans groter dat ze hun beleid van het negeren van problemen en schadevergoedingsverzoeken heroverwegen. Want de betaling van advocaten van Freshfields voor zelfs maar 100 zaken is duurder dan alle vereiste acties bij elkaar.

Want hoe simpel zou alles zijn:

1. Schuld erkennen.
2. Een openbaar herstelplan presenteren.
3. Een rapport presenteren over de verantwoordelijkheid van het bedrijf en het personeel voor het ontstane datalek.
4. Alle getroffenen een schadevergoeding van 100 euro bieden (in totaal zou dat ongeveer 620 miljoen euro zijn, geen kritiek bedrag voor Odido).

Hiermee zou het conflict definitief zijn beëindigd en de reputatie zijn hersteld.

Maar men kiest ervoor om het anders te doen: data manipuleren, processen vertragen, eisers onder druk zetten en intimideren (juridisch), en peperdure advocaten inhuren. Terwijl men uiteindelijk over 2-3 jaar toch de claims moet betalen, plus enorme boetes.

Dit getuigt van een buitengewoon hoog niveau van incompetentie van het management van Odido.

[redwing]

alexshaman schreef op vrijdag 26 juni 2026 @ 07:36:
[...]

Iemand zit alleen maar te klagen, terwijl een ander actie onderneemt. Stel je voor dat er 100 mensen zijn zoals ik, die de zaak in een stroomversnelling naar de rechter brengen. Als Odido dan het topadvocatenkantoor Freshfields uit de 'magic circle' blijft inschakelen voor hun verdediging, wordt de kans groter dat ze hun beleid van het negeren van problemen en schadevergoedingsverzoeken heroverwegen. Want de betaling van advocaten van Freshfields voor zelfs maar 100 zaken is duurder dan alle vereiste acties bij elkaar.

Zodra er een paar gewonnen zijn heb je die advocaten niet meer nodig en wordt het gewoon aftikken bij de rechter.

Want hoe simpel zou alles zijn:

1. Schuld erkennen.
2. Een openbaar herstelplan presenteren.
3. Een rapport presenteren over de verantwoordelijkheid van het bedrijf en het personeel voor het ontstane datalek.
4. Alle getroffenen een schadevergoeding van 100 euro bieden (in totaal zou dat ongeveer 620 miljoen euro zijn, geen kritiek bedrag voor Odido).

Hiermee zou het conflict definitief zijn beëindigd en de reputatie zijn hersteld.

Oh? Zou jij het voor 100 euro dan niet erg vinden dat je gegevens op straat liggen?
Daarbij, waar last dit op? Je ziet bij elk groot bedrijf dat ze fouten maken en uiteindelijk kiezen de meeste mensen toch voor de goedkoopste aanbieder. En daarbij, wie denk je dat die 620 miljoen zou gaan betalen?

Maar men kiest ervoor om het anders te doen: data manipuleren, processen vertragen, eisers onder druk zetten en intimideren (juridisch), en peperdure advocaten inhuren. Terwijl men uiteindelijk over 2-3 jaar toch de claims moet betalen, plus enorme boetes.

Ik betwijfel dat die claims betaald moeten worden. Ik schat dat ze een boete gaan krijgen voor het te lang bewaren van gegevens en dat er verder niet veel gaat gebeuren. En eigenlijk zouden ze dan de andere grote providers net zo goed die boete moeten geven. Die doen ten slotte precies hetzelfde.

Dit getuigt van een buitengewoon hoog niveau van incompetentie van het management van Odido.

Begrijp me trouwens niet verkeerd, ik vind het goed dat je dit doet. Ik heb alleen niet de illusie dat hierdoor iets gaat veranderen omdat elke provider dit soort fouten maakt. Maar zolang de wetgeving dit niet aanpakt en wij massaal naar de goedkoopste provider stappen, gaat er niets veranderen.

Kort gezegd, ik ben benieuwd naar de uitspraak van je kort geding, maar het zou me verbazen als er echt iets uit gaat komen.

[Herman]

ernstoud schreef op donderdag 25 juni 2026 @ 11:50:
(...)


Valide opsomming. Maar zonder inside informatie is het lastig om alles wat het beveiligingsmodel heeft doen falen met zekerheid op te sommen.

Je vergeet er overigens wel één, een belangrijke: een leverancier die software levert met een enorme kwetsbaarheid.

(...)

Dit is toch wel erg typisch. Zonder 'inside informatie' mag niemand een vingertje opsteken tegen Odido maar vervolgens komt gelijk een dikke sneer naar een leverancier Dat die leverancier talloze keren heeft gewaarschuwd laten we maar even voor het gemak achterwege. Of heb jij daarin wel 'inside inormatie'?

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 07:36:
[...]

