Odido waarschuwt voor datalek (cyberaanval/hack)

[makreel]

_Bailey_ schreef op zaterdag 14 februari 2026 @ 09:49:
oktober 2025;

Het aftapsysteem van Odido was niet goed beveiligd tegen mogelijk meekijken van buitenstaanders. De Rijksinspectie Digitale Infrastructuur (RDI) heeft de provider daarom een boete van 1,5 miljoen euro opgelegd.

De beveiliging van Odido's systeem voldeed volgens de RDI op meerdere onderdelen niet aan de wet. Inmiddels heeft de provider aanpassingen gedaan, waardoor de risico's op pottenkijkers zijn weggenomen.

Een aftapsysteem bevat informatie van afgeluisterde telefoongesprekken of onderschepte berichten die via sms, chat of e-mail zijn verstuurd. Aftappen mag niet zomaar. Dat is alleen geoorloofd onder strikte voorwaarden en op last van de officier van justitie of van de inlichtingen- en veiligheidsdiensten.

Het onderzoek vond in 2021 en 2022 plaats. Toen bleek dat Odido geen beveiligingsplan had dat volledig voldeed aan de eisen van de toezichthouder. In zo'n plan staat welke maatregelen worden getroffen om het systeem te beveiligen.

Ook werd personeel met toegang tot het aftapsysteem niet goed gescreend. Zo had een groot deel geen geheimhoudingsverklaring ondertekend of ontbrak een Verklaring Omtrent het Gedrag.

Ook personeel dat niets met het systeem te maken had kon bij de afgetapte gegevens.
In een aftapsysteem kunnen zeer gevoelige gegevens staan, zoals staatsgeheimen of strafrechtelijke informatie. Daarom worden er strenge eisen aan de beveiliging gesteld.
Odido schoot tekort in de digitale toegangsbeveiliging, waardoor ook leveranciers toegang hadden.

---------------------------

Plus nu deze Odido hack van deze maand, dan kan je concluderen dat Odido geen prio heeft bij écht serieuze beveiliging.
Ook bovenstaande onderzoek van 2021/2022 laat zien dat Odido wederom 0 moeite heeft met dat Jan en alleman in de organisatie overal maar bij kan als het gaat om gevoelige data, precies zoals met deze hack dus van afgelopen week

https://www.rdi.nl/actuee...te-op-van-ruim-15-miljoen

[ExIT]

_Bailey_ schreef op zaterdag 14 februari 2026 @ 09:49:
Plus nu deze Odido hack van deze maand, dan kan je concluderen dat Odido geen prio heeft bij écht serieuze beveiliging.

En wie wel dan? Waar kunnen we naar overstappen?

En zijn die morgen ook nog zó filantropisch? Of wellicht ineens in handen van een investeerder die wel uit is op winstbejag?

Het probleem is dat niets doen loont. Het systeem is kapot. Niet de onderneming.

[Zinloos1]

De tekst van de email is vrij vaag, "mogelijks" zijn de volgende gegevens gestolen en dan een heel rijtje gegevens, "mogelijk" zitten jouw gegevens erbij. Ook wordt er gesproken dat er binnen 48 uur een email komt die aangeeft wat er precies van je gestolen is. Is dat dan de email waarover wordt gesproken? Want "mogelijks" is mij toch wat te vaag. Zeker als we nu het proces kennen waarbij de data één voor één wordt gescraped. Moet je er nu dan vanuit gaan dat Odido ook niet precies weet wiens gegevens wel en niet gestolen zijn en we er maar vanuit moeten gaan dat we erbij zitten?

[ Voor 3% gewijzigd door Zinloos1 op 14-02-2026 10:10 ]

[SirMemeAlot]

ExIT schreef op zaterdag 14 februari 2026 @ 10:06:
[...]


En wie wel dan? Waar kunnen we naar overstappen?

En zijn die morgen ook nog zó filantropisch? Of wellicht ineens in handen van een investeerder die wel uit is op winstbejag?

Het probleem is dat niets doen loont. Het systeem is kapot. Niet de onderneming.

Deze instelling zorgt ervoor dat het loont voor bedrijven, nee, je hebt geen garantie dat het bij een ander bedrijf ook niet gebeurd maar je kan waarschijnlijk zo overstappen naar Ziggo of starlink of als je mazzel hebt KPN, Delta, Netrebel etc.

Maar door niets te doen en straks maximale AVG boete zal er geen incentive zijn voor bedrijven om in veiligheid te investeren, want ach, het gebeurd overal dus ik blijf lekker zitten. Als het bedrijf volgende maand 10/20k overstappers heeft dan doet dat wel serieus pijn aan de bonussen van de top/investeerders.

En ja, het kan dan bij andere bedrijf weer gebeuren, maar door weer over te stappen dwing je de bedrijven om er iets mee te doen.

[Baardmeester]

_Bailey_ schreef op zaterdag 14 februari 2026 @ 09:23:
[...]


en dan deze reactie van Odido: "Helaas komen cyberincidenten zoals deze steeds vaker voor en is geen enkele organisatie immuun."

Zo, 'ons' straatje is nu schoon en vervolgens gaan we onze klanten een lesje geven in dat ze voorzichtig/waakzaam moeten zijn met aankomende foute mailtjes en/of telefoontjes en andere privacy tips in de toekomst.

Odido is al eens eerder op de vingers getikt inzake beveiliging.

Nee, Odido geeft letterlijk nergens écht aan dat ze bloedserieus omgaan met de bescherming van mijn gevoelige gegevens bij hen; wel legt Odido in een mail (nav de hack) uiteraard uit hoe ik me moet wapenen tegen de boze (online) buitenwereld.
Hypocriet zeg ik je.

Wat verwacht je dan. Dat ze zeggen onze beveiliging was kut en dien je schadevergoeding bij ons in? Overigens worden dit soort teksten door de communicatie afdeling geschreven die weinig informatie en verstand van de situatie hebben. De rest van het crisisteam zal zich op de belangrijkere zaken richten.

Het is lastig om te zeggen vanaf buiten zonder interne informatie of het security team de gevolgen uit dit scenario in de risicoanalyse heeft meegenomen of dat het vanuit het bestuur is om risico's te accepteren. In de meeste gevallen zijn dit soort de problemen zoals slecht opgeleide medewerkers(maar dan nog klikt gemiddeld iets van 15% klikt op phishing trainingsmails), oude systemen zonder mogelijke fraudedetectie en makkelijk exports van gegevens draaien wel bekend. De wil vanuit de organisatie vanwege prioriteiten, budget etcetera is vaak het probleem. Odido zal als organisatie onder de digitale infrastructuur vallen als kritieke entiteit onder de CyberBeveiligingsWet(CBW/NIS2 EU richtlijn) die op de planning staat voor Q2. Ik zou mij verbazen als vanuit hun security team ze nog helemaal niks hebben opgezet. In ieder geval wordt hun bestuur wettelijk verantwoordelijk onder de CBW.

[ExIT]

SirMemeAlot schreef op zaterdag 14 februari 2026 @ 10:14:
[...]


Deze instelling zorgt ervoor dat het loont voor bedrijven, nee, je hebt geen garantie dat het bij een ander bedrijf ook niet gebeurd maar je kan waarschijnlijk zo overstappen naar Ziggo of starlink of als je mazzel hebt KPN, Delta, Netrebel etc.

Maar door niets te doen en straks maximale AVG boete zal er geen incentive zijn voor bedrijven om in veiligheid te investeren, want ach, het gebeurd overal dus ik blijf lekker zitten. Als het bedrijf volgende maand 10/20k overstappers heeft dan doet dat wel serieus pijn aan de bonussen van de top/investeerders.

