Gaat Odido nu betalen? Hangt ervan af hoe 'betrouwbaar' de hackers zijn
In dit artikel:
Telecombedrijf Odido wordt door hackersgroep ShinyHunters afgeperst nadat gegevens van miljoenen klanten werden buitgemaakt. Na bijna twee weken onduidelijkheid eiste de groep gisteren een 'seven‑figure' bedrag — door de hackers gespecificeerd als tussen 1 en 10 miljoen euro — en dreigde de data publiek te maken als er niet betaald wordt. Vrijgave zou andere criminelen in staat stellen klanten op te lichten of anderszins schade toe te brengen.
Ransomware‑onderhandelaar Joey Fennis legt uit dat bedrijven doorgaans eerst in onderhandeling gaan om tijd te winnen en te onderzoeken welke data precies is gestolen: "Je probeert een beetje controle te houden als bedrijf." Contacten verlopen vaak via chatapps of e‑mail; in de verklaring van ShinyHunters lijkt de groep te impliceren dat Odido eerder wel in gesprek was en nu uit de onderhandelingen is gestapt of te langzaam reageert. De hackers kunnen bovendien direct klanten of medewerkers benaderen als drukmiddel.
ShinyHunters beweert te beschikken over 21 miljoen regels data van ongeveer 8 miljoen klanten, inclusief wachtwoorden. Odido stelt dat er geen wachtwoorden zijn buitgemaakt, maar alleen 'verificatiewoorden' die bij klantenservice worden gebruikt; wie gelijk heeft is onduidelijk. Cyberexpert Tom Sturme licht toe dat aanvallers vaak een 'voorproefje' laten zien — bijvoorbeeld één procent van de bestanden — om hun claim te onderbouwen.
Opvallend aan deze zaak is dat het niet om klassieke ransomware gaat maar om het misbruik van gestolen inloggegevens van medewerkers om in clouddiensten van Odido in te loggen. De werkwijze is technisch relatief eenvoudig maar effectief; ShinyHunters heeft eerder data van onder meer Louis Vuitton, Jaguar en Pornhub buitgemaakt. Veel bedrijven geven uiteindelijk toe: volgens Fennis betaalde ruim een kwart van Nederlandse bedrijven die vergelijkbare hacks meemaakten het afgelopen jaar. Omdat ShinyHunters bekendstaat als relatief 'betrouwbaar' doen zij vaak wat ze beloven na betaling — "99 van de 100 keer worden data niet vrijgegeven als er is betaald," aldus Sturme. Odido staat nu voor een kosten‑batenafweging tussen betalen, risico op reputatie‑ en klantschade, en mogelijke juridische en financiële gevolgen.