Schuld erkennen.

Zolang het onderzoek van de AP en van het OM loopt, gaat dat niet gebeuren. Gaat juridisch tegen het belang in van Odido.

Dat jij dit wil is begrijpelijk maar tegen windmolens vechten is zinloos.

Een openbaar herstelplan presenteren.

Zie: https://www.odido.nl/veiligheid

En openbaar al te veel toelichten over herstel van het niveau van beveiliging doen weinig bedrijven. Wat zou je in dit plan willen lezen?

De AP zal hopelijk een na controle afdwingen.

Een rapport presenteren over de verantwoordelijkheid van het bedrijf en het personeel voor het ontstane datalek.

Geen idee wat je hier bedoelt. Publicatie van het CV, functiebeschrijving e.d. van alle betrokkenen? En dan wil je een soort schandpaal?

Alle getroffenen een schadevergoeding van 100 euro bieden (in totaal zou dat ongeveer 620 miljoen euro zijn, geen kritiek bedrag voor Odido).

Je gaat er dan vanuit dat al die 6 miljoen getroffen klanten daarmee tevreden zijn? Zal niet zo zijn.

Maar men kiest ervoor om het anders te doen: data manipuleren, processen vertragen, eisers onder druk zetten en intimideren (juridisch), …

Dit getuigt van een buitengewoon hoog niveau van incompetentie van het management van Odido.

Je gooit hier je eigen glazen in. In een juridisch geschil de tegenpartij zwart maken is niet verstandig. Je oppert dat Odido hier meeleest (ik betwijfel dat overigens). Dan is een term als “incompetent” terwijl er een kort geding loopt op zijn minst gezegd dom.

Ik begrijp je frustratie dat je dit geschil niet gaat winnen. Ik begrijp ook dat je als security specialist (net als ik in dit vakgebied) voor Odido wil bepalen hoe hun beleid zou moeten zijn en hoe het verder moet. Maar helaas, onrealistisch.

[W1ck1e]

ernstoud schreef op vrijdag 26 juni 2026 @ 08:49:
... Je oppert dat Odido hier meeleest (ik betwijfel dat overigens). ...

Ik denk dat elke provider medewerkers heeft die vrijwillig (vanwege persoonlijke interesse) of vanuit hun functie (beleid) op tweakers zitten. Dat is laaghangend fruit. Om complimenten, tips en kritiek te kunnen lezen. En er zullen ook wel eens berichten geprint op een bord geprikt worden.

[ernstoud]

Herman schreef op vrijdag 26 juni 2026 @ 08:45:
[...]

Dit is toch wel erg typisch. Zonder 'inside informatie' mag niemand een vingertje opsteken tegen Odido …

Ik geef aan dat om met enige zekerheid de 5 punten die genoemd werden aan te dragen als als falen van het Odido beveligingsmodel, je meer informatie moet hebben dan openbaar is.

Waar zeg ik dat “niemand” hier wat over mag zeggen? Het enige wat ik opper is dat als je zegt “dit is er gebeurd” je wel erg zeker van je zaak moet zijn.

… maar vervolgens komt gelijk een dikke sneer naar een leverancier Dat die leverancier talloze keren heeft gewaarschuwd laten we maar even voor het gemak achterwege. Of heb jij daarin wel 'inside inormatie'?

Ja SalesForce heeft gepubliceerd dat er in hun software - zeg maar “af fabriek” - een grote kwetsbaarheid zit. Maar had die kwetsbaarheid er standaard misschien gewoon niet in moeten zitten?

Dat is geen “inside informatie”. Dat is gewoon een normale vraag. Hollandse nuchterheid.

In plaats van een sneer naar mij is een discussie of software waarin de hele database gedownload kan worden zonder afdoende beveiliging “af fabriek” zo afgeleverd moet worden, meer zinvol. Had SalesForce die functionaliteit niet beter in een aparte module beschikbaar moeten maken? Beste beveiliging is toch altijd nog separatie.

[Herman]

ernstoud schreef op vrijdag 26 juni 2026 @ 09:04:
(...)


[...]


Ja SalesForce heeft gepubliceerd dat er in hun software - zeg maar “af fabriek” - een grote kwetsbaarheid zit. Maar had die kwetsbaarheid er standaard misschien gewoon niet in moeten zitten?

Dat is geen “inside informatie”. Dat is gewoon een normale vraag. Hollandse nuchterheid.

In plaats van een sneer naar mij is een discussie of software waarin de hele database gedownload kan worden zonder afdoende beveiliging “af fabriek” zo afgeleverd moet worden, meer zinvol. Had SalesForce die functionaliteit niet beter in een aparte module beschikbaar moeten maken? Beste beveiliging is toch altijd nog separatie.

