Odido waarschuwt voor datalek (cyberaanval/hack)

[makreel]

_Bailey_ schreef op zaterdag 14 februari 2026 @ 09:49:
oktober 2025;

Het aftapsysteem van Odido was niet goed beveiligd tegen mogelijk meekijken van buitenstaanders. De Rijksinspectie Digitale Infrastructuur (RDI) heeft de provider daarom een boete van 1,5 miljoen euro opgelegd.

De beveiliging van Odido's systeem voldeed volgens de RDI op meerdere onderdelen niet aan de wet. Inmiddels heeft de provider aanpassingen gedaan, waardoor de risico's op pottenkijkers zijn weggenomen.

Een aftapsysteem bevat informatie van afgeluisterde telefoongesprekken of onderschepte berichten die via sms, chat of e-mail zijn verstuurd. Aftappen mag niet zomaar. Dat is alleen geoorloofd onder strikte voorwaarden en op last van de officier van justitie of van de inlichtingen- en veiligheidsdiensten.

Het onderzoek vond in 2021 en 2022 plaats. Toen bleek dat Odido geen beveiligingsplan had dat volledig voldeed aan de eisen van de toezichthouder. In zo'n plan staat welke maatregelen worden getroffen om het systeem te beveiligen.

Ook werd personeel met toegang tot het aftapsysteem niet goed gescreend. Zo had een groot deel geen geheimhoudingsverklaring ondertekend of ontbrak een Verklaring Omtrent het Gedrag.

Ook personeel dat niets met het systeem te maken had kon bij de afgetapte gegevens.
In een aftapsysteem kunnen zeer gevoelige gegevens staan, zoals staatsgeheimen of strafrechtelijke informatie. Daarom worden er strenge eisen aan de beveiliging gesteld.
Odido schoot tekort in de digitale toegangsbeveiliging, waardoor ook leveranciers toegang hadden.

---------------------------

Plus nu deze Odido hack van deze maand, dan kan je concluderen dat Odido geen prio heeft bij écht serieuze beveiliging.
Ook bovenstaande onderzoek van 2021/2022 laat zien dat Odido wederom 0 moeite heeft met dat Jan en alleman in de organisatie overal maar bij kan als het gaat om gevoelige data, precies zoals met deze hack dus van afgelopen week

https://www.rdi.nl/actuee...te-op-van-ruim-15-miljoen

[ExIT]

_Bailey_ schreef op zaterdag 14 februari 2026 @ 09:49:
Plus nu deze Odido hack van deze maand, dan kan je concluderen dat Odido geen prio heeft bij écht serieuze beveiliging.

En wie wel dan? Waar kunnen we naar overstappen?

En zijn die morgen ook nog zó filantropisch? Of wellicht ineens in handen van een investeerder die wel uit is op winstbejag?

Het probleem is dat niets doen loont. Het systeem is kapot. Niet de onderneming.

[Zinloos1]

De tekst van de email is vrij vaag, "mogelijks" zijn de volgende gegevens gestolen en dan een heel rijtje gegevens, "mogelijk" zitten jouw gegevens erbij. Ook wordt er gesproken dat er binnen 48 uur een email komt die aangeeft wat er precies van je gestolen is. Is dat dan de email waarover wordt gesproken? Want "mogelijks" is mij toch wat te vaag. Zeker als we nu het proces kennen waarbij de data één voor één wordt gescraped. Moet je er nu dan vanuit gaan dat Odido ook niet precies weet wiens gegevens wel en niet gestolen zijn en we er maar vanuit moeten gaan dat we erbij zitten?

[ Voor 3% gewijzigd door Zinloos1 op 14-02-2026 10:10 ]

[SirMemeAlot]

ExIT schreef op zaterdag 14 februari 2026 @ 10:06:
[...]


En wie wel dan? Waar kunnen we naar overstappen?

En zijn die morgen ook nog zó filantropisch? Of wellicht ineens in handen van een investeerder die wel uit is op winstbejag?

Het probleem is dat niets doen loont. Het systeem is kapot. Niet de onderneming.

Deze instelling zorgt ervoor dat het loont voor bedrijven, nee, je hebt geen garantie dat het bij een ander bedrijf ook niet gebeurd maar je kan waarschijnlijk zo overstappen naar Ziggo of starlink of als je mazzel hebt KPN, Delta, Netrebel etc.

Maar door niets te doen en straks maximale AVG boete zal er geen incentive zijn voor bedrijven om in veiligheid te investeren, want ach, het gebeurd overal dus ik blijf lekker zitten. Als het bedrijf volgende maand 10/20k overstappers heeft dan doet dat wel serieus pijn aan de bonussen van de top/investeerders.

En ja, het kan dan bij andere bedrijf weer gebeuren, maar door weer over te stappen dwing je de bedrijven om er iets mee te doen.

[Baardmeester]

_Bailey_ schreef op zaterdag 14 februari 2026 @ 09:23:
[...]


en dan deze reactie van Odido: "Helaas komen cyberincidenten zoals deze steeds vaker voor en is geen enkele organisatie immuun."

Zo, 'ons' straatje is nu schoon en vervolgens gaan we onze klanten een lesje geven in dat ze voorzichtig/waakzaam moeten zijn met aankomende foute mailtjes en/of telefoontjes en andere privacy tips in de toekomst.

Odido is al eens eerder op de vingers getikt inzake beveiliging.

Nee, Odido geeft letterlijk nergens écht aan dat ze bloedserieus omgaan met de bescherming van mijn gevoelige gegevens bij hen; wel legt Odido in een mail (nav de hack) uiteraard uit hoe ik me moet wapenen tegen de boze (online) buitenwereld.
Hypocriet zeg ik je.

Wat verwacht je dan. Dat ze zeggen onze beveiliging was kut en dien je schadevergoeding bij ons in? Overigens worden dit soort teksten door de communicatie afdeling geschreven die weinig informatie en verstand van de situatie hebben. De rest van het crisisteam zal zich op de belangrijkere zaken richten.

Het is lastig om te zeggen vanaf buiten zonder interne informatie of het security team de gevolgen uit dit scenario in de risicoanalyse heeft meegenomen of dat het vanuit het bestuur is om risico's te accepteren. In de meeste gevallen zijn dit soort de problemen zoals slecht opgeleide medewerkers(maar dan nog klikt gemiddeld iets van 15% klikt op phishing trainingsmails), oude systemen zonder mogelijke fraudedetectie en makkelijk exports van gegevens draaien wel bekend. De wil vanuit de organisatie vanwege prioriteiten, budget etcetera is vaak het probleem. Odido zal als organisatie onder de digitale infrastructuur vallen als kritieke entiteit onder de CyberBeveiligingsWet(CBW/NIS2 EU richtlijn) die op de planning staat voor Q2. Ik zou mij verbazen als vanuit hun security team ze nog helemaal niks hebben opgezet. In ieder geval wordt hun bestuur wettelijk verantwoordelijk onder de CBW.

[ExIT]

SirMemeAlot schreef op zaterdag 14 februari 2026 @ 10:14:
[...]


Deze instelling zorgt ervoor dat het loont voor bedrijven, nee, je hebt geen garantie dat het bij een ander bedrijf ook niet gebeurd maar je kan waarschijnlijk zo overstappen naar Ziggo of starlink of als je mazzel hebt KPN, Delta, Netrebel etc.

Maar door niets te doen en straks maximale AVG boete zal er geen incentive zijn voor bedrijven om in veiligheid te investeren, want ach, het gebeurd overal dus ik blijf lekker zitten. Als het bedrijf volgende maand 10/20k overstappers heeft dan doet dat wel serieus pijn aan de bonussen van de top/investeerders.

En ja, het kan dan bij andere bedrijf weer gebeuren, maar door weer over te stappen dwing je de bedrijven om er iets mee te doen.

Mijn punt was dat we het breder moeten trekken. Denk niet in bedrijven en straffen. Laten we het systeem oplossen.

Het liefst zie ik techneuten in de weer die het lastiger maken. Maar die hebben we al. Het is al lastig. Dus nu moeten we mensen trainen. "Trap er niet in".

Maar we mogen ook best op een hoger niveau gepaste consequenties gaan invoeren. Precies om de reden die jij aangaf.

Boetes helpen niet. De hoogste boete die de AP kan opleggen is 20 miljoen of 4% van de jaarlijkse omzet wereldwijd. Daar kun je als groot bedrijf voor sparen. Dat weegt niet op tegen wat er echt nodig is om het te beveiligen.

De oplossing is om te verplichten dat onbekwame leidinggevende niet meer in soortgelijke posities kunnen functioneren na een dergelijk schandaal.

We moeten af van mensen die denken "hier kunnen we voor sparen" en toe naar mensen die denken "als ik dit niet goed regel met mijn team, dan ben ik straks de sjaak".

[Gwaihir]

TheZeroorez schreef op vrijdag 13 februari 2026 @ 19:17:
Mijn aanname was dat ze je geboortedatum of leeftijd gebruikte voor vaststellen identiteit. Je sluit immers een abonnement af, daar is meer voor nodig dan alleen een leeftijdscheck.

Je hebt het zo te horen over een mobiel abonnement?

Ik had het over een vaste internetverbinding. Daar hoeft voor zover ik weet alleen vastgesteld te worden dat 't contract aangegaan wordt met iemand voor wie het normaal is zo'n contract aan te gaan. D.w.z. een volwassene is altijd ok. En bij een kind is er een soort van glijdende schaal van wat normale transacties zijn. Gaat een leverancier een contract aan dat daar buiten valt, dan kunnen de ouders het elk moment herroepen. Voor bijv. een zestienjarige zou ik als Odido wellicht wat extra willen weten. Als hij / zij op zichzelf woont lijkt het me logisch en bindend. Anders toch best ongebruikelijk.

[Baardmeester]

ExIT schreef op zaterdag 14 februari 2026 @ 10:33:
[...]


Mijn punt was dat we het breder moeten trekken. Denk niet in bedrijven en straffen. Laten we het systeem oplossen.

Het liefst zie ik techneuten in de weer die het lastiger maken. Maar die hebben we al. Het is al lastig. Dus nu moeten we mensen trainen. "Trap er niet in".

Maar we mogen ook best op een hoger niveau gepaste consequenties gaan invoeren. Precies om de reden die jij aangaf.

Boetes helpen niet. De hoogste boete die de AP kan opleggen is 20 miljoen of 4% van de jaarlijkse omzet wereldwijd. Daar kun je als groot bedrijf voor sparen. Dat weegt niet op tegen wat er echt nodig is om het te beveiligen.

De oplossing is om te verplichten dat onbekwame leidinggevende niet meer in soortgelijke posities kunnen functioneren na een dergelijk schandaal.

We moeten af van mensen die denken "hier kunnen we voor sparen" en toe naar mensen die denken "als ik dit niet goed regel met mijn team, dan ben ik straks de sjaak".

