Odido waarschuwt voor datalek (cyberaanval/hack)

[mrmrmr]

Deze grootschalige lek was gemakkelijk te voorkomen geweest als men alleen al het advies van de leverancier had gevolgd en het opvragen van grote hoeveelheden data had uitgeschakeld.

https://www.salesforce.co...r-an-identity-compromise/

Dat is een criuciale fout van Odido waar een flinke boete van de waakhond bij past. Uitbesteden is overigens geen excuus, je bent als organisatie verantwoordelijk.

[ Voor 11% gewijzigd door mrmrmr op 05-03-2026 18:07 ]

[mrmrmr]

SgtElPotato schreef op donderdag 5 maart 2026 @ 17:42:
Ze hebben een mail gestuurd met de toen bekende data die ze voorhanden hadden. Nou, dat was dus ook niet goed want er was blijkbaar meer gelekt. En SH zegt dat ze ook nog niet alles hebben vrij gegeven, dus het is wellicht nog niet eens duidelijk wat er op straat ligt.

Dat is geen reden om informatievoorziening te stoppen. Alle bekende getroffenen dienen een bericht te ontvangen.

Ze kunnen in dit geval beter te weinig communiceren dan teveel en achteraf nog meer problemen en paniek veroorzaken, maar dat snap je zelf ook wel.

Er is geen technische reden dat zou leiden tot "teveel" communiceren. Het is precies bekend wat publiek gemaakt is en toch zeggen verschillende mensen hier dat ze niet geïnformeerd zijn, ze komen er achter op basis van databases elders. Het is een feit dat er is gelekt en persoonsgegevens publiek zijn gemaakt en het is een feit dat het gelekte terug te leiden is tot personen. Daarom dient Odido iedereen persoonlijk te informeren.

[ernstoud]

mrmrmr schreef op donderdag 5 maart 2026 @ 18:01:
[...]

Dat is geen reden om informatievoorziening te stoppen. Alle bekende getroffenen dienen een bericht te ontvangen.

Dat is gebeurd.

Daarom dient Odido iedereen persoonlijk te informeren.

Dat is gebeurd.

[Gr4mpyC3t]

mrmrmr schreef op donderdag 5 maart 2026 @ 18:01:
[...]


Dat is geen reden om informatievoorziening te stoppen. Alle bekende getroffenen dienen een bericht te ontvangen.


[...]


Er is geen technische reden dat zou leiden tot "teveel" communiceren. Het is precies bekend wat publiek gemaakt is en toch zeggen verschillende mensen hier dat ze niet geïnformeerd zijn, ze komen er achter op basis van databases elders. Het is een feit dat er is gelekt en persoonsgegevens publiek zijns gemaakt en het is een feit dat het gelekte terug te leiden is tot personen. Daarom dient Odido iedereen persoonlijk te informeren.

Er kan een reden zijn die niet bij jou bekend is. Tot nu toe is er geen officieel rapport of onderzoek gepubliceerd.

Je blijft maar aangeven dat alle feiten al op tafel liggen, maar dat is dus niet zo. Tot die tijd kan niemand conclusies trekken en zijn het enkel aannames.

[ernstoud]

Gr4mpyC3t schreef op donderdag 5 maart 2026 @ 18:44:
[...]


Er kan een reden zijn die niet bij jou bekend is. Tot nu toe is er geen officieel rapport of onderzoek gepubliceerd.

Je blijft maar aangeven dat alle feiten al op tafel liggen, maar dat is dus niet zo. Tot die tijd kan niemand conclusies trekken en zijn het enkel aannames.

En zoals we weten… “When you assume, you make an ass out of u and me.“

Zonder dollen… dit hele topic en de honderden reacties onder het artikel wat op de frontpage stond ademt inderdaad allemaal aannames uit. Over Odido moet dit, Odido moet dat. Wetgeving dit, wetgeving dat.

Wat Odido moet doen, is de betrokkenen informeren. Dat is gebeurd.

De rest is beter over te laten aan de betrokken instanties. De onderzoeken lopen. Afwachten.

En wat gold ook al vóór 12 februari is waakzaam te zijn. Niets en niemand via digitale media vertrouwen. Elke link met een e-mail verwijderen. Altijd de verborgen afzender bekijken (PostNL kan echt wel de domeinkosten betalen, dus e-mail van [e-mail] direct verwijderen). Je kinderen opvoeden. Je ouders begeleiden. Nergens op klikken. OS updaten.

[SgtElPotato]

mrmrmr schreef op donderdag 5 maart 2026 @ 18:01:
[...]
Dat is geen reden om informatievoorziening te stoppen. Alle bekende getroffenen dienen een bericht te ontvangen.

Dit is een grap toch? Iedereen is geinformeerd.

Er is geen technische reden dat zou leiden tot "teveel" communiceren. Het is precies bekend wat publiek gemaakt is en toch zeggen verschillende mensen hier dat ze niet geïnformeerd zijn, ze komen er achter op basis van databases elders. Het is een feit dat er is gelekt en persoonsgegevens publiek zijns gemaakt en het is een feit dat het gelekte terug te leiden is tot personen. Daarom dient Odido iedereen persoonlijk te informeren.

Het is niet precies bekend. Ja het is bekend wat er gelekt is, maar het is niet bekend of er nu meer gestolen is of niet. Daarnaast als je 6,5m mensen gaat mailen kan het zijn dat je soms in de spam terecht komt.

[P-Rock]

SgtElPotato schreef op donderdag 5 maart 2026 @ 19:14:
[...]

Dit is een grap toch? Iedereen is geinformeerd.

Dit is een grap toch? Diverse mensen (waaronder ik) hebben aangegeven geen mail van Odido te hebben gehad over het datalek en wat er persoonlijk voor mij allemaal zou zijn gelekt. Dat heb ik allemaal zelf uit moeten zoeken d.m.v. de media en zonder enige hulp van Odido.

Doordat ik geen mail heb gekregen zoals diverse mensen in mijn familie en vriendenkring had ik de stille hoop dat ik niet getroffen zou zijn, maar de waarheid is helaas anders.

[Lord_Dain]

Er zijn echt veel meldingen hier van oud klanten die niet geïnformeerd zijn. Dus dat Odido iedereen heeft benaderd is gewoon onzin. Welke klanten er wel benaderd zijn is de vraag. Als je alleen al ziet dat hier de nodige mensen niets hebben gehad, vermenigvuldig dat met x100 voor mensen die niet op tweakers zitten.

[Martinez-]

Lord_Dain schreef op donderdag 5 maart 2026 @ 20:19:
Er zijn echt veel meldingen hier van oud klanten die niet geïnformeerd zijn. Dus dat Odido iedereen heeft benaderd is gewoon onzin. Welke klanten er wel benaderd zijn is de vraag. Als je alleen al ziet dat hier de nodige mensen niets hebben gehad, vermenigvuldig dat met x100 voor mensen die niet op tweakers zitten.

Sterker nog, ik heb de email ontvangen als 'oud-klant' en dat ik slachtoffer zou zijn omdat ik minder dan 2 jaar geleden klant ben geweest (en dat klopt, ik ben 1x tussendoor naar KPN gewisseld).

De grap is dat ik momenteel 2 Odido abonnementen heb en 1 Ben. Ik denk dat ze in de toekomst konden kijken...

[Verwijderd]

Hoe weet ik of ik betrokken ben bij het datalek?

Meteen na de cyberaanval hebben we contact opgenomen met de klanten van wie we hebben vastgesteld dat zij getroffen zijn. Ons onderzoek loopt nog. Naarmate dit vordert, krijgen we een steeds beter beeld van welke klanten mogelijk ook zijn geraakt.

Blijkt uit ons onderzoek dat jouw gegevens zijn getroffen en heb je hierover nog geen bericht van Odido ontvangen? Dan nemen we vanzelf rechtstreeks contact met je op.

[Gr4mpyC3t]

Verwijderd schreef op donderdag 5 maart 2026 @ 20:25:
Hoe weet ik of ik betrokken ben bij het datalek?

Meteen na de cyberaanval hebben we contact opgenomen met de klanten van wie we hebben vastgesteld dat zij getroffen zijn. Ons onderzoek loopt nog. Naarmate dit vordert, krijgen we een steeds beter beeld van welke klanten mogelijk ook zijn geraakt.

Blijkt uit ons onderzoek dat jouw gegevens zijn getroffen en heb je hierover nog geen bericht van Odido ontvangen? Dan nemen we vanzelf rechtstreeks contact met je op.

Ja mooi he, staat gewoon op diezelfde pagina.

[ernstoud]

Lord_Dain schreef op donderdag 5 maart 2026 @ 20:19:
Er zijn echt veel meldingen hier van oud klanten die niet geïnformeerd zijn. Dus dat Odido iedereen heeft benaderd is gewoon onzin. Welke klanten er wel benaderd zijn is de vraag. Als je alleen al ziet dat hier de nodige mensen niets hebben gehad, vermenigvuldig dat met x100 voor mensen die niet op tweakers zitten.

Spam filter? Email adres verkeerd?

En probeer eens miljoenen emails te verzenden/ Via een 44 jaar oud protocol. Ik vermoed maar zo dat er dan wel hier en daar wat fout zou kunnen gaan.

Je hebt natuurlijk gelijk dat iedereen geinformeerd hoort te zijn op 12 februari en de dagen daarna. Maar zoals we nu weten staan er veel fouten in de dataset. Dus we draaien in cirkeltjes; Odido moet iedereen inlichten maar klopt het telefoon nummer of email adres wel? Zeker bij klanten van lang geleden zal dat echt niet meer kloppen.

[ernstoud]

Verwijderd schreef op donderdag 5 maart 2026 @ 20:25:
Hoe weet ik of ik betrokken ben bij het datalek?

Blijkt uit ons onderzoek dat jouw gegevens zijn getroffen en heb je hierover nog geen bericht van Odido ontvangen? Dan nemen we vanzelf rechtstreeks contact met je op.

En dat onderzoek is vrijwel zeker nog niet afgesloten. Dus tja.

[Oliebolleke]

word je ook geinformeerd als je data niet is gevonden in de dataset? zouden ze niet iedere klant en oudklant moeten informeren?

[Gr4mpyC3t]

Oliebolleke schreef op donderdag 5 maart 2026 @ 21:15:
word je ook geinformeerd als je data niet is gevonden in de dataset? zouden ze niet iedere klant en oudklant moeten informeren?

Drie reacties terug zegt @Verwijderd daar al iets over. Er is nog niet duidelijk wie er nou precies getroffen zijn. Als dit binnenkort wel duidelijk is, dan weet Odido automatisch wie er niet getroffen zijn. Wordt vervolgd.

[IJsbeer]

Oliebolleke schreef op donderdag 5 maart 2026 @ 21:15:
word je ook geinformeerd als je data niet is gevonden in de dataset? zouden ze niet iedere klant en oudklant moeten informeren?