Nonsens. Noem me een software-programma waarbij het niet mogelijk is om de gebruikersrechten verkeerd in te stellen. Odido was, en is, verantwoordelijk voor het configureren van hun software. En als Odido daartoe niet in staat is, hadden ze niet met Salesforce in zee moeten gaan.

[ernstoud]

Herman schreef op vrijdag 26 juni 2026 @ 09:13:
[...]

Nonsens. Noem me een software-programma waarbij het niet mogelijk is om de gebruikersrechten verkeerd in te stellen. Odido was, en is, verantwoordelijk voor het configureren van hun software. En als Odido daartoe niet in staat is, hadden ze niet met Salesforce in zee moeten gaan.

Ik heb het niet over de rechtenstructuur in SalesForce. Ik opper dat downloaden van de hele database als functionaliteit niet in deze software zou moeten zitten maar bijvoorbeeld in een losse database management module. Goed beveiligd.

Waarom direct afdoen als “nonsens”? Dit is nl. precies wat Oracle doet. Alle database manipulatie in aparte tools. Waar we als auditor dan juist weer erg bang voor zijn. Elk voordeel heeft zijn nadeel. Maar alles helpt.

[alexshaman]

ernstoud schreef op vrijdag 26 juni 2026 @ 08:49:
[...]


Zolang het onderzoek van de AP en van het OM loopt, gaat dat niet gebeuren. Gaat juridisch tegen het belang in van Odido.

Dat jij dit wil is begrijpelijk maar tegen windmolens vechten is zinloos.


[...]


Zie: https://www.odido.nl/veiligheid

En openbaar al te veel toelichten over herstel van het niveau van beveiliging doen weinig bedrijven. Wat zou je in dit plan willen lezen?

De AP zal hopelijk een na controle afdwingen.


[...]


Geen idee wat je hier bedoelt. Publicatie van het CV, functiebeschrijving e.d. van alle betrokkenen? En dan wil je een soort schandpaal?


[...]


Je gaat er dan vanuit dat al die 6 miljoen getroffen klanten daarmee tevreden zijn? Zal niet zo zijn.


[...]


Je gooit hier je eigen glazen in. In een juridisch geschil de tegenpartij zwart maken is niet verstandig. Je oppert dat Odido hier meeleest (ik betwijfel dat overigens). Dan is een term als “incompetent” terwijl er een kort geding loopt op zijn minst gezegd dom.

Ik begrijp je frustratie dat je dit geschil niet gaat winnen. Ik begrijp ook dat je als security specialist (net als ik in dit vakgebied) voor Odido wil bepalen hoe hun beleid zou moeten zijn en hoe het verder moet. Maar helaas, onrealistisch.

*Knip. niet op de man. "ik zelf denk"*
dat het enkel uit "loze praat" bestaat in plaats van feiten, en dat het een bespotting van de gebruikers is. Een cadeau in de vorm van een niet bepaald effectieve antivirus, terwijl het probleem helemaal niet bij de gebruiker ligt!

Waar zijn de antwoorden op:

1. Wie is er schuldig en wie heeft de verantwoordelijkheid genomen? CEO, CISO? Salariskortingen, ontslagen?
2. Welke lessen zijn er getrokken en welke verbeteringen zijn doorgevoerd? Hoe zijn de risico's voor abonnees verlaagd?
3. Waarom worden er advocaten (Freshfields) van miljoenen euro's ingehuurd om zich tegen de eigen klanten te verdedigen, terwijl er op alles wordt bezuinigd als het gaat om de bescherming van de data van abonnees?

[ Voor 1% gewijzigd door F_J_K op 26-06-2026 10:03 ]

[alexshaman]

Herman schreef op vrijdag 26 juni 2026 @ 09:13:
[...]

Nonsens. Noem me een software-programma waarbij het niet mogelijk is om de gebruikersrechten verkeerd in te stellen. Odido was, en is, verantwoordelijk voor het configureren van hun software. En als Odido daartoe niet in staat is, hadden ze niet met Salesforce in zee moeten gaan.

U heeft 100% gelijk. Bovendien had Odido het recht niet om alle abonneesgegevens op één plek op te slaan, en dan ook nog eens zonder depersonalisatie. Het opslaan van IBAN's op diezelfde plek is simpelweg een misdaad! Eigenlijk is hier echt sprake van (of op zijn minst het vermoeden van) criminele nalatigheid door medewerkers en het management van Odido, die schade heeft toegebracht aan de nationale veiligheid (denk aan het lekken van gegevens van bijvoorbeeld familieleden van AIVD-medewerkers of militairen).

[alexshaman]

ernstoud schreef op vrijdag 26 juni 2026 @ 09:04:
[...]