En ja, het kan dan bij andere bedrijf weer gebeuren, maar door weer over te stappen dwing je de bedrijven om er iets mee te doen.

Mijn punt was dat we het breder moeten trekken. Denk niet in bedrijven en straffen. Laten we het systeem oplossen.

Het liefst zie ik techneuten in de weer die het lastiger maken. Maar die hebben we al. Het is al lastig. Dus nu moeten we mensen trainen. "Trap er niet in".

Maar we mogen ook best op een hoger niveau gepaste consequenties gaan invoeren. Precies om de reden die jij aangaf.

Boetes helpen niet. De hoogste boete die de AP kan opleggen is 20 miljoen of 4% van de jaarlijkse omzet wereldwijd. Daar kun je als groot bedrijf voor sparen. Dat weegt niet op tegen wat er echt nodig is om het te beveiligen.

De oplossing is om te verplichten dat onbekwame leidinggevende niet meer in soortgelijke posities kunnen functioneren na een dergelijk schandaal.

We moeten af van mensen die denken "hier kunnen we voor sparen" en toe naar mensen die denken "als ik dit niet goed regel met mijn team, dan ben ik straks de sjaak".

[Gwaihir]

TheZeroorez schreef op vrijdag 13 februari 2026 @ 19:17:
Mijn aanname was dat ze je geboortedatum of leeftijd gebruikte voor vaststellen identiteit. Je sluit immers een abonnement af, daar is meer voor nodig dan alleen een leeftijdscheck.

Je hebt het zo te horen over een mobiel abonnement?

Ik had het over een vaste internetverbinding. Daar hoeft voor zover ik weet alleen vastgesteld te worden dat 't contract aangegaan wordt met iemand voor wie het normaal is zo'n contract aan te gaan. D.w.z. een volwassene is altijd ok. En bij een kind is er een soort van glijdende schaal van wat normale transacties zijn. Gaat een leverancier een contract aan dat daar buiten valt, dan kunnen de ouders het elk moment herroepen. Voor bijv. een zestienjarige zou ik als Odido wellicht wat extra willen weten. Als hij / zij op zichzelf woont lijkt het me logisch en bindend. Anders toch best ongebruikelijk.

[Baardmeester]

ExIT schreef op zaterdag 14 februari 2026 @ 10:33:
[...]


Mijn punt was dat we het breder moeten trekken. Denk niet in bedrijven en straffen. Laten we het systeem oplossen.

Het liefst zie ik techneuten in de weer die het lastiger maken. Maar die hebben we al. Het is al lastig. Dus nu moeten we mensen trainen. "Trap er niet in".

Maar we mogen ook best op een hoger niveau gepaste consequenties gaan invoeren. Precies om de reden die jij aangaf.

Boetes helpen niet. De hoogste boete die de AP kan opleggen is 20 miljoen of 4% van de jaarlijkse omzet wereldwijd. Daar kun je als groot bedrijf voor sparen. Dat weegt niet op tegen wat er echt nodig is om het te beveiligen.

De oplossing is om te verplichten dat onbekwame leidinggevende niet meer in soortgelijke posities kunnen functioneren na een dergelijk schandaal.

We moeten af van mensen die denken "hier kunnen we voor sparen" en toe naar mensen die denken "als ik dit niet goed regel met mijn team, dan ben ik straks de sjaak".

Onder de CBW ( https://www.ncsc.nl/cyberbeveiligingswet-nis2/bereid-je-voor ) zullen bestuursleden wettelijk meer plichten hebben:

Bestuur – De leden van het bestuur van entiteiten moeten de maatregelen goedkeuren en toezicht houden op de uitvoering ervan. Om dit goed te kunnen doen, dienen zij een opleiding te volgen.

De "opleiding" is alleen vormvrij en moet een aantal punten bespreken. Verder staan er volgens mij ook geen echte gevolgen vast behalve dat je misschien echt toezicht krijgt van de toezichthouder. Maar het is al een verbetering.

[Vaevictis_]

ExIT schreef op zaterdag 14 februari 2026 @ 05:15:
[...]


Maar dat gevoel klopt. Het is ook zo dat er van je gestolen is. En de nadelen zijn voor jou.

Odido zal zonder twijfel niet beter of slechter zijn dan een ander. Laten we eerlijk wezen. Die zaten hier ook niet op te wachten.

Kon het beter? Zeker. Doet iedereen dat? Nee joh. Moeten we dit normaal gaan vinden? Zeker niet.

Technisch zou je je kunnen zeggen:
1. Waarom was er geen encryptie op data-at rest? Dat is niet heel gangbaar helaas. Maar als je een account hebt met toegang, dat doet dat er niet eens toe.
2. Waarom was Odido niet wakker toen het gejat werd, maar ontdekte ze het pas later? Dat is omdat de dienst extern draaide en ze zelf geen monitoring deden, schat ik in. Ze vertrouwde op Salesforce om te monitoren.
3. Waarom merkte Salesforce het niet op dan? Ik schat in dat er vele gebruikers zo nu en dan exports maken, dat is niet een teken van criminaliteit per se, maar vanuit hun perspectief normaal gedrag zo nu en dan.

En dan juridisch:
4. Ga ik dan nu wel ergens iets kunnen claimen? Nee. Iedereen wuift dit van zijn schouders. Dat is de realiteit. Je gegevens liggen op straat en je kunt nooit aantonen dat ook maar iets in de toekomst er aan te verwijten is.
5. Moet Odido nu een miljoenenboete krijgen? Nee, want hoe fout dit ook is. Odido wilde het ook liever niet. En is het verwijtbaar? Deels. Odido werkt net als andere bedrijven. Externe callcenters. Te veel roulatie om iedereen te trainen. Niet perfect. Wel de norm. Dit kon niet heel veel beter. Ze hadden wél meer moeten investeren in trainingen om phishing tegen te gaan. Zeker omdat niemand het gemeld heeft, dat akkefietje met wachtwoorden en belletjes van zogenaamde IT. Maar dat is nu mosterd na de maaltijd. Dit had elk ander bedrijf kunnen zijn.

Is het daarom oke? Echt niet. Zeker niet. Een bedrijf als Odido heeft genoeg middelen om trainingen zoals dit wel goed voor elkaar te hebben. Het is mijns inziens zeker wel aan te rekenen. En mijns inziens zouden ze geen boete moeten krijgen, maar wel moeten vergoeden wat er als gevolg hiervan voor schade komt voor particulieren. Morgen, of over 20 jaar nog. Dit is hun schuld.

Maar het is niet dat een andere onderneming in Nederland, van dit kaliber, het beter voor elkaar heeft. Of dat die er beter tegen bewapend zijn. Dit is ondernemersrisico. Ook voor Odido. En idealiter kwakken we daar geen nietszeggende boete op voor de schatkist, maar markeren we individuen als verantwoordelijk. De verantwoordelijkheid komt met voor en nadelen aan de top. En als verantwoordelijke zou je een rood kruisje naast je naam moeten krijgen om nog zoiets te mogen ondernemen, of deel van uit te mogen maken.

Dat klinkt heel hard. Maar dat is het niet. Dat is een hele reële manier van oplossen. De les moet namelijk zijn dat dit niet door de beugel kan. Maar een onderneming of individu monetair aanpakken is zinloos. Een onderneming rekent het door aan klanten, en een individu kan niet naar ratio benadeeld worden. Het enige zinnige is om verantwoordelijke uit te sluiten van dergelijke posities.