Als je als oudklant wordt verwijderd (zoals ze zouden moeten doen), dan is het lastig informeren...

[Oliebolleke]

IJsbeer schreef op donderdag 5 maart 2026 @ 21:27:
[...]

Als je als oudklant wordt verwijderd (zoals ze zouden moeten doen), dan is het lastig informeren...

dan is de vraag of ze dat doen, is de bewaartermijn niet iets van 7 jaar bij financiele informatie ofso. gaan ze dan met de billen bloot of informeren ze niet! dat zou een dilemma zijn..

[ernstoud]

IJsbeer schreef op donderdag 5 maart 2026 @ 21:27:
[...]

Als je als oudklant wordt verwijderd (zoals ze zouden moeten doen), dan is het lastig informeren...

En zeker als je na die tijd een ander e-mail adres of telefoonnummer hebt…

[Oliebolleke]

Gr4mpyC3t schreef op donderdag 5 maart 2026 @ 21:25:
[...]


Drie reacties terug zegt @Verwijderd daar al iets over. Er is nog niet duidelijk wie er nou precies getroffen zijn. Als dit binnenkort wel duidelijk is, dan weet Odido automatisch wie er niet getroffen zijn. Wordt vervolgd.

Hoe wordt dit duidelijk dan? Lijkt mij dat het CRM systeem iedere klant raakt of zijn het alleen de gemigreerde klanten naar salesforce?

[Gr4mpyC3t]

Oliebolleke schreef op donderdag 5 maart 2026 @ 21:39:
[...]

Hoe wordt dit duidelijk dan? Lijkt mij dat het CRM systeem iedere klant raakt of zijn het alleen de gemigreerde klanten naar salesforce?

Ik weet het oprecht niet. Dat is allemaal onbekend en er is vooralsnog geen informatie beschikbaar dat het één of ander uitsluit/bevestigd.

[mrmrmr]

SgtElPotato schreef op donderdag 5 maart 2026 @ 19:14:
Het is niet precies bekend. Ja het is bekend wat er gelekt is, maar het is niet bekend of er nu meer gestolen is of niet. Daarnaast als je 6,5m mensen gaat mailen kan het zijn dat je soms in de spam terecht komt.

Als dat zo zou zijn moet je daar rekening mee houden. Dan gebruik je bijvoorbeel de post om mensen te informeren.

De verzender moet in de emaillogs bijhouden welke adressen geen email bezorgbaar was. Eventuele blacklistproblemen moeten worden opgelost en onderbroken mailings moeten worden hervat.

[DjoeC]

Gr4mpyC3t schreef op donderdag 5 maart 2026 @ 17:17:
[...]


Heb je een idee hoe deze mensen jou en mij als klant kunnen helpen? Wat verwacht je precies?

SgtElPotato schreef op donderdag 5 maart 2026 @ 17:42:
[...]


Begrijpelijk dat je zo reageert, en dat is prima als je verder geen kennis hebt. Maar het is aannemelijk dat ze niet reageren en delen omdat er een zaak bezig is, al dan niet intern al dan niet waarbij het OM betrokken is.

Ze hebben een mail gestuurd met de toen bekende data die ze voorhanden hadden. Nou, dat was dus ook niet goed want er was blijkbaar meer gelekt. En SH zegt dat ze ook nog niet alles hebben vrij gegeven, dus het is wellicht nog niet eens duidelijk wat er op straat ligt.

Ze kunnen in dit geval beter te weinig communiceren dan teveel en achteraf nog meer problemen en paniek veroorzaken, maar dat snap je zelf ook wel.

Ik snap dat er in 1.500 reacties wel eens wat ondersneeuwt en je niet alles leest of onthoudt, vandaar een link naar mijn eerdere post met dat wat IK van Odido verwacht: DjoeC in "Odido waarschuwt voor datalek (cyberaanval/hack)"

[ernstoud]

mrmrmr schreef op donderdag 5 maart 2026 @ 22:52:
[...]


Als dat zo zou zijn moet je daar rekening mee houden. Dan gebruik je bijvoorbeel de post om mensen te informeren.

De post. Want dan komt het wel goed met een paar miljoen brieven. Natuurlijk!

De verzender moet in de emaillogs bijhouden welke adressen geen email bezorgbaar was. Eventuele blacklistproblemen moeten worden opgelost en onderbroken mailings moeten worden hervat.

Moet? Van wie?

Odido moet dit, Odido moet dat. Odido heeft gedaan wat ze moeten doen, de rest horen we vast nog wel. Of niet.

[mrmrmr]

ernstoud schreef op donderdag 5 maart 2026 @ 23:02:
De post. Want dan komt het wel goed met een paar miljoen brieven. Natuurlijk!

De wet schrijft niet voor hoe er geïnformeerd moet worden, maar wel dat er geïnformeerd wordt. Je mag ook bij iedereen langsgaan als je dat graag wil.

Moet? Van wie?

Best current mass mailing practices en de wet, als je eenmaal deze methode gekozen hebt.

Linksom of rechtsom zul je moeten monitoren en bijhouden of er inderdaad is bezorgd. Als je best practices niet volgt mag je verklaren waarom je het beter weet, en wat je dan gaat doen om te alsnog te voldoen aan de wet.

[ernstoud]

mrmrmr schreef op donderdag 5 maart 2026 @ 23:14:
[...]

Best current mass mailing practices en de wet, als je eenmaal deze methode gekozen hebt.

Linksom of rechtsom zul je moeten monitoren en bijhouden of er inderdaad is bezorgd. Als je best practices niet volgt mag je verklaren waarom je het beter weet, en wat je dan gaat doen om te alsnog te voldoen aan de wet.

Ik ben altijd nieuwsgierig, dus stelt me dit erg teleur:



Welke wetgeving bedoel je?

In de AVG staat hier niets over (art. 34 lid 1).

[ Voor 43% gewijzigd door ernstoud op 05-03-2026 23:38 ]

[mrmrmr]

ernstoud schreef op donderdag 5 maart 2026 @ 23:33:
Ik ben altijd nieuwsgierig, dus stelt me dit erg teleur:

Het gaat hier met name om het bijhouden van delivery en deliverability. Je let op bounces, zowel tijdens de SMTP sessie als non-delivery berichten. Daarmee weet je of mailings gericht aan bepaalde personen wel of niet zijn bezorgd, waarmee je stappen kan ondernemen om alsnog te bezorgen of een alternatieve manier van communiceren te vinden.

Het voert te ver om dit hier uitgebreid uit te leggen. Delivery monitoring maakt deel uit van best practices. Nogmaals: als je geen best practices volgt heb je wat uit te leggen.

Mass mailing en deliverability is een vakgebied op zichzelf, dus denk niet dat je dat met een paar minuten googlen onder de knie hebt. Er zijn mass mailing management tools nodig en een domein and IP reputatie.

---

Het is slecht dat Odido oude persoonsgegevens heeft bewaard waardoor potentieel communiceren wordt bemoeilijkt. Men gaf aan in de privacyverklaring de data te bewaren voor deze termijnen: 2 jaar voor persoonsgegevens (daar wordt geen overtuigende verklaring voor gegeven), 5 jaar voor kredieten (indien afgelost, ook hier: geen noodzaak), 7 jaar voor facturen (Belastingdienst). Maar dat is duidelijk niet gebeurd als er data uit 2011 is. Dat is een overtreding van de AVG. De bewaartermijn moet ervoor zorgen dat de impact van lekken wordt beperkt.

[ernstoud]

mrmrmr schreef op vrijdag 6 maart 2026 @ 00:46:
[...]


Het gaat hier met name om het bijhouden van delivery en deliverability. Je let op bounces, zowel tijdens de SMTP sessie als non-delivery berichten. Daarmee weet je of mailings gericht aan bepaalde personen wel of niet zijn bezorgd, waarmee je stappen kan ondernemen om alsnog te bezorgen of een alternatieve manier van communiceren te vinden.

Het voert te ver om dit hier uitgebreid uit te leggen. Delivery monitoring maakt deel uit van best practices. Nogmaals: als je geen best practices volgt heb je wat uit te leggen.

Mass mailing en deliverability is een vakgebied op zichzelf, dus denk niet dat je dat met een paar minuten googlen onder de knie hebt. Er zijn mass mailing management tools nodig en een domein and IP reputatie.

Ok. Maar wat heeft dit dan met Odido te maken?

Het is slecht dat Odido oude persoonsgegevens heeft bewaard waardoor potentieel communiceren wordt bemoeilijkt. Men gaf aan in de privacyverklaring de data te bewaren voor deze termijnen: 2 jaar voor persoonsgegevens (daar wordt geen overtuigende verklaring voor gegeven), 5 jaar voor kredieten (indien afgelost, ook hier: geen noodzaak), 7 jaar voor facturen (Belastingdienst). Maar dat is duidelijk niet gebeurd als er data uit 2011 is. Dat is een overtreding van de AVG. De bewaartermijn moet ervoor zorgen dat de impact van lekken wordt beperkt.

Dat weten we allemaal al. De AP gaat onderzoek doen. Dat zal wel even duren en moeten we gewoon afwachten.

Vermoeden is dat er bij invoering van Salesforce geen sanitation heeft plaatsgevonden en data uit oude systemen geïmporteerd is. En data geïmporteerd is zonder enige waarde. Zoals mijn zakelijk e-mail adres gebruikt 3 jaar voor het bestellen van een prepay SIM. Zonder contract dus.

We gaan het hopelijk een keer horen. Maar zelfs dan zal er veel ook onbekend blijven.

[mrmrmr]

ernstoud schreef op vrijdag 6 maart 2026 @ 01:31:
Ok. Maar wat heeft dit dan met Odido te maken?

knip. Reageer op een normale manier of reageer niet. Dit trekt de hele sfeer onderuit.

[ Voor 27% gewijzigd door rens-br op 06-03-2026 09:53 ]

[rens-br]

Modbreak:

Laten we proberen op een normale en constructieve manier te discussiëren. Speel op de bal en niet op de man.

[Lord_Dain]

Het is zo jammer dat er voor mijn gevoel hier met een aantal dooddoeners gegooid wordt door mensen en door dit maar blijven te herhalen mogelijk veroorzaken dat mensen die ongerust zijn zich wellicht te geïntimideerd voelen en daardoor niet meer durven te reageren.

Waardoor je vooral de dominante meningen / reageerders overhoud en deze discussie langzaam aan lijkt dood te bloeden. Dat is toch jammer want dit draadje lijkt me toch bedoeld voor het bespreken van deze kwestie en voor het stellen van vragen en kan zelfs helpen met het 'coping' om dit een plekje te geven in het grotere geheel des levens.

