Odido waarschuwt voor datalek (cyberaanval/hack)

[redwing]

ernstoud schreef op woensdag 3 juni 2026 @ 16:29:
[...]


Voorbeeld: Je moest eens weten wat een junior bij de accountantscontrole elk jaar aan selecties uitvoert op de databases van de klant. Bijvoorbeeld om juistheid van BTW bedragen te verifiëren.

Een grote klant van de big four waar ik werkte was na acties van zo’n junior in productie de database kwijt. Foutje.

Inderdaad precies door dat soort dingen. Combineer dat met ook te lang bewaren van gegevens en er kan precies hetzelfde gebeuren. Zolang wij niet meer willen betalen voor de beveiliging blijf je dit soort gaten houden.

[Harry720A]

redwing schreef op woensdag 3 juni 2026 @ 18:26:
[...]IZolang wij niet meer willen betalen voor de beveiliging blijf je dit soort gaten houden.

Pardon!? Niet de boel omdraaien. Als beveiliging moet afhangen wat "wij" willen betalen ben je het niet waard een bedrijf te mogen beginnen. Er bestaat ook nog zoiets als zorgplicht.

[ Voor 23% gewijzigd door Harry720A op 03-06-2026 18:45 ]

[Jerie]

ernstoud schreef op woensdag 3 juni 2026 @ 16:29:
[...]


Voorbeeld: Je moest eens weten wat een junior bij de accountantscontrole elk jaar aan selecties uitvoert op de databases van de klant. Bijvoorbeeld om juistheid van BTW bedragen te verifiëren.

Een grote klant van de big four waar ik werkte was na acties van zo’n junior in productie de database kwijt. Foutje.

We hebben het in deze casus over helpdeskmedewerkers. Een helpdeskmedewerker heeft geen read access om in korte tijd alle klantgegevens leeg te trekken. Zowel junior als senior niet. Als Odido naar Salesforce had geluisterd, was dat ook onmogelijk geweest.

Andere providers hoeven geen reclame te maken; Odido heeft gratis reclame gemaakt. Ze hoeven alleen maar te zorgen dat dezelfde kwetsbaarheid bij hen niet op dezelfde schaal uitgebuit kan worden. Eitje.

[SirMemeAlot]

Harry720A schreef op woensdag 3 juni 2026 @ 18:40:
[...]
Pardon!? Niet de boel omdraaien. Als beveiliging moet afhangen wat "wij" willen betalen ben je het niet waard een bedrijf te mogen beginnen. Er bestaat ook nog zoiets als zorgplicht.

Dit is helaas wel erg vanuit een idyllisch oogpunt, het is gewoon een commercieel bedrijf en niet altijd ethisch. Ik lees inmiddels lang niet alles meer, dus geen idee of ze al significante boetes hebben ontvangen of significant klantverlies anders zullen ze gewoon komende maanden/jaar wat in cyber security investeren, en wordt er vervolgens op een ander vlak gewoon gecompenseerd door te bezuinigen. Uiteindelijk is het winst maximalisatie en kunnen wij vooral spreken je portemonnee, dus in die zin als je blijft zitten steun je dit beleid wel en zal een bedrijf echt niet snel veranderen.

[redwing]

Harry720A schreef op woensdag 3 juni 2026 @ 18:40:
[...]
Pardon!? Niet de boel omdraaien. Als beveiliging moet afhangen wat "wij" willen betalen ben je het niet waard een bedrijf te mogen beginnen. Er bestaat ook nog zoiets als zorgplicht.

Tja zolang wij overstappen naar de goedkoopste partij moet je niet verwachten dat er extra aan beveiliging wordt uitgegeven. En aangezien dat is wat we massaal doen hangt het toch echt af van wat we willen betalen.

[ernstoud]

redwing schreef op woensdag 3 juni 2026 @ 21:20:
[...]

Tja zolang wij overstappen naar de goedkoopste partij moet je niet verwachten dat er extra aan beveiliging wordt uitgegeven. En aangezien dat is wat we massaal doen hangt het toch echt af van wat we willen betalen.

En dan? Hoeveel kost 99,99% beveiliging? Of 99,999%? Wanneer is het genoeg? Er blijft altijd restrisico en daar moet je mee leven. Dat is er bij elke organisatie. Het budget is niet 100% van de jaarlijkse winst. Hoeveel dan wel? Dat zal bij de providers best wel verschillen.

Ik heb in 40 jaar honderden organisaties geholpen met beter worden op informatiebeveiliging en betekent het dat die bedrijven nu genoeg gedaan hebben? Ik weet het echt niet, en die organisaties eerlijk gezegd ook niet.

Maar hier in deze thread lijken Tweakers het wel te weten. Ja, in dit geval was er bij Odido duidelijk een tekortkoming in het managementsysteem voor informatiebeveiliging. Maar tekortkomingen zijn er ook bij KPN en Vodafone en alle anderen. Zolang die tekortkomingen niet manifest worden lijkt er niets aan de hand.

[redwing]

ernstoud schreef op woensdag 3 juni 2026 @ 21:32:
[...]


En dan? Hoeveel kost 99,99% beveiliging? Of 99,999%? Wanneer is het genoeg? Er blijft altijd restrisico en daar moet je mee leven. Dat is er bij elke organisatie. Het budget is niet 100% van de jaarlijkse winst. Hoeveel dan wel? Dat zal bij de providers best wel verschillen.

Ik heb in 40 jaar honderden organisaties geholpen met beter worden op informatiebeveiliging en betekent het dat die bedrijven nu genoeg gedaan hebben? Ik weet het echt niet, en die organisaties eerlijk gezegd ook niet.

Maar hier in deze thread lijken Tweakers het wel te weten. Ja, in dit geval was er bij Odido duidelijk een tekortkoming in het managementsysteem voor informatiebeveiliging. Maar tekortkomingen zijn er ook bij KPN en Vodafone en alle anderen. Zolang die tekortkomingen niet manifest worden lijkt er niets aan de hand.

Da's precies wat ik zeg inderdaad. Je kunt uiteindelijk wel denken dat een andere provider echt veiliger is maar in de praktijk weet je het gewoon niet en kan het bij ze allemaal fout gaan.

[Truus01]

redwing schreef op woensdag 3 juni 2026 @ 22:00:
[...]

Da's precies wat ik zeg inderdaad. Je kunt uiteindelijk wel denken dat een andere provider echt veiliger is maar in de praktijk weet je het gewoon niet en kan het bij ze allemaal fout gaan.

En dus kun je bij de goedkoopste alnog met dezelfde, of misschien zelfs betere, beveiliging zitten als bij de duurste.
(En is eea dus niet afhankelijk van wat wij ervoor willen betalen...)

[PauseBreak]

redwing schreef op woensdag 3 juni 2026 @ 22:00:
[...]

Da's precies wat ik zeg inderdaad. Je kunt uiteindelijk wel denken dat een andere provider echt veiliger is maar in de praktijk weet je het gewoon niet en kan het bij ze allemaal fout gaan.

En daarom moet je een partij die het bewezen niet in orde heeft gehad, in dit geval Odido, laten merken dat je het niet acceptabel vindt. Daarom zijn hier alle abonnementen inmiddels weg bij Odido. Dat is uiteindelijk de enige manier waarop de situatie verbetert op lange termijn.

[redwing]

PauseBreak schreef op donderdag 4 juni 2026 @ 16:04:
[...]

En daarom moet je een partij die het bewezen niet in orde heeft gehad, in dit geval Odido, laten merken dat je het niet acceptabel vindt. Daarom zijn hier alle abonnementen inmiddels weg bij Odido. Dat is uiteindelijk de enige manier waarop de situatie verbetert op lange termijn.

Dan moet je dus ook niet naar KPN of Ziggo. Ik heb van beide bewijs uit 1e hand dat ze hun data ook veel te lang bewaren. Bij beide heb ik de afgelopen jaren wat communicatie gehad en bij beide heb ik een antwoord met mijn echte naam (die anders is dan de roepnaam die ik normaal gebruik). Beide kunnen alleen maar bij hun bekend zijn omdat ik daar lang geleden ooit abonnee van ben geweest (Ziggo nog vanuit de UPC tijd, dus zo'n 15 jaar geleden, KPN nog voor die tijd)

Dus bij welke partij moet je dan wel zijn als 85% van de markt bewijsbaar zijn zaken niet op orde heeft?

[PauseBreak]

redwing schreef op donderdag 4 juni 2026 @ 16:27:
[...]

Dan moet je dus ook niet naar KPN of Ziggo. Ik heb van beide bewijs uit 1e hand dat ze hun data ook veel te lang bewaren. Bij beide heb ik de afgelopen jaren wat communicatie gehad en bij beide heb ik een antwoord met mijn echte naam (die anders is dan de roepnaam die ik normaal gebruik). Beide kunnen alleen maar bij hun bekend zijn omdat ik daar lang geleden ooit abonnee van ben geweest (Ziggo nog vanuit de UPC tijd, dus zo'n 15 jaar geleden, KPN nog voor die tijd)

Dus bij welke partij moet je dan wel zijn als 85% van de markt bewijsbaar zijn zaken niet op orde heeft?

Jij hebt het over "bewijsbaar", dan is het aan jou om dat bewijs te tonen. Op het moment van schrijven is de enige provider in Nederland die recent zijn beveiliging niet op orde heeft gehad nog steeds Odido. De rest is ruis en niet te controleren als consument. Daarom moet je bij dit soort wangedrag de actie ondernemen die je kúnt ondernemen:
- overstappen
- klacht indien bij AP
- Als je zin hebt, aansluiten bij een massaclaim

Meer kan je niet doen. Als consument ben je niet in de positie om een audit uit te kunnen voeren op de beveiliging van bedrijven. Je kunt alleen acteren op openbare data, en de openbare data (i.e.: nieuwsartikelen, jaarverslagen AP etc) laat zien dat je hoe dan ook niet bij Odido wilt zijn. Waar je dan wel wilt zijn is aan ieder om zelf af te wegen.

[redwing]

PauseBreak schreef op donderdag 4 juni 2026 @ 16:32:
[...]

Jij hebt het over "bewijsbaar", dan is het aan jou om dat bewijs te tonen. Op het moment van schrijven is de enige provider in Nederland die recent zijn beveiliging niet op orde heeft gehad nog steeds Odido. De rest is ruis en niet te controleren als consument. Daarom moet je bij dit soort wangedrag de actie ondernemen die je kúnt ondernemen:

uit 1e hand vind ik een aardig bewijs Of je dat gelooft of niet moet je natuurlijk zelf weten, maar feit blijft dat je bij 90% van de markt zonder al te veel moeite vast kunt stellen dat ze hun zaken niet op orde hebben.

- overstappen

Aangezien de enige partijen waarvan ik niet kan bewijzen dat ze het niet goed doen de kleinere en dure partijen zijn ga ik daar niet aan beginnen.

- klacht indien bij AP

Dat zou kunnen, maar als ze nu al niets doen zie ik niet in hoe een extra klacht ze wel gaat laten bewgen (waarbij ik trouwens richting Ziggo wel hiervoor een klacht heb ingediend)

- Als je zin hebt, aansluiten bij een massaclaim

Totaal zinloos, ten eerste is de kans dat het iets oplevert nihil, en mocht er toch iets worden uitgekeerd, wordt dat toch betaald door de klanten van de provider. Totaal zinloos dus.

Meer kan je niet doen. Als consument ben je niet in de positie om een audit uit te kunnen voeren op de beveiliging van bedrijven. Je kunt alleen acteren op openbare data, en de openbare data (i.e.: nieuwsartikelen, jaarverslagen AP etc) laat zien dat je hoe dan ook niet bij Odido wilt zijn. Waar je dan wel wilt zijn is aan ieder om zelf af te wegen.

Als je even zoekt kun je dan ook makkelijk zien dat je ook niet bij KPN of Ziggo moet zijn. Door over te stappen naar zo'n partij laat je dus enerzijds zien dat je overstapt vanwege een lek, om dan over te stappen naar iemand die het ook niet voor elkaar heeft. Ik vraag me af hoe je verwact dat dat iets gaat veranderen.
Uiteindelijk is het gewoon heel simpel, het gros van de mensen gaat naar de partij die het goedkoopste kan bieden wat ze willen. Ik schat dat Odido dan ook even een dipje zal laten zien om dan weer net zo hard weer te groeien naar hoe het was.

[PauseBreak]

Je komt op mij over alsof je heel graag je eigen gelijk wilt bewijzen door over alles te gaan mierenneuken en lekker te stromannen. Daar pas ik voor. Ik wens je veel plezier en een mooie dag vandaag.

[ Voor 6% gewijzigd door PauseBreak op 04-06-2026 16:49 ]

[Harry720A]

redwing schreef op donderdag 4 juni 2026 @ 16:44:
[...] [ Als je zin hebt, aansluiten bij een massaclaim ] Totaal zinloos, ten eerste is de kans dat het iets oplevert nihil, en mocht er toch iets worden uitgekeerd, wordt dat toch betaald door de klanten van de provider. Totaal zinloos dus.

Weet je hoe een koe een haas vangt? Meestal door er bovenop te gaan liggen.

[ Voor 6% gewijzigd door Harry720A op 04-06-2026 23:58 ]

[ernstoud]

Truus01 schreef op donderdag 4 juni 2026 @ 15:58:
[...]

En dus kun je bij de goedkoopste alnog met dezelfde, of misschien zelfs betere, beveiliging zitten als bij de duurste.
(En is eea dus niet afhankelijk van wat wij ervoor willen betalen...)

Definieer “betere” beveiliging? Punt is dat het te bereiken niveau na uitvoerige risicoanalyses niet te bepalen is, en het huidige beveiligingsniveau is niet meetbaar.