Ik geef aan dat om met enige zekerheid de 5 punten die genoemd werden aan te dragen als als falen van het Odido beveligingsmodel, je meer informatie moet hebben dan openbaar is.

Waar zeg ik dat “niemand” hier wat over mag zeggen? Het enige wat ik opper is dat als je zegt “dit is er gebeurd” je wel erg zeker van je zaak moet zijn.


[...]


Ja SalesForce heeft gepubliceerd dat er in hun software - zeg maar “af fabriek” - een grote kwetsbaarheid zit. Maar had die kwetsbaarheid er standaard misschien gewoon niet in moeten zitten?

Dat is geen “inside informatie”. Dat is gewoon een normale vraag. Hollandse nuchterheid.

In plaats van een sneer naar mij is een discussie of software waarin de hele database gedownload kan worden zonder afdoende beveiliging “af fabriek” zo afgeleverd moet worden, meer zinvol. Had SalesForce die functionaliteit niet beter in een aparte module beschikbaar moeten maken? Beste beveiliging is toch altijd nog separatie.

Het is waanzin om Salesforce de schuld te geven. Dit is hetzelfde als de fabrikant van een kast de schuld geven omdat jij daar zonder kluis al je eigen en andermans (geleende) geld en waardevolle spullen in hebt gelegd, en vervolgens je huissleutels bij de deur bent verloren. De dief heeft gewoon de sleutel bij de deur opgepakt, is naar binnen gelopen en heeft alles gestolen wat hij zag. Hij hoefde niet eens de kluis te openen. En nu beweer jij dat de fabrikant van de kast schuldig is aan de diefstal!!!!?

[W1ck1e]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:27:
... Het opslaan van IBAN's op diezelfde plek is simpelweg een misdaad! ...

Een misdaad maar liefst, erger dan een misdrijf. Je hebt vast een bron (wet ? artikel ?)

[alexshaman]

W1ck1e schreef op vrijdag 26 juni 2026 @ 09:32:
[...]

Een misdaad maar liefst, erger dan een misdrijf. Je hebt vast een bron (wet ? artikel ?)

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

[W1ck1e]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:34:
[...]

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

Het lijkt er op dat je mijn bericht niet begrijpt.

[alexshaman]

W1ck1e schreef op vrijdag 26 juni 2026 @ 09:37:
[...]

Het lijkt er op dat je mijn bericht niet begrijpt.

Dat was slechts een aanname, zeker gezien wie er onder andere het slachtoffer zijn geworden van deze datalekken. Ik ben ervan overtuigd dat de Nederlandse wetgeving streng genoeg is om dit hard aan te pakken. Hoewel ik persoonlijk geen voorstander ben van strafrechtelijke vervolging, zeker niet bij een eerste overtreding, denk ik dat de beste straf een financiële is.

[ResuCigam]

Dit voelt allemaal een beetje als een security.nl discussie..

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:24:
[...]

U weet donders goed dat het enkel uit "loze praat" bestaat in plaats van feiten, en dat het een bespotting van de gebruikers is. Een cadeau in de vorm van een niet bepaald effectieve antivirus, terwijl het probleem helemaal niet bij de gebruiker ligt!

Waar zijn de antwoorden op:

1. Wie is er schuldig en wie heeft de verantwoordelijkheid genomen? CEO, CISO? Salariskortingen, ontslagen?
2. Welke lessen zijn er getrokken en welke verbeteringen zijn doorgevoerd? Hoe zijn de risico's voor abonnees verlaagd?
3. Waarom worden er advocaten (Freshfields) van miljoenen euro's ingehuurd om zich tegen de eigen klanten te verdedigen, terwijl er op alles wordt bezuinigd als het gaat om de bescherming van de data van abonnees?

We draaien in een cirkel… jij wil van alles, ik zeg dat je dat wat je wil niet krijgt (en de rechter gaat dat ook zeggen) en vervolgens kom je weer met dezelfde vragen en opmerkingen.

Ik wens je antwoorden toe op je vragen maar vrees dat je die niet gaat krijgen.

*Knip. niet op de man.

[ Voor 4% gewijzigd door F_J_K op 26-06-2026 10:04 ]

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:32:
[...]

Het is waanzin om Salesforce de schuld te geven. Dit is hetzelfde als de fabrikant van een kast de schuld geven omdat jij daar zonder kluis al je eigen en andermans (geleende) geld en waardevolle spullen in hebt gelegd, en vervolgens je huissleutels bij de deur bent verloren. De dief heeft gewoon de sleutel bij de deur opgepakt, is naar binnen gelopen en heeft alles gestolen wat hij zag. Hij hoefde niet eens de kluis te openen. En nu beweer jij dat de fabrikant van de kast schuldig is aan de diefstal!!!!?