Onder de CBW ( https://www.ncsc.nl/cyberbeveiligingswet-nis2/bereid-je-voor ) zullen bestuursleden wettelijk meer plichten hebben:

Bestuur – De leden van het bestuur van entiteiten moeten de maatregelen goedkeuren en toezicht houden op de uitvoering ervan. Om dit goed te kunnen doen, dienen zij een opleiding te volgen.

De "opleiding" is alleen vormvrij en moet een aantal punten bespreken. Verder staan er volgens mij ook geen echte gevolgen vast behalve dat je misschien echt toezicht krijgt van de toezichthouder. Maar het is al een verbetering.

[Vaevictis_]

ExIT schreef op zaterdag 14 februari 2026 @ 05:15:
[...]


Maar dat gevoel klopt. Het is ook zo dat er van je gestolen is. En de nadelen zijn voor jou.

Odido zal zonder twijfel niet beter of slechter zijn dan een ander. Laten we eerlijk wezen. Die zaten hier ook niet op te wachten.

Kon het beter? Zeker. Doet iedereen dat? Nee joh. Moeten we dit normaal gaan vinden? Zeker niet.

Technisch zou je je kunnen zeggen:
1. Waarom was er geen encryptie op data-at rest? Dat is niet heel gangbaar helaas. Maar als je een account hebt met toegang, dat doet dat er niet eens toe.
2. Waarom was Odido niet wakker toen het gejat werd, maar ontdekte ze het pas later? Dat is omdat de dienst extern draaide en ze zelf geen monitoring deden, schat ik in. Ze vertrouwde op Salesforce om te monitoren.
3. Waarom merkte Salesforce het niet op dan? Ik schat in dat er vele gebruikers zo nu en dan exports maken, dat is niet een teken van criminaliteit per se, maar vanuit hun perspectief normaal gedrag zo nu en dan.

En dan juridisch:
4. Ga ik dan nu wel ergens iets kunnen claimen? Nee. Iedereen wuift dit van zijn schouders. Dat is de realiteit. Je gegevens liggen op straat en je kunt nooit aantonen dat ook maar iets in de toekomst er aan te verwijten is.
5. Moet Odido nu een miljoenenboete krijgen? Nee, want hoe fout dit ook is. Odido wilde het ook liever niet. En is het verwijtbaar? Deels. Odido werkt net als andere bedrijven. Externe callcenters. Te veel roulatie om iedereen te trainen. Niet perfect. Wel de norm. Dit kon niet heel veel beter. Ze hadden wél meer moeten investeren in trainingen om phishing tegen te gaan. Zeker omdat niemand het gemeld heeft, dat akkefietje met wachtwoorden en belletjes van zogenaamde IT. Maar dat is nu mosterd na de maaltijd. Dit had elk ander bedrijf kunnen zijn.

Is het daarom oke? Echt niet. Zeker niet. Een bedrijf als Odido heeft genoeg middelen om trainingen zoals dit wel goed voor elkaar te hebben. Het is mijns inziens zeker wel aan te rekenen. En mijns inziens zouden ze geen boete moeten krijgen, maar wel moeten vergoeden wat er als gevolg hiervan voor schade komt voor particulieren. Morgen, of over 20 jaar nog. Dit is hun schuld.

Maar het is niet dat een andere onderneming in Nederland, van dit kaliber, het beter voor elkaar heeft. Of dat die er beter tegen bewapend zijn. Dit is ondernemersrisico. Ook voor Odido. En idealiter kwakken we daar geen nietszeggende boete op voor de schatkist, maar markeren we individuen als verantwoordelijk. De verantwoordelijkheid komt met voor en nadelen aan de top. En als verantwoordelijke zou je een rood kruisje naast je naam moeten krijgen om nog zoiets te mogen ondernemen, of deel van uit te mogen maken.

Dat klinkt heel hard. Maar dat is het niet. Dat is een hele reële manier van oplossen. De les moet namelijk zijn dat dit niet door de beugel kan. Maar een onderneming of individu monetair aanpakken is zinloos. Een onderneming rekent het door aan klanten, en een individu kan niet naar ratio benadeeld worden. Het enige zinnige is om verantwoordelijke uit te sluiten van dergelijke posities.

En voor de slachtoffers; het leven is niet eerlijk. De aap is uit de mouw. Deze gegevens liggen op straat.

Ironisch genoeg moeten de slachtoffers nu zich beter verweren tegen phishing en social engineering dan dat de medewerkers van de Odido klantenservice zich hebben weten te verweren. En de slachtoffers voor de rest van hun leven helaas.

Odido heeft al jaren lang aantoonbaar de beveiliging niet op orde, kijk maar naar de boetes van de RDI afgelopen jaren.

Ik ben benieuwd of bestuurders aansprakelijk kunnen worden gesteld dat lijkt me beter dan een boete voor het bedrijf. Als de bestuursvoorzitter glashard ontkent op RTL nieuws er niets aan hand is qua beveiliging en je overtreedt de AVG (want na 4 jaar einde moeten klantgegevens vernietigd zijn).

Dit is gewoon nalatigheid om het imago (en klanten) te redden. Ik hoor ook niets over een plan van aanpak of dat ze het beter gaan doen. Transparantie is ver te zoeken. Dus over paar jaar weer raak?

[ExIT]

Vaevictis_ schreef op zaterdag 14 februari 2026 @ 11:00:
Als de bestuursvoorzitter glashard ontkent op RTL nieuws er niets aan hand is qua beveiliging en je overtreedt de AVG (want na 4 jaar einde moeten klantgegevens vernietigd zijn).

Gek genoeg zijn er verschillende termijnen. Zo stelt de Belastingdienst dat je dit 7 jaar moet bewaren:

https://www.belastingdien...ren/administratie_bewaren

[P-Rock]

ExIT schreef op zaterdag 14 februari 2026 @ 11:14:
[...]


Gek genoeg zijn er verschillende termijnen. Zo stelt de Belastingdienst dat je dit 7 jaar moet bewaren:

https://www.belastingdien...ren/administratie_bewaren

Een beetje doorklikken onthult dit:

Wat administreert u voor de btw?
Hoe u uw administratie opzet, bepaalt u zelf. Uit uw administratie moet duidelijk blijken hoeveel btw u moet betalen en hoeveel btw u van ons terugvraagt. Hoe u ook administreert, zorg ervoor dat u de gegevens die u nodig hebt voor uw btw-aangifte en voor uw opgaaf ICP, gemakkelijk kunt vinden in uw administratie. Dat betekent dat u per aangiftetijdvak overzichten moet bijhouden van:

uitgaande facturen (als u het factuurstelsel toepast)
inkomsten (als u het kasstelsel toepast)
ontvangen facturen
privégebruik van goederen en diensten
Verschillende btw-tarieven
Ontvangsten die zijn belast met verschillende btw-tarieven, registreert u afzonderlijk per btw-tarief.

Voor Odido betekent dat dus voornamelijk factuurgegevens die 7 jaar bewaard moeten blijven. Dit staat trouwens ook in hun eigen privacyvoorwaarden.

[ExIT]

Factuurgegevens betreft dan volledige naam, woonadres, telefoonnummer en e-mailadres?

Wat we dan weg kunnen laten: bankrekeningnummer en identiteitsbewijzen? Toch?

Maar je bankrekeningnummer is in een administratie bekend als tegenrekening. Daar is niets aan te doen.

En deze pagina kan iets onduidelijk overkomen. Maar ook weer niet echt. Het stelt alleen dat de genoemde voorbeelden een verplichting hebben. Maar het sluit niet uit dat er meer partijen zijn met een dergelijke verplichting:
https://www.rijksoverheid...-te-geven-aan-een-bedrijf

De telecommunicatiewet vereist, voor zover ik weet, dat er ook identificatie plaatsvindt. Om fraude te voorkomen.Zie artikel 18.15b, paragraaf 2: https://wetten.overheid.nl/BWBR0009950/2025-09-01

Wat we wel eens kunnen zijn is dat verificatie vluchtig mag zijn. Kortom, na ontvangst moet het niet opgeslagen worden maar verwijderd worden. En resteert enkel het "vinkje" dat jij het bent. Maar vanwege bewijslast werkt dat niet zo helaas. Want hoe kun je anders controleren hoe een organisatie nadien tot die conclusie kwam?

De oplossing: DigiD toepassen. Een bedrijf hoeft niet jouw BSN of scan van je paspoort, rijbewijs of ID. Ze hoeven alleen maar een "ja of nee". De overheid kan hierin faciliteren met DigiD. Maar helaas zijn we nog niet op dat punt.

[Vaevictis_]

ExIT schreef op zaterdag 14 februari 2026 @ 11:47:
Factuurgegevens betreft dan volledige naam, woonadres, telefoonnummer en e-mailadres?

Wat we dan weg kunnen laten: bankrekeningnummer en identiteitsbewijzen? Toch?

Maar je bankrekeningnummer is in een administratie bekend als tegenrekening. Daar is niets aan te doen.

En deze pagina kan iets onduidelijk overkomen. Maar ook weer niet echt. Het stelt alleen dat de genoemde voorbeelden een verplichting hebben. Maar het sluit niet uit dat er meer partijen zijn met een dergelijke verplichting:
https://www.rijksoverheid...-te-geven-aan-een-bedrijf

De telecommunicatiewet vereist, voor zover ik weet, dat er ook identificatie plaatsvindt. Om fraude te voorkomen.Zie artikel 18.15b, paragraaf 2: https://wetten.overheid.nl/BWBR0009950/2025-09-01

Wat we wel eens kunnen zijn is dat verificatie vluchtig mag zijn. Kortom, na ontvangst moet het niet opgeslagen worden maar verwijderd worden. En resteert enkel het "vinkje" dat jij het bent. Maar vanwege bewijslast werkt dat niet zo helaas. Want hoe kun je anders controleren hoe een organisatie nadien tot die conclusie kwam?

De oplossing: DigiD toepassen. Een bedrijf hoeft niet jouw BSN of scan van je paspoort, rijbewijs of ID. Ze hoeven alleen maar een "ja of nee". De overheid kan hierin faciliteren met DigiD. Maar helaas zijn we nog niet op dat punt.

Een klantsysteem en financieel systeem zijn twee verschillende dingen. Salesforce is geen financieelsysteem. Het is gebruikelijk om financiële gegevens die 2 jaar oud zijn te archiveren juist voor controles of de belastingdienst.

[ExIT]

Is het niet mogelijk dan dat de inbrekers via Salesforces het archief hebben gedownload?

[P-Rock]

ExIT schreef op zaterdag 14 februari 2026 @ 11:47:
Factuurgegevens betreft dan volledige naam, woonadres, telefoonnummer en e-mailadres?

Wat we dan weg kunnen laten: bankrekeningnummer en identiteitsbewijzen? Toch?

Maar je bankrekeningnummer is in een administratie bekend als tegenrekening. Daar is niets aan te doen.