Grap is dat mensen menen dat beveiliging zwart/wit is. Het is goed of niet goed. Onzin.

Inmiddels is de volgende SalesForce gebruiker ook al de sjaak: nieuws: 'ShinyHunters zet data van 700.000 klanten Nederlands reisbureau BCD ... hetgeen de vraag doet rijzen waar de fout nou ligt. Bij de gebruiker of de producent van deze verschrikkelijke software. Ik begin te geloven dat dit toch echt een issue is van SalesForce.

[HansMij]

redwing schreef op donderdag 4 juni 2026 @ 16:27:
[...]

Dan moet je dus ook niet naar KPN of Ziggo. Ik heb van beide bewijs uit 1e hand dat ze hun data ook veel te lang bewaren. Bij beide heb ik de afgelopen jaren wat communicatie gehad en bij beide heb ik een antwoord met mijn echte naam (die anders is dan de roepnaam die ik normaal gebruik). Beide kunnen alleen maar bij hun bekend zijn omdat ik daar lang geleden ooit abonnee van ben geweest (Ziggo nog vanuit de UPC tijd, dus zo'n 15 jaar geleden, KPN nog voor die tijd)

Dus bij welke partij moet je dan wel zijn als 85% van de markt bewijsbaar zijn zaken niet op orde heeft?

Bij Ziggo heb ik ooit een verzoek ingediend mijn gegevens te verwijderen. Dat zijn ze dan wettelijk verplicht te honoreren. Kreeg ik later doodleuk een brief, gericht aan Jan de Vries (hoe algemeen wil je een baan maken?) dat ze een prachtige aanbieding voor me hadden en of ik weer terug wilde bij Ziggo. Er heeft hier nooit iemand met die naam gewoond. In plaats van mijn persoonsgegevens verwijderen, hebben ze me dus gepseudonimiseerd.

[WP_Pj]

ernstoud schreef op donderdag 4 juni 2026 @ 17:33:
[...]


Inmiddels is de volgende SalesForce gebruiker ook al de sjaak: [...] hetgeen de vraag doet rijzen waar de fout nou ligt. Bij de gebruiker of de producent van deze verschrikkelijke software. Ik begin te geloven dat dit toch echt een issue is van SalesForce.

En waarom zou het niet aan de afnemers van de software liggen die de waarschuwingen uit SalesForce in de wind hebben geslagen?

[ernstoud]

WP_Pj schreef op donderdag 4 juni 2026 @ 18:49:
[...]

En waarom zou het niet aan de afnemers van de software liggen die de waarschuwingen uit SalesForce in de wind hebben geslagen?

Omdat er dus duidelijk een functie in SalesForce zit die zeer gevaarlijk is. Die zou achter meer safeguards kunnen zitten. Dus dat nimmer een normaal user account de totale database kan laden. Zoiets.

[bw_van_manen]

Ik probeer nog steeds via de officiele weg uit te vinden welke persoonsgegevens van mij nu betrokken zijn bij het datalek. Ik heb netjes een inzageverzoek gedaan bij Odido direct na het lek, maar de klantenservice/privacyofficer/FG daar zijn totaal niet in staat om te lezen. Ik heb nu al 3x de verkeerde gegevens opgestuurd gekregen. Een kopie van m'n contract, een kopie van de e-mail die ik ze stuurde, een lijst van mijn vragen, ... Alles behalve de gevraagde gegevens.

Heeft iemand nog tips hoe je wel inzichtelijk kan krijgen welke persoonsgegevens er nu echt betrokken waren? Let op de waarschuwing bij de reacties over alternatieve bronnen. Ik zoek meer een dummy-proof omschrijving van wat ik wil voor een klantenservice die duidelijk niet kan lezen, of een script om de klantenservice via de telefoon te overtuigen om in actie te komen. Het is mij na 4 maanden nog niet gelukt...

[POTMA]

bw_van_manen schreef op maandag 15 juni 2026 @ 08:30:
Heeft iemand nog tips hoe je wel inzichtelijk kan krijgen welke persoonsgegevens er nu echt betrokken waren? Let op de waarschuwing bij de reacties over alternatieve bronnen. Ik zoek meer een dummy-proof omschrijving van wat ik wil voor een klantenservice die duidelijk niet kan lezen, of een script om de klantenservice via de telefoon te overtuigen om in actie te komen. Het is mij na 4 maanden nog niet gelukt...

Misschien hier niet zo populair, maar mocht je F-Secure Total installeren: via 'ID-controle' zie je direct of je ingevoerde gegevens zijn gelekt en in welke dump(s) ze staan. Je moet dus wel (prive) gegevens invoeren zodat F-Secure je kan zoeken in de dump(s).

https://www.odido.nl/veiligheid/f-secure

[mark777]

bw_van_manen schreef op maandag 15 juni 2026 @ 08:30:
Ik probeer nog steeds via de officiele weg uit te vinden welke persoonsgegevens van mij nu betrokken zijn bij het datalek. Ik heb netjes een inzageverzoek gedaan bij Odido direct na het lek, maar de klantenservice/privacyofficer/FG daar zijn totaal niet in staat om te lezen. Ik heb nu al 3x de verkeerde gegevens opgestuurd gekregen. Een kopie van m'n contract, een kopie van de e-mail die ik ze stuurde, een lijst van mijn vragen, ... Alles behalve de gevraagde gegevens.

Heeft iemand nog tips hoe je wel inzichtelijk kan krijgen welke persoonsgegevens er nu echt betrokken waren? Let op de waarschuwing bij de reacties over alternatieve bronnen. Ik zoek meer een dummy-proof omschrijving van wat ik wil voor een klantenservice die duidelijk niet kan lezen, of een script om de klantenservice via de telefoon te overtuigen om in actie te komen. Het is mij na 4 maanden nog niet gelukt...

Ik weet ook nog steeds niet wat er van mij gelekt is. Ik heb een mail gehad van Odido dat ik in het lek zit maar als ik mijn email invoer in de websites om te kijken of ik gehacked ben sta ik er niet bij. Ik snap het niet. Daarom ben ik maar weg gegaan bij Odido. Heel slechte communicatie en informatie

[DjoeC]

Vandaag wel spam ontvangen op m'n odidoxxx@ accounts:

code:

From: Revolut ([e-mail]): Daglimiet succesvol verhoogd  
From: Albert heijn Cadeaukaart ([e-mail]): Re. GRATIS HEMA Albert heijn Cadeaukaart
From: KVK ([e-mail]): Werk uw gegevens bij

Niet heel bijzonder, sommige van die mails dus op meerdere (alleen) odidoxxxx@ adressen. Wel is het een weekje rustig geweest..

[W1ck1e]

DjoeC schreef op maandag 15 juni 2026 @ 12:17:
Vandaag wel spam ontvangen op m'n odidoxxx@ accounts:

code:

From: Revolut ([e-mail]): Daglimiet succesvol verhoogd  
From: Albert heijn Cadeaukaart ([e-mail]): Re. GRATIS HEMA Albert heijn Cadeaukaart
From: KVK ([e-mail]): Werk uw gegevens bij

Niet heel bijzonder, sommige van die mails dus op meerdere (alleen) odidoxxxx@ adressen. Wel is het een weekje rustig geweest..

Zijn die mails "interactief", kan je ergens op klikken (niet doen), zie je een url of iets dergelijks als je er met de muis overheen beweegt, of is er alleen een telefoonnummer dat je kan bellen (om opgelicht te worden) ?

oops: er is een verzameltopic over deze zaken

[ Voor 7% gewijzigd door W1ck1e op 15-06-2026 13:13 ]

[Gromborg]

Bij mij verschijnt er alleen een telefoonnummer dat verder geen hits geeft bij een zoekopdracht in google oid.

[ Voor 13% gewijzigd door Gromborg op 15-06-2026 13:11 ]

[DjoeC]

W1ck1e schreef op maandag 15 juni 2026 @ 12:29:
[...]

Zijn die mails "interactief", kan je ergens op klikken (niet doen), zie je een url of iets dergelijks als je er met de muis overheen beweegt, of is er alleen een telefoonnummer dat je kan bellen (om opgelicht te worden) ?

Revolut: klikbaar telefoonnummer, AH & KvK gebruiken links (KvK mail voor mij onzichtbaar ivm beveiligingsmaatregelen, in de HTML staan heel veel links). Er zouden ook zo maar tracking pixels in kunnen staan, daarom gebruik ik in principe geen HTML in mails en laat HTML ook niet formateren....

[dutchgio]

Gromborg schreef op maandag 15 juni 2026 @ 13:08:
[Afbeelding]

Bij mij verschijnt er alleen een telefoonnummer dat verder geen hits geeft bij een zoekopdracht in google oid.

Waarschijnlijk gebruiken ze bewust wisselende nummers om dat te voorkomen:

https://www.fraudehelpdesk.nl/valse-email/65481/

[DjoeC]

dutchgio schreef op maandag 15 juni 2026 @ 13:22:
[...]

Waarschijnlijk gebruiken ze bewust wisselende nummers om dat te voorkomen:

https://www.fraudehelpdesk.nl/valse-email/65481/

Bij mij staat wel hetzelfde telefoonnummer:

:[phone] sinds 2014 toegekend aan Budget Phone Company B.V. Wordt dus via VOIP "ergens vandaan" gebruikt. Ik neem aan dat Budget (dezelfde van energie en internet) dit nummer dus heel snel kan afsluiten.....

[Gromborg]

Ik heb de bronversie van de tekst door ai gehaald en dan blijkt het logo van heymoneytalk.co.uk te komen, het ip-adres (2.26.172.212 / 98.91.20.252) heb ik ingevoerd in ip-adres.nl en is van respectievelijk EE Limited en Amazon. De DKIM-status is "no key for signature" en er is dus geen geldige authenticatie.

uit de bronversie:

arc=none smtp.remote-ip=2.26.172.212;

dkim=permerror header.d="cmmexpo.com" header.s="default" header.a="rsa-sha256" reason="No key for signature";

[mrmrmr]

DjoeC schreef op maandag 15 juni 2026 @ 13:09:
[...]

Revolut: klikbaar telefoonnummer, AH & KvK gebruiken links (KvK mail voor mij onzichtbaar ivm beveiligingsmaatregelen, in de HTML staan heel veel links). Er zouden ook zo maar tracking pixels in kunnen staan, daarom gebruik ik in principe geen HTML in mails en laat HTML ook niet formateren....

Hier ook. Ik krijg de lokale pakketjesboer met moeite aan hun verstand gepeuterd dat ik geen barcode kan tonen omdat die niet in het MIME text/plain deel van de emails van postnl staat. Thunderbird toont niets, ook niet als je voor simple of original HTML kiest.

---

Offtopic, maar wel gerelateerd:

Nog eens gekeken naar hoe dat postnl doet. Ze laden een image met src, zonder enige image extensie.

HTML:

<img alt="Barcode" 
src="http://cl.exct.net/LiveContent.aspx?qs=[base64_encoded]>

• geen spoor van een barcode in text/plain, de hele link staat er niet in.
• email bevat lange inline css en overmatige hoeveelheden HTML.
• in text/html is diep verstopt een remote img link, alleen herkenbaar door de alttext.
• remote link gebruikt http, is dus onderschepbaar en kan voor MitM worden gebruikt.
• geen MIME data image type.
• geen image extensie.
• geen barcode image meegestuurd als MIME part met Content-ID.
• geen barcode in herhaalde afhaalberichten, ook geen niet werkende.
• geen klikbare link naar barcode.
• barcode wordt niet getoond in webserverversie van de mail.
• postnl heeft geen security.txt of digitale contactgegevens.

Aan het domein uit de link kun je zien dat de emails via het Amerikaanse massamailer Exact Target (Salesforce*) worden verstuurd. (* → hee, daar heb je hem weer, zou postnl hebben betaald?)

We (..) hebben zoveel mogelijk gebruik gemaakt van 'out-of-the-box' beschikbare Salesforce-functionaliteit.

Ze gaan er tegenwoordig voor het gemak maar van uit dat je een onveilige mailcient gebruikt op je smartphone.

‘Het spijt ons’, zegt topvrouw over datalek Odido: ‘We zijn persoonlijk bedreigd’

[alexshaman]

Ik ben de eerste die deze datalek-zaak voor de rechter heeft gebracht en ik zal je dit vertellen: Odido is bereid miljarden te besteden aan juristen en advocaten om ontevreden klanten de mond te snoeren, maar is niet bereid ook maar één cent uit te geven aan de afhandeling (remediation), het onderzoek of compensaties! Terwijl grote advocatenkantoren en losse enthousiastelingen nog proberen een rechtszaak rondom dit lek op te bouwen, ben ik ze allemaal voor geweest en heb ik een kort geding afgedwongen.

Schetst mijn verbazing toen er namens Odido 3 advocaten van het topkantoor Freshfields (onderdeel van de zogenaamde Magic Circle, die vaak het Britse koningshuis bijstaan) en nog eens 3 advocaten van Kennedy Van der Laan in de rechtszaal verschenen. Kun je je de kosten van zulke juristen voorstellen? En dat terwijl ik daar helemaal alleen stond, zonder advocaten of juristen (en ja, lach maar niet, we weten allemaal hoe rechtsbijstandverzekeringen hier in Nederland werken).

*knip*

Alle argumenten van Odido kwamen er feitelijk op neer dat ik ze moet blijven betalen voor de verbinding, ondanks het datalek. Over het lek zelf willen ze het principieel niet hebben, aangezien ze van mening zijn dat het niet hun probleem is en ze me toch voor 24 maanden een (niet al te beste) antivirus cadeau doen. Waar de logica zit, is onduidelijk. Een virusscanner suggereert immers dat het probleem aan mijn kant ligt, terwijl in werkelijkheid hun bedrijf niet eens "gehackt" is, maar simpelweg om de tuin is geleid met een uiterst simpele methode (vishing). Bij hén heeft werkelijk geen enkel beveiligingssysteem gewerkt.