Verkeerde analogie. Ik beweer niets. Ik geef alleen aan dat het - achteraf gezien - veel ellende had bespaard als de database alleen leeg getrokken kon worden buiten de applicatie waar normale gebruikers toegang toe hebben. Zoals andere fabrikanten zoals SAP dat wel doen.

Maar goed. Ik praat “waanzin”. Fijne dag nog.

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:34:
[...]

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

Zegt degene die hier het management van Odido beschimpt als incompetent.

[ernstoud]

ResuCigam schreef op vrijdag 26 juni 2026 @ 09:44:
Dit voelt allemaal een beetje als een security.nl discussie..

Inderdaad, ook allemaal security specialisten die het altijd beter weten. En elke opmerking over Microsoft direct afdoen met “je bent een … want je moet Linux gebruiken”.

[redwing]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:24:
[...]

[mbr]*Knip. niet op de man. "ik zelf denk"*[/mbr]
dat het enkel uit "loze praat" bestaat in plaats van feiten, en dat het een bespotting van de gebruikers is. Een cadeau in de vorm van een niet bepaald effectieve antivirus, terwijl het probleem helemaal niet bij de gebruiker ligt!

Waar zijn de antwoorden op:

[list=1]
• Wie is er schuldig en wie heeft de verantwoordelijkheid genomen? CEO, CISO? Salariskortingen, ontslagen?

Waarom moeten er ontslagen vallen als er ergens iets fout doet? Iedereen maakt wel eens fouten en vaak zijn dit soort zaken een opeenstapeling van fouten gemaakt door verschillende mensen. Dus allemaal maar ontslaan?
Sowieso salariskortingen omdat iemand iets een keertje fout heeft gedaan? Ik zou niet graag bij een bedrijf werken die dat daadwerkelijk zou doen, voor zover dat in Nederland al mag.

• Welke lessen zijn er getrokken en welke verbeteringen zijn doorgevoerd? Hoe zijn de risico's voor abonnees verlaagd?

Ook al zou het fijn zijn om dat te weten, is de beste beveiliging juist degene waarbij je dit niet weet.

• Waarom worden er advocaten (Freshfields) van miljoenen euro's ingehuurd om zich tegen de eigen klanten te verdedigen, terwijl er op alles wordt bezuinigd als het gaat om de bescherming van de data van abonnees?
[/list]

Omdat de uitkomst bij een rechter heel duur kan gaan worden. Net als dat de beveiliging vele malen meer zou gaan kosten als ze dat zouden verbeteren. Waarbij het natuurlijk sowieso de vraag is of ze inderdaad op alles bezuinigd hebben op de bescherming van data.

[IJsbeer]

IJsbeer schreef op woensdag 3 juni 2026 @ 08:45:
[...]


Ik heb niets gezien qua communicatie dat ze er iets van geleerd hebben. Sterker nog, ze geven aan niets fouts gedaan te hebben (terwijl ze al meermaals gewaarschuwd waren doro de leverancier!).
Dus nee, intern zal er niets veranderd zijn.
Laatste bericht was dat ze open en eerlijk zouden blijven communiceren. Hoe geven ze niet aan, maar sindsdien is het ook stil.

Om hierop terug te komen. Weer een maand verder en 0 extra info op de bewuste pagina over open en eerlijk communiceren.

[Jerie]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:34:
[...]

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

Hoezo? Allemaal dubbel werk; zie ik meer in een massaclaim. Om die te starten, lijkt het mij handiger onderzoek van AP af te wachten.

Ik vind het te meer aan ons om met onze portemonnee te stemmen. Laat zien dat je dergelijk wanbeleid niet steunt, ga voor een fatsoenlijke ISP. Ik ben inmiddels bij ze weg. Moest wel even contract uitzitten (gratis geld gun ik ze niet). Daarnaast dankzij deze visie hebben ze inmiddels van mijn kant 5 contracten verloren, en die krijgen ze niet 1 2 3 terug. Zo kan iedereen zijn of haar eigen steentje bijdragen. Je hebt ook mensen die belonen dit gedrag juist. Het is ook niet voor niets dat ze zoveel adverteren. Ik bedoel, schijnt dat ze op WK adverteren. Dat zijn geen goedkope reclames.

Wat je in ieder geval niet moet doen is na je contract blijven zonder deal. Die 'slapende' klanten worden ze rijk van.