Daarnaast en dat vind ik erg jammer, voelt het alsof je weinig of niets negatiefs over Odido mag zeggen.. alsof ze het oprecht goed hebben gedaan/doen.. kom nou even zeg, dit is bijna te surrealistisch voor woorden. Ook al is iets juridisch waar of dichtgemetseld, je kan niet ontkennen dat dit hele gebeuren een grote impact heeft op ons kikkerlandje en bij sommige mensen op persoonlijk vlak.

[edie]

Lord_Dain schreef op vrijdag 6 maart 2026 @ 10:32:
Daarnaast en dat vind ik erg jammer, voelt het alsof je weinig of niets negatiefs over Odido mag zeggen.. alsof ze het oprecht goed hebben gedaan/doen.. kom nou even zeg, dit is bijna te surrealistisch voor woorden. Ook al is iets juridisch waar of dichtgemetseld, je kan niet ontkennen dat dit hele gebeuren een grote impact heeft op ons kikkerlandje en bij sommige mensen op persoonlijk vlak.

Volgens mij is er hier voldoende ruimte om je negatief uit te laten. Zeer veel posts met betrekking tot negatieve ervaringen en andere zaken. En volgens mij is er niemand die zegt dat Odido het goed doet of gedaan heeft?

[SgtElPotato]

Lord_Dain schreef op vrijdag 6 maart 2026 @ 10:32:
Het is zo jammer dat er voor mijn gevoel hier met een aantal dooddoeners gegooid wordt door mensen en door dit maar blijven te herhalen mogelijk veroorzaken dat mensen die ongerust zijn zich wellicht te geïntimideerd voelen en daardoor niet meer durven te reageren.

Waardoor je vooral de dominante meningen / reageerders overhoud en deze discussie langzaam aan lijkt dood te bloeden. Dat is toch jammer want dit draadje lijkt me toch bedoeld voor het bespreken van deze kwestie en voor het stellen van vragen en kan zelfs helpen met het 'coping' om dit een plekje te geven in het grotere geheel des levens.

Daarnaast en dat vind ik erg jammer, voelt het alsof je weinig of niets negatiefs over Odido mag zeggen.. alsof ze het oprecht goed hebben gedaan/doen.. kom nou even zeg, dit is bijna te surrealistisch voor woorden. Ook al is iets juridisch waar of dichtgemetseld, je kan niet ontkennen dat dit hele gebeuren een grote impact heeft op ons kikkerlandje en bij sommige mensen op persoonlijk vlak.

Dat is vreemd. Ik reageer ook regelmatig hier, en ook op onderbuik gevoelens, maar ik probeer het m.i. wel bij de feiten te houden. Onderbuikgevoel en gevoelens zijn prima, maar die lossen niks op.

Mensen die roepen 'waar is die massaclaim' of 'waar is die boete' of 'waarom komt Odido niet met een reactie' zijn begrijpelijke reacties, maar helaas is de praktijk gewoon anders. Een massaclaim gaat niet gestart worden zonder bewezen chade en niet voordat alles op tafel ligt. Het OM / AP en noem maar op gaat geen boetes uitdelen zonder eerst alle informatie te hebben. Odido zal zelf ook duidelijkheid willen hebben voordat ze echt met een statement komen na hun eerste reactie.

Hoe vervelend alles ook is, het is even afwachten. En men moet zeker hun gevoel hier uitten, maar voorzichtig zijn met verwachtingen, gevoel en praktijk staan hier niet dicht bij elkaar helaas.

[Fido]

ernstoud schreef op donderdag 5 maart 2026 @ 20:33:
[...]


Spam filter? Email adres verkeerd?

Voor een aantal gevallen kan je gelijk hebben. Maar ik heb aantoonbaar bewijs dat dit niet in alle gevallen zo is voor adressen die ik zelf beheer.

[Artilux]

Helaas zijn mijn gegevens ook gelekt en dankzij shinyhunters de wereld in geholpen.
Mijn mailadres, welke nog nooit gelekt was en zorgvuldig gebruikt werd, is sinds het lekken van de gegevens helaas al meermaals met spam emails bestookt.
Deze liggen in de hoek van "xMerk tandenborstel gewonnen" en "Pakketdienst Y: Spannend nieuws over uw pakket".
Jammer dat zorgvuldigheid zinloos is, wanneer er zo'n DB op straat komt te liggen.

Ik lees hier wel wat mensen die mails gebruiken zoals "[e-mail]". Dit is iets wat het uitzoeken waard is. Gooi je alles wat op die mail binnen komt gewoon lekker automatisch de kliko in en klaar.

Het zou Odido sieren om inzicht te geven wat er daadwerkelijk allemaal gelekt is/bekend was. In de ingelogde omgeving natuurlijk. Zonder hiervoor je doopkaars en navelstreng digitaal te moeten overhandigen, zoals bij een AVG inzage. Om dit in de lokale zaak te doen zie ik niet zo zitten, die filiaalmanager is daar waarschijnlijk niet voor getraind.

[ernstoud]

Lord_Dain schreef op vrijdag 6 maart 2026 @ 10:32:
Daarnaast en dat vind ik erg jammer, voelt het alsof je weinig of niets negatiefs over Odido mag zeggen.. alsof ze het oprecht goed hebben gedaan/doen.. kom nou even zeg, dit is bijna te surrealistisch voor woorden. Ook al is iets juridisch waar of dichtgemetseld, je kan niet ontkennen dat dit hele gebeuren een grote impact heeft op ons kikkerlandje en bij sommige mensen op persoonlijk vlak.

Je poneert dat je hier niets negatiefs mag zeggen over Odido terwijl er ruim 100 pagina’s klaagzang is over de zgn. slechte communicatie. En dan neem je aan dat het zo is. Het is niet zo. Iedereen mag hier zeggen wat hij/zij wil binnen de huisregels.

[ernstoud]

edie schreef op vrijdag 6 maart 2026 @ 10:56:
[...]

Volgens mij is er hier voldoende ruimte om je negatief uit te laten. Zeer veel posts met betrekking tot negatieve ervaringen en andere zaken. En volgens mij is er niemand die zegt dat Odido het goed doet of gedaan heeft?

Dat laatste is inderdaad een stropop redenering van een aantal Tweakers hier. Stellen dat Odido dit en Odido dat moet, dan zeggen dat ze het niet doen en daar dan over klagen.

Odido moet niets. Gewoon aannemen dat Odido het minimale gedaan heeft, nl. conform artikel 34 lid 1 van de AVG binnen hun macht de klanten onverwijld heeft geïnformeerd, en dat er redenen zullen zijn voor de relatieve radiostilte (hoewel ik de informatievoorziening op hun website redelijk correct vind) is ook een mogelijkheid.

Er loopt een onderzoek. De hackers hebben data achtergehouden. De rest is openbaar. Stel dat (kleine kans) de servers en daders gevonden worden inclusief daarop de achtergehouden data. Dan is dat bewijs. Daderkennis. Kan een reden zijn dat partijen niet communiceren wat er allemaal gelekt is.

Er zijn legio andere redenen te bedenken. Wellicht horen we dat nog.

[PTish]

Geen idee wat ik van deze mail van coinmerce moet vinden... Ze hebben alle emailadressen van klanten door een externe dienst gehaald? Ja ik vertrouw haveibeenpwned, maar ik heb niet coinmerce verzocht om mijn emailadres door hun systeem te halen...

We nemen contact met je op omdat onze beveiligingsmonitoring heeft vastgesteld dat je e-mailadres voorkomt in het recente Odido-datalek. Deze informatie is geïdentificeerd via de betrouwbare dienst Have I Been Pwned.


Dit datalek is niet afkomstig van Coinmerce en we hebben tot nu toe geen verdachte activiteit op je Coinmerce-account waargenomen. In sommige gevallen kan blootgestelde persoonlijke informatie via een ander bedrijf worden gebruikt voor phishingpogingen of andere frauduleuze berichten.

Wat we aanbevelen
Schakel Two-Factor Authentication (2FA) in: Als je dit nog niet hebt gedaan, schakel dan 2FA in op je Coinmerce-account en op je e-mailaccount. Dit voegt een extra beveiligingslaag toe bovenop je wachtwoord.
Blijf alert: Wees voorzichtig met e-mails, sms-berichten of telefoontjes waarin je wordt gevraagd op links te klikken of persoonlijke gegevens te delen. Controleer altijd eerst de afzender voordat je actie onderneemt.

Wat wij doen
Hoewel dit datalek niet bij Coinmerce is ontstaan, nemen wij proactieve maatregelen om de bescherming van accounts verder te versterken.

Extra verificatie: Je kunt af en toe gevraagd worden om aanvullende identiteitsverificatie bij bepaalde transacties of accountwijzigingen.
Handmatige controles: Sommige verzoeken kunnen iets langer duren omdat ons team extra controles uitvoert om ervoor te zorgen dat je account veilig blijft.
Deze voorzorgsmaatregelen zijn bedoeld om een extra beveiligingslaag te bieden na dit externe datalek.

[ Voor 5% gewijzigd door PTish op 06-03-2026 12:42 ]

[ernstoud]

Fido schreef op vrijdag 6 maart 2026 @ 11:37:
[...]

Voor een aantal gevallen kan je gelijk hebben. Maar ik heb aantoonbaar bewijs dat dit niet in alle gevallen zo is voor adressen die ik zelf beheer.

Ik vermoed maar zo dat de AP op basis van artikel 34 lid 1. dan in hun rapportage zal noemen dat de informatievoorziening beter had gekund. En wellicht krijgt dat dan wat invloed op de hoogte van de boete.

[Dacuuu]

PTish schreef op vrijdag 6 maart 2026 @ 12:37:
Geen idee wat ik van deze mail van coinmerce moet vinden...


[...]

Kreeg m ook, ik weet tot op heden ook niet wat ik er van moet vinden, de neig wel de kant op van.. WTF waarom stuur je deze mail..persoonlijk had ik zoiets nooit verzonden als ik coinmerce was..

[Cobb]

SambalBij schreef op woensdag 4 maart 2026 @ 15:04:
[...]

Die check van F-Secure werkt net even andersom. Je voert je e-mailadres in, en krijg dan de lijst te zien wat er is gelekt. Niet alleen de categorie (naam, geboortedatum) maar ook de daadwerkelijke gegevens.
Ik vermoed dat ze dat rijbewijsnummer van allemaal 9's als placeholder gebruiken, want bij staan er twee rijbewijsnummers in de lijst; die met 9's, én mijn echte rijbewijsnummer.

Wacht even...kun je met een willekeurig e-mail adres deze gegevens krijgen? Maw als jij mijn e-mail invult in de F secure app dan krijg jij mijn gelekte gegevens te zien?

[laurens0619]

Cobb schreef op vrijdag 6 maart 2026 @ 13:35:
[...]