In de afgelopen 6 maanden heeft Odido nog niet gecommuniceerd wie hier enige verantwoordelijkheid voor heeft genomen. De CEO en CISO zitten nog steeds op hun plek, inclusief hun salarissen. Het lijkt wel Boeing: de vliegtuigen vallen uit de lucht, maar de directie strijkt er louter bonussen voor op. Deze totale onverantwoordelijkheid zal voortduren zolang de directie van een bedrijf als Odido niet strafrechtelijk wordt vervolgd voor het niet nakomen van hun kerntaken en het niet beveiligen van persoonlijke gebruikersdata! Wat men ook beweert: dit is de absolute basis van hun werk. Als ze daartoe niet in staat zijn, is een faillissement van het bedrijf misschien geen slechte stap.

Mijn mening, als mede-slachtoffer van deze datalek, is dat de Nederlandse telecombedrijven uiteraard opereren vanuit kartelafspraken en een oligopolie-positie. Sterker nog, als je erover nadenkt, zijn ze allemaal schaamteloos met elkaar verbonden via Preventel. Maar goed... terug naar Odido.

Het lekken van 6,2 miljoen gebruikersgegevens (waaronder gegevens van mensen die ten tijde van het lek al geen klant meer waren), waaronder data van AIVD-medewerkers, ambtenaren en militairen in een periode van actuele risico's met de Russische Federatie - dat is een regelrechte klap voor de algemene veiligheid van Nederland. Dit is gebeurd door de incompetentie van de CEO, de CISO en de totale chaos binnen het bedrijf. In plaats van compensatie en remediation, huurt de onderneming topadvocaten in met een prijskaartje van €20.000 per proces, zelfs tegen de meest onbeduidende eiser.

[ Voor 4% gewijzigd door MiBe op 24-06-2026 12:02 . Reden: Mail met naam Odido-medewerker weggehaald. ]

[W1ck1e]

@alexshaman TIP: verwijder even de namen en andere gegevens van de betrokkenen waarmee ze herleidbaar zijn.

[alexshaman]

W1ck1e schreef op woensdag 24 juni 2026 @ 09:36:
@alexshaman TIP: verwijder even de namen en andere gegevens van de betrokkenen waarmee ze herleidbaar zijn.

Bedankt voor de waarschuwing. Het gaat hier echter om een openbare rechtszitting bij de rechtbank. De feiten en de namen van de advocaten die daar in hun professionele hoedanigheid optraden, behoren tot het publieke domein. In de context van feitelijke verslaglegging en het voeren van een publiek debat valt dit niet onder de beperkingen van de AVG (GDPR).

Uiteraard is alle andere inhoudelijke en privacygevoelige informatie die niet relevant is voor de kern van de zaak, wel degelijk weggelakt of verborgen.

[SgtElPotato]

alexshaman schreef op woensdag 24 juni 2026 @ 09:24:
Ik ben de eerste die deze datalek-zaak voor de rechter heeft gebracht en ik zal je dit vertellen: Odido is bereid miljarden te besteden aan juristen en advocaten om ontevreden klanten de mond te snoeren, maar is niet bereid ook maar één cent uit te geven aan de afhandeling (remediation), het onderzoek of compensaties! Terwijl grote advocatenkantoren en losse enthousiastelingen nog proberen een rechtszaak rondom dit lek op te bouwen, ben ik ze allemaal voor geweest en heb ik een kort geding afgedwongen.

Schetst mijn verbazing toen er namens Odido 3 advocaten van het topkantoor Freshfields (onderdeel van de zogenaamde Magic Circle, die vaak het Britse koningshuis bijstaan) en nog eens 3 advocaten van Kennedy Van der Laan in de rechtszaal verschenen. Kun je je de kosten van zulke juristen voorstellen? En dat terwijl ik daar helemaal alleen stond, zonder advocaten of juristen (en ja, lach maar niet, we weten allemaal hoe rechtsbijstandverzekeringen hier in Nederland werken).

[Afbeelding]

Alle argumenten van Odido kwamen er feitelijk op neer dat ik ze moet blijven betalen voor de verbinding, ondanks het datalek. Over het lek zelf willen ze het principieel niet hebben, aangezien ze van mening zijn dat het niet hun probleem is en ze me toch voor 24 maanden een (niet al te beste) antivirus cadeau doen. Waar de logica zit, is onduidelijk. Een virusscanner suggereert immers dat het probleem aan mijn kant ligt, terwijl in werkelijkheid hun bedrijf niet eens "gehackt" is, maar simpelweg om de tuin is geleid met een uiterst simpele methode (vishing). Bij hén heeft werkelijk geen enkel beveiligingssysteem gewerkt.

In de afgelopen 6 maanden heeft Odido nog niet gecommuniceerd wie hier enige verantwoordelijkheid voor heeft genomen. De CEO en CISO zitten nog steeds op hun plek, inclusief hun salarissen. Het lijkt wel Boeing: de vliegtuigen vallen uit de lucht, maar de directie strijkt er louter bonussen voor op. Deze totale onverantwoordelijkheid zal voortduren zolang de directie van een bedrijf als Odido niet strafrechtelijk wordt vervolgd voor het niet nakomen van hun kerntaken en het niet beveiligen van persoonlijke gebruikersdata! Wat men ook beweert: dit is de absolute basis van hun werk. Als ze daartoe niet in staat zijn, is een faillissement van het bedrijf misschien geen slechte stap.

Mijn mening, als mede-slachtoffer van deze datalek, is dat de Nederlandse telecombedrijven uiteraard opereren vanuit kartelafspraken en een oligopolie-positie. Sterker nog, als je erover nadenkt, zijn ze allemaal schaamteloos met elkaar verbonden via Preventel. Maar goed... terug naar Odido.

Het lekken van 6,2 miljoen gebruikersgegevens (waaronder gegevens van mensen die ten tijde van het lek al geen klant meer waren), waaronder data van AIVD-medewerkers, ambtenaren en militairen in een periode van actuele risico's met de Russische Federatie - dat is een regelrechte klap voor de algemene veiligheid van Nederland. Dit is gebeurd door de incompetentie van de CEO, de CISO en de totale chaos binnen het bedrijf. In plaats van compensatie en remediation, huurt de onderneming topadvocaten in met een prijskaartje van €20.000 per proces, zelfs tegen de meest onbeduidende eiser.

Ik vraag me dan ook af waarom je dit in je eentje zou willen doen. Trommel mensen op en begin het samen in plaats van alleen. Of is dit een ego dingetje?

[ernstoud]

alexshaman schreef op woensdag 24 juni 2026 @ 09:24:
En dat terwijl ik daar helemaal alleen stond, zonder advocaten of juristen (en ja, lach maar niet, we weten allemaal hoe rechtsbijstandverzekeringen hier in Nederland werken).

Respect voor je initiatief. Elke rechtsbijstandsverzekering zal - juist omdat advocaten en procesgang duur zijn - een inschatting van de kans op succes maken. En je ziet het nu, het is op dit moment zinloos om naar de rechter te gaan. Of het OM nog onderzoek doet op dit moment is onduidelijk en resultaten van de AP laten schat ik nog zeker een jaar op zich wachten.

Alle argumenten van Odido kwamen er feitelijk op neer dat ik ze moet blijven betalen voor de verbinding, ondanks het datalek.

Dat is vrij snel na het lek door deskundigen al gesteld.

Wat had je voor dit geding bedacht als uitkomst? Wat was je verwachting?

[alexshaman]

SgtElPotato schreef op woensdag 24 juni 2026 @ 09:52:
[...]

Ik vraag me dan ook af waarom je dit in je eentje zou willen doen. Trommel mensen op en begin het samen in plaats van alleen. Of is dit een ego dingetje?

Het verzamelen van eisers voor een massaclaim (WAMCA) klinkt logisch, maar is in de praktijk precies de droom van Odido en hun advocaten: het trekt de zaak in een extreem langdurig en stroperig proces. Daarbij spelen een paar kritieke problemen:

1) Vluchtigheid van bewijs en urgentie. Loggegevens worden niet eeuwig bewaard. Met elke maand die verstrijkt na het datalek, neemt het risico voor de verantwoordelijke directieleden af. De actualiteit en de urgentie verdwijnen simpelweg naar de achtergrond.

2) De vertragingstactiek. Odido hoopt natuurlijk (en die kans is best reëel) dat er in de lange aanloop naar een massaclaim ook bij andere partijen datalekken ontstaan. In de rechtszaal zullen ze dan het verweer voeren dat de persoonsgegevens op het dark web niet uitsluitend door hun toedoen daar zijn beland. Dat leidt tot eindeloos getouwtrek over causaliteit en nog meer vertraging.

3) Nederlandse bureaucratie. Een class action (WAMCA) is in Nederland enorm gebureaucratiseerd. Het optuigen van zo'n collectieve actie kost heel veel geld, maar wat nog veel belangrijker is: het kost zeeën van tijd.

Alleen (of als testcase) procederen is momenteel de enige manier om snelheid in het proces te houden en ervoor te zorgen dat het management van Odido tenminste op korte termijn met hun verantwoordelijkheid wordt geconfronteerd.

Bovendien heb ik er geen enkel probleem mee om de spits af te bijten en als precedent te dienen. Sterker nog, ik help daarnaast met alle liefde andere mensen of organisaties bij hun eigen procedures zodra er een uitspraak of richting ligt. Maar we moeten voorkomen dat we in de vertragingsvalkuil van de Zuidas-kantoren trappen.

[alexshaman]

ernstoud schreef op woensdag 24 juni 2026 @ 09:55:
[...]


Respect voor je initiatief. Elke rechtsbijstandsverzekering zal - juist omdat advocaten en procesgang duur zijn - een inschatting van de kans op succes maken. En je ziet het nu, het is op dit moment zinloos om naar de rechter te gaan. Of het OM nog onderzoek doet op dit moment is onduidelijk en resultaten van de AP laten schat ik nog zeker een jaar op zich wachten.


[...]


Dat is vrij snel na het lek door deskundigen al gesteld.

Wat had je voor dit geding bedacht als uitkomst? Wat was je verwachting?

Al die vertragingstactieken vormen precies het standaard draaiboek van vrijwel alle grote corporaties bij datalekken. Het gaat ze niet om het nemen van verantwoordelijkheid of het herstellen van fouten, maar simpelweg om het zo lang mogelijk rekken van onderzoeken totdat de kwestie niet meer actueel is of volledig in de vergetelheid raakt.

De primaire reden voor mijn gang naar de rechter was het feit dat al mijn verzoeken en waarschuwingen gedurende lange tijd stelselmatig werden genegeerd. De tweede reden was de aanhoudende chaos aan de kant van Odido, onder andere in hun facturatie- en billingsystemen.

Als je vraagt wat ik feitelijk met dit kort geding wilde bereiken - ik wilde in de eerste plaats testen in hoeverre Odido überhaupt oplossingsgericht (contract- en overlegwaardig) was en hoe ze zich zouden opstellen bij een daadwerkelijke claim. Dat was ronduit schokkend. Een fortuin uitgeven aan een leger "Magic Circle" en Zuidas-advocaten in plaats van datzelfde geld te investeren in - en publiekelijk verantwoording af te leggen over - het verbeteren van hun informatiebeveiliging... dat is helaas de huidige strategie van Odido. Dat hebben ze met hun opstelling in de rechtbank nadrukkelijk bevestigd.

Het meest bizarre detail? Nog tijdens de gerechtelijke procedure pasten ze gegevens en logs in hun registratiesystemen met terugwerkende kracht aan. Als onderbouwing daarvoor kwamen ze vervolgens aanzetten met weer ándere (interne) logs over die wijzigingen. Dat is volledig eenzijdig bewijsmateriaal. Ik voorzie dan ook dat ze exact dit soort gefilterde, eenzijdige data straks als rechtvaardiging gaan overhandigen aan het OM en de AP.

[Herman]

@alexshaman Respect voor je poging!

Odido is nu eenmaal in Engelse / Amerikaanse handen en de top zal ook sterk een Angelsaksische cultuur hebben. In dat licht bezien is een gestrekt been wel begrijpelijk en zullen ze minder snel een uitgestoken hand doen verwacht ik.

[ernstoud]

alexshaman schreef op woensdag 24 juni 2026 @ 10:10:
[...]
Al die vertragingstactieken vormen precies het standaard draaiboek van vrijwel alle grote corporaties bij datalekken. Het gaat ze niet om het nemen van verantwoordelijkheid of het herstellen van fouten, maar simpelweg om het zo lang mogelijk rekken van onderzoeken totdat de kwestie niet meer actueel is of volledig in de vergetelheid raakt.

Of er is gewoon geen rechterlijke basis voor schuld en boete in veel gevallen? Kan ook natuurlijk. Die fout ligt bij de wetgever en toezichthouder.

De primaire reden voor mijn gang naar de rechter was het feit dat al mijn verzoeken en waarschuwingen gedurende lange tijd stelselmatig werden genegeerd.

Daar is de AP voor. Je klacht zou daar op zijn plaats zijn, maar komt dan op de stapel.

De tweede reden was de aanhoudende chaos aan de kant van Odido, onder andere in hun facturatie- en billingsystemen.

Ik denk juridisch onhoudbaar. Jij hebt nl. geen zicht op “chaos” in die systemen, anders dan dat er wellicht in jouw geval fouten waren in die systemen? Maar “chaos”? Dan zul je met veel bewijs moeten komen.