[DjoeC]

Ik moest wel even lachen toen deze mail van het "CJIB" binnen kwam. Ik mag hopen dat niemand in een mail trapt met alleen het email adres als adressering

DRINGEND Aanmaning tot betaling — Actie vereist binnen 24 uur

Afdeling: Boetes & Incasso
Betreft : Verhoging boete — Aanmaning tot onmiddellijke betaling

Geachte heer/mevrouw
odidofiber@<mijndomein>,

Na controle van het dossier is vastgesteld dat de betaling met betrekking tot de eerder aan u opgelegde boete niet door ons is geregistreerd. Wij verzoeken u de openstaande vordering binnen de gestelde termijn te voldoen om aanvullende kosten en maatregelen te voorkomen.
Status van het dossier

[Wim1147]

peize9 schreef op vrijdag 27 februari 2026 @ 02:12:
Ik vraag me af, is mij data uitgelekt? Ik heb in 2018 bij Transcom gewerkt als first line van Tele2. Zijn alle comments die ik heb achtergelaten, de account info van mij om in te loggen in het systeem e.d. ook gelekt? Ik heb geen mail ontvangen.

Maakt binnenkort allemaal niet meer uit. Het callcenter van Transcom in Groningen (die alleen Odido nog als klant heeft) gaat sluiten. Dit gaat ongetwijfeld gevolgen hebben voor de bereikbaarheid van Odido. Meer over deze sluiting is hier en hier te vinden.

[Onbekend]

DjoeC schreef op dinsdag 7 juli 2026 @ 12:35:
Ik moest wel even lachen toen deze mail van het "CJIB" binnen kwam. Ik mag hopen dat niemand in een mail trapt met alleen het email adres als adressering

[...]

Dit is standaard spam wat ook op andere e-mailadressen binnenkomt. De gelekte e-mailadressen zijn natuurlijk toegevoegd aan de spamlijst.
Overigens kan je je spam hier toegen: [Odido] [Verzameltopic] Phishing / Spam n.a.v. datalek

[P-Rock]

Wim1147 schreef op dinsdag 7 juli 2026 @ 17:22:
[...]

Maakt binnenkort allemaal niet meer uit. Het callcenter van Transcom in Groningen (die alleen Odido nog als klant heeft) gaat sluiten. Dit gaat ongetwijfeld gevolgen hebben voor de bereikbaarheid van Odido. Meer over deze sluiting is hier en hier te vinden.

En de klantenservice is al zo slecht (bereikbaar).

[Wispe]

Nederlandse criminelen waarschijnlijk betrokken bij megahack van Odido

De politie heeft sterke aanwijzingen dat Nederlandse criminelen betrokken zijn geweest bij de hack van provider Odido. De data van miljoenen Nederlanders kwam begin februari op straat te liggen na een telefoongesprek waarin iemand zich voordeed als IT-medewerker.

De klantenservice van Odido werd tot tweemaal toe gebeld door iemand die zich voorstelde als IT-medewerker van de provider zelf. De tweede keer was het raak en in no time hadden criminelen de gegevens van meer dan zes miljoen klanten in handen.

De politie laat donderdag weten dat de zogenaamde IT'er Nederlands sprak en zeer waarschijnlijk betrokken was bij de hack. Het is reden om aan te nemen dat Nederlandse criminelen betrokken zijn bij een van de grootste datadiefstallen in Nederland. De politie sluit daarbij niet uit dat ook criminelen uit andere landen betrokken zijn.

Wat er in dat gesprek is gezegd, wil de politie niet vertellen. Wel is duidelijk dat Odido vervolgens via phishing is misleid. Tisha van Lammeren, de chief commercial officer van Odido, zegt in een interview met NU.nl dat het allemaal heel snel ging. Na het eerste telefoongesprek met de zogenaamde IT'er werden alle medewerkers gewaarschuwd. Een dag later, op 6 februari, ging het alsnog mis.

Weer een dag later volgde een mail van ShinyHunters, de criminele bende achter de hack. Alle data van de getroffen Odido-klanten werden openbaar gemaakt nadat het bedrijf had geweigerd het gevraagde bedrag te betalen.

Politie overweegt stem beller openbaar te maken
De politie heeft de afgelopen maanden onderzoek gedaan, maar dat heeft nog niet tot aanhoudingen geleid. Over mogelijke verdachten die al in beeld zijn worden geen uitspraken gedaan, omdat het onderzoek nog loopt.

"Dit soort onderzoek is vaak complex en vraagt tijd, maar ook cybercriminelen zijn kwetsbaar en laten sporen achter", zegt Stan Duijf, die als hoofd Operatiën verantwoordelijk is voor de aanpak van cybercrime. "Op meerdere momenten in het onderzoek naar de hack bij Odido zijn sporen veilig gesteld, waar het onderzoeksteam verder mee aan de slag is gegaan."

Het telefoontje van de nepmedewerker is opgenomen en in handen van de politie. Er wordt overwogen de stem op een later moment openbaar te maken. "We geven mensen nu eerst de kans om zich te melden", zegt Duijf. "Wellicht dat de dader zichzelf meldt. We zijn in principe van plan om het fragment te delen, mits er informatie komt die maakt dat dat niet nodig is."