En deze pagina kan iets onduidelijk overkomen. Maar ook weer niet echt. Het stelt alleen dat de genoemde voorbeelden een verplichting hebben. Maar het sluit niet uit dat er meer partijen zijn met een dergelijke verplichting:
https://www.rijksoverheid...-te-geven-aan-een-bedrijf

De telecommunicatiewet vereist, voor zover ik weet, dat er ook identificatie plaatsvindt. Om fraude te voorkomen.Zie artikel 18.15b, paragraaf 2: https://wetten.overheid.nl/BWBR0009950/2025-09-01

Wat we wel eens kunnen zijn is dat verificatie vluchtig mag zijn. Kortom, na ontvangst moet het niet opgeslagen worden maar verwijderd worden. En resteert enkel het "vinkje" dat jij het bent. Maar vanwege bewijslast werkt dat niet zo helaas. Want hoe kun je anders controleren hoe een organisatie nadien tot die conclusie kwam?

De oplossing: DigiD toepassen. Een bedrijf hoeft niet jouw BSN of scan van je paspoort, rijbewijs of ID. Ze hoeven alleen maar een "ja of nee". De overheid kan hierin faciliteren met DigiD. Maar helaas zijn we nog niet op dat punt.

Bij factuurgegevens moet je inderdaad denken aan NAW, bedrijfsnaam, kvk-nummer, postbus, tenaamstelling, IBAN-nummer, productafname en bedragen, maar geen identiteitsbewijzen of BSN.

[P-Rock]

Wat ik raar vind is dat veel mensen, die al jaren geen klant meer zijn, ook berichten hebben gekregen dat hun gegevens zouden zijn gelekt. Odido zelf geeft aan dat er geen factuurgegevens e.d. zijn buitgemaakt, dus dat zou betekenen dat ze hun eigen privacyvoorwaarden schenden. Volgens Odido bewaren ze deze gegevens namelijk maximaal 2 jaar tot na het beeïndigen van het contract.

Ik denk dat ik veilig ben; Ik heb nog steeds geen mail of sms gehad dat er iets gelekt is. Alleen gisteren een algemene sms dat Odido gehackt is en dat ze het allemaal heel erg vinden. Diverse vrienden, collega's en familie zijn nl. al sinds donderdag en gisteren op de hoogte gesteld via mail.

[ Voor 28% gewijzigd door P-Rock op 14-02-2026 12:12 ]

[Gr4mpyC3t]

ExIT schreef op zaterdag 14 februari 2026 @ 10:33:
[...]


Mijn punt was dat we het breder moeten trekken. Denk niet in bedrijven en straffen. Laten we het systeem oplossen.

Het liefst zie ik techneuten in de weer die het lastiger maken. Maar die hebben we al. Het is al lastig. Dus nu moeten we mensen trainen. "Trap er niet in".

Maar we mogen ook best op een hoger niveau gepaste consequenties gaan invoeren. Precies om de reden die jij aangaf.

Boetes helpen niet. De hoogste boete die de AP kan opleggen is 20 miljoen of 4% van de jaarlijkse omzet wereldwijd. Daar kun je als groot bedrijf voor sparen. Dat weegt niet op tegen wat er echt nodig is om het te beveiligen.

De oplossing is om te verplichten dat onbekwame leidinggevende niet meer in soortgelijke posities kunnen functioneren na een dergelijk schandaal.

We moeten af van mensen die denken "hier kunnen we voor sparen" en toe naar mensen die denken "als ik dit niet goed regel met mijn team, dan ben ik straks de sjaak".

Hier ben ik het niet helemaal mee eens.

Geen enkel systeem of proces zal waterdicht genoeg zijn om persoonsgegevens 100% buiten bereik van onbevoegden te houden.

Wat mij betreft zullen we als maatschappij (en overheid) anders moeten omgaan met informatie. Persoonsgegevens zijn op dit moment gevoelig omdat je er iets mee kan aanvragen of wijzigen. Dat moet anders. Dit soort gegevens verliezen dan vanzelf de waarde die ze nu hebben.

Het is verwijtbaar hoe dit nu bij Odido is gegaan, maar geen enkele boete, aansprakelijkheid of wetgeving gaat het risico op hacks wegnemen.

Los het probleem in de kern op!

[ExIT]

Gr4mpyC3t schreef op zaterdag 14 februari 2026 @ 12:15:
Persoonsgegevens zijn op dit moment gevoelig omdat je er iets mee kan aanvragen of wijzigen. Dat moet anders. Dit soort gegevens verliezen dan vanzelf de waarde die ze nu hebben.
(...)
Los het probleem in de kern op!

Oké. We zorgen dat je niets meer kunt aanvragen op basis van je ID/paspoort/rijbewijs.

Hoe gaan we het dan doen? Moet er iets nieuws komen? En kan dat dan niet gejat worden?

Als we de BSN niet meer gebruiken, en een nieuw nummer introduceren, dan is het toch een kwestie van tijd voordat dat nummer ook op straat ligt?

De echte oplossing, wederom, is om een akkoord te krijgen van een vertrouwde partij. De overheid. DigiD. En dat je enkel hoort: "Ja, dit is Gr4mpyC3t".

Kortom, geen (tastbaar-)detail dat je uitwisselt, maar een ja of nee vanuit een gedeelde vertrouwenspartner. In elk geval voor zaken op afstand.

Want alles dat fungeert als uitwisselbaar bewijs kan gestolen worden.

[P-Rock]

Een megaboete kan zeker wel helpen. De vorige keer was deze 15 miljoen, maar nu er ook daadwerkelijk is ingebroken en er vermoedelijk miljoenen klanten zijn gedupeerd, dat is wel even wat anders. Een dwangsom van 50 miljoen of hoger gaat ook Odido niet in de koude kleren zitten en zal ze hopelijk doen beseffen om hun medewerkers wat beter te trainen op het herkennen van phishing mails.

Beetje raar dat we nog steeds niks hebben vernomen van wie de hackers zijn. Grootste kans is natuurlijk Rusland, aangezien de meeste hacks daar vandaan lijken te komen.

[Gr4mpyC3t]

ExIT schreef op zaterdag 14 februari 2026 @ 12:23:
[...]

Oké. We zorgen dat je niets meer kunt aanvragen op basis van je ID/paspoort/rijbewijs.

Hoe gaan we het dan doen? Moet er iets nieuws komen? En kan dat dan niet gejat worden?

Als we de BSN niet meer gebruiken, en een nieuw nummer introduceren, dan is het toch een kwestie van tijd voordat dat nummer ook op straat ligt?

De echte oplossing, wederom, is om een akkoord te krijgen van een vertrouwde partij. De overheid. DigiD. En dat je enkel hoort: "Ja, dit is Gr4mpyC3t".

Kortom, geen (tastbaar-)detail dat je uitwisselt, maar een ja of nee vanuit een gedeelde vertrouwenspartner. In elk geval voor zaken op afstand.

Want alles dat fungeert als uitwisselbaar bewijs kan gestolen worden.

Graag, want een ID-bewijs is vooral bedacht als een fysiek identificatiemiddel. Daar zijn we nu digitale kopieën van aan het rondsturen om maar te bewijzen dat we echt zijn wie we zeggen dat we zijn. We hebben toch dingen als DigiD en iDIN die ook mijn identiteit kunnen verifiëren?

Het punt is dus vooral dat er bepaalde persoonsgegevens zoals IBAN, postcode en leeftijd gebruikt worden als identificatiegegevens terwijl ze daar helemaal niet voor bedoeld zijn.

Daarnaast zijn het ook nog eens gegevens die je niet kan wijzigen. Stel nou dat we zo’n BSN eens gaan gebruiken als uniek identificatiemiddel. Als er een set BSN’s gejat wordt, dan genereer je toch weer een nieuwe? De waarde van persoonsgegevens moet omlaag.

En ja, ik zie de opmerking met alle gaten in deze argumentatie alweer tegemoet, maar het gaat om het uitgangspunt.

[DjoeC]

P-Rock schreef op zaterdag 14 februari 2026 @ 12:31:
Een megaboete kan zeker wel helpen. De vorige keer was deze 15 miljoen, maar nu er ook daadwerkelijk is ingebroken en er vermoedelijk miljoenen klanten zijn gedupeerd, dat is wel even wat anders. Een dwangsom van 50 miljoen of hoger gaat ook Odido niet in de koude kleren zitten en zal ze hopelijk doen beseffen om hun medewerkers wat beter te trainen op het herkennen van phishing mails.

Beetje raar dat we nog steeds niks hebben vernomen van wie de hackers zijn. Grootste kans is natuurlijk Rusland, aangezien de meeste hacks daar vandaan lijken te komen.

Een dwangsom kost niets. Is alleen een vooraankondiging: Foei! Als t weer gebeurt moet je de dwangsom betalen - na een lange rechtsgang etc. En voor 50 miljoen laat je een batterij advocaten naar t hekje komen

Ofwel: Een dwangsom doet in dit geval he-le-maal niets.

[ExIT]

P-Rock schreef op zaterdag 14 februari 2026 @ 12:31:
Beetje raar dat we nog steeds niks hebben vernomen van wie de hackers zijn. Grootste kans is natuurlijk Rusland, aangezien de meeste hacks daar vandaan lijken te komen.

Het is naar mijn weten standaard dat zowel de inbrekers als de partners aan de kant van Odido nog even niet genoemd worden. Het kan een waslijst aan problemen geven om een van beide, of beide, nu al uit de doeken te doen.

Hopelijk leren we het op termijn. Maar op dit moment zal men nog zoeken of in contact staan. Dan is het beter om er geen roem aan te geven.

[ExIT]

Gr4mpyC3t schreef op zaterdag 14 februari 2026 @ 12:32:
En ja, ik zie de opmerking met alle gaten in deze argumentatie alweer tegemoet, maar het gaat om het uitgangspunt.

Nou, volgens mij zijn we het best eens met elkaar. En of we beide aan alles gedacht hebben, geen idee. Maar we zijn het eens dat een lek als dit bij Odido niet tot zoveel langdurige narigheid had moeten leiden voor slachtoffers.

[P-Rock]

ExIT schreef op zaterdag 14 februari 2026 @ 12:36:
[...]


Het is naar mijn weten standaard dat zowel de inbrekers als de partners aan de kant van Odido nog even niet genoemd worden. Het kan een waslijst aan problemen geven om een van beide, of beide, nu al uit de doeken te doen.

Hopelijk leren we het op termijn. Maar op dit moment zal men nog zoeken of in contact staan. Dan is het beter om er geen roem aan te geven.

Het is ook wel schandalig dat Odido zelf niks door had, totdat de hackers contact zochten.

[Gr4mpyC3t]

ExIT schreef op zaterdag 14 februari 2026 @ 12:38:
[...]


Nou, volgens mij zijn we het best eens met elkaar. En of we beide aan alles gedacht hebben, geen idee. Maar we zijn het eens dat een lek als dit bij Odido niet tot zoveel langdurige narigheid had moeten leiden voor slachtoffers.

Dat zeg je goed.