Als je vraagt wat ik feitelijk met dit kort geding wilde bereiken - ik wilde in de eerste plaats testen in hoeverre Odido überhaupt oplossingsgericht (contract- en overlegwaardig) was en hoe ze zich zouden opstellen bij een daadwerkelijke claim. Dat was ronduit schokkend. Een fortuin uitgeven aan een leger "Magic Circle" en Zuidas-advocaten in plaats van datzelfde geld te investeren in - en publiekelijk verantwoording af te leggen over - het verbeteren van hun informatiebeveiliging... dat is helaas de huidige strategie van Odido. Dat hebben ze met hun opstelling in de rechtbank nadrukkelijk bevestigd.

Of Odido ook nu geïnvesteerd heeft in verbetering van de beveiliging weten we niet. Je doet aannames. Niet verstandig als je naar de rechter gaat, die wil nl. feiten horen.

Het meest bizarre detail? Nog tijdens de gerechtelijke procedure pasten ze gegevens en logs in hun registratiesystemen met terugwerkende kracht aan. Als onderbouwing daarvoor kwamen ze vervolgens aanzetten met weer ándere (interne) logs over die wijzigingen. Dat is volledig eenzijdig bewijsmateriaal. Ik voorzie dan ook dat ze exact dit soort gefilterde, eenzijdige data straks als rechtvaardiging gaan overhandigen aan het OM en de AP.

Ik vermoed (en hoop) dat OM en AP deskundig genoeg zijn voor waarheidsvinding.

[Harry720A]

Ik heb mij aangesloten bij https://cuic.eu
Niet geschoten altijd mis.
Heb bewijs dat mijn gegevens zijn gestolen bij Odido.
Ik werd namelijk in een fishingmail bij mijn voornaam genoemd die ik (alleen) bij Odido verzonnen had.
Inmiddels tevens 2 abonnementen beëindigd. Grappig is dat ik bij een nieuwe provider veel betere ontvangst heb en per maand nog goedkoper uit ben. Dat zal ze (op den duur) leren.
Een bedrijf zonder klanten is geen bedrijf.

[ Voor 6% gewijzigd door Harry720A op 24-06-2026 13:12 ]

[mrmrmr]

@alexshaman Goed dat je dit doet. Ze zijn waarschijnlijk heel erg bang voor precedentswerking. Een schadevergoeding betalen kost ze al snel honderden miljoenen. Ik vind dat ze verplicht zijn te betalen omdat het ingrijpt in de levens van de getroffenen (de klanten). Dat is dan ook een van redenen waarop schadevergoeding toekenbaar is. Zoek de bijbehorende jurisprudentie op (link). GDPR is Europees, uitspraken en in andere landen gelden in principe ook hier.

Bepaalde reageerders hier komen voortdurend met teksten en beweringen om de discussie te beïnvloeden ten gunste van odido, reageer daar maar niet op.

[Kalentum]

mrmrmr schreef op woensdag 24 juni 2026 @ 13:54:
Bepaalde reageerders hier komen voortdurend met teksten en beweringen om de discussie te beïnvloeden ten gunste van odido, reageer daar maar niet op.

Ja stel dat iemand een andere mening heeft! Niet reageren!

[ernstoud]

mrmrmr schreef op woensdag 24 juni 2026 @ 13:54:
@alexshamanBepaalde reageerders hier komen voortdurend met teksten en beweringen om de discussie te beïnvloeden ten gunste van odido, reageer daar maar niet op.

Gelukkig is dit een open forum. Zolang een post voldoet aan de forum huisregels mag die geplaatst worden. En mag daarop gereageerd worden.

Discussie beïnvloeden doen we allemaal. Zou anders heel saai worden. En zonder inhoud.

[SgtElPotato]

*knip, niet zo op de man spelen.Doe dan een TR.*

[ Voor 86% gewijzigd door F_J_K op 25-06-2026 21:26 ]

[Lord_Dain]

Nou nou, de reacties zijn weer typisch hoor. Kan in ieder meteen zien wie er zich aangesproken voelen.. dat gezegd hebbende, een beetje empathie en/of compassie naar mensen toe die écht last hebben van de Odido hack en zich aangetast voelen in hun privacy en die hier mogelijk angst- of andere klachten door krijgen, dat zou jullie sieren. In plaats van het continu rationaliseren en rechtpraten wat krom is.

[ernstoud]

Lord_Dain schreef op woensdag 24 juni 2026 @ 20:16:
In plaats van het continu rationaliseren en rechtpraten wat krom is.

Uh, maar drie reacties op de stelling dat die “de discussie … beïnvloeden ten gunste van odido” … draaf je niet een beetje door?

[Cobb]

@alexshaman Wanneer verwacht je een uitspraak? Mijn ervaring is dat een rechtbank jouw als underdog wat meer speelruimte geeft dan de advocatuur. Hopelijk zie je dat terug in de uitspraak.

[Cooyco]

ernstoud schreef op woensdag 24 juni 2026 @ 20:21:
[...]


Uh, maar drie reacties op de stelling dat die “de discussie … beïnvloeden ten gunste van odido” … draaf je niet een beetje door?

Ik moest heel eerlijk gezegd hierbij ook aan jou denken. Als je zakelijke connecties hebt met Odido of een partner zou het wel correct zijn als je dat zou melden.

[ernstoud]

Cooyco schreef op woensdag 24 juni 2026 @ 21:45:
[...]

Ik moest heel eerlijk gezegd hierbij ook aan jou denken. Als je zakelijke connecties hebt met Odido of een partner zou het wel correct zijn als je dat zou melden.

Uh? Waaruit blijkt dat ik “zakelijke connecties” heb met Odido? Ik gebruik hun K&K product. Niet meer dan dat. En kritisch op de soms merkwaardige posts hier ben ik zeker. En dat kan ook bij een forum zolang de huisregels gerespecteerd worden.

[alexshaman]

ernstoud schreef op woensdag 24 juni 2026 @ 22:40:
[...]


Uh? Waaruit blijkt dat ik “zakelijke connecties” heb met Odido? Ik gebruik hun K&K product. Niet meer dan dat. En kritisch op de soms merkwaardige posts hier ben ik zeker. En dat kan ook bij een forum zolang de huisregels gerespecteerd worden.

Om eerlijk te zijn, beschouw ik uw opmerking als juridisch zeer relevant. Ik ben in het dagelijks leven gewend om geen illusies te koesteren. Voor mij is deze hele rechtszaak eerder een experiment en het heeft al tot een verbazingwekkende conclusie geleid: hoe bedrijven bereid zijn miljoenen uit te geven om de mond te snoeren van degenen die het probleem aankaarten, in plaats van het probleem zelf op te lossen.

Terugkomend op de chaos. Ik heb sinds 2025 talloze gedocumenteerde verhalen over hoe Odido er niet in slaagde om gekwalificeerde installateurs op locatie te krijgen, en hoe ze de weg kwijtraakten in hun eigen technologische telecommunicatie-infrastructuur (kortgezegd - hun medewerkers en zelfs het senior-niveau begrijpen niet waar en welke routers/switches door de stad staan). Ze voeren chaotisch factureringen en afschrijvingen uit (ik heb twee contracten; bij de ene zijn er weinig problemen, maar het bedrag schommelt constant (hoewel het een stable net K&K is) en bij de andere begrijpen we er helemaal niets van: soms slaat hun facturatiesysteem zelf een maand over, dan rekenen ze weer de grootste onzin extra, of ze schrijven het bedrag simpelweg niet af van dezelfde rekening als het eerste contract). Dit kan men onmogelijk anders omschrijven dan systematische chaos.

En ik betwijfel zeer of ik de enige ben. Natuurlijk zal ik de moeite nemen en ook de WAMCA (de collectieve actie) benaderen, maar ik heb geen vertrouwen in de huidige organisatoren daarvan, aangezien het heel goed mogelijk is dat zij ook gelieerd zijn aan Odido zelf of hun oligopolistische vrienden bij Preventel. Daarom zal de uitspraak in mijn zaak het beste bewijs zijn van mijn integriteit - en het maakt niet eens uit of die winnend is of niet!

Overigens, wie direct wil aansluiten - laat het me weten. Ik verzamel alle verhalen over de problemen en de chaos bij Odido.

[Harry720A]

alexshaman schreef op woensdag 24 juni 2026 @ 23:21:[...]
Overigens, wie direct wil aansluiten - laat het me weten. Ik verzamel alle verhalen over de problemen en de chaos bij Odido.

Mij is Odido nooit vergeten te factureren.

[alexshaman]

Herman schreef op woensdag 24 juni 2026 @ 10:26:
@alexshaman Respect voor je poging!

Odido is nu eenmaal in Engelse / Amerikaanse handen en de top zal ook sterk een Angelsaksische cultuur hebben. In dat licht bezien is een gestrekt been wel begrijpelijk en zullen ze minder snel een uitgestoken hand doen verwacht ik.

Ik verwachtte ook geen 'uitgestoken hand'; ik ben inmiddels wel gewend aan de koppigheid van grote EU corporaties. Ik koester geen illusies. Mijn punt is dat Nederland de enorme impact op de nationale veiligheid op dit moment schromelijk onderschat.

Denk eens na over het aantal rechters, officieren van justitie, militairen, AIVD-medewerkers en topambtenaren wiens gegevens hierdoor op straat zijn komen te liggen. Ik heb het nog niet eens over hun families. In de handen van een buitenlandse inlichtingendienst (zoals de FSB) is deze data een goudmijn. Je kunt met een relatief kleine groep mensen systematisch families onder druk zetten of gerichte psychologische aanvallen uitvoeren op personen die cruciaal zijn voor de nationale stabiliteit.

Er zijn echter al vier maanden verstreken en het enige wat de telecomoperator aanbiedt, is een antivirusprogramma (en nog niet eens het beste) voor de klanten zelf. Hoewel het lek absoluut niet aan de kant van de klanten lag - laat ze die antivirusprogramma’s maar lekker zelf gebruiken. Maar voor kritische klanten vindt Odido wel miljoenen om topadvocaten van koningshuizen (Freshfields) in te huren voor een claim van 100 euro.

Dit alles getuigt van volkomen onverantwoordelijk gedrag, incompetentie en chaos in het management.

[alexshaman]

Harry720A schreef op woensdag 24 juni 2026 @ 23:44:
[...]
Mij is Odido nooit vergeten te factureren.

Bij een van mijn contracten zijn ze dat zelfs vergeten - het was bijna komisch. Ze verkochten (of gaven) mij een smartphone met simkaart en daarna... hoorde ik niets meer. De simkaart was niet actief en er kwamen geen facturen binnen.

Dit was in november 2024, en pas in april 2025 is het me gelukt om de boel te activeren en eindelijk te gaan betalen. Daar waren maar liefst drie bezoeken aan hun fysieke winkels voor nodig!

[mrmrmr]

@alexshaman
Eens, het lekken van persoonsgegevens is slecht voor de staatsveiligheid en veiligheid van personen op bepaalde posities. Buitenlandse "diensten" kunnen die gegevens gebruiken om mensen onder druk te zetten.

Maar dat kun je in de rechtszaal moeilijk als argument gebruiken als je geen vertegenwoordiger bent van deze groep of zelf slachtoffer bent. En als je zelf slachtoffer bent wil je (of mag je) niet de aandacht op jezelf vestigen.

Betekent niet dat je geen schadevergoeding zou kunnen krijgen, maar wel dat je dan dat op basis van een andere grond doet.

[alexshaman]

mrmrmr schreef op donderdag 25 juni 2026 @ 00:30:
@alexshaman
Eens, het lekken van persoonsgegevens is slecht voor de staatsveiligheid en veiligheid van personen op bepaalde posities. Buitenlandse "diensten" kunnen die gegevens gebruiken om mensen onder druk te zetten.

Maar dat kun je in de rechtszaal moeilijk als argument gebruiken als je geen vertegenwoordiger bent van deze groep of zelf slachtoffer bent. En als je zelf slachtoffer bent wil je (of mag je) niet de aandacht op jezelf vestigen.

Betekent niet dat je geen schadevergoeding zou kunnen krijgen, maar wel dat je dan dat op basis van een andere grond doet.

Los van de rechtszaak zelf wordt de impact van dit soort incidenten volgens mij vaak onderschat. Het gaat niet alleen om een privacykwestie van individuele slachtoffers, de mogelijke gevolgen kunnen veel breder zijn. Tegelijkertijd draagt het jarenlang rekken van onderzoeken en procedures, en het doorschuiven naar langdurige trajecten zoals via de AP of WAMCA, niet bij aan de veiligheid maar werkt het juist averechts.

[POTMA]

alexshaman schreef op donderdag 25 juni 2026 @ 05:54:
[...]

Los van de rechtszaak zelf wordt de impact van dit soort incidenten volgens mij vaak onderschat. Het gaat niet alleen om een privacykwestie van individuele slachtoffers, de mogelijke gevolgen kunnen veel breder zijn. Tegelijkertijd draagt het jarenlang rekken van onderzoeken en procedures, en het doorschuiven naar langdurige trajecten zoals via de AP of WAMCA, niet bij aan de veiligheid maar werkt het juist averechts.

Je gooit nu echt teveel op een hoop.
Ik vind het goed dat er onderzoek door AP en RDI gedaan wordt om alle feiten vast te stellen, dat heeft nou eenmaal tijd nodig. Ga je er vanuit dat het bedrijf niets doet om de processen, veiligheid en data retentie te verbeteren in de tussentijd?