De politie heeft de opname door deskundigen laten analyseren. Op basis daarvan wordt ervan uitgegaan dat de stem echt is en niet is gefilterd of met AI is bewerkt.

'Moedig besluit van Odido'
Het onderzoeksteam gaat er daarnaast van uit dat de daders online of in hun omgeving over hun betrokkenheid bij de hack hebben gepraat. De politie weet dat binnen de cyberwereld over de hack bij Odido wordt gesproken, bijvoorbeeld door mensen die meer weten over de daders. De politie roept ook hen op zich te melden.

Duijf noemt het een moedig besluit van Odido om de criminelen niet te betalen. "Wij geven dat advies altijd", zegt hij. "Odido heeft het zelf besloten."

Volgens het hoofd Operatiën hebben alle bedrijven en organisaties die veel persoonsgegevens verwerken de verantwoordelijkheid om daar zo voorzichtig en veilig mogelijk mee om te gaan. "Maar het is ook zo: als jij met 20 euro in je zak op straat loopt en je wordt overvallen, dan is de crimineel schuldig", vult hij aan. "Je kunt 100 procent veiligheid nooit garanderen."

De hack bij Odido stond niet op zichzelf. In de maanden daarna volgden bij verschillende bedrijven soortgelijke datadiefstallen. Buitgemaakte gegevens werden door andere criminelen op grote schaal misbruikt.

De politie en het Openbaar Ministerie verwachten dat zulke ingrijpende cyberaanvallen in de toekomst vaker voorkomen. Ze roepen bedrijven op zeer alert te zijn en meer werk te maken van hun digitale weerbaarheid.

Bron: https://www.nu.nl/tech/64...j-megahack-van-odido.html

[P-Rock]

Een moedig besluit? Ze hadden beter kunnen betalen. Dat bedrag was voor hun een schijntje als je ziet wat ze maandelijks allemaal binnengraaien aan geld. Als er voor klanten precies duidelijk was geweest wat voor gegevens de hackers in handen hadden, dan waren de gevolgen nog te overzien en hadden klanten passende maatregelen kunnen treffen, maar tot op de dag van vandaag komt nog steeds nieuwe informatie naar buiten dat de hackers allerlei gegevens hebben buitgemaakt waarvan Odido heeft gezegd dat die niet in de hack zaten, of die al lang verwijderd hadden moeten zijn. Odido zelf heeft er 1 algemene mail uitgegooid en daarna nergens meer op gereageerd. Een schandalige vertoning van een toch al enigszins discutabele telecomprovider.

[erwn]

Wispe schreef op donderdag 9 juli 2026 @ 05:49:
"Wellicht dat de dader zichzelf meldt. We zijn in principe van plan om het fragment te delen, mits er informatie komt die maakt dat dat niet nodig is."

Dus als die informatie er komt dan delen ze het fragment? Lekkere eindredactie, nu.nl. (mits ≠ tenzij)

[Wim1147]

P-Rock schreef op donderdag 9 juli 2026 @ 08:07:
Een moedig besluit? Ze hadden beter kunnen betalen. Dat bedrag was voor hun een schijntje als je ziet wat ze maandelijks allemaal binnengraaien aan geld. Als er voor klanten precies duidelijk was geweest wat voor gegevens de hackers in handen hadden, dan waren de gevolgen nog te overzien en hadden klanten passende maatregelen kunnen treffen, maar tot op de dag van vandaag komt nog steeds nieuwe informatie naar buiten dat de hackers allerlei gegevens hebben buitgemaakt waarvan Odido heeft gezegd dat die niet in de hack zaten, of die al lang verwijderd hadden moeten zijn. Odido zelf heeft er 1 algemene mail uitgegooid en daarna nergens meer op gereageerd. Een schandalige vertoning van een toch al enigszins discutabele telecomprovider.

Betalen had geen enkele garantie gegeven op het alsnog vrijgeven, verspreiden of publiceren van de gegevens. Verder past het verhaal over de hack bij Odido uiteraard in een bredere context. Er zijn honderden Salesforce-systemen 'gehackt' in de maanden voorafgaand aan het bekend worden van de 'hack' bij Odido. Daarover is relatief weinig verschenen in de media. Opmerkelijk daarbij is dat ook Salesforce-systemen van de politie mogelijk 'gehackt' zijn in deze reeks. Ook daarover weinig tot niets. Meer daarover is hier en hier vinden. Vraag je daarom eerst af of de berichten in de media over het openbaar maken van 'de stem' van de verdachte van de 'mega-hack' van Odido en 'gesprekken binnen de cyberwereld' (zie bijvoorbeeld dit bericht) eigenlijk wel echt zijn bedoeld om deze 'zaak' op te lossen en niet vooral zijn bedoeld om een denkbeeldig 'rookgordijn' op te werpen.