En voor de slachtoffers; het leven is niet eerlijk. De aap is uit de mouw. Deze gegevens liggen op straat.

Ironisch genoeg moeten de slachtoffers nu zich beter verweren tegen phishing en social engineering dan dat de medewerkers van de Odido klantenservice zich hebben weten te verweren. En de slachtoffers voor de rest van hun leven helaas.

Odido heeft al jaren lang aantoonbaar de beveiliging niet op orde, kijk maar naar de boetes van de RDI afgelopen jaren.

Ik ben benieuwd of bestuurders aansprakelijk kunnen worden gesteld dat lijkt me beter dan een boete voor het bedrijf. Als de bestuursvoorzitter glashard ontkent op RTL nieuws er niets aan hand is qua beveiliging en je overtreedt de AVG (want na 4 jaar einde moeten klantgegevens vernietigd zijn).

Dit is gewoon nalatigheid om het imago (en klanten) te redden. Ik hoor ook niets over een plan van aanpak of dat ze het beter gaan doen. Transparantie is ver te zoeken. Dus over paar jaar weer raak?

[ExIT]

Vaevictis_ schreef op zaterdag 14 februari 2026 @ 11:00:
Als de bestuursvoorzitter glashard ontkent op RTL nieuws er niets aan hand is qua beveiliging en je overtreedt de AVG (want na 4 jaar einde moeten klantgegevens vernietigd zijn).

Gek genoeg zijn er verschillende termijnen. Zo stelt de Belastingdienst dat je dit 7 jaar moet bewaren:

https://www.belastingdien...ren/administratie_bewaren

[P-Rock]

ExIT schreef op zaterdag 14 februari 2026 @ 11:14:
[...]


Gek genoeg zijn er verschillende termijnen. Zo stelt de Belastingdienst dat je dit 7 jaar moet bewaren:

https://www.belastingdien...ren/administratie_bewaren

Een beetje doorklikken onthult dit:

Wat administreert u voor de btw?
Hoe u uw administratie opzet, bepaalt u zelf. Uit uw administratie moet duidelijk blijken hoeveel btw u moet betalen en hoeveel btw u van ons terugvraagt. Hoe u ook administreert, zorg ervoor dat u de gegevens die u nodig hebt voor uw btw-aangifte en voor uw opgaaf ICP, gemakkelijk kunt vinden in uw administratie. Dat betekent dat u per aangiftetijdvak overzichten moet bijhouden van:

uitgaande facturen (als u het factuurstelsel toepast)
inkomsten (als u het kasstelsel toepast)
ontvangen facturen
privégebruik van goederen en diensten
Verschillende btw-tarieven
Ontvangsten die zijn belast met verschillende btw-tarieven, registreert u afzonderlijk per btw-tarief.

Voor Odido betekent dat dus voornamelijk factuurgegevens die 7 jaar bewaard moeten blijven. Dit staat trouwens ook in hun eigen privacyvoorwaarden.

[ExIT]

Factuurgegevens betreft dan volledige naam, woonadres, telefoonnummer en e-mailadres?

Wat we dan weg kunnen laten: bankrekeningnummer en identiteitsbewijzen? Toch?

Maar je bankrekeningnummer is in een administratie bekend als tegenrekening. Daar is niets aan te doen.

En deze pagina kan iets onduidelijk overkomen. Maar ook weer niet echt. Het stelt alleen dat de genoemde voorbeelden een verplichting hebben. Maar het sluit niet uit dat er meer partijen zijn met een dergelijke verplichting:
https://www.rijksoverheid...-te-geven-aan-een-bedrijf

De telecommunicatiewet vereist, voor zover ik weet, dat er ook identificatie plaatsvindt. Om fraude te voorkomen.Zie artikel 18.15b, paragraaf 2: https://wetten.overheid.nl/BWBR0009950/2025-09-01

Wat we wel eens kunnen zijn is dat verificatie vluchtig mag zijn. Kortom, na ontvangst moet het niet opgeslagen worden maar verwijderd worden. En resteert enkel het "vinkje" dat jij het bent. Maar vanwege bewijslast werkt dat niet zo helaas. Want hoe kun je anders controleren hoe een organisatie nadien tot die conclusie kwam?

De oplossing: DigiD toepassen. Een bedrijf hoeft niet jouw BSN of scan van je paspoort, rijbewijs of ID. Ze hoeven alleen maar een "ja of nee". De overheid kan hierin faciliteren met DigiD. Maar helaas zijn we nog niet op dat punt.

[Vaevictis_]

ExIT schreef op zaterdag 14 februari 2026 @ 11:47:
Factuurgegevens betreft dan volledige naam, woonadres, telefoonnummer en e-mailadres?

Wat we dan weg kunnen laten: bankrekeningnummer en identiteitsbewijzen? Toch?

Maar je bankrekeningnummer is in een administratie bekend als tegenrekening. Daar is niets aan te doen.

En deze pagina kan iets onduidelijk overkomen. Maar ook weer niet echt. Het stelt alleen dat de genoemde voorbeelden een verplichting hebben. Maar het sluit niet uit dat er meer partijen zijn met een dergelijke verplichting:
https://www.rijksoverheid...-te-geven-aan-een-bedrijf

De telecommunicatiewet vereist, voor zover ik weet, dat er ook identificatie plaatsvindt. Om fraude te voorkomen.Zie artikel 18.15b, paragraaf 2: https://wetten.overheid.nl/BWBR0009950/2025-09-01

Wat we wel eens kunnen zijn is dat verificatie vluchtig mag zijn. Kortom, na ontvangst moet het niet opgeslagen worden maar verwijderd worden. En resteert enkel het "vinkje" dat jij het bent. Maar vanwege bewijslast werkt dat niet zo helaas. Want hoe kun je anders controleren hoe een organisatie nadien tot die conclusie kwam?

De oplossing: DigiD toepassen. Een bedrijf hoeft niet jouw BSN of scan van je paspoort, rijbewijs of ID. Ze hoeven alleen maar een "ja of nee". De overheid kan hierin faciliteren met DigiD. Maar helaas zijn we nog niet op dat punt.

Een klantsysteem en financieel systeem zijn twee verschillende dingen. Salesforce is geen financieelsysteem. Het is gebruikelijk om financiële gegevens die 2 jaar oud zijn te archiveren juist voor controles of de belastingdienst.

[ExIT]

Is het niet mogelijk dan dat de inbrekers via Salesforces het archief hebben gedownload?

[P-Rock]

ExIT schreef op zaterdag 14 februari 2026 @ 11:47:
Factuurgegevens betreft dan volledige naam, woonadres, telefoonnummer en e-mailadres?

Wat we dan weg kunnen laten: bankrekeningnummer en identiteitsbewijzen? Toch?

Maar je bankrekeningnummer is in een administratie bekend als tegenrekening. Daar is niets aan te doen.

En deze pagina kan iets onduidelijk overkomen. Maar ook weer niet echt. Het stelt alleen dat de genoemde voorbeelden een verplichting hebben. Maar het sluit niet uit dat er meer partijen zijn met een dergelijke verplichting:
https://www.rijksoverheid...-te-geven-aan-een-bedrijf

De telecommunicatiewet vereist, voor zover ik weet, dat er ook identificatie plaatsvindt. Om fraude te voorkomen.Zie artikel 18.15b, paragraaf 2: https://wetten.overheid.nl/BWBR0009950/2025-09-01

Wat we wel eens kunnen zijn is dat verificatie vluchtig mag zijn. Kortom, na ontvangst moet het niet opgeslagen worden maar verwijderd worden. En resteert enkel het "vinkje" dat jij het bent. Maar vanwege bewijslast werkt dat niet zo helaas. Want hoe kun je anders controleren hoe een organisatie nadien tot die conclusie kwam?