[SgtElPotato]

Lord_Dain schreef op woensdag 24 juni 2026 @ 20:16:
Nou nou, de reacties zijn weer typisch hoor. Kan in ieder meteen zien wie er zich aangesproken voelen.. dat gezegd hebbende, een beetje empathie en/of compassie naar mensen toe die écht last hebben van de Odido hack en zich aangetast voelen in hun privacy en die hier mogelijk angst- of andere klachten door krijgen, dat zou jullie sieren. In plaats van het continu rationaliseren en rechtpraten wat krom is.

Mooi man. Een iemand vind dat een mening geven over het onderwerp 'beïnvloeden' van een gesprek is ten gunste van Odido. Lekker eenzijdig in je bubbel blijven, dat is DE oplossing!!

[ernstoud]

alexshaman schreef op woensdag 24 juni 2026 @ 23:52:
[...]
Er zijn echter al vier maanden verstreken en het enige wat de telecomoperator aanbiedt, is een antivirusprogramma (en nog niet eens het beste) voor de klanten zelf.

Wat stel je voor dat ze wel zouden kunnen doen? Volgens mij is het enige dat rest een financiële genoegdoening. Maar wat lost dat op?

Dit alles getuigt van volkomen onverantwoordelijk gedrag, incompetentie en chaos in het management.

Grote woorden. Ze zijn gehackt, zoals ook veel andere organisaties. En communiceren niet optimaal. Maar voor je grote woorden heb je geen bewijs. Chaos? Incompetentie? Onverantwoordelijk?

[TexMex]

SgtElPotato schreef op donderdag 25 juni 2026 @ 08:52:
[...]

Mooi man. Een iemand vind dat een mening geven over het onderwerp 'beïnvloeden' van een gesprek is ten gunste van Odido. Lekker eenzijdig in je bubbel blijven, dat is DE oplossing!!

Sommige users trekken het inderdaad wat ver door. Toch denk ik niet dat we zomaar kunnen uitsluiten dat Odido in dit soort topics actief is op enigerlei wijze. Damage control en het beïnvloeden van de publieke opinie is alles voor dit soort bedrijven. En gezien het geweld waarmee ze die rechtszaak hierboven ingaan, zou ik er niet van opkijken als ze ook op andere fronten actief zijn.

[Cooyco]

ernstoud schreef op donderdag 25 juni 2026 @ 08:57:
[...]


Wat stel je voor dat ze wel zouden kunnen doen? Volgens mij is het enige dat rest een financiële genoegdoening. Maar wat lost dat op?

Bedrijven en zeker bedrijven met een nutsfunctie zullen dan in de toekomst weten dat het goedkoper is de beveiliging te optimaliseren dan een hack te riskeren. De boetes van welke overheidsinstantie lukt dat tot nu toe niet. En nee, geen beveiliging is absoluut maar de afwegingen kunnen echt anders.

[ernstoud]

Cooyco schreef op donderdag 25 juni 2026 @ 09:35:
[...]

Bedrijven en zeker bedrijven met een nutsfunctie zullen dan in de toekomst weten dat het goedkoper is de beveiliging te optimaliseren dan een hack te riskeren. De boetes van welke overheidsinstantie lukt dat tot nu toe niet. En nee, geen beveiliging is absoluut maar de afwegingen kunnen echt anders.

Omdat er verkeersboetes zijn rijdt niemand meer te hard?

Risico mitigeren kost heel veel geld, tijd en moeite. En “optimaliseren” betekent dan een restrisico. Daar kun je een hoop aan rekenen, discussie over voeren op alle lagen van de organisatie, certificeren, red/blue team sessies houden etc. etc. En dan nog kun je gehackt worden. Ik denk dat kerncentrales (heb ik een beveiligingsplan voor gemaakt, bij de IAEA in Wenen over gepresenteerd) het “best” beveiligd zijn. En kijk naar Stuxnet… ook die sector loopt risico.

Als je geen hack wil riskeren moet je je bedrijf stoppen. Ga je door, loop je risico’s, die je vaak niet kunt inschatten.

Dat Odido in dit geval laks is geweest door niet tijdig op de (late) door SalesForce aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van.

[ernstoud]

TexMex schreef op donderdag 25 juni 2026 @ 09:31:
[...]
Toch denk ik niet dat we zomaar kunnen uitsluiten dat Odido in dit soort topics actief is op enigerlei wijze.

Dat kan. En dan nog? Openbaar forum. Denk je dat Tweakers makke schapen zijn die dan alles voor zoete koek slikken?

Ik vind het wel bijzonder in deze en andere threads dat als je wat tegengas geeft op zwaar aangezette woorden hier direct in de hoek gezet wordt van “zal wel bij Odido of partner werken”. Kom op zeg.

[TexMex]

ernstoud schreef op donderdag 25 juni 2026 @ 09:53:
[...]

Dat kan. En dan nog? Openbaar forum.

Als dat direct gelieerd is aan Odido, zou het wel zo netjes zijn dat kenbaar te maken. Verder beschuldig ik niemand. Ik zeg louter dat ik niet uitsluit dat Odido hier actief is.

[alexshaman]

ernstoud schreef op donderdag 25 juni 2026 @ 09:49:
[...]


Omdat er verkeersboetes zijn rijdt niemand meer te hard?

Risico mitigeren kost heel veel geld, tijd en moeite. En “optimaliseren” betekent dan een restrisico. Daar kun je een hoop aan rekenen, discussie over voeren op alle lagen van de organisatie, certificeren, red/blue team sessies houden etc. etc. En dan nog kun je gehackt worden. Ik denk dat kerncentrales (heb ik een beveiligingsplan voor gemaakt, bij de IAEA in Wenen over gepresenteerd) het “best” beveiligd zijn. En kijk naar Stuxnet… ook die sector loopt risico.

Als je geen hack wil riskeren moet je je bedrijf stoppen. Ga je door, loop je risico’s, die je vaak niet kunt inschatten.

Dat Odido in dit geval laks is geweest door niet tijdig op de (late) door SalesForce aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van.

Slechts nalatigheid? Dat zeiden ze in 1986 ook bij de kerncentrale van Tsjernobyl. Laten we onze reactie van toen eens voorstellen: "Dat de kerncentrale van Tsjernobyl in dit geval laks is geweest door niet tijdig op de (late) door het engineeringteam aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van".

Een modern telecombedrijf moet beschikken over een gelaagde beveiligingsbasis en standaard "Zero Trust" hanteren, zeker bij toegang tot bedrijfskritieke gegevens. We hebben hier niet zomaar te maken met een phishing- (of vishing-) aanval - een volstrekt elementaire aanval die zelfs door een redelijk ontwikkelde scholier uit China of Wit-Rusland kan worden uitgevoerd. Het punt is echter dat deze vishing niet alleen de diefstal van een deel van de data mogelijk maakte (wat nog enigszins verklaard had kunnen worden), maar de volledige klantendatabase, inclusief financieel gevoelige informatie.

Hier zijn werkelijk alle protocollen voor informatiebeveiliging geschonden:

1. Centrale opslag van data met de mogelijkheid tot volledige export.
2. Falen van SIEM/SOC-systemen.
3. Falen van firewalls en overige WAF-configuraties die op verdachte activiteiten zijn ingesteld.
4. Falen van alle antifraude systemen.
5. Ontbreken van enige alarmering bij verdachte acties.

U haalt een belachelijk voorbeeld aan met Stuxnet. Dat was een andere wereld 2010 toen 3D/VBV nog niet eens volledig was geïntegreerd. Dat is hetzelfde als een voorbeeld uit 1980 aanhalen.

Maar u merkt terecht op: "Daar kun je een hoop aan rekenen, discussie over voeren op alle lagen van de organisatie, certificeren, red/blue team sessies houden etc. etc. En dan nog kun je gehackt worden."

Misschien is het beter om er in plaats van eindeloze vergaderingen en het onderhouden van incompetent C-level personeel (CEO, CISO), beter mensen ingehuurd kunnen worden die niet vergaderen, maar hun werk doen en ervoor zorgen dat de onderneming aan haar contractuele verplichtingen voldoet. Een essentieel onderdeel van dat contract is het waarborgen van de veiligheid van abonneedata.

Nogmaals, het gaat hier primair om compensatie als opvoedkundig middel - niemand is uit op verrijking ten koste van hen, maar zij zijn verplicht om financiële verantwoordelijkheid te dragen. En dan niet alleen het bedrijf, maar de gehele lijn van verantwoordelijk personeel: de CEO en CISO. U beweert dat de chaos in het bedrijf niet bewezen is, waarom beweert u dat?

Lees dit: https://stratedigi.medium.com/how-i-tried-to-improve-the-unimprovable-or-the-odido-project-fbb44776e0c3

Denkt u dat er iets is veranderd? Nee! De mobiele app werkt niet. Ze begrijpen zelf niet wat er in hun billing gebeurt.

En toch: hoe kan Odido volgens u het gebrek aan chaos aantonen en de bekwaamheid van het management bevestigen? Door advocaten van een miljoen in te schakelen voor een zaak van 100 euro? Door maandelijkse uitval van de verbinding? Door een klantenservice die alleen uit bots bestaat, of met wachttijden van 100 dagen? Of misschien door de beveiliging van hun informatie en daadwerkelijk geleerd te hebben van hun fouten?

Kijk overigens eens naar de staat van hun Surface for Potential Cyberattack via DNS-dumpster. Er is in vier maanden tijd niets veranderd - deze onderneming kan opnieuw worden aangevallen door elk willekeurig, enigszins voorbereid team.

Ik wil er direct bij zeggen dat dit openbare gegevens zijn, zodat de vertegenwoordigers van de CEO/CISO van Odido niet de enige truc proberen die ze beheersen: het verzoeken om verwijdering van gegevens van websites, in plaats van zich te focussen op hun eigenlijke verantwoordelijkheden.

En voor de duidelijkheid: stuur deze schermafbeeldingen simpelweg naar een willekeurig AI-systeem en vraag wat de risico's voor de informatiebeveiliging zijn. Iedere willekeurige LLM zal u hetzelfde antwoord geven.

[alexshaman]

TexMex schreef op donderdag 25 juni 2026 @ 10:05:
[...]


Als dat direct gelieerd is aan Odido, zou het wel zo netjes zijn dat kenbaar te maken. Verder beschuldig ik niemand. Ik zeg louter dat ik niet uitsluit dat Odido hier actief is.

Ik kan u echter met volledige zekerheid zeggen - natuurlijk is Odido hier actief, dat weet ik inmiddels juridisch gezien direct. Ze maken zich grote zorgen over de discussie die ik hier ben gestart. Maar om andere reageerders ervan te verdenken dat ze voor hen werken, is waarschijnlijk wat overbodig.

[ernstoud]

alexshaman schreef op donderdag 25 juni 2026 @ 10:57:
[...]

Slechts nalatigheid? Dat zeiden ze in 1986 ook bij de kerncentrale van Tsjernobyl. Laten we onze reactie van toen eens voorstellen: "Dat de kerncentrale van Tsjernobyl in dit geval laks is geweest door niet tijdig op de (late) door het engineeringteam aangegeven verbeteringen te reageren is duidelijk. Hopelijk leren ze, en anderen ook, er van".

Er speelden daar heel andere problemen dan wat je hier schetst. Voornamelijk het gebruik van sterk verouderde technologie.

Een modern telecombedrijf moet beschikken over een gelaagde beveiligingsbasis en standaard "Zero Trust" hanteren, zeker bij toegang tot bedrijfskritieke gegevens. We hebben hier niet zomaar te maken met een phishing- (of vishing-) aanval - een volstrekt elementaire aanval die zelfs door een redelijk ontwikkelde scholier uit China of Wit-Rusland kan worden uitgevoerd. Het punt is echter dat deze vishing niet alleen de diefstal van een deel van de data mogelijk maakte (wat nog enigszins verklaard had kunnen worden), maar de volledige klantendatabase, inclusief financieel gevoelige informatie.

Hier zijn werkelijk alle protocollen voor informatiebeveiliging geschonden:

1. Centrale opslag van data met de mogelijkheid tot volledige export.
2. Falen van SIEM/SOC-systemen.
3. Falen van firewalls en overige WAF-configuraties die op verdachte activiteiten zijn ingesteld.
4. Falen van alle antifraude systemen.
5. Ontbreken van enige alarmering bij verdachte acties.

Valide opsomming. Maar zonder inside informatie is het lastig om alles wat het beveiligingsmodel heeft doen falen met zekerheid op te sommen.

Je vergeet er overigens wel één, een belangrijke: een leverancier die software levert met een enorme kwetsbaarheid.

U haalt een belachelijk voorbeeld aan met Stuxnet. Dat was een andere wereld 2010 toen 3D/VBV nog niet eens volledig was geïntegreerd. Dat is hetzelfde als een voorbeeld uit 1980 aanhalen.

Belachelijk? Waarom? Ik geef aan dat in de nucleaire wereld waar ik een tijd heb rondgelopen en waar qua security/safety de standaards heel hoog liggen, er nog steeds rest risico is. Leren uit het verleden is erg verstandig.

Misschien is het beter om er in plaats van eindeloze vergaderingen en het onderhouden van incompetent C-level personeel (CEO, CISO), beter mensen ingehuurd kunnen worden die niet vergaderen, maar hun werk doen en ervoor zorgen dat de onderneming aan haar contractuele verplichtingen voldoet.

Je ben cybersecurity specialist begrijp ik. In het algemeen hebben die zo is mijn ruime ervaring, het idee dat zij beleid bepalen. Dat is niet zo, dat is het management. Je harde woorden over incompetentie e.d. tonen frustratie. Dat begrijp ik maar jij zit niet achter de stuurknuppel bij Odido. Het is niet anders.