Wacht even...kun je met een willekeurig e-mail adres deze gegevens krijgen? Maw als jij mijn e-mail invult in de F secure app dan krijg jij mijn gelekte gegevens te zien?

nee alleen na verificatie dat je eigenaar van email account bent (linkje klikken/getal intikken etc)

[Treem]

laurens0619 schreef op vrijdag 6 maart 2026 @ 13:49:
[...]

nee alleen na verificatie dat je eigenaar van email account bent (linkje klikken/getal intikken etc)

De ander kan wel zien dat er er evt hacks of pogingen tot hacks zijn op dat e-mail adres.
Maar id pas na verificatie krijg je inzicht in de data.
(Wat opzich misschien ook niet heel fijn is, maar zo werkt hipb ook)

[Gr4mpyC3t]

Lord_Dain schreef op vrijdag 6 maart 2026 @ 10:32:
Het is zo jammer dat er voor mijn gevoel hier met een aantal dooddoeners gegooid wordt door mensen en door dit maar blijven te herhalen mogelijk veroorzaken dat mensen die ongerust zijn zich wellicht te geïntimideerd voelen en daardoor niet meer durven te reageren.

Waardoor je vooral de dominante meningen / reageerders overhoud en deze discussie langzaam aan lijkt dood te bloeden. Dat is toch jammer want dit draadje lijkt me toch bedoeld voor het bespreken van deze kwestie en voor het stellen van vragen en kan zelfs helpen met het 'coping' om dit een plekje te geven in het grotere geheel des levens.

Daarnaast en dat vind ik erg jammer, voelt het alsof je weinig of niets negatiefs over Odido mag zeggen.. alsof ze het oprecht goed hebben gedaan/doen.. kom nou even zeg, dit is bijna te surrealistisch voor woorden. Ook al is iets juridisch waar of dichtgemetseld, je kan niet ontkennen dat dit hele gebeuren een grote impact heeft op ons kikkerlandje en bij sommige mensen op persoonlijk vlak.

Iedere mening telt, maar zo’n mening gaat meestal gepaard met aannames en vreemde conclusies. Het gevaar is dat er een beeld van de situatie ontstaat dat simpelweg niet klopt.

Als dit vervolgens als copingmechanisme wordt ingezet om een schadevergoeding te eisen, of om te melden dat je ineens spam krijgt (nog voordat er informatie gepubliceerd was) en weet ik wat nog meer, dan vind ik dat best kwalijk. Je zet andere lezers op het verkeerde been en voor je het weet ontstaat er een onrealistisch beeld.

Je mag alles over Odido zeggen, maar doe dat wel op basis van de informatie die bekend is of de feitelijke ervaringen die mensen met die lui hebben. Ik vind het zelf ook een trieste bedoeling en ben totaal niet gelukkig met de gang van zaken. Maar juist omdat dit een grote impact heeft en veel mensen zich zorgen maken, moet je de waarheid vertellen en zeggen waar het op staat. Veel is simpelweg nog niet bekend, ga daar dan ook geen verhalen over verzinnen.

Als dat wordt bestempeld als 'dooddoeners' of het opleggen van een mening, dan mag je dat vinden. Maar naar mijn idee hou je elkaar op deze manier alleen maar voor de gek met dingen die er (nog) niet zijn.

[donkerlicht]

Dacuuu schreef op vrijdag 6 maart 2026 @ 12:42:
[...]


Kreeg m ook, ik weet tot op heden ook niet wat ik er van moet vinden, de neig wel de kant op van.. WTF waarom stuur je deze mail..persoonlijk had ik zoiets nooit verzonden als ik coinmerce was..

Is eigenlijk net zoals Bunq deed (nieuws: Bunq lijkt Odido-slachtoffers gericht te benaderen met antifraudemails). Ik zou dat niet oké vinden. Nu gebruik ik geen Coinmerfe en Bunq, maar zou me er niet fijn bij voelen wanneer ze dergelijk berichten gaan sturen naar alleen de mensen die te maken hebben met Odido/Ben.

Ik heb overigens nog helemaal niets gezien. Op de gelekte mailadressen en telefoonnummers is nog vrij weinig binnengekomen na het datalek. Ik begin mij bijna achtergesteld te voelen.

[laurens0619]

donkerlicht schreef op vrijdag 6 maart 2026 @ 13:59:
[...]

Is eigenlijk net zoals Bunq deed (nieuws: Bunq lijkt Odido-slachtoffers gericht te benaderen met antifraudemails). Ik zou dat niet oké vinden. Nu gebruik ik geen Coinmerfe en Bunq, maar zou me er niet fijn bij voelen wanneer ze dergelijk berichten gaan sturen naar alleen de mensen die te maken hebben met Odido/Ben.

Ik heb overigens nog helemaal niets gezien. Op de gelekte mailadressen en telefoonnummers is nog vrij weinig binnengekomen na het datalek. Ik begin mij bijna achtergesteld te voelen.

En net zoiets als Tweakers heeft gedaan
Wachtwoordreset n.a.v. wachtwoordlijsten


Ik geloof dat Tweakers zelfs nog stapje verder ging en geautomatiseerd ging testen of de gelekte wachtwoorden hetzelfde waren op tweakers, dat laatste weet ik alleen niet zeker.

.plan: Tweakers waarschuwt accounthouders voor uitgelekte wachtwoorden

Het is allemaal complex en grijs gebied maar ik denk dat de intentie niet verkeerd is

[ Voor 21% gewijzigd door laurens0619 op 06-03-2026 14:22 ]

[donkerlicht]

laurens0619 schreef op vrijdag 6 maart 2026 @ 14:21:
[...]

En net zoiets als Tweakers heeft gedaan
Wachtwoordreset n.a.v. wachtwoordlijsten


Ik geloof dat Tweakers zelfs nog stapje verder ging en geautomatiseerd ging testen of de gelekte wachtwoorden hetzelfde waren op tweakers, dat laatste weet ik alleen niet zeker.

.plan: Tweakers waarschuwt accounthouders voor uitgelekte wachtwoorden

Het is allemaal complex en grijs gebied maar ik denk dat de intentie niet verkeerd is

De intentie kan nog zo goed zijn, maar ik zit helemaal niet op zulke bemoeienissen te wachten. Aan de andere kant wordt het ook vrij lastig in mijn geval. Overal gebruik ik een uniek mailadres en unieke wachtwoorden. Dus het opsporen is dan wel wat lastiger.

Alleen een bank zou aan de hand van betalingen kunnen zien of ik een connectie heb met een ander bedrijf. Maar zodra dat gebeurt, ben ik er weg want heb liever nog een gevoel van privacy. Al weet ik best dat banken transacties monitoren. Als ik op basis daarvan mails ontvang, vertrek ik.

[laurens0619]

donkerlicht schreef op vrijdag 6 maart 2026 @ 14:28:
[...]

De intentie kan nog zo goed zijn, maar ik zit helemaal niet op zulke bemoeienissen te wachten. Aan de andere kant wordt het ook vrij lastig in mijn geval. Overal gebruik ik een uniek mailadres en unieke wachtwoorden. Dus het opsporen is dan wel wat lastiger.

Alleen een bank zou aan de hand van betalingen kunnen zien of ik een connectie heb met een ander bedrijf. Maar zodra dat gebeurt, ben ik er weg want heb liever nog een gevoel van privacy. Al weet ik best dat banken transacties monitoren. Als ik op basis daarvan mails ontvang, vertrek ik.

Ik snap het helemaal.
Tegelijk worden er enorm veel accounts gehackt omdat mensen vaak wachtworoden hergebruiken.
Als een dienst dan automatisch een wachtwoord reset doet omdat het gelekte wachtwoord overeenkomt met het eigen wachtwoord dan helpt dat wel tegen de beveiliging.

Tegelijk snap ik ook wel de keerzij, waar bemoeit die club zich mee

[Jerie]

SgtElPotato schreef op woensdag 4 maart 2026 @ 18:51:
[...]


Is dat niet wat vrijwel iedere ISP doet? Nu heb ik geen bewijs of een LinkedIn post maar Ziggo en KPN kunnen ook op afstand in je router, zit er dan geen 'backdoor' in die meta data verzameld en eventueel verkoopt?

Sorry maar hoe kom je hier bij? Doet Fritz! van AVM dit ook dan? Doet mijn SFP+ dit ook?

[Lord_Dain]

Jerie schreef op vrijdag 6 maart 2026 @ 14:51:
[...]


Sorry maar hoe kom je hier bij? Doet Fritz! van AVM dit ook dan? Doet mijn SFP+ dit ook?

Nee hoor, jarenlang Fritzbox gehad en die kon je gewoon flashen met firmware, daar kon KPN/XS4all echt niet op inloggen op afstand. Als er al een backdoor in die Fritz zat dan was dat een door AVM ingebakken algemene backdoor.

[localhost]

Lord_Dain schreef op vrijdag 6 maart 2026 @ 15:03:
[...]
Nee hoor, jarenlang Fritzbox gehad en die kon je gewoon flashen met firmware, daar kon KPN/XS4all echt niet op inloggen op afstand.

TR-069 en ACS.
https://fritz.com/en-nl/a...-FRITZ-Box-support-TR-069

[Lord_Dain]

localhost schreef op vrijdag 6 maart 2026 @ 15:11:
[...]

TR-069 en ACS.
https://fritz.com/en-nl/a...-FRITZ-Box-support-TR-069

Klopt, maar je kan het disablen in de GUI, evt. na het flashen van een nieuwe firmware. Ik moet er trouwens niet aan denken dat een provider dit locked.. als ik al geen eigen router gebruikte zou dat een reden zijn om die ISP router in de doos te laten iig.

[ Voor 19% gewijzigd door Lord_Dain op 06-03-2026 15:17 ]

[Pazo]

Artilux schreef op vrijdag 6 maart 2026 @ 12:14:

Ik lees hier wel wat mensen die mails gebruiken zoals "[e-mail]". Dit is iets wat het uitzoeken waard is. Gooi je alles wat op die mail binnen komt gewoon lekker automatisch de kliko in en klaar.

Ja, maar Odido heeft ook het oude e-maildadres bewaard. Ik heb vorig jaar mijn mail gewijzigd in [e-mail]. Maar zowel die, als mij vorige e-mailadres zijn gelekt... dus in dit geval helpt het weinig.

[Jerie]

Lord_Dain schreef op vrijdag 6 maart 2026 @ 15:13:
[...]


Klopt, maar je kan het disablen in de GUI, evt. na het flashen van een nieuwe firmware. Ik moet er trouwens niet aan denken dat een provider dit locked.. als ik al geen eigen router gebruikte zou dat een reden zijn om die ISP router in de doos te laten iig.

Sinds wanneer kun je nog custom firmware flashen op de nieuwste Fritz HW? Ik dacht dat ze van Freetz af waren gestapt. Freetz gebruikte ik vroeger trouwens wel.