[devriesjande]

Ik ben al zeker 5 jaar weg bij T-mobile/Odido.
Maar gisteren wel een sms ontvangen over de hack. Alleen al het feit dat mijn telefoonnummer na 5 jaar nog in het bestand staat zegt mij genoeg.

[ExIT]

DjoeC schreef op zaterdag 14 februari 2026 @ 12:33:
[...]

Een dwangsom kost niets. Is alleen een vooraankondiging: Foei! Als t weer gebeurt moet je de dwangsom betalen - na een lange rechtsgang etc. En voor 50 miljoen laat je een batterij advocaten naar t hekje komen

Ofwel: Een dwangsom doet in dit geval he-le-maal niets.

Nou ja, afgezien van de techniciteit dat een dwangsom inderdaad nog niet geïnd wordt; wat helpt een boeite?

Als je 50 miljoen oplegt, dan berekenen ze dit door in hogere abonnementsprijzen. Of ga je dan naar BEN of Simpel? Die zijn ook van Odido.

Een boete helpt niet, mijns inziens. Linksom of rechtsom. Er moeten gewichtige consequenties voor echte mensen aan zitten.

Het helpt ook niks als ze van bedrijf A naar bedrijf B verhuizen in dezelfde functie.Koppen laten rollen in een bedrijf is nutteloos. Een leeg gebaar. Dat is een stoelendans.

Er moet echte consequenties aan zitten. En dan bedoel ik dat men proportioneel langdurig een gevoeld nadeel moeten hebben. Zoals niet meer in management mogen werken (lagere loonschaal) voor een redelijke poos.

Pas dan ga je dit echt oplossen. Boetes en figuurlijk koppen laten rollen die morgen bij een ander bedrijf in de top zitten, dat helpt niet.

[JukeboxBill]

Als je niet allerlei gegevens wil achterlaten voor een abonnement zou je kunnen overstappen op prepaid sim.
Ik bel heel weinig en datagebruik stelt ook niet veel voor, dus dat zou voor mij misschien nog wel voordeliger zijn.
Internet kan ook want ik heb nu ook al een 4G usb stick in de Fritzbox als backup. Maar dat wordt een dure grap bij permanent gebruik.

[Harold Finch]

Wat wel fijn is, Odido draagt op hun informatiepagina zelf de argumentatie aan om nieuw rijbewijs, paspoort en/of identiteitskaart te vergoeden:

Om fraude te voorkomen bij het bij het afsluiten van een mobiel abonnement controleren we altijd je identiteit en registreren we daarom het nummer van je identiteitsbewijs. Zo weten we zeker dat jij degene bent die het abonnement afsluit en kunnen we aantonen dat jij het was. Op deze manier voorkomen we ook dat contracten, abonnementen of telefoontoestellen bij de verkeerde persoon terechtkomen.

Dat documentnummer zegt nu dus helemaal niets meer, omdat dit op straat ligt.

Overigens zou ik ook zeggen dat een documentnummer eigenlijk ten onrechte als een vorm van identificatie wordt gebruikt. Tenzij ze ergens een koppeling hebben met een database, zie ik niet in hoe een documentnummer mijn identiteit kan bewijzen.

[ Voor 21% gewijzigd door Harold Finch op 14-02-2026 13:53 ]

[Griello]

Nog een lekje, kunnen ze direct fixen.
op https://www.odido.nl/serv...-en-onderhoud/internet-tv kun je zien wie actief klant is van Odido internet en T.V.. De melding die voor een adres gegeven wordt is ander voor klanten dan voor niet klanten. Dus zo kun je ook zien van wie in ieder geval gegevens gelekt zijn. beetje slordig.

[ Voor 9% gewijzigd door Griello op 14-02-2026 14:25 ]

[ErickN]

Bestaat er iets zoals een keurmerk waarmee je zien of organisaties zich bijv. houden aan AVG of hun interne beveiliging op orde hebben?

[Gwaihir]

JukeboxBill schreef op zaterdag 14 februari 2026 @ 13:25:
Als je niet allerlei gegevens wil achterlaten voor een abonnement zou je kunnen overstappen op prepaid sim.

Is dat nog steeds zo? Ik dacht dat die identificatie eisen nu juist (wettelijk) aan het ter beschikking stellen van een SIM gekoppeld zijn, niet zo zeer aan abonnement of prepaid.

[ Voor 3% gewijzigd door Gwaihir op 14-02-2026 14:53 ]

[Harold Finch]

Gwaihir schreef op zaterdag 14 februari 2026 @ 14:53:
[...]

Is dat nog steeds zo? Ik dacht dat die identificatie eisen nu juist (wettelijk) aan het ter beschikking stellen van een SIM gekoppeld zijn, niet zo zeer aan abonnement of prepaid.

Dat is nog steeds zo. Je kunt bij de Primera bijvoorbeeld een prepaid simkaart kopen.

[LILLI]

Ik heb thuis glasvezel van Odido en heb een sim only van Ben. Beide lopen tot juni 2027.
Hoe kan ik beide zsm beëindigen? Ben niet van plan om voor het voortijdig beëindigen van beide contracten ook maar 1 cent te betalen, na dit schandalige datalek van deze amateurs.
Ik overweeg de automatische incasso's te storneren.

[Lord_Dain]

Griello schreef op zaterdag 14 februari 2026 @ 14:24:
Nog een lekje, kunnen ze direct fixen.
op https://www.odido.nl/serv...-en-onderhoud/internet-tv kun je zien wie actief klant is van Odido internet en T.V.. De melding die voor een adres gegeven wordt is ander voor klanten dan voor niet klanten. Dus zo kun je ook zien van wie in ieder geval gegevens gelekt zijn. beetje slordig.

Wow dit is ronduit SCHANDALIG, goed gevonden.. heb je het al gemeld?

[W1ck1e]

Zoals eerder bericht, heb ik ook een mail gekregen.
Is het een idee om in dit topic (of een apart topic) iets te regelen dat slachtoffers die daadwerkelijk worden benaderd door oplichters om dat hier te melden, met ruimte om aan te geven op welke manier dat gebeurt ? Zodat anderen gerichter gewaarschuwd worden.

[Harold Finch]

LILLI schreef op zaterdag 14 februari 2026 @ 15:29:
Ik heb thuis glasvezel van Odido en heb een sim only van Ben. Beide lopen tot juni 2027.
Hoe kan ik beide zsm beëindigen? Ben niet van plan om voor het voortijdig beëindigen van beide contracten ook maar 1 cent te betalen, na dit schandalige datalek van deze amateurs.
Ik overweeg de automatische incasso's te storneren.

In antwoord op de vraag of je je order mag cancelen na het verstrijken van 14-dagen bedenktijd schrijven ze:

Het datalek op zichzelf is geen reden om je overeenkomst voortijdig op te zeggen.

Nu is een order weliswaar niet exact hetzelfde, maar ik denk dat je helaas niet zonder al te veel gedoe kunt opzeggen. Steeds vaker moet je met het juridische zwaard van vrouwe Justitia komen om je (mogelijke) recht te halen.

[redwing]

LILLI schreef op zaterdag 14 februari 2026 @ 15:29:
Ik heb thuis glasvezel van Odido en heb een sim only van Ben. Beide lopen tot juni 2027.
Hoe kan ik beide zsm beëindigen? Ben niet van plan om voor het voortijdig beëindigen van beide contracten ook maar 1 cent te betalen, na dit schandalige datalek van deze amateurs.

Dat kun je niet. Daarbij is het ook maar de vraag of het ergens anders beter is, want elke provider heeft intussen wel zulke lekken gehad.

Ik overweeg de automatische incasso's te storneren.

Als je zelf in de problemen wilt komen moet je dat vooral doen. Je hebt een lopend contract met bijbehorende verplichtingen. Ga je dan storneren krijg je simpelweg met een incassobureau en daarna de deurwaarder te maken. Hoe vervelend ook, is zo'n datalek geen reden om kosteloos op te mogen zeggen.

[jongetje]

devriesjande schreef op zaterdag 14 februari 2026 @ 12:49:
Ik ben al zeker 5 jaar weg bij T-mobile/Odido.
Maar gisteren wel een sms ontvangen over de hack. Alleen al het feit dat mijn telefoonnummer na 5 jaar nog in het bestand staat zegt mij genoeg.

Ik heb hier al eerder aangegeven dat je een sluitende administratie tot 7 jaar terug moet voeren.
Wat zegt dit jou? Dat Odido voldoet aan de wettelijke bewaartermijn?

[dooiedodo]

ik kreeg van de week nog een melding, via tele2 oud abbo met de melding dat het minder dan 2 jaar geleden was stopgezet. Dat moest ik even terug zoeken en daar klopt dus geen kont van. Dat abbonenment is 3.5 jaar geleden gestopt.. Ze zijn naar mijn idee niet helemaal eerlijk.
Mn vrouw had ook melding gekregen, maar daar was het setje data velden veel kleiner, geen iban etc. Ze hebben er wel echt een zooitje van gemaakt. Meteen maar even alle incassanten nagelopen en hier en daar wat oude meuk geblokkkerd.

[ernstoud]

ErickN schreef op zaterdag 14 februari 2026 @ 14:44:
Bestaat er iets zoals een keurmerk waarmee je zien of organisaties zich bijv. houden aan AVG of hun interne beveiliging op orde hebben?

In mijn tijd als security auditor was er sprake van het opzetten certificering tegen de AVG. Volgens mij is dat afgeketst. Punt is dat het wetgeving is. De enige organisatie die toetst tegen de wet is het OM. Dat kan bijvoorbeeld een accountantskantoor nooit doen.

[devriesjande]

jongetje schreef op zaterdag 14 februari 2026 @ 15:57:
[...]

Ik heb hier al eerder aangegeven dat je een sluitende administratie tot 7 jaar terug moet voeren.
Wat zegt dit jou? Dat Odido voldoet aan de wettelijke bewaartermijn?

Dat zegt mij dat Odido niet de moeite heeft gedaan deze gegevens op een veilige manier op te slaan. Deze gegevens hoeven niet meer on-line beschikbaar te zijn, maar kunnen veilig op data dragers in een kluis worden opgeborgen.

[PauseBreak]

ernstoud schreef op zaterdag 14 februari 2026 @ 17:56:
[...]


In mijn tijd als security auditor was er sprake van het opzetten certificering tegen de AVG. Volgens mij is dat afgeketst. Punt is dat het wetgeving is. De enige organisatie die toetst tegen de wet is het OM. Dat kan bijvoorbeeld een accountantskantoor nooit doen.

Je bedoelt denk ik "alleen het OM kan strafrechtelijk toetsen". Een onafhankelijk auditor (zoals bijv. een accountantskantoor kán zijn) kan en zal ook toetsen tegen geldende wetgeving. Het verschil erin is dat die onafhankelijke auditor niet strafrechtelijk kan toetsen. Een AP toetst bijvoorbeeld bestuursrechtelijk aan wetgeving. Dus er zijn veel meer mogelijkheden zolang het gaat om compliance toetsen. Strafrechtelijke vervolging is voorbehouden aan het OM.

