Gestolen data bij Odido zijn 'goud waard voor criminelen'
In dit artikel:
Een grootschalige hack bij telecomprovider Odido heeft toegang gegeven tot een bestand met gegevens van naar schatting 6,2 miljoen accounts en wordt door deskundigen als een van de grootste datalekken in Nederland bestempeld. De inbraak werd afgelopen weekend ontdekt; Odido is nog bezig te achterhalen van hoeveel klanten daadwerkelijk gegevens zijn gestolen en is begonnen met het informeren van klanten vanaf 12.00 uur op de dag dat duidelijk werd welke informatie per klant was betrokken.
Wat er is buitgemaakt gaat verder dan basisgegevens: naast namen, adressen en telefoonnummers zouden ook IBAN-nummers en nummers van paspoorten of rijbewijzen zijn gekopieerd. Ethisch hacker Sijmen Ruwhof noemt die combinatie “hele gevoelige persoonsgegevens”; scans met burgerservicenummers (BSN) zijn volgens Odido niet gelekt. De aanwezigheid van bankrekeningnummers maakt het lek extra risicovol en relatief zeldzaam.
Experts waarschuwen voor directe gevolgen: criminelen kunnen zeer geloofwaardige phishingberichten en sms’jes versturen doordat zij al echte klantgegevens bezitten, slachtoffers via nepinlogschermen wachtwoorden ontfutselen of klanten via de telefoon overtuigen door gecontroleerde authenticatorvragen te beantwoorden. Matthijs Koot noemt de dataset ook een “goudmijn voor vijandige inlichtingendiensten” omdat telefoonnummers en adressen nut hebben bij het in kaart brengen van potentiële doelwitten, zoals politici of medewerkers van kritieke sectoren. Daarnaast kan de informatie worden misbruikt door stalkers, doxxers en andere criminele groepen; verkoop op de zwarte markt of afpersing van Odido worden door experts niet uitgesloten.
Odido-directeur Tisha van Lammeren zegt dat het informeren van klanten tijd kost vanwege het grote aantal betrokkenen en benadrukt dat klantveiligheid prioriteit heeft, maar zij doet geen uitspraak over de mate van beveiliging voorafgaand aan de hack of of er losgeld is geëist. Veiligheidsonderzoekers vinden dat de cybersecurityafdeling eerder had moeten ingrijpen toen de data werden ontvreemd.
Voor getroffen klanten en geïnteresseerden: wees extra alert op ongevraagde e-mails, sms’jes en telefoontjes, klik niet op verdachte links, controleer bankafschriften en overweeg tweefactorauthenticatie en contact met de bank bij afwijkende transacties. Odido gaat verder met onderzoek naar omvang en oorzaak van het lek.