[Jerie]

donkerlicht schreef op vrijdag 6 maart 2026 @ 14:28:
[...]

De intentie kan nog zo goed zijn, maar ik zit helemaal niet op zulke bemoeienissen te wachten. Aan de andere kant wordt het ook vrij lastig in mijn geval. Overal gebruik ik een uniek mailadres en unieke wachtwoorden. Dus het opsporen is dan wel wat lastiger.

Je zit niet op dergelijke bemoeienis te wachten, prima. Dan vertrek je toch bij de betreffende dienst? Ik zit er wel op te wachten. Ik krijg zo vaak een email die mij niet interesseert. Als het te vaak zou gebeuren -> unsubscribe / spam filter. Daarnaast in geval van T.net is er een belang voor de community (en T.net/GoT mods) omdat het het geheel hier schoner houdt. Zo is het tegengaan van oplichting ook in het algemeen belang. Als oplichters een lage tot geen signal to noise hebben (successrate) dan staken ze wel.

Alleen een bank zou aan de hand van betalingen kunnen zien of ik een connectie heb met een ander bedrijf. Maar zodra dat gebeurt, ben ik er weg want heb liever nog een gevoel van privacy. Al weet ik best dat banken transacties monitoren. Als ik op basis daarvan mails ontvang, vertrek ik.

(Nee, ze doen gewoon in de dataset zoeken naar BUNQ IBANs, en kijken dan naar het gelinkte email adres. Die waarschuwen ze dan.)

Je zit anders nog steeds op T.net/GoT.

[Jerie]

Artilux schreef op vrijdag 6 maart 2026 @ 12:14:

Ik lees hier wel wat mensen die mails gebruiken zoals "[e-mail]". Dit is iets wat het uitzoeken waard is. Gooi je alles wat op die mail binnen komt gewoon lekker automatisch de kliko in en klaar.

Zoek in dit topic naar 'aspergesoep' voor tenminste drie verschillende schema's/strategieën.

[edie]

Jerie schreef op vrijdag 6 maart 2026 @ 15:43:
[...]

(Nee, ze doen gewoon in de dataset zoeken naar BUNQ IBANs, en kijken dan naar het gelinkte email adres. Die waarschuwen ze dan.)

Mooie aanname. En fout. Quote uit de email van 12 februari

Earlier today, Odido announced a data leak affecting 6 million of their users, which may have included bank account numbers and other personal information.

"Earlier today". Dat is dus op de dag van bekendmaking door Odido. Bunq heeft dus gewoon de transactie-geschiedenis ingekeken van (sommige) klanten en die zo'n email gestuurd.

[Jerie]

Gr4mpyC3t schreef op donderdag 5 maart 2026 @ 16:41:
[...]


Het is niet de taak van Odido om jou te informeren wat de context is van deze hack. Daar hebben we juist de media voor.

Een beetje inlevingsvermogen is er toch wel? Als je met een datalek te maken hebt ligt de prioriteit bij het voorkomen van nieuwe schade en het vaststellen van de feiten. Laat ze lekker daar de focus op houden en vooral zorgen dat dit nooit meer voorkomt. Als alles rond is dan verwacht ik daar nog wel communicatie vanuit Odido over, maar dan is het tenminste uitgezocht en feitelijk onderbouwd. Dat vind ik 100x belangrijker dan excuses.

En als jij zegt dat er false positives zijn is er al helemaal een reden voor Odido om zich te onthouden van communicatie. Dan maak je klanten helemaal in de war met informatie dat simpelweg niet betrouwbaar is.

Op de handen zitten en afwachten tot er meer informatie komt is (blijkbaar) heel lastig voor sommigen.

Op de handen zitten en afwachten is meestal niet zo verstandig in een situatie als deze. Dat is waarschijnlijk ook de reden geweest dat Odido slachoffer is geworden. Want een interne audit had dit makkelijk boven water kunnen brengen. Waarschijnlijk was dit probleem dan ook bekend.

Er is sprake van true negatives, niet false positives. True negatives zijn in dit geval ernstiger dan false positives (of dat altijd zo is, verschilt per context). Een false positive zou een oud-klant zijn waarvan ze zeggen dat data gelekt is, terwijl dat niet zo blijkt te zijn. Daar zijn nul aanwijzingen voor. Een true negative is iemand waarvan wel data is gelekt, maar die niet op de hoogte is gesteld (niet hypotethisch: daar zijn meerdere meldingen van op de FP en GoT). Dat vind ik behoorlijk ernstig (en ernstiger dan een false positive), en ook relatief makkelijk te voorkomen:

Je maakt een lijst van iedereen die je op de hoogte hebt gesteld. Je vergelijkt die data met de data uit het datalek.

Maar er is ook nog een complicatie: namelijk scheidingen (andere PII, gedeelde PII), oude namen (trouwen ed.), verandering van bank, verhuizing, samenwonen, enz.

Om je een vergelijking te geven. Ik heb regelmatig false positives in mijn spamfilter, maar het aantal true negatives is per jaar op 1 hand te tellen.

[SgtElPotato]

Jerie schreef op vrijdag 6 maart 2026 @ 14:51:
[...]


Sorry maar hoe kom je hier bij? Doet Fritz! van AVM dit ook dan? Doet mijn SFP+ dit ook?

Zou zo maar kunnen. Ga er maar vanuit dat een router / modem van je ISP dit kan verzamelen, doorsturen en eventueel doorverkopen.

[Jerie]

edie schreef op vrijdag 6 maart 2026 @ 16:17:
[...]

Mooie aanname. En fout. Quote uit de email van 12 februari

[...]

"Earlier today". Dat is dus op de dag van bekendmaking door Odido. Bunq heeft dus gewoon de transactie-geschiedenis ingekeken van (sommige) klanten en die zo'n email gestuurd.

Bedoel je dat die Bunq e-mail op die dag de deur uit is gegaan? Dan zijn ze behoorlijk pro-actief te werk gegaan.

[edie]

Jerie schreef op vrijdag 6 maart 2026 @ 16:21:
[...]


Bedoel je dat die Bunq e-mail op die dag de deur uit is gegaan? Dan zijn ze behoorlijk pro-actief te werk gegaan.

Ja. Zie de screenshot in nieuws: Bunq lijkt Odido-slachtoffers gericht te benaderen met antifraudemails. Dus ze hebben helemaal niet naar bunq IBANs kunnen zoeken in de dataset, want die was op dat moment nog helemaal niet beschikbaar.

[Jerie]

SgtElPotato schreef op vrijdag 6 maart 2026 @ 16:21:
[...]


Zou zo maar kunnen. Ga er maar vanuit dat een router / modem van je ISP dit kan verzamelen, doorsturen en eventueel doorverkopen.

Dat het zomaar zou kunnen, zo ver was ik al. Maar daar heb ik niets aan, dat is mij namelijk al jaren bekend. Want ik ken de voorbeelden van de VS, en ik weet ook dat dit soort routers vaak zo lek zijn als een mandje.

In dit geval blijkt dat ook te kloppen (want ze verifiëren een TLS cert niet), en bovendien sturen ze ook nog eens door naar een Turkse databoer. Why?! Dat mag helemaal niet van de AVG.

[Jerie]

edie schreef op vrijdag 6 maart 2026 @ 16:24:
[...]

Ja. Zie de screenshot in nieuws: Bunq lijkt Odido-slachtoffers gericht te benaderen met antifraudemails. Dus ze hebben helemaal niet naar bunq IBANs kunnen zoeken in de dataset, want die was op dat moment nog helemaal niet beschikbaar.

Ah, OK, dat is wel een opheldering waar je u tegen zegt. Apart dat Tijs het niet specifiek wilde noemen, toen heb ik het ook maar opgegeven. Wellicht dat Bunq hier nog voor op de vingers getikt gaat worden. Ik ben overigens klant bij Odido, en heb nooit deze e-mail van ze ontvangen

Wel ontving ik op 19 februari 2026 de volgende e-mail:

Hey <name>,

Scammers use elaborate tricks designed to access your personal information.

Keep your money safe by spotting red flags that reveal when scammers are at work. They may pose as bunq employees or other trusted institutions and try to:

🚩 Claim your account or money is at risk
🚩 Request an urgent payment from you
🚩 Ask you to install software
🚩 Pressure you to take immediate action
🚩 Ask you to share personal details, like your card number, password, or CVC

bunq will never call you to ask for personal information, make payments, or instruct you to install any software — if we need to get in touch, we’ll use the secure environment of your bunq app.

If someone calls you pretending to be from bunq: hang up immediately! Only contact bunq Support through the secure chat in your bunq app — available 24/7. Need urgent help? Use the SOS hotline directly in your bunq app.
Image
Tips to keep your money safe from fraud:


Check sender addresses and URLs for subtle discrepancies: fraudsters may try to use ones that look familiar at first glance.
Be skeptical of unsolicited messages with links: don’t click unless you’re sure. If something feels off, trust your gut!
If you run into something suspicious, no matter how small, report it so we can investigate right away.
While we stay vigilant on our end, we're also putting you in full control. Your bunq app is equipped with a suite of advanced security features that make it easy for you to always stay one step ahead of scammers.

Learn More
To find out more about keeping your money safe, visit our Help Center.
Stay safe!

bunq
bank of The Free
Keep your money safe
For your safety, please remember that bunq employees will NEVER call you. We'll NEVER ask for your PIN or login details. If someone calls you claiming to be a bunq employee, hang up the phone and report them here.

Need help? Get 24/7 Instant Support, directly in the bunq app. We're always ready to answer your questions.

[donkerlicht]

Jerie schreef op vrijdag 6 maart 2026 @ 15:43:
[...]


Je zit niet op dergelijke bemoeienis te wachten, prima. Dan vertrek je toch bij de betreffende dienst? Ik zit er wel op te wachten. Ik krijg zo vaak een email die mij niet interesseert. Als het te vaak zou gebeuren -> unsubscribe / spam filter. Daarnaast in geval van T.net is er een belang voor de community (en T.net/GoT mods) omdat het het geheel hier schoner houdt. Zo is het tegengaan van oplichting ook in het algemeen belang. Als oplichters een lage tot geen signal to noise hebben (successrate) dan staken ze wel.


[...]


(Nee, ze doen gewoon in de dataset zoeken naar BUNQ IBANs, en kijken dan naar het gelinkte email adres. Die waarschuwen ze dan.)

Je zit anders nog steeds op T.net/GoT.

Zeker, maar die reset was ook twee jaar voordat ik een account hier aanmaakte. Heb er destijds niets van gemerkt… en wist er ook niet van.

[Jerie]

donkerlicht schreef op vrijdag 6 maart 2026 @ 17:01:
[...]