[ Voor 3% gewijzigd door Wim1147 op 09-07-2026 10:31 ]

[P-Rock]

Wim1147 schreef op donderdag 9 juli 2026 @ 10:29:
[...]

Betalen had geen enkele garantie gegeven op het alsnog vrijgeven, verspreiden of publiceren van de gegevens. Verder past het verhaal over de hack bij Odido uiteraard in een bredere context. Er zijn honderden Salesforce-systemen 'gehackt' in de maanden voorafgaand aan het bekend worden van de 'hack' bij Odido. Daarover is relatief weinig verschenen in de media. Opmerkelijk daarbij is dat ook Salesforce-systemen van de politie mogelijk 'gehackt' zijn in deze reeks. Ook daarover weinig tot niets. Meer daarover is hier en hier vinden. Vraag je daarom eerst af of de berichten in de media over het openbaar maken van 'de stem' van de verdachte van de 'mega-hack' van Odido en 'gesprekken binnen de cyberwereld' (zie bijvoorbeeld dit bericht) eigenlijk wel echt zijn bedoeld om deze 'zaak' op te lossen en niet vooral zijn bedoeld om een denkbeeldig 'rookgordijn' op te werpen.

Het enige rookgordijn wat tot nu is opgeworpen is van Odido.

[Jerie]

Wim1147 schreef op donderdag 9 juli 2026 @ 10:29:
[...]

Betalen had geen enkele garantie gegeven op het alsnog vrijgeven, verspreiden of publiceren van de gegevens. Verder past het verhaal over de hack bij Odido uiteraard in een bredere context. Er zijn honderden Salesforce-systemen 'gehackt' in de maanden voorafgaand aan het bekend worden van de 'hack' bij Odido. Daarover is relatief weinig verschenen in de media. Opmerkelijk daarbij is dat ook Salesforce-systemen van de politie mogelijk 'gehackt' zijn in deze reeks. Ook daarover weinig tot niets. Meer daarover is hier en hier vinden. Vraag je daarom eerst af of de berichten in de media over het openbaar maken van 'de stem' van de verdachte van de 'mega-hack' van Odido en 'gesprekken binnen de cyberwereld' (zie bijvoorbeeld dit bericht) eigenlijk wel echt zijn bedoeld om deze 'zaak' op te lossen en niet vooral zijn bedoeld om een denkbeeldig 'rookgordijn' op te werpen.

Ik lees niet dat ze met succes zijn gebruikt. Wel dat er pogingen zijn geweest. Maar dat zegt me niet zoveel. Wanneer Salesforce zelf gehackt is, is dat wel wat anders dan het geval Odido. In geval Odido had men wel MFA, maar geen rate limiting. Dat is bijzonder te noemen. Want ten eerste waarom moet een helpdesk medewerker het complete klantenbestand leeg kunnen trekken, en ten tweede Salesforce biedt dat wel aan.

Wanneer de politie een rookgordijn opwerpt, dan is dat waarschijnlijk in het algemeen belang (mogen we dus prima vinden). Wellicht bedoel je met rookgordijn een beetje reuring in de scene in kwestie waardoor mensen gaan praten. Heb je dan logging middels een infiltrant (nog even daargelaten hoe diep die zit), dan heb je eenvoudig bewijs. Een ander doel kan zijn wantrouwen creëren binnen deze gemeenschap.

Dat de politie ook gehackt zou zijn door Shinyhunters is mij niet bekend. Wel dat hun AD gegevens uit zijn gelekt (dat was in begin escalatie oorlog RU-UA), en ik meen ook Citrix/Ivanti of die VPN software die zo populair is.

Dat betalen geen garantie geeft: garantie heb je nooit. Ik heb ook geen garantie dat Trump morgen geen atoombom af gaat vuren. Maar daar ga ik geen rekening mee houden. Criminelen hebben een erecode en een legacy hoog te houden. Lekken ze na betaling alsnog massaal gegevens (dan heb ik het niet over een paar records in de scene van een of andere VIP) dan gaat in de toekomst niemand meer betalen. Weg business model. Bovendien andere groepen hebben ook last van de 'goede naam' (of gebrek hieraan) van conculega's. Dus die zullen er niet blij mee zijn.

Ik ben voorstander van zorgvuldig de voor- en nadelen afwegen, zonder per definitie te betalen of per definitie niet. Ik neig naar niet doen. Wat mij betreft mag dat wettelijk vast worden gelegd. Dan is er in ieder geval duidelijk en kan een slachtoffer zeggen: 'dat mogen we wettelijk gezien niet doen'. Kortom, 'ga maar een ander land hacken waar het wel mag en waar veel te halen valt'.