De oplossing: DigiD toepassen. Een bedrijf hoeft niet jouw BSN of scan van je paspoort, rijbewijs of ID. Ze hoeven alleen maar een "ja of nee". De overheid kan hierin faciliteren met DigiD. Maar helaas zijn we nog niet op dat punt.

Bij factuurgegevens moet je inderdaad denken aan NAW, bedrijfsnaam, kvk-nummer, postbus, tenaamstelling, IBAN-nummer, productafname en bedragen, maar geen identiteitsbewijzen of BSN.

[P-Rock]

Wat ik raar vind is dat veel mensen, die al jaren geen klant meer zijn, ook berichten hebben gekregen dat hun gegevens zouden zijn gelekt. Odido zelf geeft aan dat er geen factuurgegevens e.d. zijn buitgemaakt, dus dat zou betekenen dat ze hun eigen privacyvoorwaarden schenden. Volgens Odido bewaren ze deze gegevens namelijk maximaal 2 jaar tot na het beeïndigen van het contract.

Ik denk dat ik veilig ben; Ik heb nog steeds geen mail of sms gehad dat er iets gelekt is. Alleen gisteren een algemene sms dat Odido gehackt is en dat ze het allemaal heel erg vinden. Diverse vrienden, collega's en familie zijn nl. al sinds donderdag en gisteren op de hoogte gesteld via mail.

[ Voor 28% gewijzigd door P-Rock op 14-02-2026 12:12 ]

[Gr4mpyC3t]

ExIT schreef op zaterdag 14 februari 2026 @ 10:33:
[...]


Mijn punt was dat we het breder moeten trekken. Denk niet in bedrijven en straffen. Laten we het systeem oplossen.

Het liefst zie ik techneuten in de weer die het lastiger maken. Maar die hebben we al. Het is al lastig. Dus nu moeten we mensen trainen. "Trap er niet in".

Maar we mogen ook best op een hoger niveau gepaste consequenties gaan invoeren. Precies om de reden die jij aangaf.

Boetes helpen niet. De hoogste boete die de AP kan opleggen is 20 miljoen of 4% van de jaarlijkse omzet wereldwijd. Daar kun je als groot bedrijf voor sparen. Dat weegt niet op tegen wat er echt nodig is om het te beveiligen.

De oplossing is om te verplichten dat onbekwame leidinggevende niet meer in soortgelijke posities kunnen functioneren na een dergelijk schandaal.

We moeten af van mensen die denken "hier kunnen we voor sparen" en toe naar mensen die denken "als ik dit niet goed regel met mijn team, dan ben ik straks de sjaak".

Hier ben ik het niet helemaal mee eens.

Geen enkel systeem of proces zal waterdicht genoeg zijn om persoonsgegevens 100% buiten bereik van onbevoegden te houden.

Wat mij betreft zullen we als maatschappij (en overheid) anders moeten omgaan met informatie. Persoonsgegevens zijn op dit moment gevoelig omdat je er iets mee kan aanvragen of wijzigen. Dat moet anders. Dit soort gegevens verliezen dan vanzelf de waarde die ze nu hebben.

Het is verwijtbaar hoe dit nu bij Odido is gegaan, maar geen enkele boete, aansprakelijkheid of wetgeving gaat het risico op hacks wegnemen.

Los het probleem in de kern op!

[ExIT]

Gr4mpyC3t schreef op zaterdag 14 februari 2026 @ 12:15:
Persoonsgegevens zijn op dit moment gevoelig omdat je er iets mee kan aanvragen of wijzigen. Dat moet anders. Dit soort gegevens verliezen dan vanzelf de waarde die ze nu hebben.
(...)
Los het probleem in de kern op!

Oké. We zorgen dat je niets meer kunt aanvragen op basis van je ID/paspoort/rijbewijs.

Hoe gaan we het dan doen? Moet er iets nieuws komen? En kan dat dan niet gejat worden?

Als we de BSN niet meer gebruiken, en een nieuw nummer introduceren, dan is het toch een kwestie van tijd voordat dat nummer ook op straat ligt?

De echte oplossing, wederom, is om een akkoord te krijgen van een vertrouwde partij. De overheid. DigiD. En dat je enkel hoort: "Ja, dit is Gr4mpyC3t".

Kortom, geen (tastbaar-)detail dat je uitwisselt, maar een ja of nee vanuit een gedeelde vertrouwenspartner. In elk geval voor zaken op afstand.

Want alles dat fungeert als uitwisselbaar bewijs kan gestolen worden.

[P-Rock]

Een megaboete kan zeker wel helpen. De vorige keer was deze 15 miljoen, maar nu er ook daadwerkelijk is ingebroken en er vermoedelijk miljoenen klanten zijn gedupeerd, dat is wel even wat anders. Een dwangsom van 50 miljoen of hoger gaat ook Odido niet in de koude kleren zitten en zal ze hopelijk doen beseffen om hun medewerkers wat beter te trainen op het herkennen van phishing mails.

Beetje raar dat we nog steeds niks hebben vernomen van wie de hackers zijn. Grootste kans is natuurlijk Rusland, aangezien de meeste hacks daar vandaan lijken te komen.

[Gr4mpyC3t]

ExIT schreef op zaterdag 14 februari 2026 @ 12:23:
[...]

Oké. We zorgen dat je niets meer kunt aanvragen op basis van je ID/paspoort/rijbewijs.

Hoe gaan we het dan doen? Moet er iets nieuws komen? En kan dat dan niet gejat worden?

Als we de BSN niet meer gebruiken, en een nieuw nummer introduceren, dan is het toch een kwestie van tijd voordat dat nummer ook op straat ligt?

De echte oplossing, wederom, is om een akkoord te krijgen van een vertrouwde partij. De overheid. DigiD. En dat je enkel hoort: "Ja, dit is Gr4mpyC3t".

Kortom, geen (tastbaar-)detail dat je uitwisselt, maar een ja of nee vanuit een gedeelde vertrouwenspartner. In elk geval voor zaken op afstand.

Want alles dat fungeert als uitwisselbaar bewijs kan gestolen worden.

Graag, want een ID-bewijs is vooral bedacht als een fysiek identificatiemiddel. Daar zijn we nu digitale kopieën van aan het rondsturen om maar te bewijzen dat we echt zijn wie we zeggen dat we zijn. We hebben toch dingen als DigiD en iDIN die ook mijn identiteit kunnen verifiëren?

Het punt is dus vooral dat er bepaalde persoonsgegevens zoals IBAN, postcode en leeftijd gebruikt worden als identificatiegegevens terwijl ze daar helemaal niet voor bedoeld zijn.

Daarnaast zijn het ook nog eens gegevens die je niet kan wijzigen. Stel nou dat we zo’n BSN eens gaan gebruiken als uniek identificatiemiddel. Als er een set BSN’s gejat wordt, dan genereer je toch weer een nieuwe? De waarde van persoonsgegevens moet omlaag.

En ja, ik zie de opmerking met alle gaten in deze argumentatie alweer tegemoet, maar het gaat om het uitgangspunt.

[DjoeC]

P-Rock schreef op zaterdag 14 februari 2026 @ 12:31:
Een megaboete kan zeker wel helpen. De vorige keer was deze 15 miljoen, maar nu er ook daadwerkelijk is ingebroken en er vermoedelijk miljoenen klanten zijn gedupeerd, dat is wel even wat anders. Een dwangsom van 50 miljoen of hoger gaat ook Odido niet in de koude kleren zitten en zal ze hopelijk doen beseffen om hun medewerkers wat beter te trainen op het herkennen van phishing mails.