Zeker, maar die reset was ook twee jaar voordat ik een account hier aanmaakte. Heb er destijds niets van gemerkt… en wist er ook niet van.

Wat ga je doen nu je het weet?

Ander voorbeeld: je hebt diensten waar je verplicht MFA moet instellen. Terwijl jij best verantwoordelijk genoeg kunt zijn om een sterk, uniek wachtwoord te gebruiken.

Vervolgens heb je ook diensten waar ze enkel SMS hebben middels SMS. Dus moet je je telnummer afgeven, en MFA enkel middels SMS.

Welke van deze twee vind jij een groter probleem?

[ernstoud]

Jerie schreef op vrijdag 6 maart 2026 @ 16:25:
[...]
In dit geval blijkt dat ook te kloppen (want ze verifiëren een TLS cert niet), en bovendien sturen ze ook nog eens door naar een Turkse databoer. Why?! Dat mag helemaal niet van de AVG.

In het verhaal waar je naar refereert (https://www.linkedin.com/...2wxMOSQKmUytwA12HMA%3D%3D) is sprake van device namen, zolang jij je AP niet een privacy gevoelige naam geeft, lijkt me dit niets met verwerken van persoonsgegevens te maken te hebben.

Netjes is het echter niet en een opt-out (beter nog: opt-in of helemaal niet doen) is beter.

[Fido]

laurens0619 schreef op vrijdag 6 maart 2026 @ 13:49:
[...]
nee alleen na verificatie dat je eigenaar van email account bent (linkje klikken/getal intikken etc)

Ok, dus als mijn mailbox gehackt is, dan is het nog een koud kunstje om via F-Secure de rest van de gegevens los te peuteren.

[Jerie]

makreel schreef op zaterdag 14 februari 2026 @ 10:00:
[...]

https://www.rdi.nl/actuee...te-op-van-ruim-15-miljoen

Yup, en dit was bij de overheid al bekend sinds 2021/22:

Na het doen van het feitenonderzoek in 2021 en 2022 concludeerde de RDI dat de beveiliging van het tapsysteem van Odido op meerdere onderdelen tekortschoot.

Allereerst bleek dat Odido geen beveiligingsplan had, terwijl het hebben van een beveiligingsplan wettelijk verplicht is. Dit plan is essentieel voor een adequate beveiliging van het aftapsysteem. Hierin moet aangegeven worden welke maatregelen worden genomen om het aftapsysteem te beveiligen.

Het onderzoek liet daarnaast zien dat het personeel dat toegang had tot aftapsystemen niet goed was gescreend. Bij een groot deel van hen ontbrak een adequate functieomschrijving, een ondertekende geheimhoudingsverklaring of een Verklaring Omtrent het Gedrag (VOG). Ook hadden personen die niet belast waren met de verwerking van aftapgegevens toegang tot aftapgegevens.

Tot slot is vastgesteld dat de digitale toegangsbeveiliging van de aftapsystemen onvoldoende was. Een gevolg hiervan is dat leveranciers digitaal toegang hadden tot het aftapsysteem waardoor deze leveranciers mogelijk inzage konden krijgen in staatsgeheime of strafrechtelijke informatie.

Odido heeft het aftapsysteem inmiddels vernieuwd. Daarmee zijn de risico’s op ongeoorloofde toegang weggenomen.

Overigens had het tapsysteem van onze politie ook een probleempje, er zat namelijk een achterdeur in van de Israelische vendor, zo schreef FTM een tijdje geleden. Vandaar dat men het airgapped gebruikt.

[laurens0619]

Fido schreef op vrijdag 6 maart 2026 @ 17:46:
[...]

Ok, dus als mijn mailbox gehackt is, dan is het nog een koud kunstje om via F-Secure de rest van de gegevens los te peuteren.

Tja zo heb je zoveel theoretische risicos.
Je moet naar netto security kijken, het heeft ook voordelen dat ze het beschikbaar stellen.

als een crimineel je mailbox hackt en die info wil dan haalt die hem zelf wel van darkweb.. die gaan echt geen f secure gebruiken

[Jerie]

ernstoud schreef op vrijdag 6 maart 2026 @ 17:15:
[...]


In het verhaal waar je naar refereert (https://www.linkedin.com/...2wxMOSQKmUytwA12HMA%3D%3D) is sprake van device namen, zolang jij je AP niet een privacy gevoelige naam geeft, lijkt me dit niets met verwerken van persoonsgegevens te maken te hebben.

Netjes is het echter niet en een opt-out (beter nog: opt-in of helemaal niet doen) is beter.

Er is niet eens een notificatie dat het verzameld wordt!

Een persoonsgegeven is alles dat aan jou te relateren is. De naam van je SSID is een persoonsgegeven, kun je o.a. via Wigle opzoeken (beide is al eerder gezegd). Ook de devicenamen van de clients staan erbij. Ook dat zijn persoonsgegevens. Het is niet voor niets dat men die niet zomaar mag opslaan!

En dat ze TLS niet checken ga je ook niet op in. Dat is gewoon een lek.

Ik weet het, modems (lees: routers) die je van internetproviders krijgt zijn in de regel een brakke zooi. Maar dit is wel beneden het te verwachten peil!

[ernstoud]

Jerie schreef op vrijdag 6 maart 2026 @ 17:57:
[...]


Er is niet eens een notificatie dat het verzameld wordt!

Een persoonsgegeven is alles dat aan jou te relateren is. De naam van je SSID is een persoonsgegeven,

Erg onduidelijk dus of een SSID een persoonsgegeven is. Ik vind het erg discutabel.

Volgens de AP is een MAC dat wel. En het label in het oor van een koe ook. Want terug te voeren naar de boer.

Veel discussie altijd in mijn werk als auditor. Geboortekaartje van juffrouw Annie kan niet op het prikbord… want naam van baby staat er op.

Ik ben vrijwilliger in een verzorgingstehuis. Ik mag de voornamen van de bewoners niet weten.

Zucht.

Ook de devicenamen van de clients staan erbij. Ook dat zijn persoonsgegevens.

Ik betwijfel het maar goed bij twijfel kan de AP uitspraak doen.

Jammer dat deze link niet meer werkt:



Want ik denk dat er stond dat het alleen een direct persoonsgegeven is als je het een naam van een persoon geeft.

Google heeft jaren geleden wel geschikt met wat toen nog het CPB heette omdat ze SSID’s combineerden met locatiegegevens.

Maar goed, we dwalen af.

[Jerie]

ernstoud schreef op vrijdag 6 maart 2026 @ 18:19:
[...]


[Afbeelding]

Erg onduidelijk dus of een SSID een persoonsgegeven is. Ik vind het erg discutabel.

Volgens de AP is een MAC dat wel. En het label in het oor van een koe ook. Want terug te voeren naar de boer.

Veel discussie altijd in mijn werk als auditor. Geboortekaartje van juffrouw Annie kan niet op het prikbord… want naam van baby staat er op.

Ik ben vrijwilliger in een verzorgingstehuis. Ik mag de voornamen van de bewoners niet weten.

Zucht.


[...]


Ik betwijfel het maar goed bij twijfel kan de AP uitspraak doen.

Jammer dat deze link niet meer werkt:

[Afbeelding]

Want ik denk dat er stond dat het alleen een direct persoonsgegeven is als je het een naam van een persoon geeft.

Google heeft jaren geleden wel geschikt met wat toen nog het CPB heette omdat ze SSID’s combineerden met locatiegegevens.

Maar goed, we dwalen af.

Het beroep 'auditor' zegt me net zoveel als 'hacker', 'econoom', of 'expert'.

Zo kan ik me nog herinneren dat Danny Mekic regelmatig op TV was als 'internetexpert'. Dat hij op dat moment bij de domeinkaper Moerstaal werkte werd voor het gemak nooit vermeld. Die domeinkaper is trouwens op een gegeven moment begonnen met email aanbieden op die domeinen, om zo via deze maas domeinen te blijven registreren (om die vervolgens voor veel geld te verkopen). Eventuele gebruikers van e-mail op dat domein, hadden dan pechovic. Zijn antwoord? Neem je toch een van de vele andere domeinen? Even afgezien van al het werk dat je dan hebt als je afhankelijk zou zijn is dit totaal niet de opzet van .nl / SIDN. Allemaal terug te lezen in de archieven van Netkwesties en Webwereld

Also, AI resultaat? Mijn hemel, waarom link je niet gewoon naar de bron

Ik vind er niets discutabels aan. 'Tenzij het te herleiden is naar een natuurlijk persoon' is bij plaintekst opslag een kwestie van wil je dat ja of nee? Het is daarmee puur een skillcheck / retardcheck. Dus moet je iets doen als een one way hash. Daarmee kun je nog steeds bijvoorbeeld statistiek bijhouden, maar je kunt niet een specifiek persoon volgen. Data is a toxic asset, so let's throw it out. Naast Wigle zijn er vele andere databases. Google en Apple inderdaad, gebruiken dit al jaren. Ze gebruiken opt-out: als je nomap achter in het SSID zet, dan zetten ze je niet in de database. Maar Microsoft gebruikt optout. En dus krijg je lelijke SSIDs (blabla_nomap_optout (of andersom), enz.), die irritant invoeren kunnen zijn in bepaalde clients, en die ook nog eens opvallen in een eventuele dataset waar men schijt heeft aan opt-out (of niet eens informeert over verzameling).

En wat bedoel je met de link niet werkt? https://www.autoriteitper...paraten/wifi-en-bluetooth die werkt toch gewoon?

Je mag ook best e.e.a. volgens AVG, als je het maar duidelijk specificeert.

Iets als een geboortekaartje, vind ik een geinig voorbeeld omdat ik toen onze dochter werd geboren exact hetzelfde dacht omdat die geboortjekaartjes aan de muur hingen (gezellig, samen), mensen strak staan van de hormonen rond deze tijd, en mensen foto's maken van die geboortekaartjes, en gezellig op Facebook delen. Het is een typisch voorbeeld van waar de digitalisering van onze maatschappij mogelijk voor regressies zorgt. Regressies die er voor de digitalisering niet of nauwelijks waren.

[CR2032]

Inmiddels email en telefoonnummer gewijzigd na de Odido hack.
Helaas was het nieuwe telefoonnummer ook gelekt bij een andere hack volgens F-Secure Total.
Na enige discussie met de provider en 3 pogingen later; nu wel een schoon telefoonnummer.

Ik heb als extra ook een burner telefoonnummer genomen met een prepaid eSIM. Voor alle shops en dingen waar je verplicht altijd je telefoonnummer moet achterlaten en het er verder toch niet toe doet.

Simyo (KPN) heeft een mooie deal voor 5 euro met onbeperkt geldig beltegoed. Dat telefoonnummer was gelukkig direct al schoon. Het enige is dat je eens in de zes maanden een teken van leven moet geven met een telefoontje doen of bericht sturen. Dat is prima te doen.