Nogmaals, het gaat hier primair om compensatie als opvoedkundig middel - niemand is uit op verrijking ten koste van hen, maar zij zijn verplicht om financiële verantwoordelijkheid te dragen. En dan niet alleen het bedrijf, maar de gehele lijn van verantwoordelijk personeel: de CEO en CISO.

Opvoedkundig middel? Je zou echt eens in een directie van een grote organisatie moeten deelnemen. Die zijn niet bezig met dat wat jij schetst.

U beweert dat de chaos in het bedrijf niet bewezen is, waarom beweert u dat?

Omdat het te grote woorden zijn. Allerlei voorbeelden noemen wat fout gaat bij Odido of KPN, de overheid of wie dan ook, impliceert geen “chaos”. Elke dag weer komen miljoenen mensen veilig op hun werk. De krant noemt alleen de ongelukken. Betekent dat, dat er chaos op de weg is?

Lees dit: https://stratedigi.medium.com/how-i-tried-to-improve-the-unimprovable-or-the-odido-project-fbb44776e0c3

Duidelijk van jouw hand? Zelfde toon, zelfde n=1 rant, kan er niet veel mee. De miljoenen tevreden Odido gebruikers ook niet.

Ik kan over mijn recente ervaringen met het omzetten van zakelijke KPN contracten ook mijn frustratie delen. Betekent dat chaos bij KPN?

[ernstoud]

alexshaman schreef op donderdag 25 juni 2026 @ 10:59:
[...]
Ze maken zich grote zorgen over de discussie die ik hier ben gestart.

[redwing]

alexshaman schreef op donderdag 25 juni 2026 @ 10:59:
[...]

Ik kan u echter met volledige zekerheid zeggen - natuurlijk is Odido hier actief, dat weet ik inmiddels juridisch gezien direct. Ze maken zich grote zorgen over de discussie die ik hier ben gestart. Maar om andere reageerders ervan te verdenken dat ze voor hen werken, is waarschijnlijk wat overbodig.

Het eerste geloof ik gelijk, het zou raar zijn als ze niet de kanalen in de gaten houden. Maar dat ze zich grote zorgen over de discussie hier maken lijkt me sterk. Het is niet alsof er hier nu echt nieuwe zaken boven water worden gehaald of uitgezocht. Heel dit topic is weinig meer dan een hoop gerant richting Odido, zonder echt inhoudelijk veel toe te voegen.

En daarbij, hoezo ben jij de discussie hier gestart? Dit topic loopt al vanaf 12 februari en deze discussie is hier al tig keer voorbij gekomen. Ik heb de afgelopen pagina's niets aan nieuwe info/discussie voorbij zien komen iig.

[alexshaman]

redwing schreef op donderdag 25 juni 2026 @ 13:09:
[...]

Het eerste geloof ik gelijk, het zou raar zijn als ze niet de kanalen in de gaten houden. Maar dat ze zich grote zorgen over de discussie hier maken lijkt me sterk. Het is niet alsof er hier nu echt nieuwe zaken boven water worden gehaald of uitgezocht. Heel dit topic is weinig meer dan een hoop gerant richting Odido, zonder echt inhoudelijk veel toe te voegen.

En daarbij, hoezo ben jij de discussie hier gestart? Dit topic loopt al vanaf 12 februari en deze discussie is hier al tig keer voorbij gekomen. Ik heb de afgelopen pagina's niets aan nieuwe info/discussie voorbij zien komen iig.

Iemand zit alleen maar te klagen, terwijl een ander actie onderneemt. Stel je voor dat er 100 mensen zijn zoals ik, die de zaak in een stroomversnelling naar de rechter brengen. Als Odido dan het topadvocatenkantoor Freshfields uit de 'magic circle' blijft inschakelen voor hun verdediging, wordt de kans groter dat ze hun beleid van het negeren van problemen en schadevergoedingsverzoeken heroverwegen. Want de betaling van advocaten van Freshfields voor zelfs maar 100 zaken is duurder dan alle vereiste acties bij elkaar.

Want hoe simpel zou alles zijn:

1. Schuld erkennen.
2. Een openbaar herstelplan presenteren.
3. Een rapport presenteren over de verantwoordelijkheid van het bedrijf en het personeel voor het ontstane datalek.
4. Alle getroffenen een schadevergoeding van 100 euro bieden (in totaal zou dat ongeveer 620 miljoen euro zijn, geen kritiek bedrag voor Odido).

Hiermee zou het conflict definitief zijn beëindigd en de reputatie zijn hersteld.

Maar men kiest ervoor om het anders te doen: data manipuleren, processen vertragen, eisers onder druk zetten en intimideren (juridisch), en peperdure advocaten inhuren. Terwijl men uiteindelijk over 2-3 jaar toch de claims moet betalen, plus enorme boetes.

Dit getuigt van een buitengewoon hoog niveau van incompetentie van het management van Odido.

[redwing]

alexshaman schreef op vrijdag 26 juni 2026 @ 07:36:
[...]

Iemand zit alleen maar te klagen, terwijl een ander actie onderneemt. Stel je voor dat er 100 mensen zijn zoals ik, die de zaak in een stroomversnelling naar de rechter brengen. Als Odido dan het topadvocatenkantoor Freshfields uit de 'magic circle' blijft inschakelen voor hun verdediging, wordt de kans groter dat ze hun beleid van het negeren van problemen en schadevergoedingsverzoeken heroverwegen. Want de betaling van advocaten van Freshfields voor zelfs maar 100 zaken is duurder dan alle vereiste acties bij elkaar.

Zodra er een paar gewonnen zijn heb je die advocaten niet meer nodig en wordt het gewoon aftikken bij de rechter.

Want hoe simpel zou alles zijn:

1. Schuld erkennen.
2. Een openbaar herstelplan presenteren.
3. Een rapport presenteren over de verantwoordelijkheid van het bedrijf en het personeel voor het ontstane datalek.
4. Alle getroffenen een schadevergoeding van 100 euro bieden (in totaal zou dat ongeveer 620 miljoen euro zijn, geen kritiek bedrag voor Odido).

Hiermee zou het conflict definitief zijn beëindigd en de reputatie zijn hersteld.

Oh? Zou jij het voor 100 euro dan niet erg vinden dat je gegevens op straat liggen?
Daarbij, waar last dit op? Je ziet bij elk groot bedrijf dat ze fouten maken en uiteindelijk kiezen de meeste mensen toch voor de goedkoopste aanbieder. En daarbij, wie denk je dat die 620 miljoen zou gaan betalen?

Maar men kiest ervoor om het anders te doen: data manipuleren, processen vertragen, eisers onder druk zetten en intimideren (juridisch), en peperdure advocaten inhuren. Terwijl men uiteindelijk over 2-3 jaar toch de claims moet betalen, plus enorme boetes.

Ik betwijfel dat die claims betaald moeten worden. Ik schat dat ze een boete gaan krijgen voor het te lang bewaren van gegevens en dat er verder niet veel gaat gebeuren. En eigenlijk zouden ze dan de andere grote providers net zo goed die boete moeten geven. Die doen ten slotte precies hetzelfde.

Dit getuigt van een buitengewoon hoog niveau van incompetentie van het management van Odido.

Begrijp me trouwens niet verkeerd, ik vind het goed dat je dit doet. Ik heb alleen niet de illusie dat hierdoor iets gaat veranderen omdat elke provider dit soort fouten maakt. Maar zolang de wetgeving dit niet aanpakt en wij massaal naar de goedkoopste provider stappen, gaat er niets veranderen.

Kort gezegd, ik ben benieuwd naar de uitspraak van je kort geding, maar het zou me verbazen als er echt iets uit gaat komen.

[Herman]

ernstoud schreef op donderdag 25 juni 2026 @ 11:50:
(...)


Valide opsomming. Maar zonder inside informatie is het lastig om alles wat het beveiligingsmodel heeft doen falen met zekerheid op te sommen.

Je vergeet er overigens wel één, een belangrijke: een leverancier die software levert met een enorme kwetsbaarheid.

(...)

Dit is toch wel erg typisch. Zonder 'inside informatie' mag niemand een vingertje opsteken tegen Odido maar vervolgens komt gelijk een dikke sneer naar een leverancier Dat die leverancier talloze keren heeft gewaarschuwd laten we maar even voor het gemak achterwege. Of heb jij daarin wel 'inside inormatie'?

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 07:36:
[...]

Schuld erkennen.

Zolang het onderzoek van de AP en van het OM loopt, gaat dat niet gebeuren. Gaat juridisch tegen het belang in van Odido.

Dat jij dit wil is begrijpelijk maar tegen windmolens vechten is zinloos.

Een openbaar herstelplan presenteren.

Zie: https://www.odido.nl/veiligheid

En openbaar al te veel toelichten over herstel van het niveau van beveiliging doen weinig bedrijven. Wat zou je in dit plan willen lezen?

De AP zal hopelijk een na controle afdwingen.

Een rapport presenteren over de verantwoordelijkheid van het bedrijf en het personeel voor het ontstane datalek.

Geen idee wat je hier bedoelt. Publicatie van het CV, functiebeschrijving e.d. van alle betrokkenen? En dan wil je een soort schandpaal?

Alle getroffenen een schadevergoeding van 100 euro bieden (in totaal zou dat ongeveer 620 miljoen euro zijn, geen kritiek bedrag voor Odido).

Je gaat er dan vanuit dat al die 6 miljoen getroffen klanten daarmee tevreden zijn? Zal niet zo zijn.

Maar men kiest ervoor om het anders te doen: data manipuleren, processen vertragen, eisers onder druk zetten en intimideren (juridisch), …

Dit getuigt van een buitengewoon hoog niveau van incompetentie van het management van Odido.

Je gooit hier je eigen glazen in. In een juridisch geschil de tegenpartij zwart maken is niet verstandig. Je oppert dat Odido hier meeleest (ik betwijfel dat overigens). Dan is een term als “incompetent” terwijl er een kort geding loopt op zijn minst gezegd dom.

Ik begrijp je frustratie dat je dit geschil niet gaat winnen. Ik begrijp ook dat je als security specialist (net als ik in dit vakgebied) voor Odido wil bepalen hoe hun beleid zou moeten zijn en hoe het verder moet. Maar helaas, onrealistisch.

[W1ck1e]

ernstoud schreef op vrijdag 26 juni 2026 @ 08:49:
... Je oppert dat Odido hier meeleest (ik betwijfel dat overigens). ...

Ik denk dat elke provider medewerkers heeft die vrijwillig (vanwege persoonlijke interesse) of vanuit hun functie (beleid) op tweakers zitten. Dat is laaghangend fruit. Om complimenten, tips en kritiek te kunnen lezen. En er zullen ook wel eens berichten geprint op een bord geprikt worden.

[ernstoud]

Herman schreef op vrijdag 26 juni 2026 @ 08:45:
[...]

Dit is toch wel erg typisch. Zonder 'inside informatie' mag niemand een vingertje opsteken tegen Odido …

Ik geef aan dat om met enige zekerheid de 5 punten die genoemd werden aan te dragen als als falen van het Odido beveligingsmodel, je meer informatie moet hebben dan openbaar is.

Waar zeg ik dat “niemand” hier wat over mag zeggen? Het enige wat ik opper is dat als je zegt “dit is er gebeurd” je wel erg zeker van je zaak moet zijn.

… maar vervolgens komt gelijk een dikke sneer naar een leverancier Dat die leverancier talloze keren heeft gewaarschuwd laten we maar even voor het gemak achterwege. Of heb jij daarin wel 'inside inormatie'?

Ja SalesForce heeft gepubliceerd dat er in hun software - zeg maar “af fabriek” - een grote kwetsbaarheid zit. Maar had die kwetsbaarheid er standaard misschien gewoon niet in moeten zitten?

Dat is geen “inside informatie”. Dat is gewoon een normale vraag. Hollandse nuchterheid.

In plaats van een sneer naar mij is een discussie of software waarin de hele database gedownload kan worden zonder afdoende beveiliging “af fabriek” zo afgeleverd moet worden, meer zinvol. Had SalesForce die functionaliteit niet beter in een aparte module beschikbaar moeten maken? Beste beveiliging is toch altijd nog separatie.

[Herman]

ernstoud schreef op vrijdag 26 juni 2026 @ 09:04:
(...)


[...]


Ja SalesForce heeft gepubliceerd dat er in hun software - zeg maar “af fabriek” - een grote kwetsbaarheid zit. Maar had die kwetsbaarheid er standaard misschien gewoon niet in moeten zitten?

Dat is geen “inside informatie”. Dat is gewoon een normale vraag. Hollandse nuchterheid.

In plaats van een sneer naar mij is een discussie of software waarin de hele database gedownload kan worden zonder afdoende beveiliging “af fabriek” zo afgeleverd moet worden, meer zinvol. Had SalesForce die functionaliteit niet beter in een aparte module beschikbaar moeten maken? Beste beveiliging is toch altijd nog separatie.

Nonsens. Noem me een software-programma waarbij het niet mogelijk is om de gebruikersrechten verkeerd in te stellen. Odido was, en is, verantwoordelijk voor het configureren van hun software. En als Odido daartoe niet in staat is, hadden ze niet met Salesforce in zee moeten gaan.

[ernstoud]

Herman schreef op vrijdag 26 juni 2026 @ 09:13:
[...]

Nonsens. Noem me een software-programma waarbij het niet mogelijk is om de gebruikersrechten verkeerd in te stellen. Odido was, en is, verantwoordelijk voor het configureren van hun software. En als Odido daartoe niet in staat is, hadden ze niet met Salesforce in zee moeten gaan.

Ik heb het niet over de rechtenstructuur in SalesForce. Ik opper dat downloaden van de hele database als functionaliteit niet in deze software zou moeten zitten maar bijvoorbeeld in een losse database management module. Goed beveiligd.