Beetje raar dat we nog steeds niks hebben vernomen van wie de hackers zijn. Grootste kans is natuurlijk Rusland, aangezien de meeste hacks daar vandaan lijken te komen.

Een dwangsom kost niets. Is alleen een vooraankondiging: Foei! Als t weer gebeurt moet je de dwangsom betalen - na een lange rechtsgang etc. En voor 50 miljoen laat je een batterij advocaten naar t hekje komen

Ofwel: Een dwangsom doet in dit geval he-le-maal niets.

[ExIT]

P-Rock schreef op zaterdag 14 februari 2026 @ 12:31:
Beetje raar dat we nog steeds niks hebben vernomen van wie de hackers zijn. Grootste kans is natuurlijk Rusland, aangezien de meeste hacks daar vandaan lijken te komen.

Het is naar mijn weten standaard dat zowel de inbrekers als de partners aan de kant van Odido nog even niet genoemd worden. Het kan een waslijst aan problemen geven om een van beide, of beide, nu al uit de doeken te doen.

Hopelijk leren we het op termijn. Maar op dit moment zal men nog zoeken of in contact staan. Dan is het beter om er geen roem aan te geven.

[ExIT]

Gr4mpyC3t schreef op zaterdag 14 februari 2026 @ 12:32:
En ja, ik zie de opmerking met alle gaten in deze argumentatie alweer tegemoet, maar het gaat om het uitgangspunt.

Nou, volgens mij zijn we het best eens met elkaar. En of we beide aan alles gedacht hebben, geen idee. Maar we zijn het eens dat een lek als dit bij Odido niet tot zoveel langdurige narigheid had moeten leiden voor slachtoffers.

[P-Rock]

ExIT schreef op zaterdag 14 februari 2026 @ 12:36:
[...]


Het is naar mijn weten standaard dat zowel de inbrekers als de partners aan de kant van Odido nog even niet genoemd worden. Het kan een waslijst aan problemen geven om een van beide, of beide, nu al uit de doeken te doen.

Hopelijk leren we het op termijn. Maar op dit moment zal men nog zoeken of in contact staan. Dan is het beter om er geen roem aan te geven.

Het is ook wel schandalig dat Odido zelf niks door had, totdat de hackers contact zochten.

[Gr4mpyC3t]

ExIT schreef op zaterdag 14 februari 2026 @ 12:38:
[...]


Nou, volgens mij zijn we het best eens met elkaar. En of we beide aan alles gedacht hebben, geen idee. Maar we zijn het eens dat een lek als dit bij Odido niet tot zoveel langdurige narigheid had moeten leiden voor slachtoffers.

Dat zeg je goed.

[devriesjande]

Ik ben al zeker 5 jaar weg bij T-mobile/Odido.
Maar gisteren wel een sms ontvangen over de hack. Alleen al het feit dat mijn telefoonnummer na 5 jaar nog in het bestand staat zegt mij genoeg.

[ExIT]

DjoeC schreef op zaterdag 14 februari 2026 @ 12:33:
[...]

Een dwangsom kost niets. Is alleen een vooraankondiging: Foei! Als t weer gebeurt moet je de dwangsom betalen - na een lange rechtsgang etc. En voor 50 miljoen laat je een batterij advocaten naar t hekje komen

Ofwel: Een dwangsom doet in dit geval he-le-maal niets.

Nou ja, afgezien van de techniciteit dat een dwangsom inderdaad nog niet geïnd wordt; wat helpt een boeite?

Als je 50 miljoen oplegt, dan berekenen ze dit door in hogere abonnementsprijzen. Of ga je dan naar BEN of Simpel? Die zijn ook van Odido.

Een boete helpt niet, mijns inziens. Linksom of rechtsom. Er moeten gewichtige consequenties voor echte mensen aan zitten.

Het helpt ook niks als ze van bedrijf A naar bedrijf B verhuizen in dezelfde functie.Koppen laten rollen in een bedrijf is nutteloos. Een leeg gebaar. Dat is een stoelendans.

Er moet echte consequenties aan zitten. En dan bedoel ik dat men proportioneel langdurig een gevoeld nadeel moeten hebben. Zoals niet meer in management mogen werken (lagere loonschaal) voor een redelijke poos.

Pas dan ga je dit echt oplossen. Boetes en figuurlijk koppen laten rollen die morgen bij een ander bedrijf in de top zitten, dat helpt niet.

[JukeboxBill]

Als je niet allerlei gegevens wil achterlaten voor een abonnement zou je kunnen overstappen op prepaid sim.
Ik bel heel weinig en datagebruik stelt ook niet veel voor, dus dat zou voor mij misschien nog wel voordeliger zijn.
Internet kan ook want ik heb nu ook al een 4G usb stick in de Fritzbox als backup. Maar dat wordt een dure grap bij permanent gebruik.

[JKP]

Wat wel fijn is, Odido draagt op hun informatiepagina zelf de argumentatie aan om nieuw rijbewijs, paspoort en/of identiteitskaart te vergoeden:

Om fraude te voorkomen bij het bij het afsluiten van een mobiel abonnement controleren we altijd je identiteit en registreren we daarom het nummer van je identiteitsbewijs. Zo weten we zeker dat jij degene bent die het abonnement afsluit en kunnen we aantonen dat jij het was. Op deze manier voorkomen we ook dat contracten, abonnementen of telefoontoestellen bij de verkeerde persoon terechtkomen.

Dat documentnummer zegt nu dus helemaal niets meer, omdat dit op straat ligt.

Overigens zou ik ook zeggen dat een documentnummer eigenlijk ten onrechte als een vorm van identificatie wordt gebruikt. Tenzij ze ergens een koppeling hebben met een database, zie ik niet in hoe een documentnummer mijn identiteit kan bewijzen.

[ Voor 21% gewijzigd door JKP op 14-02-2026 13:53 ]

[Griello]

Nog een lekje, kunnen ze direct fixen.
op https://www.odido.nl/serv...-en-onderhoud/internet-tv kun je zien wie actief klant is van Odido internet en T.V.. De melding die voor een adres gegeven wordt is ander voor klanten dan voor niet klanten. Dus zo kun je ook zien van wie in ieder geval gegevens gelekt zijn. beetje slordig.

[ Voor 9% gewijzigd door Griello op 14-02-2026 14:25 ]

[ErickN]

Bestaat er iets zoals een keurmerk waarmee je zien of organisaties zich bijv. houden aan AVG of hun interne beveiliging op orde hebben?

[Gwaihir]

JukeboxBill schreef op zaterdag 14 februari 2026 @ 13:25:
Als je niet allerlei gegevens wil achterlaten voor een abonnement zou je kunnen overstappen op prepaid sim.

Is dat nog steeds zo? Ik dacht dat die identificatie eisen nu juist (wettelijk) aan het ter beschikking stellen van een SIM gekoppeld zijn, niet zo zeer aan abonnement of prepaid.

[ Voor 3% gewijzigd door Gwaihir op 14-02-2026 14:53 ]

[JKP]

Gwaihir schreef op zaterdag 14 februari 2026 @ 14:53:
[...]

Is dat nog steeds zo? Ik dacht dat die identificatie eisen nu juist (wettelijk) aan het ter beschikking stellen van een SIM gekoppeld zijn, niet zo zeer aan abonnement of prepaid.

Dat is nog steeds zo. Je kunt bij de Primera bijvoorbeeld een prepaid simkaart kopen.

