Persoonlijke gegevens van miljoenen Nederlanders in handen van hackers: „Criminelen zoeken de zwakste plek"
In dit artikel:
Telecomprovider Odido (inclusief merk Ben) werd in het weekend van 7–8 februari slachtoffer van een cyberaanval; het bedrijf maakte het lek donderdagmiddag bekend. Hackers hebben toegang gekregen tot het klantcontactsysteem en stalen naar schatting miljoenen klantgegevens: namen, adressen, geboortedata, contactgegevens, bankrekeningnummers en identificatiematerialen zoals rijbewijzen en paspoorten. Wat er met die gegevens gebeurt, hangt nu af van de daders.
Volgens cyberexperts liggen de oorzaak waarschijnlijk in een combinatie van een kwetsbaarheid in gebruikte software en social engineering. Onderzoeker Rolf van Wegberg (TU Delft) en ethisch hacker Wouter van Dongen zeggen dat cybercriminelen vaak uit zijn op bedrijven met waardevolle data en dat ze zoeken naar de zwakste plek — bijvoorbeeld slecht onderhouden of niet geüpdatete software. De NOS meldde dat de aanval mogelijk begon met phishing: inloggegevens van klantenservicemedewerkers zouden zijn buitgemaakt waarna de aanvallers zich voorwenden als IT-collega’s.
De gestolen data vormen een zeer lucratieve buit: ze kunnen verkocht worden, gebruikt voor zeer geloofwaardige phishingcampagnes of als drukmiddel worden ingezet (afpersing met dreiging van publicatie). Tot nu toe zijn de gegevens voor zover bekend nog niet openbaar gezet. Odido zegt dat de ongeautoriseerde toegang zo snel mogelijk is beëindigd en heeft het incident gemeld bij de Autoriteit Persoonsgegevens.
Opsporing en vervolging van de daders lijken lastig. Experts benadrukken dat het vaak mogelijk is om patronen en hackercollectieven te herleiden, maar dat het identificeren en uitleveren van individuele daders ingewikkeld is, met name als zij vanuit landen opereren zonder uitleveringsverdragen.
De deskundigen wijzen ook op verantwoordelijkheid: hoewel geen enkel systeem volledig veilig is, mag dat geen afdoening zijn voor nalatigheid in onderhoud of samenwerking met softwareleveranciers. Aanbevelingen zijn onder meer strengere updates en onderhoud, training van personeel om phishing te herkennen, en regelmatige (ethische) penetratietests. Odido adviseert klanten extra alert te zijn op verdachte activiteiten. Experts waarschuwen tot slot dat vrijwel iedereen inmiddels wel eens in een datalek heeft gezeten en dat waakzaamheid essentieel blijft.