Gelekte klantdata van Odido al tientallen keren misbruikt in phishingcampagnes

In dit artikel:

E-mailadressen die in februari bij het datalek van Odido zijn buitgemaakt, worden maanden later nog steeds gebruikt voor phishing. Beveiligingsonderzoeker Rick Verdoes van Hackify trof in twee mailboxen tussen februari en juli 61 nepmails aan en schat dat het om zeker dertig afzonderlijke campagnes gaat. De bevindingen zijn door NU.nl gecontroleerd.

Volgens Verdoes zijn de meeste berichten grof opgezet en bevatten ze alleen het gelekte e-mailadres, zonder andere persoonlijke gegevens. Dat wijst er volgens hem op dat criminelen vooral losse adressenlijsten gebruiken die uit de grotere dataset zijn gehaald en mogelijk worden doorverkocht. Bij de aanval op Odido in februari werden gegevens van 6,2 miljoen klantenaccounts buitgemaakt, waaronder namen, adressen, telefoonnummers en bankgegevens; wachtwoorden zouden niet zijn gelekt.

De mails kwamen vaak zogenaamd van bekende partijen als het Landelijk Energieloket, Infomedics, de Kamer van Koophandel, ABN AMRO en bezorgdiensten. Meestal probeerden de afzenders slachtoffers op een link te laten klikken of een betaling te laten doen. Eén campagne viel op omdat die zich voordeed als Odido zelf en verwees naar een vermeende nieuwe app-versie; de link bleek volgens Verdoes schadelijke software voor telefoons te verspreiden.