[LILLI]

Ik heb thuis glasvezel van Odido en heb een sim only van Ben. Beide lopen tot juni 2027.
Hoe kan ik beide zsm beëindigen? Ben niet van plan om voor het voortijdig beëindigen van beide contracten ook maar 1 cent te betalen, na dit schandalige datalek van deze amateurs.
Ik overweeg de automatische incasso's te storneren.

[Lord_Dain]

Griello schreef op zaterdag 14 februari 2026 @ 14:24:
Nog een lekje, kunnen ze direct fixen.
op https://www.odido.nl/serv...-en-onderhoud/internet-tv kun je zien wie actief klant is van Odido internet en T.V.. De melding die voor een adres gegeven wordt is ander voor klanten dan voor niet klanten. Dus zo kun je ook zien van wie in ieder geval gegevens gelekt zijn. beetje slordig.

Wow dit is ronduit SCHANDALIG, goed gevonden.. heb je het al gemeld?

[W1ck1e]

Zoals eerder bericht, heb ik ook een mail gekregen.
Is het een idee om in dit topic (of een apart topic) iets te regelen dat slachtoffers die daadwerkelijk worden benaderd door oplichters om dat hier te melden, met ruimte om aan te geven op welke manier dat gebeurt ? Zodat anderen gerichter gewaarschuwd worden.

[JKP]

LILLI schreef op zaterdag 14 februari 2026 @ 15:29:
Ik heb thuis glasvezel van Odido en heb een sim only van Ben. Beide lopen tot juni 2027.
Hoe kan ik beide zsm beëindigen? Ben niet van plan om voor het voortijdig beëindigen van beide contracten ook maar 1 cent te betalen, na dit schandalige datalek van deze amateurs.
Ik overweeg de automatische incasso's te storneren.

In antwoord op de vraag of je je order mag cancelen na het verstrijken van 14-dagen bedenktijd schrijven ze:

Het datalek op zichzelf is geen reden om je overeenkomst voortijdig op te zeggen.

Nu is een order weliswaar niet exact hetzelfde, maar ik denk dat je helaas niet zonder al te veel gedoe kunt opzeggen. Steeds vaker moet je met het juridische zwaard van vrouwe Justitia komen om je (mogelijke) recht te halen.

[redwing]

LILLI schreef op zaterdag 14 februari 2026 @ 15:29:
Ik heb thuis glasvezel van Odido en heb een sim only van Ben. Beide lopen tot juni 2027.
Hoe kan ik beide zsm beëindigen? Ben niet van plan om voor het voortijdig beëindigen van beide contracten ook maar 1 cent te betalen, na dit schandalige datalek van deze amateurs.

Dat kun je niet. Daarbij is het ook maar de vraag of het ergens anders beter is, want elke provider heeft intussen wel zulke lekken gehad.

Ik overweeg de automatische incasso's te storneren.

Als je zelf in de problemen wilt komen moet je dat vooral doen. Je hebt een lopend contract met bijbehorende verplichtingen. Ga je dan storneren krijg je simpelweg met een incassobureau en daarna de deurwaarder te maken. Hoe vervelend ook, is zo'n datalek geen reden om kosteloos op te mogen zeggen.

[jongetje]

devriesjande schreef op zaterdag 14 februari 2026 @ 12:49:
Ik ben al zeker 5 jaar weg bij T-mobile/Odido.
Maar gisteren wel een sms ontvangen over de hack. Alleen al het feit dat mijn telefoonnummer na 5 jaar nog in het bestand staat zegt mij genoeg.

Ik heb hier al eerder aangegeven dat je een sluitende administratie tot 7 jaar terug moet voeren.
Wat zegt dit jou? Dat Odido voldoet aan de wettelijke bewaartermijn?

[dooiedodo]

ik kreeg van de week nog een melding, via tele2 oud abbo met de melding dat het minder dan 2 jaar geleden was stopgezet. Dat moest ik even terug zoeken en daar klopt dus geen kont van. Dat abbonenment is 3.5 jaar geleden gestopt.. Ze zijn naar mijn idee niet helemaal eerlijk.
Mn vrouw had ook melding gekregen, maar daar was het setje data velden veel kleiner, geen iban etc. Ze hebben er wel echt een zooitje van gemaakt. Meteen maar even alle incassanten nagelopen en hier en daar wat oude meuk geblokkkerd.

[ernstoud]

ErickN schreef op zaterdag 14 februari 2026 @ 14:44:
Bestaat er iets zoals een keurmerk waarmee je zien of organisaties zich bijv. houden aan AVG of hun interne beveiliging op orde hebben?

In mijn tijd als security auditor was er sprake van het opzetten certificering tegen de AVG. Volgens mij is dat afgeketst. Punt is dat het wetgeving is. De enige organisatie die toetst tegen de wet is het OM. Dat kan bijvoorbeeld een accountantskantoor nooit doen.

[devriesjande]

jongetje schreef op zaterdag 14 februari 2026 @ 15:57:
[...]

Ik heb hier al eerder aangegeven dat je een sluitende administratie tot 7 jaar terug moet voeren.
Wat zegt dit jou? Dat Odido voldoet aan de wettelijke bewaartermijn?

Dat zegt mij dat Odido niet de moeite heeft gedaan deze gegevens op een veilige manier op te slaan. Deze gegevens hoeven niet meer on-line beschikbaar te zijn, maar kunnen veilig op data dragers in een kluis worden opgeborgen.

[PauseBreak]

ernstoud schreef op zaterdag 14 februari 2026 @ 17:56:
[...]


In mijn tijd als security auditor was er sprake van het opzetten certificering tegen de AVG. Volgens mij is dat afgeketst. Punt is dat het wetgeving is. De enige organisatie die toetst tegen de wet is het OM. Dat kan bijvoorbeeld een accountantskantoor nooit doen.

Je bedoelt denk ik "alleen het OM kan strafrechtelijk toetsen". Een onafhankelijk auditor (zoals bijv. een accountantskantoor kán zijn) kan en zal ook toetsen tegen geldende wetgeving. Het verschil erin is dat die onafhankelijke auditor niet strafrechtelijk kan toetsen. Een AP toetst bijvoorbeeld bestuursrechtelijk aan wetgeving. Dus er zijn veel meer mogelijkheden zolang het gaat om compliance toetsen. Strafrechtelijke vervolging is voorbehouden aan het OM.

Ik denk overigens dat de kans klein is dat in deze casus mensen (bestuurders) hoofdelijk verantwoordelijk gesteld zullen gaan worden tenzij het OM echt kan bewijzen dat er bewust is gestuurd op non-compliance t.a.v. de AVG en dataveiligheidseisen. Die kans acht ik echt heel klein. Dit is gewoon systeemfalen.

Wel jammer dat er nu van alles is gelekt. Vanmiddag bij onze bank maar een kennisgeving gedaan en een toets op nieuwe, afwijkende incasso's aan laten zetten. Hopelijk blijft de schade daarbij.

[LigeTRy]

ErickN schreef op zaterdag 14 februari 2026 @ 14:44:
Bestaat er iets zoals een keurmerk waarmee je zien of organisaties zich bijv. houden aan AVG of hun interne beveiliging op orde hebben?

Er bestaan wel security en privacy gerelateerde certificeringen zoals SOC2 of ISO27001 (bedrijven die dit hebben pronken hier graag mee) Uit ervaring blijkt echter dat dit vaak een papieren waarheid is en bedrijven die zo'n certificering hebben niet minder vaak worden gehackt, of misschien zelfs vaker (want minder budget want de certificering is er toch al). Helaas is hier op het moment geen goede maatstaaf op te plaatsen.