Ik denk overigens dat de kans klein is dat in deze casus mensen (bestuurders) hoofdelijk verantwoordelijk gesteld zullen gaan worden tenzij het OM echt kan bewijzen dat er bewust is gestuurd op non-compliance t.a.v. de AVG en dataveiligheidseisen. Die kans acht ik echt heel klein. Dit is gewoon systeemfalen.

Wel jammer dat er nu van alles is gelekt. Vanmiddag bij onze bank maar een kennisgeving gedaan en een toets op nieuwe, afwijkende incasso's aan laten zetten. Hopelijk blijft de schade daarbij.

[LigeTRy]

ErickN schreef op zaterdag 14 februari 2026 @ 14:44:
Bestaat er iets zoals een keurmerk waarmee je zien of organisaties zich bijv. houden aan AVG of hun interne beveiliging op orde hebben?

Er bestaan wel security en privacy gerelateerde certificeringen zoals SOC2 of ISO27001 (bedrijven die dit hebben pronken hier graag mee) Uit ervaring blijkt echter dat dit vaak een papieren waarheid is en bedrijven die zo'n certificering hebben niet minder vaak worden gehackt, of misschien zelfs vaker (want minder budget want de certificering is er toch al). Helaas is hier op het moment geen goede maatstaaf op te plaatsen.

Er is een bredere trend gaande waarbij bedrijven transparanter communiceren over "hoe veilig ze zijn", en ook daadwerkelijk informatie beschikbaar stellen om dat te onderbouwen. Een goed voorbeeld hiervan is https://security.legora.com/. Ik denk dat dit een welkome trend is, al zal een bedrijf vaak communiceren over wat ze wel hebben, en niet wat ze niet hebben. En dan is het nog maar de vraag of de gemiddelde telco klant hier ook maar iets van snapt

[Griello]

Lord_Dain schreef op zaterdag 14 februari 2026 @ 15:32:
[...]

Wow dit is ronduit SCHANDALIG, goed gevonden.. heb je het al gemeld?

Naar aanleiding van je vraag heb ik maar een melding gedaan; via mail door middel van een reply op de mail die ik van hen gehad heb over de datalek. (Verder is op de hele website geen e-mail adres meer te vinden. En de chatbot geeft ook aan dat die route onmogelijk is.)

[ernstoud]

LigeTRy schreef op zaterdag 14 februari 2026 @ 20:31:
[...]


Er bestaan wel security en privacy gerelateerde certificeringen zoals SOC2 of ISO27001 (bedrijven die dit hebben pronken hier graag mee) Uit ervaring blijkt echter dat dit vaak een papieren waarheid is en bedrijven die zo'n certificering hebben niet minder vaak worden gehackt, of misschien zelfs vaker (want minder budget want de certificering is er toch al). Helaas is hier op het moment geen goede maatstaaf op te plaatsen.

Er is een bredere trend gaande waarbij bedrijven transparanter communiceren over "hoe veilig ze zijn", en ook daadwerkelijk informatie beschikbaar stellen om dat te onderbouwen. Een goed voorbeeld hiervan is https://security.legora.com/. Ik denk dat dit een welkome trend is, al zal een bedrijf vaak communiceren over wat ze wel hebben, en niet wat ze niet hebben. En dan is het nog maar de vraag of de gemiddelde telco klant hier ook maar iets van snapt

Ik ben 15 jaar ISO27001 auditor geweest voor KEMA, Dekra, BSI en DNV. Honderden organisaties gecertificeerd en jaarlijks getoetst. Ook veel cursussen gegeven op dit vlak.

Uit mijn ervaring durf ik te stellen dat gecertificeerde organisaties gemiddeld beter beveiligd zijn. Maar of ze afdoende beveiligd zijn is echt niet te beantwoorden. Probleem is dat het geld nooit oneindig is. Het houdt een keer op. En dan is er toch een rest risico.

[LigeTRy]

Griello schreef op zaterdag 14 februari 2026 @ 20:57:
[...]

Naar aanleiding van je vraag heb ik maar een melding gedaan; via mail door middel van een reply op de mail die ik van hen gehad heb over de datalek. (Verder is op de hele website geen e-mail adres meer te vinden. En de chatbot geeft ook aan dat die route onmogelijk is.)

Kijk hier eens : https://www.odido.nl/.well-known/security.txt

[LigeTRy]

ernstoud schreef op zaterdag 14 februari 2026 @ 21:06:
[...]


Ik ben 15 jaar ISO27001 auditor geweest voor KEMA, Dekra, BSI en DNV. Honderden organisaties gecertificeerd en jaarlijks getoetst. Ook veel cursussen gegeven op dit vlak.

Uit mijn ervaring durf ik te stellen dat gecertificeerde organisaties gemiddeld beter beveiligd zijn. Maar of ze afdoende beveiligd zijn is echt niet te beantwoorden. Probleem is dat het geld nooit oneindig is. Het houdt een keer op. En dan is er toch een rest risico.

Ik denk dat het vooral aan de intentie van een bedrijf ligt, en met een paar technische vragen weet je snel hoe een bedrijf in de wedstrijd zit. Vanuit mijn perspectief beoordeel ik vaak securitymaatregelen van leveranciers en derde partijen, en een ISO27001 certificering levert vaak geen pluspunten op, of er is een statement of applicability die wel erg krap is. Het zal over en weer gaan, feit is wel dat zo'n papiertje geen enkele garantie geeft op gehackt worden of niet (op wat voor manier dan ook).

[ernstoud]

LigeTRy schreef op zaterdag 14 februari 2026 @ 20:31:
[...]

Er bestaan wel security en privacy gerelateerde certificeringen zoals SOC2 of ISO27001 (bedrijven die dit hebben pronken hier graag mee) Uit ervaring blijkt echter dat dit vaak een papieren waarheid is…

Kun je dat onderbouwen? Lijkt me een onderbuik statement. Al sinds een jaar of twintig zijn certificeringen geen papieren exercitie meer. Je moet risico’s analyses doen, audits, laten zien wat je klanten er van vinden, incidenten onderzoeken, backups aantoonbaar maken en testen etc. etc. En elk jaar moet je met bewijs komen dat je dit doet.

… en bedrijven die zo'n certificering hebben niet minder vaak worden gehackt, of misschien zelfs vaker (want minder budget want de certificering is er toch al). Helaas is hier op het moment geen goede maatstaaf op te plaatsen.

Mijn subjectieve mening na 15 jaar audit werk is dat certificeringen wel de beveiliging verbeteren. Maar objectief is er weinig over te zeggen. Organisaties doen zelf de risicoanalyse en maatregel selectie. En risico’s - buiten wettelijke eisen - kun je ook negeren.

[/quote]
Er is een bredere trend gaande waarbij bedrijven transparanter communiceren over "hoe veilig ze zijn", en ook daadwerkelijk informatie beschikbaar stellen om dat te onderbouwen.
[quote]

Bij ISO27001 ben je verplicht de eisen van je klanten mee te nemen in de risicoanalyse en klanten mogen je inzage vragen in je getroffen maatregelen.

Een goed voorbeeld hiervan is https://security.legora.com/. Ik denk dat dit een welkome trend is, al zal een bedrijf vaak communiceren over wat ze wel hebben, en niet wat ze niet hebben. En dan is het nog maar de vraag of de gemiddelde telco klant hier ook maar iets van snapt

En met al die certificaten kan Legora nog morgen gehackt worden, bijvoorbeeld door misbruik van een 0-day kwetsbaarheid. Wel zullen ze dat als ze de juiste monitoring doen snel weten en passende maatregelen treffen. Zoals Odido (of Salesforce) ook gedaan heeft. Maar kalf en put verhaal..

[ernstoud]

LigeTRy schreef op zaterdag 14 februari 2026 @ 21:15:
[...]
… en een ISO27001 certificering levert vaak geen pluspunten op, of er is een statement of applicability die wel erg krap is. Het zal over en weer gaan, feit is wel dat zo'n papiertje geen enkele garantie geeft op gehackt worden of niet (op wat voor manier dan ook.

Nee, inderdaad geeft geen enkele certificatie 100% zekerheid.

Maar geen pluspunten spreek ik echt tegen. Je weet bij certificering dat een bedrijf elk jaar getoetst wordt, dat ze de maatregelen onderhouden de wet te respecteren, risicoanalyse doen etc., het beheer van het security systeem zit dan wel goed.

Helaas is er over werkzaamheid van de beveiligingsmaatregelen weinig concreet te zeggen. Welke IDS/IPS is de beste? Welke backup strategie is de beste? Is Linux veiliger dan Windows? Elk geloof heeft zijn dominees.

Een rijbewijs zegt niet alles of iemand veilig kan autorijden. Toch zou ik me op de weg veel minder veilig voelen als rijbewijzen niet verplicht zouden zijn.

[ernstoud]

PauseBreak schreef op zaterdag 14 februari 2026 @ 20:22:
[...]
Je bedoelt denk ik "alleen het OM kan strafrechtelijk toetsen". Een onafhankelijk auditor (zoals bijv. een accountantskantoor kán zijn) kan en zal ook toetsen tegen geldende wetgeving.

Heb 5 jaar gewerkt bij een big-four, en nee. Geen auditor daar zal na review van de verantwoordelijke partner een rapport mogen uitbrengen waarin staat dat de organisatie aan de wet - zoals de AVG - voldoet. Eigen normenkaders in die wereld ok. maart wetgeving? No way.

Ik denk overigens dat de kans klein is dat in deze casus mensen (bestuurders) hoofdelijk verantwoordelijk gesteld zullen gaan worden tenzij het OM echt kan bewijzen dat er bewust is gestuurd op non-compliance t.a.v. de AVG en dataveiligheidseisen. Die kans acht ik echt heel klein. Dit is gewoon systeemfalen.

Ja, dat is dus de taak van de AP. Als er AVG non-compliance is wordt de bestuurder aansprakelijk gesteld. Of de organisatie bewust heeft aangestuurd op non-compliance is niet aan de orde. Ook onbewuste afwijkingen van wetgeving zijn strafbaar.

[LigeTRy]

ernstoud schreef op zaterdag 14 februari 2026 @ 21:18:
[...]

Kun je dat onderbouwen?

Jaren als incident responder gewerkt en veel gehackte bedrijven gezien die ISO27001 op de voordeur hadden staan.

Ik denk dat ISO27001 (en/of andere certificeringen) het securityvlak voor een deel kunnen waarborgen, maar er is geen one size fits all of iets wat zegt "Nu heb ik alles op orde en ben ik onhackbaar waar mijn reactie op was". Geen enkele jaarlijkse audit zorgt ervoor dat die ene sysadmin niet z'n company creds in z'n persoonlijke password database (waar ie ook z'n mfa in heeft) zet welke gehackt wordt omdat ie thuis graag gratis photoshop wilt gebruiken.

ernstoud schreef op zaterdag 14 februari 2026 @ 21:18:
[...]
En met al die certificaten kan Legora nog morgen gehackt worden, bijvoorbeeld door misbruik van een 0-day kwetsbaarheid.