Waarom direct afdoen als “nonsens”? Dit is nl. precies wat Oracle doet. Alle database manipulatie in aparte tools. Waar we als auditor dan juist weer erg bang voor zijn. Elk voordeel heeft zijn nadeel. Maar alles helpt.

[alexshaman]

ernstoud schreef op vrijdag 26 juni 2026 @ 08:49:
[...]


Zolang het onderzoek van de AP en van het OM loopt, gaat dat niet gebeuren. Gaat juridisch tegen het belang in van Odido.

Dat jij dit wil is begrijpelijk maar tegen windmolens vechten is zinloos.


[...]


Zie: https://www.odido.nl/veiligheid

En openbaar al te veel toelichten over herstel van het niveau van beveiliging doen weinig bedrijven. Wat zou je in dit plan willen lezen?

De AP zal hopelijk een na controle afdwingen.


[...]


Geen idee wat je hier bedoelt. Publicatie van het CV, functiebeschrijving e.d. van alle betrokkenen? En dan wil je een soort schandpaal?


[...]


Je gaat er dan vanuit dat al die 6 miljoen getroffen klanten daarmee tevreden zijn? Zal niet zo zijn.


[...]


Je gooit hier je eigen glazen in. In een juridisch geschil de tegenpartij zwart maken is niet verstandig. Je oppert dat Odido hier meeleest (ik betwijfel dat overigens). Dan is een term als “incompetent” terwijl er een kort geding loopt op zijn minst gezegd dom.

Ik begrijp je frustratie dat je dit geschil niet gaat winnen. Ik begrijp ook dat je als security specialist (net als ik in dit vakgebied) voor Odido wil bepalen hoe hun beleid zou moeten zijn en hoe het verder moet. Maar helaas, onrealistisch.

*Knip. niet op de man. "ik zelf denk"*
dat het enkel uit "loze praat" bestaat in plaats van feiten, en dat het een bespotting van de gebruikers is. Een cadeau in de vorm van een niet bepaald effectieve antivirus, terwijl het probleem helemaal niet bij de gebruiker ligt!

Waar zijn de antwoorden op:

1. Wie is er schuldig en wie heeft de verantwoordelijkheid genomen? CEO, CISO? Salariskortingen, ontslagen?
2. Welke lessen zijn er getrokken en welke verbeteringen zijn doorgevoerd? Hoe zijn de risico's voor abonnees verlaagd?
3. Waarom worden er advocaten (Freshfields) van miljoenen euro's ingehuurd om zich tegen de eigen klanten te verdedigen, terwijl er op alles wordt bezuinigd als het gaat om de bescherming van de data van abonnees?

[ Voor 1% gewijzigd door F_J_K op 26-06-2026 10:03 ]

[alexshaman]

Herman schreef op vrijdag 26 juni 2026 @ 09:13:
[...]

Nonsens. Noem me een software-programma waarbij het niet mogelijk is om de gebruikersrechten verkeerd in te stellen. Odido was, en is, verantwoordelijk voor het configureren van hun software. En als Odido daartoe niet in staat is, hadden ze niet met Salesforce in zee moeten gaan.

U heeft 100% gelijk. Bovendien had Odido het recht niet om alle abonneesgegevens op één plek op te slaan, en dan ook nog eens zonder depersonalisatie. Het opslaan van IBAN's op diezelfde plek is simpelweg een misdaad! Eigenlijk is hier echt sprake van (of op zijn minst het vermoeden van) criminele nalatigheid door medewerkers en het management van Odido, die schade heeft toegebracht aan de nationale veiligheid (denk aan het lekken van gegevens van bijvoorbeeld familieleden van AIVD-medewerkers of militairen).

[alexshaman]

ernstoud schreef op vrijdag 26 juni 2026 @ 09:04:
[...]


Ik geef aan dat om met enige zekerheid de 5 punten die genoemd werden aan te dragen als als falen van het Odido beveligingsmodel, je meer informatie moet hebben dan openbaar is.

Waar zeg ik dat “niemand” hier wat over mag zeggen? Het enige wat ik opper is dat als je zegt “dit is er gebeurd” je wel erg zeker van je zaak moet zijn.


[...]


Ja SalesForce heeft gepubliceerd dat er in hun software - zeg maar “af fabriek” - een grote kwetsbaarheid zit. Maar had die kwetsbaarheid er standaard misschien gewoon niet in moeten zitten?

Dat is geen “inside informatie”. Dat is gewoon een normale vraag. Hollandse nuchterheid.

In plaats van een sneer naar mij is een discussie of software waarin de hele database gedownload kan worden zonder afdoende beveiliging “af fabriek” zo afgeleverd moet worden, meer zinvol. Had SalesForce die functionaliteit niet beter in een aparte module beschikbaar moeten maken? Beste beveiliging is toch altijd nog separatie.

Het is waanzin om Salesforce de schuld te geven. Dit is hetzelfde als de fabrikant van een kast de schuld geven omdat jij daar zonder kluis al je eigen en andermans (geleende) geld en waardevolle spullen in hebt gelegd, en vervolgens je huissleutels bij de deur bent verloren. De dief heeft gewoon de sleutel bij de deur opgepakt, is naar binnen gelopen en heeft alles gestolen wat hij zag. Hij hoefde niet eens de kluis te openen. En nu beweer jij dat de fabrikant van de kast schuldig is aan de diefstal!!!!?

[W1ck1e]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:27:
... Het opslaan van IBAN's op diezelfde plek is simpelweg een misdaad! ...

Een misdaad maar liefst, erger dan een misdrijf. Je hebt vast een bron (wet ? artikel ?)

[alexshaman]

W1ck1e schreef op vrijdag 26 juni 2026 @ 09:32:
[...]

Een misdaad maar liefst, erger dan een misdrijf. Je hebt vast een bron (wet ? artikel ?)

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

[W1ck1e]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:34:
[...]

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

Het lijkt er op dat je mijn bericht niet begrijpt.

[alexshaman]

W1ck1e schreef op vrijdag 26 juni 2026 @ 09:37:
[...]

Het lijkt er op dat je mijn bericht niet begrijpt.

Dat was slechts een aanname, zeker gezien wie er onder andere het slachtoffer zijn geworden van deze datalekken. Ik ben ervan overtuigd dat de Nederlandse wetgeving streng genoeg is om dit hard aan te pakken. Hoewel ik persoonlijk geen voorstander ben van strafrechtelijke vervolging, zeker niet bij een eerste overtreding, denk ik dat de beste straf een financiële is.

[ResuCigam]

Dit voelt allemaal een beetje als een security.nl discussie..

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:24:
[...]

U weet donders goed dat het enkel uit "loze praat" bestaat in plaats van feiten, en dat het een bespotting van de gebruikers is. Een cadeau in de vorm van een niet bepaald effectieve antivirus, terwijl het probleem helemaal niet bij de gebruiker ligt!

Waar zijn de antwoorden op:

1. Wie is er schuldig en wie heeft de verantwoordelijkheid genomen? CEO, CISO? Salariskortingen, ontslagen?
2. Welke lessen zijn er getrokken en welke verbeteringen zijn doorgevoerd? Hoe zijn de risico's voor abonnees verlaagd?
3. Waarom worden er advocaten (Freshfields) van miljoenen euro's ingehuurd om zich tegen de eigen klanten te verdedigen, terwijl er op alles wordt bezuinigd als het gaat om de bescherming van de data van abonnees?

We draaien in een cirkel… jij wil van alles, ik zeg dat je dat wat je wil niet krijgt (en de rechter gaat dat ook zeggen) en vervolgens kom je weer met dezelfde vragen en opmerkingen.

Ik wens je antwoorden toe op je vragen maar vrees dat je die niet gaat krijgen.

*Knip. niet op de man.

[ Voor 4% gewijzigd door F_J_K op 26-06-2026 10:04 ]

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:32:
[...]

Het is waanzin om Salesforce de schuld te geven. Dit is hetzelfde als de fabrikant van een kast de schuld geven omdat jij daar zonder kluis al je eigen en andermans (geleende) geld en waardevolle spullen in hebt gelegd, en vervolgens je huissleutels bij de deur bent verloren. De dief heeft gewoon de sleutel bij de deur opgepakt, is naar binnen gelopen en heeft alles gestolen wat hij zag. Hij hoefde niet eens de kluis te openen. En nu beweer jij dat de fabrikant van de kast schuldig is aan de diefstal!!!!?

Verkeerde analogie. Ik beweer niets. Ik geef alleen aan dat het - achteraf gezien - veel ellende had bespaard als de database alleen leeg getrokken kon worden buiten de applicatie waar normale gebruikers toegang toe hebben. Zoals andere fabrikanten zoals SAP dat wel doen.

Maar goed. Ik praat “waanzin”. Fijne dag nog.

[ernstoud]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:34:
[...]

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

Zegt degene die hier het management van Odido beschimpt als incompetent.

[ernstoud]

ResuCigam schreef op vrijdag 26 juni 2026 @ 09:44:
Dit voelt allemaal een beetje als een security.nl discussie..

Inderdaad, ook allemaal security specialisten die het altijd beter weten. En elke opmerking over Microsoft direct afdoen met “je bent een … want je moet Linux gebruiken”.

[redwing]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:24:
[...]

[mbr]*Knip. niet op de man. "ik zelf denk"*[/mbr]
dat het enkel uit "loze praat" bestaat in plaats van feiten, en dat het een bespotting van de gebruikers is. Een cadeau in de vorm van een niet bepaald effectieve antivirus, terwijl het probleem helemaal niet bij de gebruiker ligt!

Waar zijn de antwoorden op:

[list=1]
• Wie is er schuldig en wie heeft de verantwoordelijkheid genomen? CEO, CISO? Salariskortingen, ontslagen?

Waarom moeten er ontslagen vallen als er ergens iets fout doet? Iedereen maakt wel eens fouten en vaak zijn dit soort zaken een opeenstapeling van fouten gemaakt door verschillende mensen. Dus allemaal maar ontslaan?
Sowieso salariskortingen omdat iemand iets een keertje fout heeft gedaan? Ik zou niet graag bij een bedrijf werken die dat daadwerkelijk zou doen, voor zover dat in Nederland al mag.

• Welke lessen zijn er getrokken en welke verbeteringen zijn doorgevoerd? Hoe zijn de risico's voor abonnees verlaagd?

Ook al zou het fijn zijn om dat te weten, is de beste beveiliging juist degene waarbij je dit niet weet.

• Waarom worden er advocaten (Freshfields) van miljoenen euro's ingehuurd om zich tegen de eigen klanten te verdedigen, terwijl er op alles wordt bezuinigd als het gaat om de bescherming van de data van abonnees?
[/list]

Omdat de uitkomst bij een rechter heel duur kan gaan worden. Net als dat de beveiliging vele malen meer zou gaan kosten als ze dat zouden verbeteren. Waarbij het natuurlijk sowieso de vraag is of ze inderdaad op alles bezuinigd hebben op de bescherming van data.

[IJsbeer]

IJsbeer schreef op woensdag 3 juni 2026 @ 08:45:
[...]


Ik heb niets gezien qua communicatie dat ze er iets van geleerd hebben. Sterker nog, ze geven aan niets fouts gedaan te hebben (terwijl ze al meermaals gewaarschuwd waren doro de leverancier!).
Dus nee, intern zal er niets veranderd zijn.
Laatste bericht was dat ze open en eerlijk zouden blijven communiceren. Hoe geven ze niet aan, maar sindsdien is het ook stil.

Om hierop terug te komen. Weer een maand verder en 0 extra info op de bewuste pagina over open en eerlijk communiceren.

[Jerie]

alexshaman schreef op vrijdag 26 juni 2026 @ 09:34:
[...]

Misschien wel, maar we moeten voorzichtig zijn, vooral met dergelijke beschuldigingen, en bovendien is dat al een zaak voor de staat. Aan ons, als abonnees, is het om civiele procedures te voeren.

Hoezo? Allemaal dubbel werk; zie ik meer in een massaclaim. Om die te starten, lijkt het mij handiger onderzoek van AP af te wachten.

Ik vind het te meer aan ons om met onze portemonnee te stemmen. Laat zien dat je dergelijk wanbeleid niet steunt, ga voor een fatsoenlijke ISP. Ik ben inmiddels bij ze weg. Moest wel even contract uitzitten (gratis geld gun ik ze niet). Daarnaast dankzij deze visie hebben ze inmiddels van mijn kant 5 contracten verloren, en die krijgen ze niet 1 2 3 terug. Zo kan iedereen zijn of haar eigen steentje bijdragen. Je hebt ook mensen die belonen dit gedrag juist. Het is ook niet voor niets dat ze zoveel adverteren. Ik bedoel, schijnt dat ze op WK adverteren. Dat zijn geen goedkope reclames.

Wat je in ieder geval niet moet doen is na je contract blijven zonder deal. Die 'slapende' klanten worden ze rijk van.

[DjoeC]

Ik moest wel even lachen toen deze mail van het "CJIB" binnen kwam. Ik mag hopen dat niemand in een mail trapt met alleen het email adres als adressering

DRINGEND Aanmaning tot betaling — Actie vereist binnen 24 uur

Afdeling: Boetes & Incasso
Betreft : Verhoging boete — Aanmaning tot onmiddellijke betaling

Geachte heer/mevrouw
odidofiber@<mijndomein>,

Na controle van het dossier is vastgesteld dat de betaling met betrekking tot de eerder aan u opgelegde boete niet door ons is geregistreerd. Wij verzoeken u de openstaande vordering binnen de gestelde termijn te voldoen om aanvullende kosten en maatregelen te voorkomen.
Status van het dossier

[Wim1147]

peize9 schreef op vrijdag 27 februari 2026 @ 02:12:
Ik vraag me af, is mij data uitgelekt? Ik heb in 2018 bij Transcom gewerkt als first line van Tele2. Zijn alle comments die ik heb achtergelaten, de account info van mij om in te loggen in het systeem e.d. ook gelekt? Ik heb geen mail ontvangen.