Er is een bredere trend gaande waarbij bedrijven transparanter communiceren over "hoe veilig ze zijn", en ook daadwerkelijk informatie beschikbaar stellen om dat te onderbouwen. Een goed voorbeeld hiervan is https://security.legora.com/. Ik denk dat dit een welkome trend is, al zal een bedrijf vaak communiceren over wat ze wel hebben, en niet wat ze niet hebben. En dan is het nog maar de vraag of de gemiddelde telco klant hier ook maar iets van snapt

[Griello]

Lord_Dain schreef op zaterdag 14 februari 2026 @ 15:32:
[...]

Wow dit is ronduit SCHANDALIG, goed gevonden.. heb je het al gemeld?

Naar aanleiding van je vraag heb ik maar een melding gedaan; via mail door middel van een reply op de mail die ik van hen gehad heb over de datalek. (Verder is op de hele website geen e-mail adres meer te vinden. En de chatbot geeft ook aan dat die route onmogelijk is.)

[ernstoud]

LigeTRy schreef op zaterdag 14 februari 2026 @ 20:31:
[...]


Er bestaan wel security en privacy gerelateerde certificeringen zoals SOC2 of ISO27001 (bedrijven die dit hebben pronken hier graag mee) Uit ervaring blijkt echter dat dit vaak een papieren waarheid is en bedrijven die zo'n certificering hebben niet minder vaak worden gehackt, of misschien zelfs vaker (want minder budget want de certificering is er toch al). Helaas is hier op het moment geen goede maatstaaf op te plaatsen.

Er is een bredere trend gaande waarbij bedrijven transparanter communiceren over "hoe veilig ze zijn", en ook daadwerkelijk informatie beschikbaar stellen om dat te onderbouwen. Een goed voorbeeld hiervan is https://security.legora.com/. Ik denk dat dit een welkome trend is, al zal een bedrijf vaak communiceren over wat ze wel hebben, en niet wat ze niet hebben. En dan is het nog maar de vraag of de gemiddelde telco klant hier ook maar iets van snapt

Ik ben 15 jaar ISO27001 auditor geweest voor KEMA, Dekra, BSI en DNV. Honderden organisaties gecertificeerd en jaarlijks getoetst. Ook veel cursussen gegeven op dit vlak.

Uit mijn ervaring durf ik te stellen dat gecertificeerde organisaties gemiddeld beter beveiligd zijn. Maar of ze afdoende beveiligd zijn is echt niet te beantwoorden. Probleem is dat het geld nooit oneindig is. Het houdt een keer op. En dan is er toch een rest risico.

[LigeTRy]

Griello schreef op zaterdag 14 februari 2026 @ 20:57:
[...]

Naar aanleiding van je vraag heb ik maar een melding gedaan; via mail door middel van een reply op de mail die ik van hen gehad heb over de datalek. (Verder is op de hele website geen e-mail adres meer te vinden. En de chatbot geeft ook aan dat die route onmogelijk is.)

Kijk hier eens : https://www.odido.nl/.well-known/security.txt

[LigeTRy]

ernstoud schreef op zaterdag 14 februari 2026 @ 21:06:
[...]


Ik ben 15 jaar ISO27001 auditor geweest voor KEMA, Dekra, BSI en DNV. Honderden organisaties gecertificeerd en jaarlijks getoetst. Ook veel cursussen gegeven op dit vlak.

Uit mijn ervaring durf ik te stellen dat gecertificeerde organisaties gemiddeld beter beveiligd zijn. Maar of ze afdoende beveiligd zijn is echt niet te beantwoorden. Probleem is dat het geld nooit oneindig is. Het houdt een keer op. En dan is er toch een rest risico.

Ik denk dat het vooral aan de intentie van een bedrijf ligt, en met een paar technische vragen weet je snel hoe een bedrijf in de wedstrijd zit. Vanuit mijn perspectief beoordeel ik vaak securitymaatregelen van leveranciers en derde partijen, en een ISO27001 certificering levert vaak geen pluspunten op, of er is een statement of applicability die wel erg krap is. Het zal over en weer gaan, feit is wel dat zo'n papiertje geen enkele garantie geeft op gehackt worden of niet (op wat voor manier dan ook).

[ernstoud]

LigeTRy schreef op zaterdag 14 februari 2026 @ 20:31:
[...]

Er bestaan wel security en privacy gerelateerde certificeringen zoals SOC2 of ISO27001 (bedrijven die dit hebben pronken hier graag mee) Uit ervaring blijkt echter dat dit vaak een papieren waarheid is…

Kun je dat onderbouwen? Lijkt me een onderbuik statement. Al sinds een jaar of twintig zijn certificeringen geen papieren exercitie meer. Je moet risico’s analyses doen, audits, laten zien wat je klanten er van vinden, incidenten onderzoeken, backups aantoonbaar maken en testen etc. etc. En elk jaar moet je met bewijs komen dat je dit doet.

… en bedrijven die zo'n certificering hebben niet minder vaak worden gehackt, of misschien zelfs vaker (want minder budget want de certificering is er toch al). Helaas is hier op het moment geen goede maatstaaf op te plaatsen.

Mijn subjectieve mening na 15 jaar audit werk is dat certificeringen wel de beveiliging verbeteren. Maar objectief is er weinig over te zeggen. Organisaties doen zelf de risicoanalyse en maatregel selectie. En risico’s - buiten wettelijke eisen - kun je ook negeren.

[/quote]
Er is een bredere trend gaande waarbij bedrijven transparanter communiceren over "hoe veilig ze zijn", en ook daadwerkelijk informatie beschikbaar stellen om dat te onderbouwen.
[quote]

Bij ISO27001 ben je verplicht de eisen van je klanten mee te nemen in de risicoanalyse en klanten mogen je inzage vragen in je getroffen maatregelen.

Een goed voorbeeld hiervan is https://security.legora.com/. Ik denk dat dit een welkome trend is, al zal een bedrijf vaak communiceren over wat ze wel hebben, en niet wat ze niet hebben. En dan is het nog maar de vraag of de gemiddelde telco klant hier ook maar iets van snapt

En met al die certificaten kan Legora nog morgen gehackt worden, bijvoorbeeld door misbruik van een 0-day kwetsbaarheid. Wel zullen ze dat als ze de juiste monitoring doen snel weten en passende maatregelen treffen. Zoals Odido (of Salesforce) ook gedaan heeft. Maar kalf en put verhaal..

[ernstoud]

LigeTRy schreef op zaterdag 14 februari 2026 @ 21:15:
[...]
… en een ISO27001 certificering levert vaak geen pluspunten op, of er is een statement of applicability die wel erg krap is. Het zal over en weer gaan, feit is wel dat zo'n papiertje geen enkele garantie geeft op gehackt worden of niet (op wat voor manier dan ook.

Nee, inderdaad geeft geen enkele certificatie 100% zekerheid.

Maar geen pluspunten spreek ik echt tegen. Je weet bij certificering dat een bedrijf elk jaar getoetst wordt, dat ze de maatregelen onderhouden de wet te respecteren, risicoanalyse doen etc., het beheer van het security systeem zit dan wel goed.

Helaas is er over werkzaamheid van de beveiligingsmaatregelen weinig concreet te zeggen. Welke IDS/IPS is de beste? Welke backup strategie is de beste? Is Linux veiliger dan Windows? Elk geloof heeft zijn dominees.

Een rijbewijs zegt niet alles of iemand veilig kan autorijden. Toch zou ik me op de weg veel minder veilig voelen als rijbewijzen niet verplicht zouden zijn.