[ernstoud]

Jerie schreef op vrijdag 6 maart 2026 @ 19:02:
[...]
Het beroep 'auditor' zegt me net zoveel als 'hacker', 'econoom', of 'expert'.

40 jaar IT ervaring, CISA, CISSP, ISO27001/9001 en NEN7510 auditor 15 jaar voor diverse instanties, security officer voor Achmea, Urenco, kerncentrale Borssele, honderden organisaties nationaal en een paar internationaal geauditeerd, docent, spreker, af en toe beetje hacken, auteur, gewerkt bij PHILIPS, Deloitte, Microsoft, e.v.a. … daarna zelfstandige. Wereld gezien.

Ja, ik had een beroep. Goedbetaald overigens. Nu lekker rentenieren.

Also, AI resultaat? Mijn hemel, waarom link je niet gewoon naar de bron

Niet zo denigrerend.

Luiheid. Heb net een café middag verzorgt als vrijwilliger in een verzorgingstehuis, afwas daar gedaan e.d., heb dan niet de energie voor lange epistels.

En wat bedoel je met de link niet werkt? https://www.autoriteitper...paraten/wifi-en-bluetooth die werkt toch gewoon?

De link werkt wel maar geeft niet de informatie die Google bij de link toont.

[Martinez-]

Irrelevant. Niet nodig.

[ Voor 108% gewijzigd door Martinez- op 06-03-2026 22:43 ]

[beyazz06]

Martinez- schreef op vrijdag 6 maart 2026 @ 21:02:
[...]


Zelf in 2023 wachtwoordlijsten downloaden (niet vanuit journalistieke redenen) en dan hier iedereen keihard op de vingers tikken als je überhaupt het woord dataset zegt.

Het kan verkeren!

Edit: een stukje context erbij: toen probeerde Tweakers zich te wapenen tegen enige fraude via accounts. Nu willen wij exact hetzelfde bereiken maar dienen we dat via een derde te doen. Dat voelt dan toch ietwat scheef.

Knip. Dank voor je feedback, feedback op de moderatie zien we echter liever via de DM om hier niet Offtopic te gaan. Ik heb je dan ook even een DM gestuurd.

Dus ja ik kan mij volkomen vinden in de voorgaande reacties; niet alleen de gebruikers maar de mods lijken selectief te werken. Waardoor topics als deze eenzijdig aan het worden zijn en voor mij iig niet meer een meerwaarde biedt.

[ Voor 18% gewijzigd door rens-br op 06-03-2026 22:18 ]

[Lord_Dain]

ernstoud schreef op vrijdag 6 maart 2026 @ 12:20:
[...]


Je poneert dat je hier niets negatiefs mag zeggen over Odido terwijl er ruim 100 pagina’s klaagzang is over de zgn. slechte communicatie. En dan neem je aan dat het zo is. Het is niet zo. Iedereen mag hier zeggen wat hij/zij wil binnen de huisregels.

Maar hier vergis je je in my humble opinion, perceptie en beeldvorming is leidend in deze wereld dus als hier '100 pagina's klaagzang' zijn over 'zogenaamd' slechte communicatie vanuit Odido dan is dat helaas wel hét beeld wat een groot deel van de mensen nu heeft van Odido en dan heb je als bedrijf gewoon gefaald.

[ernstoud]

Lord_Dain schreef op vrijdag 6 maart 2026 @ 22:36:
[...]

Maar hier vergis je je in my humble opinion, perceptie en beeldvorming is leidend in deze wereld dus als hier '100 pagina's klaagzang' zijn over 'zogenaamd' slechte communicatie vanuit Odido dan is dat helaas wel hét beeld wat een groot deel van de mensen nu heeft van Odido en dan heb je als bedrijf gewoon gefaald.

Sjonge, wat draaien we in deze thread in cirkeltjes. Alles is wel zo’n beetje gezegd. Zoals wat je hier zegt. En wat ik erover zei.

De plaat wordt grijs. De naald wordt bot. Ik ben weg. Knip. Zo'n sneer is nergens voor nodig.

[ Voor 7% gewijzigd door rens-br op 07-03-2026 05:46 ]

[Arjantje72]

ernstoud schreef op vrijdag 6 maart 2026 @ 22:55:
[...]


Sjonge, wat draaien we in deze thread in cirkeltjes. Alles is wel zo’n beetje gezegd. Zoals wat je hier zegt. En wat ik erover zei.

De plaat wordt grijs. De naald wordt bot. Ik ben weg. Knip

Knip. Op de man.

[ Voor 22% gewijzigd door rens-br op 07-03-2026 05:47 ]

[Speakerfreak95]

Artilux schreef op vrijdag 6 maart 2026 @ 12:14:
Helaas zijn mijn gegevens ook gelekt en dankzij shinyhunters de wereld in geholpen.
Mijn mailadres, welke nog nooit gelekt was en zorgvuldig gebruikt werd, is sinds het lekken van de gegevens helaas al meermaals met spam emails bestookt.
Deze liggen in de hoek van "xMerk tandenborstel gewonnen" en "Pakketdienst Y: Spannend nieuws over uw pakket".
Jammer dat zorgvuldigheid zinloos is, wanneer er zo'n DB op straat komt te liggen.

Ik lees hier wel wat mensen die mails gebruiken zoals "[e-mail]". Dit is iets wat het uitzoeken waard is. Gooi je alles wat op die mail binnen komt gewoon lekker automatisch de kliko in en klaar.

Het zou Odido sieren om inzicht te geven wat er daadwerkelijk allemaal gelekt is/bekend was. In de ingelogde omgeving natuurlijk. Zonder hiervoor je doopkaars en navelstreng digitaal te moeten overhandigen, zoals bij een AVG inzage. Om dit in de lokale zaak te doen zie ik niet zo zitten, die filiaalmanager is daar waarschijnlijk niet voor getraind.

Ik volg dit even, ikzelf krijg sinds een week of 2 ook steeds vaker mails van PostNL, FedEX, UPS, ook dit specifieke mail adres nooit deze klachten gehad, en ex Odido klant (Mobiel 10 jaar, thuis internet enkele maanden)

[Harry720A]

CR2032 schreef op vrijdag 6 maart 2026 @ 19:07:Ik heb als extra ook een burner telefoonnummer genomen met een prepaid eSIM. Voor alle shops en dingen waar je verplicht altijd je telefoonnummer moet achterlaten en het er verder toch niet toe doet.

Buiten een prepaid mobiel nummer (op stil) vul ik meestal in: netnummer van mijn woonplaats aangevuld met allemaal nullen, tot totaal tien cijfers. Werkt ook prima.

[nielsiejjj92]

ArcticWolf schreef op woensdag 4 maart 2026 @ 08:55:
[...]

KPN heeft 2FA, je simkaart moet geverifieerd worden dmv een code als je die fysiek ontvangen hebt en automatische incasso via ideal.

Wat heeft een crimineel eraan om zich voor te doen als jou? Je abonnement opzeggen?

Er zijn genoeg dingen. Factuur opvragen (weten wie iemand heeft gebeld), esim zodat je controle krijgt over het nummer voor sms verificatiecodes of kunt bellen namens die persoon naar andere bedrijven (vertrouwd) etc. Ik schrik er best van dat je openlijk toegeeft in een ander bericht dat je willekeurige dossiers op je werk bekijkt uit interesse. Wees ervan bewust wat voor gevolgen dat kan hebben naast het feit dat het niet netjes is.

[nielsiejjj92]

CR2032 schreef op vrijdag 6 maart 2026 @ 19:07:
Inmiddels email en telefoonnummer gewijzigd na de Odido hack.
Helaas was het nieuwe telefoonnummer ook gelekt bij een andere hack volgens F-Secure Total.
Na enige discussie met de provider en 3 pogingen later; nu wel een schoon telefoonnummer.

Ik heb als extra ook een burner telefoonnummer genomen met een prepaid eSIM. Voor alle shops en dingen waar je verplicht altijd je telefoonnummer moet achterlaten en het er verder toch niet toe doet.

Simyo (KPN) heeft een mooie deal voor 5 euro met onbeperkt geldig beltegoed. Dat telefoonnummer was gelukkig direct al schoon. Het enige is dat je eens in de zes maanden een teken van leven moet geven met een telefoontje doen of bericht sturen. Dat is prima te doen.

Als ik een tip mag geven; Webshops die een telefoonnummer veld verplichten vul ik vaak 0600000000 of 0612345678 in. Sommige checkers accepteren dat niet, vul dan 0850000000 in of het nr van hun eigen klantenservice

[ArcticWolf]

nielsiejjj92 schreef op zaterdag 7 maart 2026 @ 14:19:
[...]


Er zijn genoeg dingen. Factuur opvragen (weten wie iemand heeft gebeld), esim zodat je controle krijgt over het nummer voor sms verificatiecodes of kunt bellen namens die persoon naar andere bedrijven (vertrouwd) etc. Ik schrik er best van dat je openlijk toegeeft in een ander bericht dat je willekeurige dossiers op je werk bekijkt uit interesse. Wees ervan bewust wat voor gevolgen dat kan hebben naast het feit dat het niet netjes is.

Die dossiers zijn geanonimiseerd voor mij, had dat vergeten erbij te zetten.

Anyway, ze sturen die facturen dan naar het email adres gelinkt aan dat account. Wijzigen van een email adres gaat via je huis adres.
En worden Esims via de telefoon uitgedeeld?

[Hazalnootpuur]

Speakerfreak95 schreef op zaterdag 7 maart 2026 @ 02:03:
[...]


Ik volg dit even, ikzelf krijg sinds een week of 2 ook steeds vaker mails van PostNL, FedEX, UPS, ook dit specifieke mail adres nooit deze klachten gehad, en ex Odido klant (Mobiel 10 jaar, thuis internet enkele maanden)

Bespaar jezelf een hoop moeite en last en neem een emailaccount bij protonmail. Ik neem een unlimited. abo bij ze af en krijg werkelijk nooit spam. Wel gehacked natuurlijk bij Odido. Maar dat mailadres bestaat nu niet meer.

[eelco_v]

https://www.security.nl/p...een+probleempje+bij+Odido

[PJ1989]

eelco_v schreef op zaterdag 7 maart 2026 @ 15:39:
https://www.security.nl/p...een+probleempje+bij+Odido

Hoop ophef, maar staat gewoon in de voorwaarden.

https://assets.odido.nl/x...025-privacy-statement.pdf

[ Voor 13% gewijzigd door PJ1989 op 07-03-2026 16:23 ]

[Jerie]

PJ1989 schreef op zaterdag 7 maart 2026 @ 16:22:
[...]