Ik denk dat we hetzelfde zeggen (en wellicht ook wat offtopic gaan nu)

[PauseBreak]

ernstoud schreef op zaterdag 14 februari 2026 @ 21:32:
[...]


Heb 5 jaar gewerkt bij een big-four, en nee. Geen auditor daar zal na review van de verantwoordelijke partner een rapport mogen uitbrengen waarin staat dat de organisatie aan de wet - zoals de AVG - voldoet. Eigen normenkaders in die wereld ok. maart wetgeving? No way.

Om even bij jouw voorbeeld te blijven: accountantskantoren toetsen bij jaarrekeningen bijv. altijd aan geldende wetgeving (met afgeven van de controleverklaring). Nogmaals, volgens mij verwar jij strafrechtelijke vervolging met toetsen aan de wet. Het zijn twee verschillende dingen waarvan één ervan is voorbehouden aan het OM. En prima dat jij er niet voor mocht tekenen, maar dat betekent niet dat een onafhankelijke partij niet kan of mag toetsen aan wetgeving.

Wij worden jaarlijks getoetst op voldoen aan een hele sloot voor ons vigerende wetgeving. Dat doet echt het OM niet hoor. Onafhankelijke partijen, auditcommissies, rekenkamers, accountants enzovoorts wel.

[ernstoud]

PauseBreak schreef op zaterdag 14 februari 2026 @ 21:47:
[...]
Om even bij jouw voorbeeld te blijven: accountantskantoren toetsen bij jaarrekeningen bijv. altijd aan geldende wetgeving (met afgeven van de controleverklaring).

Nee. Een accountant verklaart niet dat je aan de wet voldoet. Daar hebben we de controlerende macht in NL voor, de toezichthouders e.d. en uiteindelijk bij onderzoek en bepalen van vervolging het OM.

Nogmaals, volgens mij verwar jij strafrechtelijke vervolging met toetsen aan de wet. Het zijn twee verschillende dingen waarvan één ervan is voorbehouden aan het OM. En prima dat jij er niet voor mocht tekenen, maar dat betekent niet dat een onafhankelijke partij niet kan of mag toetsen aan wetgeving.

Wij worden jaarlijks getoetst op voldoen aan een hele sloot voor ons vigerende wetgeving. Dat doet echt het OM niet hoor. Onafhankelijke partijen, auditcommissies, rekenkamers, accountants enzovoorts wel.

Laten we er maar over ophouden. Wordt saai. Maar vraag eens een keer aan een partner van jullie accountant een handtekening te zetten op een verklaring dat je aan de wet voldoet zou ik zeggen.

[jongetje]

devriesjande schreef op zaterdag 14 februari 2026 @ 20:21:
[...]

Dat zegt mij dat Odido niet de moeite heeft gedaan deze gegevens op een veilige manier op te slaan. Deze gegevens hoeven niet meer on-line beschikbaar te zijn, maar kunnen veilig op data dragers in een kluis worden opgeborgen.

Hoe doet het bedrijf waar jij werkt dan? Alles vanuit het cloud pakket (dat is salesfource) printen en in een kluis leggen? En als er een controle, audit of vraag vanuit een voormalige klant komt, 30 mappen met geprinte gegevens bij elkaar zoeken? Of een harde schijf per maand, hoe zie je dat voor je met een kluis en offline dragers?

[ Voor 6% gewijzigd door jongetje op 14-02-2026 22:17 ]

[PauseBreak]

ernstoud schreef op zaterdag 14 februari 2026 @ 22:02:
[...]


Nee. Een accountant verklaart niet dat je aan de wet voldoet. Daar hebben we de controlerende macht in NL voor, de toezichthouders e.d. en uiteindelijk bij onderzoek en bepalen van vervolging het OM.

Zoals ik zei: dan heb je het over strafrechtelijke (of bestuursrechtelijke) vervolging en dat is iets anders.

[Antonio di]

jongetje schreef op zaterdag 14 februari 2026 @ 22:16:
[...]

Hoe doet het bedrijf waar jij werkt dan? Alles vanuit het cloud pakket (dat is salesfource) printen en in een kluis leggen? En als er een controle, audit of vraag vanuit een voormalige klant komt, 30 mappen met geprinte gegevens bij elkaar zoeken? Of een harde schijf per maand, hoe zie je dat voor je met een kluis en offline dragers?

Micro-fiches !

[RobbyTown]

Griello schreef op zaterdag 14 februari 2026 @ 14:24:
Nog een lekje, kunnen ze direct fixen.
op https://www.odido.nl/serv...-en-onderhoud/internet-tv kun je zien wie actief klant is van Odido internet en T.V.. De melding die voor een adres gegeven wordt is ander voor klanten dan voor niet klanten. Dus zo kun je ook zien van wie in ieder geval gegevens gelekt zijn. beetje slordig.

Daarbij ook hier geen limiet. Kunt onbeperkt checks doen net als 6,2 miljoen records ophalen.

Dat lekje wat je aankaart had een aantal jaar terug Simyo ook maar dan op 06 basis. Je kon zo achterhalen wie er er Simyo klant was (gericht sms incasso bericht sturen als foute intentie). Dit hebben ze alweer een tijdje gefixt. Bij bestellen: Ken je iemand met een Simyo nummer?
Elk 06 wat je ingeeft geeft nu Jullie krijgen allebei € 10 korting op de eerste factuur terug.

[king006]

Griello schreef op zaterdag 14 februari 2026 @ 20:57:
[...]

Naar aanleiding van je vraag heb ik maar een melding gedaan; via mail door middel van een reply op de mail die ik van hen gehad heb over de datalek. (Verder is op de hele website geen e-mail adres meer te vinden. En de chatbot geeft ook aan dat die route onmogelijk is.)

Zie dat iemand hem hier (https://community.odido.n...iet-odido-klant-is-383169) ook heeft geplaatst

[Gunner]

Vers op de frontpage

nieuws: Odido waarschuwt klanten: reken niet op automatische compensatie voor...

[DikkieDick]

Gunner schreef op zondag 15 februari 2026 @ 09:44:
Vers op de frontpage

nieuws: Odido waarschuwt klanten: reken niet op automatische compensatie voor...

Lijkt me toch ook wel logisch. Beetje gezond verstand gebruiken, maar ja, niet iedereen heeft en/of kan dat. Zeker bij 'ouderen'. Mijn vader van 88 is wat dat betreft wel dermate slim dat als ie gebeld wordt of mail krijgt of een vaag whatsappbericht dat ie mij contacteert. En ik heb op afstand toegang tot zijn pc dus kan even mee kijken.

Voordeel van eigen domein, in mijn geval, is ook dat ik zoveel mogelijk verschillende emailadressen heb voor allerhande diensten/webwinkels/etc. Dus als ik nu mail binnenkrijg op mijn odido@mijndomein-emailadres dat niet van Odido of Ben is dan weet ik dat dat gelekt is. O ja, dat was ook gelekt. :-) Benieuwd hoe lang het duurt voor er een email binnenkomt dat niet van Odido of Ben afkomstig is.

[HollovVpo1nt]

king006 schreef op zondag 15 februari 2026 @ 09:28:
[...]

Zie dat iemand hem hier (https://community.odido.n...iet-odido-klant-is-383169) ook heeft geplaatst

Het niveau van de discussie in de comments is echt tranentrekkend. Dat er serieus mensen zijn die dit goedpraten, Odido superusers nog wel. Manmanman.

Maarja, alle certificaten daargelaten, het blijft mensenwerk. Nos rapporteert dat het een phishing lek was bij medewerkers van odido.

Als ik bij onze organisatie die pronkt met haar ISO 27001 certificeding zie hoeveel pannenkoeken bij tests er weer in trappen...

Maar goed, de gegevens van 30% van alle Nederlanders liggen op de ondergrondse straat . En binnenkort met de digitale euro worden onze banktransacties ook nog eens gevolgd.

Misschien is er een gat in de markt voor bedrijven dit minder online doen er meer offline of zelfs op papier. Ik wil mijn adres en bankgegevens helemaal niet delen... Voor vast internet of TV snap ik dat, maar voor alle andere diensten, Stuur maar een betaalverzoek naar mijn email.

Ik hoop dat deze lek niet leidt tot weer een zinloze discussie over hoe veilig onze data is, maar de relevantere discussie of het überhaupt nodig is om al deze data te delen. Hackers vinden altijd een weg, altijd.

Het is echt niet moeilijk te bedenken wat je met alle gestolen persoonsgegevens zou kunnen doen. Ikzelf ben heen klant bij Odido, mijn familieleden wel. Daar zitten ook ouderen tussen...

[xminator]

HollovVpo1nt schreef op zondag 15 februari 2026 @ 09:59:
[...]


Het niveau van de discussie in de comments is echt tranentrekkend. Dat er serieus mensen zijn die dit goedpraten, Odido superusers nog wel. Manna man.

Maarja, alle certificaten daargelaten, het blijft mensenwerk. Nos rapporteert dat het een phishing lek was bij medewerkers van odido.

Als ik bij onze organisatie die pronkt met haar ISO 27001 certificeding zie hoeveel pannenkoeken bij tests er weer in trappen...

Maar goed, de gegevens van 30% van alle Nederlanders liggen op tafel. En binnenkort met de digitale euro worden onze banktransacties ook nog eens gevolgd.

Misschien is er een gat in de markt voor bedrijven dit minder online doen er meer offline of zelfs op papier. Ik wil mijn adres en bankgegevens helemaal niet delen... Voor vast internet of TV snap ik dat, maar voor alle andere diensten, Stuur maar een betaalverzoek naar mijn email.

Ik hoop dat deze lek niet leidt tot weer een zinloze discussie over hoe veilig onze data is, maar de relevantere discussie of het überhaupt nodig is om al deze data te delen. Hackers vinden altijd een weg, altijd.

Het is echt niet moeilijk te bedenken wat je met alle gestolen persoonsgegevens zou kunnen doen. Ikzelf ben heen klant bij Odido, mijn familieleden wel. Daar zitten ook ouderen tussen...

Zolang bedrijven zulke pannenkoeken niet bestraffen gaat er helaas nooit iets veranderen.

Dat je er een keer intrapt kan, maar er zijn mensen die hier continu in trappen. Inkorten op salaris of zelfs ontslag zou in mijn optiek een terechte straf zijn in zulke gevallen.

[Roy Tollenaar]

Lord_Dain schreef op zaterdag 14 februari 2026 @ 15:32:
[...]

Wow dit is ronduit SCHANDALIG, goed gevonden.. heb je het al gemeld?

Dit geldt ook voor mobiel als je hier het 06 nummer van een Odido klant invult kun je precies zien hoeveel data die persoon in de EU mag verbruiken en dus klant is: https://www.odido.nl/service/buitenland

[Gr4mpyC3t]

xminator schreef op zondag 15 februari 2026 @ 10:23:
[...]