[ernstoud]

PauseBreak schreef op zaterdag 14 februari 2026 @ 20:22:
[...]
Je bedoelt denk ik "alleen het OM kan strafrechtelijk toetsen". Een onafhankelijk auditor (zoals bijv. een accountantskantoor kán zijn) kan en zal ook toetsen tegen geldende wetgeving.

Heb 5 jaar gewerkt bij een big-four, en nee. Geen auditor daar zal na review van de verantwoordelijke partner een rapport mogen uitbrengen waarin staat dat de organisatie aan de wet - zoals de AVG - voldoet. Eigen normenkaders in die wereld ok. maart wetgeving? No way.

Ik denk overigens dat de kans klein is dat in deze casus mensen (bestuurders) hoofdelijk verantwoordelijk gesteld zullen gaan worden tenzij het OM echt kan bewijzen dat er bewust is gestuurd op non-compliance t.a.v. de AVG en dataveiligheidseisen. Die kans acht ik echt heel klein. Dit is gewoon systeemfalen.

Ja, dat is dus de taak van de AP. Als er AVG non-compliance is wordt de bestuurder aansprakelijk gesteld. Of de organisatie bewust heeft aangestuurd op non-compliance is niet aan de orde. Ook onbewuste afwijkingen van wetgeving zijn strafbaar.

[LigeTRy]

ernstoud schreef op zaterdag 14 februari 2026 @ 21:18:
[...]

Kun je dat onderbouwen?

Jaren als incident responder gewerkt en veel gehackte bedrijven gezien die ISO27001 op de voordeur hadden staan.

Ik denk dat ISO27001 (en/of andere certificeringen) het securityvlak voor een deel kunnen waarborgen, maar er is geen one size fits all of iets wat zegt "Nu heb ik alles op orde en ben ik onhackbaar waar mijn reactie op was". Geen enkele jaarlijkse audit zorgt ervoor dat die ene sysadmin niet z'n company creds in z'n persoonlijke password database (waar ie ook z'n mfa in heeft) zet welke gehackt wordt omdat ie thuis graag gratis photoshop wilt gebruiken.

ernstoud schreef op zaterdag 14 februari 2026 @ 21:18:
[...]
En met al die certificaten kan Legora nog morgen gehackt worden, bijvoorbeeld door misbruik van een 0-day kwetsbaarheid.

Ik denk dat we hetzelfde zeggen (en wellicht ook wat offtopic gaan nu)

[PauseBreak]

ernstoud schreef op zaterdag 14 februari 2026 @ 21:32:
[...]


Heb 5 jaar gewerkt bij een big-four, en nee. Geen auditor daar zal na review van de verantwoordelijke partner een rapport mogen uitbrengen waarin staat dat de organisatie aan de wet - zoals de AVG - voldoet. Eigen normenkaders in die wereld ok. maart wetgeving? No way.

Om even bij jouw voorbeeld te blijven: accountantskantoren toetsen bij jaarrekeningen bijv. altijd aan geldende wetgeving (met afgeven van de controleverklaring). Nogmaals, volgens mij verwar jij strafrechtelijke vervolging met toetsen aan de wet. Het zijn twee verschillende dingen waarvan één ervan is voorbehouden aan het OM. En prima dat jij er niet voor mocht tekenen, maar dat betekent niet dat een onafhankelijke partij niet kan of mag toetsen aan wetgeving.

Wij worden jaarlijks getoetst op voldoen aan een hele sloot voor ons vigerende wetgeving. Dat doet echt het OM niet hoor. Onafhankelijke partijen, auditcommissies, rekenkamers, accountants enzovoorts wel.

[ernstoud]

PauseBreak schreef op zaterdag 14 februari 2026 @ 21:47:
[...]
Om even bij jouw voorbeeld te blijven: accountantskantoren toetsen bij jaarrekeningen bijv. altijd aan geldende wetgeving (met afgeven van de controleverklaring).

Nee. Een accountant verklaart niet dat je aan de wet voldoet. Daar hebben we de controlerende macht in NL voor, de toezichthouders e.d. en uiteindelijk bij onderzoek en bepalen van vervolging het OM.

Nogmaals, volgens mij verwar jij strafrechtelijke vervolging met toetsen aan de wet. Het zijn twee verschillende dingen waarvan één ervan is voorbehouden aan het OM. En prima dat jij er niet voor mocht tekenen, maar dat betekent niet dat een onafhankelijke partij niet kan of mag toetsen aan wetgeving.

Wij worden jaarlijks getoetst op voldoen aan een hele sloot voor ons vigerende wetgeving. Dat doet echt het OM niet hoor. Onafhankelijke partijen, auditcommissies, rekenkamers, accountants enzovoorts wel.

Laten we er maar over ophouden. Wordt saai. Maar vraag eens een keer aan een partner van jullie accountant een handtekening te zetten op een verklaring dat je aan de wet voldoet zou ik zeggen.

[jongetje]

devriesjande schreef op zaterdag 14 februari 2026 @ 20:21:
[...]

Dat zegt mij dat Odido niet de moeite heeft gedaan deze gegevens op een veilige manier op te slaan. Deze gegevens hoeven niet meer on-line beschikbaar te zijn, maar kunnen veilig op data dragers in een kluis worden opgeborgen.

Hoe doet het bedrijf waar jij werkt dan? Alles vanuit het cloud pakket (dat is salesfource) printen en in een kluis leggen? En als er een controle, audit of vraag vanuit een voormalige klant komt, 30 mappen met geprinte gegevens bij elkaar zoeken? Of een harde schijf per maand, hoe zie je dat voor je met een kluis en offline dragers?

[ Voor 6% gewijzigd door jongetje op 14-02-2026 22:17 ]

[PauseBreak]

ernstoud schreef op zaterdag 14 februari 2026 @ 22:02:
[...]


Nee. Een accountant verklaart niet dat je aan de wet voldoet. Daar hebben we de controlerende macht in NL voor, de toezichthouders e.d. en uiteindelijk bij onderzoek en bepalen van vervolging het OM.

Zoals ik zei: dan heb je het over strafrechtelijke (of bestuursrechtelijke) vervolging en dat is iets anders.

[Antonio di]

jongetje schreef op zaterdag 14 februari 2026 @ 22:16:
[...]

Hoe doet het bedrijf waar jij werkt dan? Alles vanuit het cloud pakket (dat is salesfource) printen en in een kluis leggen? En als er een controle, audit of vraag vanuit een voormalige klant komt, 30 mappen met geprinte gegevens bij elkaar zoeken? Of een harde schijf per maand, hoe zie je dat voor je met een kluis en offline dragers?

Micro-fiches !

[RobbyTown]

Griello schreef op zaterdag 14 februari 2026 @ 14:24:
Nog een lekje, kunnen ze direct fixen.
op https://www.odido.nl/serv...-en-onderhoud/internet-tv kun je zien wie actief klant is van Odido internet en T.V.. De melding die voor een adres gegeven wordt is ander voor klanten dan voor niet klanten. Dus zo kun je ook zien van wie in ieder geval gegevens gelekt zijn. beetje slordig.

Daarbij ook hier geen limiet. Kunt onbeperkt checks doen net als 6,2 miljoen records ophalen.

Dat lekje wat je aankaart had een aantal jaar terug Simyo ook maar dan op 06 basis. Je kon zo achterhalen wie er er Simyo klant was (gericht sms incasso bericht sturen als foute intentie). Dit hebben ze alweer een tijdje gefixt. Bij bestellen: Ken je iemand met een Simyo nummer?
Elk 06 wat je ingeeft geeft nu Jullie krijgen allebei € 10 korting op de eerste factuur terug.