Hoop ophef, maar staat gewoon in de voorwaarden.

https://assets.odido.nl/x...025-privacy-statement.pdf

(Te weinig ophef. Staat niet eens op de FP, terwijl het wel al was aangedragen. Security.nl is trouwens niet de directe bron, die staat op LinkedIn en is al eerder genoemd. Want 3 maart. Desondanks wel een heads up waard.)

Want... wat staat in de voorwaarden? Wie beweert bewijst. De bevindingen staan in de voorwaarden? Dat ze TLS certs niet checken op hun router? Of dat de router data stuurt naar het bedrijf Lifemote? Toch gek dat ctrl+f Lifemote niets oplevert. Nee, dit zijn twee fouten: nog een datalek, want het is niet gespecificeerd in de voorwaarden (zo'n derde partij moet het specificeren), en ten tweede is de router hartstikke lek. Al is dat wel zo praktisch Modderkolk is tijdens zijn onderzoek naar Nederlandse rol Stuxnet/Natanz ook geïntimideerd door een lek op soortgelijke wijze.

Het feit dat 'iets in de voorwaarden zou staan' maakt dat nog niet:

1) Specifiek.
2) Waar.
3) Rechtsgeldig.

Hoe vaak hebben we niet EULA's gehad die onzin bevatten, Engelfriet's blog staat er vol mee.

En het is ook dusdanig irritant dat ik hier ook slachtoffer van ben. Want hoewel ik deze router zelf nooit heb gebruikt in mijn LAN, gebruikt mijn buurvrouw deze wel, en mijn moeder ook. Bij mijn moeder heb ik wel eens met een laptop op de WLAN gezeten.

Deze Sipke Mellema is de enige in deze context die met Odido hacken bezig is geweest. Geen blackhat en destructive BS. Dit is nou hacken.

Niet heel ingewikkeld dit onderzoek. Ik doe dit zelf graag met een RPi, je hebt ook andere tooling zoals de throwing star lan tap (die moest je zelf solderen) en packet squirrel. Al is het treurig dat het nog steeds nodig is, nam ik aan dat dat ding lek was, vandaar SFP+. Dus vooral kwestie van doen, en Mellema deed het, blijkbaar als eerste Nederlander. Waarvoor dank.

[ Voor 9% gewijzigd door Jerie op 07-03-2026 17:04 ]

[PJ1989]

Jerie schreef op zaterdag 7 maart 2026 @ 16:56:
[...]
Want... wat staat in de voorwaarden? Wie beweert bewijst.

Klik op de link en je weet het:

---
Bij vast internet worden gegevens uit het modem verzameld:

• Het SSID zoals geconfigureerd op het modem.
• Ethernet MAC-adressen van het modem en van de apparatuur die verbonden is met het modem
• IP-adressen die worden uitgegeven door het modem aan de daarmee verbonden apparatuur.
• De naam van de apparatuur, bijvoorbeeld “Laptop 1234”
---

En ik vermoed maar zo (van Genexis kan ik het bewijzen) dat via TR-069 alle providers deze informatie en nog meer uitlezen. Niet goed, maar het gebeurt wel.

Feit dat het privacy reglement de bovengenoemde informatie geeft moet betekenen dat Odido dit dus weet.

Dat zoals beschreven root access mogelijk is door een achterlijke vulnerability is echt een Zyxel ding (en Genexis AON bij de oudere FW versies). Is uitvoerig beschreven hier en daar. Bij oudere firmware moet je via het serial number het root password berekenen, bij nieuwere firmware is het wat ingewikkelder.

Ik vertrouw geen enkele router van een ISP, met vrije modem keuze hoeft dat ook niet meer.

[eelco_v]

Afgelopen week zag ik in vlugheid een topic start van een tweaker. Echter toen ik later terug zocht was deze alweer verdwenen. Kon deze nergens terug vinden op Tweakers. Aantal dagen later herinnerde ik mij de steekwoorden van Odido en anlytics en kwam ik op het originele linkedin post. Hetgeen mij doch wel deed nadenken over het feit wat een "normale" internet
gebruiker allemaal mist ... niet overigens uit naiviteit denk ik persoonlijk ...

Vandaag heb ik het opnieuw geprobeert om hier op deze vrijplaats van It'ers verder bespreekbaar te maken, echter ook mijn thread wordt wederom gesloten om redenen.
(Wat is precies "veilig" online ?) ..

Hetgeen ik wilde duidelijk maken is zoals ook @Jerie aangeeft dat het wel erg weinig
grip krijgt in deze media stormen ...

Kennelijk vinden velen het normaal in de fysieke wereld om een deur "goed" af te sluiten en
verlangt men ook niet dat andere door de brievenbus kijken wat zich in huis zich bevind, ook wordt het niet echt op prijs gesteld wanneer iemand door de gordijnen of ramen gluurt. Tevens wordt het ook niet echt gewaardeerd dat wanneer mensen iets leveren ze tevens ook nog eens binnen komen om alle apparaten van naam te registreren en andere unieke kenmerken ...

Deze gegevens van jouw huishouden worden dan ook nog eens "ongevraagd" gedeeld met een ander commercieel bedrijf en dat gebeurt ook nog eens op een niet beveiligde manier. Tevens blijkt jouw router ook nog eens onveilig ...

[Jerie]

PJ1989 schreef op zaterdag 7 maart 2026 @ 17:12:
[...]


Klik op de link en je weet het:

---
Bij vast internet worden gegevens uit het modem verzameld:

• Het SSID zoals geconfigureerd op het modem.
• Ethernet MAC-adressen van het modem en van de apparatuur die verbonden is met het modem
• IP-adressen die worden uitgegeven door het modem aan de daarmee verbonden apparatuur.
• De naam van de apparatuur, bijvoorbeeld “Laptop 1234”
---

En ik vermoed maar zo (van Genexis kan ik het bewijzen) dat via TR-069 alle providers deze informatie en nog meer uitlezen. Niet goed, maar het gebeurt wel.

Feit dat het privacy reglement de bovengenoemde informatie geeft moet betekenen dat Odido dit dus weet.

Dat zoals beschreven root access mogelijk is door een achterlijke vulnerability is echt een Zyxel ding (en Genexis AON bij de oudere FW versies). Is uitvoerig beschreven hier en daar. Bij oudere firmware moet je via het serial number het root password berekenen, bij nieuwere firmware is het wat ingewikkelder.

Ik vertrouw geen enkele router van een ISP, met vrije modem keuze hoeft dat ook niet meer.

Dat las ik. Maar dat antwoord de vraag verzamelt door wie niet. Ik garandeer je dat dit niet gelezen is door één FG in NL. Want over die verzameling. Voor welk doeleinde? Hoe wordt de data opgeslagen? Wordt de data verwerkt? En waarom over een onbeveiligde verbinding?

[aReaRe]

Nyokki schreef op dinsdag 3 maart 2026 @ 14:15:
Krijg net deze mooie binnen.

[Afbeelding]

Ik heb de NL variant begin van de week al gehad

[JJ Le Funk]

Is het al merkbaar dat er een explosie aan spam en phishing mailtjes binnenrolt nu dat de volledige dataset te misbruiken is door elke kwaadwillende entiteit op dat gebied?

[SimonBR39]

JJ Le Funk schreef op maandag 9 maart 2026 @ 07:54:
Is het al merkbaar dat er een explosie aan spam en phishing mailtjes binnenrolt nu dat de volledige dataset te misbruiken is door elke kwaadwillende entiteit op dat gebied?

Hier helemaal niks tot op heden.

[Kalentum]

JJ Le Funk schreef op maandag 9 maart 2026 @ 07:54:
Is het al merkbaar dat er een explosie aan spam en phishing mailtjes binnenrolt nu dat de volledige dataset te misbruiken is door elke kwaadwillende entiteit op dat gebied?

Bij mij totaal niet. Meest recente mail in mijn spam op het gelekte adres is van 19 februari.

[dutchnltweaker]

Heb het een paar dagen niet gevolgd, maar wat is nu de uitkomst en of wat gaat er nu gebeuren? Vanuit odido is het stil

[mrmrmr]

De grote massa van spam wordt door de meeste filterende mailsystemen aan de poort geweigerd op grond van verzender reputatie (IP adressen, domeinen). Die zie je dan helemaal niet.

Overigens wordt de [e-mail] Odido nep-compensatieaanvraag (phishing!) (ook?) naar willekeurige adressen gestuurd in een 3-voudige campagne. Die zie ik op een geheel ongefilterd postmaster adres, zonder relatie met Odido bedrijven. De link in dat bericht leidt naar Amazon AWS, dat domein staat zeker niet op domeinblacklists. De link werkt inmiddels niet meer.

---

Kassa heeft Odido's stilzwijgen onder de loep genomen:

https://player.bnnvara.nl...ype=video&autostart=false

edit: herstel link

[ Voor 7% gewijzigd door mrmrmr op 09-03-2026 13:55 ]

[mark777]

mrmrmr schreef op maandag 9 maart 2026 @ 09:21:
De grote massa van spam wordt door de meeste filterende mailsystemen aan de poort geweigerd op grond van verzender reputatie (IP adressen, domeinen). Die zie je dan helemaal niet.

Overigens wordt de [e-mail] Odido nep-compensatieaanvraag (phishing!) (ook?) naar willekeurige adressen gestuurd in een 3-voudige campagne. Die zie ik op een geheel ongefilterd postmaster adres, zonder relatie met Odido bedrijven. De link in dat bericht leidt naar Amazon AWS, dat domein staat zeker niet op domeinblacklists. De link werkt inmiddels niet meer.

---

Kassa heeft Odido's stilzwijgen onder de loep genomen:

https://player.bnnvara.nl...10b0f1bf7&mediaType=video

link doet het niet...

[W1ck1e]

mark777 schreef op maandag 9 maart 2026 @ 10:39:
[...]

link doet het niet...

@mrmrmr
Is het de video die hier staat ?

[Lord_Dain]

Mooi filmpje en dekt wat mij betreft goed de lading.

Samengevat:
Geen communicatie, geen transparantie, tijd dat Odido meer specifieke informatie gaat verstrekken.
Ook; is het echt nodig dat bedrijven dit soort informatie verzamelen en moeten bewaren?

[ Voor 21% gewijzigd door Lord_Dain op 09-03-2026 12:02 ]

[mark777]

Lord_Dain schreef op maandag 9 maart 2026 @ 12:01:
Mooi filmpje en dekt wat mij betreft goed de lading.

Samengevat:
Geen communicatie, geen transparantie, tijd dat Odido meer specifieke informatie gaat verstrekken.
Ook; is het echt nodig dat bedrijven dit soort informatie verzamelen en moeten bewaren?

Ja dat is een beetje de samenvatting. Praktijk is dat bedrijven steeds meer gegevens opslaan en bewaren. Wat als er een hack bij facebook of google komt dan staat echt heel je prive leven op straat