Zolang bedrijven zulke pannenkoeken niet bestraffen gaat er helaas nooit iets veranderen.

Dat je er een keer intrapt kan, maar er zijn mensen die hier continu in trappen. Inkorten op salaris of zelfs ontslag zou in mijn optiek een terechte straf zijn in zulke gevallen.

Ja, lekkere instelling. Jij maakt zeker nooit fouten of bent ergens een keer ingetrapt?

Is het terecht dat iemand ontslagen wordt en inkomen verliest, en daardoor misschien de hele familie van deze medewerker op straat belandt?

Het systeem heeft gefaald, niet de medewerker. Denk eens na over de gevolgen van dit soort uitspraken.

[FREAKJAM]

Gr4mpyC3t schreef op zondag 15 februari 2026 @ 11:11:
[...]


Ja, lekkere instelling. Jij maakt zeker nooit fouten of bent ergens een keer ingetrapt?

Is het terecht dat iemand ontslagen wordt en inkomen verliest, en daardoor misschien de hele familie van deze medewerker op straat belandt?

Het systeem heeft gefaald, niet de medewerker. Denk eens na over de gevolgen van dit soort uitspraken.

Precies ook mijn gedachte. Wat je zegt heeft impact. Door mensen als het ware te straffen krijg je ook een cultuur waar men helemaal niets meer durft te melden bij mogelijke verdachte situaties. Beter zorg je ervoor dat ook je medewerkers sterke schakels worden in de gehele keten.

[gertvdijk]

Roy Tollenaar schreef op zondag 15 februari 2026 @ 10:23:
Dit geld ook voor mobiel als je hier het 06 nummer van een Odido klant invult kun je precies zien hoeveel data die persoon in de EU mag verbruiken en dus klant is: https://www.odido.nl/service/buitenland

Ho, stop, nee, dat is geen lek van Odido op zich. Welk nummer bij welke operator hoort is informatie die publiek opvraagbaar is in het nummerregister via de ACM. Sterker nog, je kan het hele CSV bestand downloaden. En je kan zien wanneer iemand als laatst is geporteerd enzo.

offtopic:
Ik kon die link naar het nummerregister niet zo snel meer vinden en dacht even AI te gebruiken. Maar goed, die was dus aan het liegen over wat er in het nummerregister staat. Mijn hemel wat is dat soms toch vreselijk slecht.

[ Voor 22% gewijzigd door gertvdijk op 15-02-2026 11:52 ]

[mark777]

hoor nog weinig over schade vergoeding en hoe en wat. Met zoveel slachtoffers is er een gezamelijk meldpunt of iets om de schade te verhalen? Hoeft toch niet allemaal individueel?

[gertvdijk]

mark777 schreef op zondag 15 februari 2026 @ 11:48:
hoor nog weinig over schade vergoeding en hoe en wat.

Frontpage: nieuws: Odido waarschuwt klanten: reken niet op automatische compensatie voor...

[Orian]

Ik heb al circa 10 jaar een abonnement bij odido (en voorlopers) voor vast internet. Ik heb geen enkele mail gehad (ook niet in spam). Ik krijg wel altijd de rekening op mijn mail, dus ze hebben mijn goede gegevens.

Betekent dit dat mijn gegevens niet gehackt zouden zijn? Is dus een deel niet gestolen (en waarom dan???). Of zijn ze gewoon laks in hun mails en hebben simpelweg niet iedereen geïnformeerd? De eerder genoemde 48 uur zijn namelijk verstreken.

[gertvdijk]

Orian schreef op zondag 15 februari 2026 @ 11:52:
Ik heb al circa 10 jaar een abonnement bij odido (en voorlopers) voor vast internet. Ik heb geen enkele mail gehad (ook niet in spam). Ik krijg wel altijd de rekening op mijn mail, dus ze hebben mijn goede gegevens.

Betekent dit dat mijn gegevens niet gehackt zouden zijn? Is dus een deel niet gestolen (en waarom dan???). Of zijn ze gewoon laks in hun mails en hebben simpelweg niet iedereen geïnformeerd? De eerder genoemde 48 uur zijn namelijk verstreken.

Vergelijkbaar hier qua historie, maar dan sinds 2018 / 7.5 jaar. Heb wel een mail gehad. Het kan zijn dat je de afgelopen jaren geen contact hebt gehad met de klantenservice waardoor je gegevens niet in dat systeem stonden.
Ik had ook al jaren geen contact meer gehad met de klantenservice uit eigen initiatief, maar door een aanvraag van een Klik&Klaar abonnement zomer 2025 maakte een medewerker voor mij een ticket aan enkele uren na bestelling, op hun initiatief - alleen maar om te vragen wanneer ik het 5G-modem op kwam halen. 🙄
Ik heb het vermoeden dat ik daardoor er wel in voorkwam.

[mark777]

gertvdijk schreef op zondag 15 februari 2026 @ 11:50:
[...]

Frontpage: nieuws: Odido waarschuwt klanten: reken niet op automatische compensatie voor...

ah thx nog niet gezien. Wel Odido maakt zich er wel heel makkelijk van af zo. Miljoenen prive gegevens gestolen en geen compensatie. Ik stap wel over naar een andere provider

[Orian]

gertvdijk schreef op zondag 15 februari 2026 @ 11:56:
[...]

Vergelijkbaar hier qua historie, maar dan sinds 2018 / 7.5 jaar. Heb wel een mail gehad. Het kan zijn dat je de afgelopen jaren geen contact hebt gehad met de klantenservice waardoor je gegevens niet in dat systeem stonden.
Ik had ook al jaren geen contact meer gehad met de klantenservice uit eigen initiatief, maar door een aanvraag van een Klik&Klaar abonnement zomer 2025 maakte een medewerker voor mij een ticket aan enkele uren na bestelling, op hun initiatief - alleen maar om te vragen wanneer ik het 5G-modem op kwam halen. 🙄
Ik heb het vermoeden dat ik daardoor er wel in voorkwam.

Hmm, dat zou natuurlijk mooi zijn. Ik heb wel een jaar of 2 geleden contact gehad ivm verlenging en korting daarop (je kent het wel, de standaard dreigen met overstappen en dan is korting opeens wel mogelijk).

Nou, fingers crossed dat ik er net doorheen geslipt ben dan maar. Dank voor het meedenken!

[king006]

Roy Tollenaar schreef op zondag 15 februari 2026 @ 10:23:
[...]

Dit geldt ook voor mobiel als je hier het 06 nummer van een Odido klant invult kun je precies zien hoeveel data die persoon in de EU mag verbruiken en dus klant is: https://www.odido.nl/service/buitenland

Dat klopt niet helemaal. Als je 0612345678 invult krijg je ook output terug 😉

@HollovVpo1nt,
Haha ja, gelukkig heeft Odido ook geantwoord inmiddels dat ze er naar gaan kijken. (Oh wacht, dat heb ik gedroomd denk ik 😅)

[ Voor 13% gewijzigd door king006 op 15-02-2026 12:13 ]

[Valorian]

mark777 schreef op zondag 15 februari 2026 @ 11:57:
[...]

ah thx nog niet gezien. Wel Odido maakt zich er wel heel makkelijk van af zo. Miljoenen prive gegevens gestolen en geen compensatie. Ik stap wel over naar een andere provider

Helaas zijn er op veel plekken in Nederland nog altijd maar enkele providers om uit te kiezen, tenzij je bereid bent terug te gaan naar een langzaam alternatief. Als ik het idee had dat Ziggo zorgvuldiger met data zou omgaan dan Odido dan zou ik misschien ook wel overstappen. Maar mijn onderbuikgevoel zegt dat het allemaal lood om oud ijzer is.

[downtime]

xminator schreef op zondag 15 februari 2026 @ 10:23:
[...]

Zolang bedrijven zulke pannenkoeken niet bestraffen gaat er helaas nooit iets veranderen.

Dat je er een keer intrapt kan, maar er zijn mensen die hier continu in trappen. Inkorten op salaris of zelfs ontslag zou in mijn optiek een terechte straf zijn in zulke gevallen.

Als je niet wilt dat mensen op links klikken dan moet je de software maar aanpassen zodat links in een mail door de mailserver verwijderd worden.

[downtime]

Valorian schreef op zondag 15 februari 2026 @ 12:15:
[...]

Als ik het idee had dat Ziggo zorgvuldiger met data zou omgaan dan Odido dan zou ik misschien ook wel overstappen. Maar mijn onderbuikgevoel zegt dat het allemaal lood om oud ijzer is.

Daarom moet je dat onderbuikgevoel ook negeren. Daardoor laat je het bedrijf ermee weg komen.

Het is dat ik al bij Odido weg was maar anders zou ik na dit incident zeker vertrekken. Normaal gesproken ben ik een makkelijke klant. Lever mij een dienst zonder dit soort “verrassingen” voor een redelijke prijs en ik blijf (meestal) jarenlang klant. Maar als ik wel “verrassingen” krijg dan ben ik met 100% zekerheid weg. Niet omdat ik weet dat een ander bedrijf z’n zaken beter op orde heeft, maar omdat ik nu zeker weet dat Odido het in elk geval niet op orde heeft.

[W1ck1e]

downtime schreef op zondag 15 februari 2026 @ 12:18:
[...]

Als je niet wilt dat mensen op links klikken dan moet je de software maar aanpassen zodat links in een mail door de mailserver verwijderd worden.

Dan moet je de medewerkers ontslaan die de software niet aanpassen.
Oh wacht, dat zijn we bijna allemaal.
Uiteindelijk is alles mensenwerk. Ook de robots of software die we maken.

[P-Rock]

Schandalige reactie van Odido:

Ook klanten die denken dat ze gephisht zijn en daardoor schade hebben ondervonden, krijgen nul op het rekest. Dat schrijft Odido als antwoord op de vraag: "Ik heb schade door een incident, bijvoorbeeld door phishing. En ik heb hier concreet bewijs van. Kunnen jullie mij helpen dit ongedaan te maken? En kan ik compensatie krijgen?"

Odido antwoordt daarop: "Vervelend om te horen dat je kennelijk schade hebt ondervonden door een incident. Op grond van de op dit moment bij Odido beschikbare informatie hebben we nog geen aanleiding om te denken dat de eventuele schade het gevolg is van het datalek bij Odido. Voor zover je door Odido bent geïnformeerd over het datalek, verwijzen we je graag naar deze informatiepagina voor alle tips die we op dit moment geven aan onze klanten."

Goedkoop is uiteindelijk bij Odido vooral duurkoop.

[_Bailey_]

P-Rock schreef op zondag 15 februari 2026 @ 12:46:
Schandalige reactie van Odido:


[...]


Goedkoop is uiteindelijk bij Odido vooral duurkoop.

Odido gaat met zulke uitspraken op de stoel van een Rechter zitten, althans, dat denken ze.
In de hoop dat gedupeerde klanten afhaken w.b een claim o.i.d.