Maakt binnenkort allemaal niet meer uit. Het callcenter van Transcom in Groningen (die alleen Odido nog als klant heeft) gaat sluiten. Dit gaat ongetwijfeld gevolgen hebben voor de bereikbaarheid van Odido. Meer over deze sluiting is hier en hier te vinden.

[Onbekend]

DjoeC schreef op dinsdag 7 juli 2026 @ 12:35:
Ik moest wel even lachen toen deze mail van het "CJIB" binnen kwam. Ik mag hopen dat niemand in een mail trapt met alleen het email adres als adressering

[...]

Dit is standaard spam wat ook op andere e-mailadressen binnenkomt. De gelekte e-mailadressen zijn natuurlijk toegevoegd aan de spamlijst.
Overigens kan je je spam hier toegen: [Odido] [Verzameltopic] Phishing / Spam n.a.v. datalek

[P-Rock]

Wim1147 schreef op dinsdag 7 juli 2026 @ 17:22:
[...]

Maakt binnenkort allemaal niet meer uit. Het callcenter van Transcom in Groningen (die alleen Odido nog als klant heeft) gaat sluiten. Dit gaat ongetwijfeld gevolgen hebben voor de bereikbaarheid van Odido. Meer over deze sluiting is hier en hier te vinden.

En de klantenservice is al zo slecht (bereikbaar).

[Wispe]

Nederlandse criminelen waarschijnlijk betrokken bij megahack van Odido

De politie heeft sterke aanwijzingen dat Nederlandse criminelen betrokken zijn geweest bij de hack van provider Odido. De data van miljoenen Nederlanders kwam begin februari op straat te liggen na een telefoongesprek waarin iemand zich voordeed als IT-medewerker.

De klantenservice van Odido werd tot tweemaal toe gebeld door iemand die zich voorstelde als IT-medewerker van de provider zelf. De tweede keer was het raak en in no time hadden criminelen de gegevens van meer dan zes miljoen klanten in handen.

De politie laat donderdag weten dat de zogenaamde IT'er Nederlands sprak en zeer waarschijnlijk betrokken was bij de hack. Het is reden om aan te nemen dat Nederlandse criminelen betrokken zijn bij een van de grootste datadiefstallen in Nederland. De politie sluit daarbij niet uit dat ook criminelen uit andere landen betrokken zijn.

Wat er in dat gesprek is gezegd, wil de politie niet vertellen. Wel is duidelijk dat Odido vervolgens via phishing is misleid. Tisha van Lammeren, de chief commercial officer van Odido, zegt in een interview met NU.nl dat het allemaal heel snel ging. Na het eerste telefoongesprek met de zogenaamde IT'er werden alle medewerkers gewaarschuwd. Een dag later, op 6 februari, ging het alsnog mis.

Weer een dag later volgde een mail van ShinyHunters, de criminele bende achter de hack. Alle data van de getroffen Odido-klanten werden openbaar gemaakt nadat het bedrijf had geweigerd het gevraagde bedrag te betalen.

Politie overweegt stem beller openbaar te maken
De politie heeft de afgelopen maanden onderzoek gedaan, maar dat heeft nog niet tot aanhoudingen geleid. Over mogelijke verdachten die al in beeld zijn worden geen uitspraken gedaan, omdat het onderzoek nog loopt.

"Dit soort onderzoek is vaak complex en vraagt tijd, maar ook cybercriminelen zijn kwetsbaar en laten sporen achter", zegt Stan Duijf, die als hoofd Operatiën verantwoordelijk is voor de aanpak van cybercrime. "Op meerdere momenten in het onderzoek naar de hack bij Odido zijn sporen veilig gesteld, waar het onderzoeksteam verder mee aan de slag is gegaan."

Het telefoontje van de nepmedewerker is opgenomen en in handen van de politie. Er wordt overwogen de stem op een later moment openbaar te maken. "We geven mensen nu eerst de kans om zich te melden", zegt Duijf. "Wellicht dat de dader zichzelf meldt. We zijn in principe van plan om het fragment te delen, mits er informatie komt die maakt dat dat niet nodig is."

De politie heeft de opname door deskundigen laten analyseren. Op basis daarvan wordt ervan uitgegaan dat de stem echt is en niet is gefilterd of met AI is bewerkt.

'Moedig besluit van Odido'
Het onderzoeksteam gaat er daarnaast van uit dat de daders online of in hun omgeving over hun betrokkenheid bij de hack hebben gepraat. De politie weet dat binnen de cyberwereld over de hack bij Odido wordt gesproken, bijvoorbeeld door mensen die meer weten over de daders. De politie roept ook hen op zich te melden.

Duijf noemt het een moedig besluit van Odido om de criminelen niet te betalen. "Wij geven dat advies altijd", zegt hij. "Odido heeft het zelf besloten."

Volgens het hoofd Operatiën hebben alle bedrijven en organisaties die veel persoonsgegevens verwerken de verantwoordelijkheid om daar zo voorzichtig en veilig mogelijk mee om te gaan. "Maar het is ook zo: als jij met 20 euro in je zak op straat loopt en je wordt overvallen, dan is de crimineel schuldig", vult hij aan. "Je kunt 100 procent veiligheid nooit garanderen."

De hack bij Odido stond niet op zichzelf. In de maanden daarna volgden bij verschillende bedrijven soortgelijke datadiefstallen. Buitgemaakte gegevens werden door andere criminelen op grote schaal misbruikt.

De politie en het Openbaar Ministerie verwachten dat zulke ingrijpende cyberaanvallen in de toekomst vaker voorkomen. Ze roepen bedrijven op zeer alert te zijn en meer werk te maken van hun digitale weerbaarheid.

Bron: https://www.nu.nl/tech/64...j-megahack-van-odido.html

[P-Rock]

Een moedig besluit? Ze hadden beter kunnen betalen. Dat bedrag was voor hun een schijntje als je ziet wat ze maandelijks allemaal binnengraaien aan geld. Als er voor klanten precies duidelijk was geweest wat voor gegevens de hackers in handen hadden, dan waren de gevolgen nog te overzien en hadden klanten passende maatregelen kunnen treffen, maar tot op de dag van vandaag komt nog steeds nieuwe informatie naar buiten dat de hackers allerlei gegevens hebben buitgemaakt waarvan Odido heeft gezegd dat die niet in de hack zaten, of die al lang verwijderd hadden moeten zijn. Odido zelf heeft er 1 algemene mail uitgegooid en daarna nergens meer op gereageerd. Een schandalige vertoning van een toch al enigszins discutabele telecomprovider.

[erwn]

Wispe schreef op donderdag 9 juli 2026 @ 05:49:
"Wellicht dat de dader zichzelf meldt. We zijn in principe van plan om het fragment te delen, mits er informatie komt die maakt dat dat niet nodig is."

Dus als die informatie er komt dan delen ze het fragment? Lekkere eindredactie, nu.nl. (mits ≠ tenzij)

[Wim1147]

P-Rock schreef op donderdag 9 juli 2026 @ 08:07:
Een moedig besluit? Ze hadden beter kunnen betalen. Dat bedrag was voor hun een schijntje als je ziet wat ze maandelijks allemaal binnengraaien aan geld. Als er voor klanten precies duidelijk was geweest wat voor gegevens de hackers in handen hadden, dan waren de gevolgen nog te overzien en hadden klanten passende maatregelen kunnen treffen, maar tot op de dag van vandaag komt nog steeds nieuwe informatie naar buiten dat de hackers allerlei gegevens hebben buitgemaakt waarvan Odido heeft gezegd dat die niet in de hack zaten, of die al lang verwijderd hadden moeten zijn. Odido zelf heeft er 1 algemene mail uitgegooid en daarna nergens meer op gereageerd. Een schandalige vertoning van een toch al enigszins discutabele telecomprovider.

Betalen had geen enkele garantie gegeven op het alsnog vrijgeven, verspreiden of publiceren van de gegevens. Verder past het verhaal over de hack bij Odido uiteraard in een bredere context. Er zijn honderden Salesforce-systemen 'gehackt' in de maanden voorafgaand aan het bekend worden van de 'hack' bij Odido. Daarover is relatief weinig verschenen in de media. Opmerkelijk daarbij is dat ook Salesforce-systemen van de politie mogelijk 'gehackt' zijn in deze reeks. Ook daarover weinig tot niets. Meer daarover is hier en hier vinden. Vraag je daarom eerst af of de berichten in de media over het openbaar maken van 'de stem' van de verdachte van de 'mega-hack' van Odido en 'gesprekken binnen de cyberwereld' (zie bijvoorbeeld dit bericht) eigenlijk wel echt zijn bedoeld om deze 'zaak' op te lossen en niet vooral zijn bedoeld om een denkbeeldig 'rookgordijn' op te werpen.

[ Voor 3% gewijzigd door Wim1147 op 09-07-2026 10:31 ]

[P-Rock]

Wim1147 schreef op donderdag 9 juli 2026 @ 10:29:
[...]

Betalen had geen enkele garantie gegeven op het alsnog vrijgeven, verspreiden of publiceren van de gegevens. Verder past het verhaal over de hack bij Odido uiteraard in een bredere context. Er zijn honderden Salesforce-systemen 'gehackt' in de maanden voorafgaand aan het bekend worden van de 'hack' bij Odido. Daarover is relatief weinig verschenen in de media. Opmerkelijk daarbij is dat ook Salesforce-systemen van de politie mogelijk 'gehackt' zijn in deze reeks. Ook daarover weinig tot niets. Meer daarover is hier en hier vinden. Vraag je daarom eerst af of de berichten in de media over het openbaar maken van 'de stem' van de verdachte van de 'mega-hack' van Odido en 'gesprekken binnen de cyberwereld' (zie bijvoorbeeld dit bericht) eigenlijk wel echt zijn bedoeld om deze 'zaak' op te lossen en niet vooral zijn bedoeld om een denkbeeldig 'rookgordijn' op te werpen.

Het enige rookgordijn wat tot nu is opgeworpen is van Odido.

[Jerie]

Wim1147 schreef op donderdag 9 juli 2026 @ 10:29:
[...]

Betalen had geen enkele garantie gegeven op het alsnog vrijgeven, verspreiden of publiceren van de gegevens. Verder past het verhaal over de hack bij Odido uiteraard in een bredere context. Er zijn honderden Salesforce-systemen 'gehackt' in de maanden voorafgaand aan het bekend worden van de 'hack' bij Odido. Daarover is relatief weinig verschenen in de media. Opmerkelijk daarbij is dat ook Salesforce-systemen van de politie mogelijk 'gehackt' zijn in deze reeks. Ook daarover weinig tot niets. Meer daarover is hier en hier vinden. Vraag je daarom eerst af of de berichten in de media over het openbaar maken van 'de stem' van de verdachte van de 'mega-hack' van Odido en 'gesprekken binnen de cyberwereld' (zie bijvoorbeeld dit bericht) eigenlijk wel echt zijn bedoeld om deze 'zaak' op te lossen en niet vooral zijn bedoeld om een denkbeeldig 'rookgordijn' op te werpen.

Ik lees niet dat ze met succes zijn gebruikt. Wel dat er pogingen zijn geweest. Maar dat zegt me niet zoveel. Wanneer Salesforce zelf gehackt is, is dat wel wat anders dan het geval Odido. In geval Odido had men wel MFA, maar geen rate limiting. Dat is bijzonder te noemen. Want ten eerste waarom moet een helpdesk medewerker het complete klantenbestand leeg kunnen trekken, en ten tweede Salesforce biedt dat wel aan.

Wanneer de politie een rookgordijn opwerpt, dan is dat waarschijnlijk in het algemeen belang (mogen we dus prima vinden). Wellicht bedoel je met rookgordijn een beetje reuring in de scene in kwestie waardoor mensen gaan praten. Heb je dan logging middels een infiltrant (nog even daargelaten hoe diep die zit), dan heb je eenvoudig bewijs. Een ander doel kan zijn wantrouwen creëren binnen deze gemeenschap.

Dat de politie ook gehackt zou zijn door Shinyhunters is mij niet bekend. Wel dat hun AD gegevens uit zijn gelekt (dat was in begin escalatie oorlog RU-UA), en ik meen ook Citrix/Ivanti of die VPN software die zo populair is.

Dat betalen geen garantie geeft: garantie heb je nooit. Ik heb ook geen garantie dat Trump morgen geen atoombom af gaat vuren. Maar daar ga ik geen rekening mee houden. Criminelen hebben een erecode en een legacy hoog te houden. Lekken ze na betaling alsnog massaal gegevens (dan heb ik het niet over een paar records in de scene van een of andere VIP) dan gaat in de toekomst niemand meer betalen. Weg business model. Bovendien andere groepen hebben ook last van de 'goede naam' (of gebrek hieraan) van conculega's. Dus die zullen er niet blij mee zijn.

Ik ben voorstander van zorgvuldig de voor- en nadelen afwegen, zonder per definitie te betalen of per definitie niet. Ik neig naar niet doen. Wat mij betreft mag dat wettelijk vast worden gelegd. Dan is er in ieder geval duidelijk en kan een slachtoffer zeggen: 'dat mogen we wettelijk gezien niet doen'. Kortom, 'ga maar een ander land hacken waar het wel mag en waar veel te halen valt'.