[sh4d0wman]

jongetje schreef op zaterdag 14 februari 2026 @ 22:16:
[...]
Of een harde schijf per maand, hoe zie je dat voor je met een kluis en offline dragers?

We zien data van jaren terug. Alles in een cloud bucket of database knallen is lekker makkeijk voor Salesforce en Odido. Maar de impact had wellicht lager kunnen zijn als het grootste deel koud stond. Ik doe al lang niks meer met beheer maar herinner mij nog IBM tapeopslag met robots. Als de data nodig is zoekt de robot fysiek de slots af naar de juiste tape en wordt deze geladen.

Maar dan moet je wel goed de backup operator rechten monitoren.

[freedzed6]

ShinyHunters weer bezig geweest? Amyway PostNL kan het nog druk gaan krijgen want ik ben ook wel benieuwd dat er nou gelekt is of moet ik met Tor gaan zoeken?
Ook de manier van deze hack is meer dan 1 jaar bekend. Ieder gedrijf moet al de sodemieter zijn verbonden SF (tokens / APIs) nakijken, vernieuwen en verder beveiligen.

[Gr4mpyC3t]

mark777 schreef op zondag 15 februari 2026 @ 11:57:
[...]

ah thx nog niet gezien. Wel Odido maakt zich er wel heel makkelijk van af zo. Miljoenen prive gegevens gestolen en geen compensatie. Ik stap wel over naar een andere provider

Overstappen is het enige signaal dat je af kan geven. Je bent niet de eerste die begint over compensatie. Compensatie voor wat? Schade? Dat zal je eerst aan moeten tonen voordat je ze aansprakelijk kan stellen.

[ernstoud]

DikkieDick schreef op zondag 15 februari 2026 @ 09:51:
[...]
Lijkt me toch ook wel logisch. Beetje gezond verstand gebruiken, maar ja, niet iedereen heeft en/of kan dat. Zeker bij 'ouderen'.

Meerdere malen phishing campagnes gehouden binnen organisaties om medewerkers bewust te maken, analyse liet altijd zien dat er geen relevanties waren tussen leeftijd en functie in het wel/niet onderkennen van phishing.

Als ik jouw hobbies weet, zeg autoraces, dan ga je voor de bijl als ik je uit naam van Pirelli (sponsor) uitnodig voor Zandvoort. Ik noem maar wat.

Denken dat het je niet overkomt is de bekende struisvogel.

[ernstoud]

HollovVpo1nt schreef op zondag 15 februari 2026 @ 09:59:
[...]
Misschien is er een gat in de markt voor bedrijven dit minder online doen er meer offline of zelfs op papier.

Ok. Ik wil best jouw geld hier in de keukenla bewaren. Spreken we af dat ik het op een blocnote administreer.

Zou dat werken?

[Lord_Dain]

T is dat ik net weg ben bij Odido en al een jaar abbo heb bij een nieuwe provider, maar bij een volgende keer zal ik me zeker eens verdiepen in Freedom, die zijn wel prijzig, maar ik denk dat je daar een stuk beter zit.

[ernstoud]

Lord_Dain schreef op zondag 15 februari 2026 @ 13:24:
T is dat ik net weg ben bij Odido en al een jaar abbo heb bij een nieuwe provider, maar bij een volgende keer zal ik me zeker eens verdiepen in Freedom, die zijn wel prijzig, maar ik denk dat je daar een stuk beter zit.

Waarom denk je dat? Heb je inzage en gedegen kennis over hun IT beheer? Security Management? AVG compliance? Processen?

Vertrouwen. Komt en gaat maar vaak zonder grondslag,

[Lord_Dain]

ernstoud schreef op zondag 15 februari 2026 @ 13:28:
[...]


Waarom denk je dat? Heb je inzage en gedegen kennis over hun IT beheer? Security Management? AVG compliance? Processen?

Vertrouwen. Komt en gaat maar vaak zonder grondslag,

Klopt, dat is ook de reden dat ik me er in zou verdiepen.

Garanties krijg je bij geen enkele ISP (en IMO gaat het niet om de tent, maar om de 'vent').

[ Voor 6% gewijzigd door Lord_Dain op 15-02-2026 13:38 ]

[W1ck1e]

Lord_Dain schreef op zondag 15 februari 2026 @ 13:24:
T is dat ik net weg ben bij Odido en al een jaar abbo heb bij een nieuwe provider, maar bij een volgende keer zal ik me zeker eens verdiepen in Freedom, die zijn wel prijzig, maar ik denk dat je daar een stuk beter zit.

Hackers kijken naar de grootste. Daar is het meest te halen. Als Freedom voldoende groeit zullen zij op enig moment ook wel het bokje zijn.

[mark777]

W1ck1e schreef op zondag 15 februari 2026 @ 13:43:
[...]

Hackers kijken naar de grootste. Daar is het meest te halen. Als Freedom voldoende groeit zullen zij op enig moment ook wel het bokje zijn.

hackers kijken vooral ook wie is de zwakste schakel. Wie de security het slechts op orde heeft is de klos. In dit geval dus Odido. Snap niet dat Odido nu geen verantwoordelijkheid neemt en actie onderneemt. Tot nu alleen maar slap gedoe van ze

[Kalentum]

Lord_Dain schreef op zondag 15 februari 2026 @ 13:24:
T is dat ik net weg ben bij Odido en al een jaar abbo heb bij een nieuwe provider, maar bij een volgende keer zal ik me zeker eens verdiepen in Freedom, die zijn wel prijzig, maar ik denk dat je daar een stuk beter zit.

Ik zou niet weten waarom Freedommedewerkers niet vatbaar zouden zijn voor phishing mail

[rainvs]

Zou een mogelijke oplossing voor zulke datalekken niet zijn om het aantal klant opzoek/inzage acties van een medewerker per dag te beperken? Eventueel met een variabel limiet? Als ik over me 'onbeperkte' bundel heen ga, dan dien ik ook in te loggen en op knoppen te drukken om een beetje extra te krijgen. De volgende dag is het weer 'onbeperkt'. Een medewerker die continu over dit limiet heen gaat, die in een alert op het scherm van de systeembeheerder/manager/iemand met verantwoordelijkheid laten verschijnen.

[gertvdijk]

rainvs schreef op zondag 15 februari 2026 @ 14:14:
Zou een mogelijke oplossing voor zulke datalekken niet zijn om het aantal klant opzoek/inzage acties van een medewerker per dag te beperken? Eventueel met een variabel limiet? Als ik over me 'onbeperkte' bundel heen ga, dan dien ik ook in te loggen en op knoppen te drukken om een beetje extra te krijgen. De volgende dag is het weer 'onbeperkt'. Een medewerker die continu over dit limiet heen gaat, die in een alert op het scherm van de systeembeheerder/manager/iemand met verantwoordelijkheid laten verschijnen.

Rate limiting kan zeker de schade beperken. Je kan ook nog een stukje fundamenteler dit anders oplossen zoals ik hier beschreef:
gertvdijk in "Odido waarschuwt voor datalek (cyberaanval/hack)"
gertvdijk in "Odido waarschuwt voor datalek (cyberaanval/hack)"

[asing]

W1ck1e schreef op zondag 15 februari 2026 @ 13:43:
[...]

Hackers kijken naar de grootste. Daar is het meest te halen. Als Freedom voldoende groeit zullen zij op enig moment ook wel het bokje zijn.

Naaah het zijn gewoon opportunisten. Die doen een hele adreslijst spammen en dan wachten ze rustig af. Degene die klikt is het haasje.

[Bestseller]

Gr4mpyC3t schreef op zondag 15 februari 2026 @ 13:14:
[...]


Overstappen is het enige signaal dat je af kan geven. Je bent niet de eerste die begint over compensatie. Compensatie voor wat? Schade? Dat zal je eerst aan moeten tonen voordat je ze aansprakelijk kan stellen.

Ik heb helaas m’n contracten 2 maanden geleden verlengd voor 2 jaar… dus zit er nog 22 maanden aan vast. Anders was ik overgestapt.

[rainvs]

jongetje schreef op vrijdag 13 februari 2026 @ 17:09:
[...]

Omdat je niet je hele administratie kunt verwijderen als een klant weggaat. Dan krijg je allemaal gaten in je recente administratie, denk niet dat de belastingdienst dat leuk vind.... Wettelijk gezien moet je dit 7 jaar bewaren.

Wellicht had de roverheid / ficus een lopende zaak betreft Odido of Ben? Dan kan de ficus namelijk de bewaartermijn 'bevriezen' / verlengen.

[Servor]

Kalentum schreef op zondag 15 februari 2026 @ 14:11:
[...]


Ik zou niet weten waarom Freedommedewerkers niet vatbaar zouden zijn voor phishing mail

Misschien (ik zeg, misschien) zijn hun medewerkers net even iets beter voorbereid en geïnstrueerd aangezien privacy wel een speerpunt van Freedom is. Maar, dat is wensdenken.

Wat belangrijker is, is dat ze veel minder vastleggen en bewaren dan bijv. Odido. Zie https://freedom.nl/nieuws...ntgegevens-het-kan-ook-zo - dus mochten ze gegevens buit maken, dan zijn het in ieder geval minder gegevens. En daar moet het echt naar toe: minder vastleggen.

[ernstoud]

mark777 schreef op zondag 15 februari 2026 @ 13:55:
[...]

hackers kijken vooral ook wie is de zwakste schakel. Wie de security het slechts op orde heeft is de klos. In dit geval dus Odido. Snap niet dat Odido nu geen verantwoordelijkheid neemt en actie onderneemt. Tot nu alleen maar slap gedoe van ze

Welke actie verwacht je dan?

[PeaceNlove]

Krijg ik een voicemail van een onbekend 06 nummer met een robotstem die claimt namens de bank te spreken waar ook mijn Odido van afgeschreven wordt. Iets met geld en dringend en spoedige actie . Tuurlijk

Maar zonder gekheid, dit had ik voorheen niet en tot nu toe bleef het alleen maar bij robotcalls die me op Whatsapp willen contacten over een baan. Dit is nieuw, voor mij toch wel een indicatie dat de gegevens daadwerkelijk misbruikt worden.

[domi10]

Ik begrijp het idee dat je om schadevergoeding kunt vragen als je daadwerkelijk schade hebt geleden en dat het moeilijk wordt om aan te tonen dat het daadwerkelijk door het datalek komt. Toch vraag ik me iets af: ik en een aanzienlijk groep oud-klanten van T-Mobile/Tele2 zijn getroffen door het lek, terwijl we al langer dan 2 jaar geen klant meer zijn. Odido zegt in hun privacystatement dat ze de gegevens van oud-klanten maximaal 2 jaar zouden bewaren. Dit wijst er sterk op dat Odido nalatig is geweest door zich niet te houden aan eigen privacystatement (afgesproken met de klant). Zou een rechtszaak in deze richting en compensatie kans van slagen hebben?