Ben waarschuwt klanten dat adres- en ID-gegevens zijn gestolen bij hack Odido

Telecomprovider Ben is ook getroffen door de cyberaanval op Odido. Na het moederbedrijf waarschuwt nu ook Ben zijn klanten dat aanvallers klantgegevens hebben gestolen. Volgens Ben zijn er 'geen wachtwoorden, belgegevens of factuurgegevens betrokken'.

Ben meldt dat het gaat om persoonsgegevens afkomstig uit een klantcontactsysteem dat het bedrijf gebruikt. De betreffende informatie omvat volgens Ben mogelijk: de volledige naam van klanten, hun adres en woonplaats, het mobiele nummer dat zij gebruiken, het klantnummer dat zij hebben bij Ben, hun e-mailadres, hun geboortedatum en identificatiegegevens, zoals paspoort- of rijbewijsnummer en de geldigheidsduur daarvan.

Bij moederbedrijf Odido speelt hetzelfde. Aanvallers kregen toegang tot een klantcontactsysteem met daarin de gegevens van mogelijk 6,2 miljoen klanten. Ben en Odido informeren klanten nu, maar het kan enige tijd duren voordat alle klanten bericht krijgen. Tweakers heeft meldingen gehad van klanten die al bericht kregen van hun provider en van klanten die nog niet zijn geïnformeerd.

Ben benadrukt dat de aanvallers geen toegang hadden tot wachtwoorden voor 'Ik Ben', belgegevens van klanten, locatiegegevens, factuurgegevens en scans van identiteitsbewijzen.

Reacties (117)

[CaptainKansloos]

Ook hier het zelfde commentaar als in de Odido thread; ik ben klant bij beide. Tenenkrommend dat op de formntpage van Ben geen enkele link naar dit lek of de info pagina staat!

Zoeken met de zoekfunctie daar levert niks op:

• gehackt
• hack
• veiligeid
• cyber
• cyberaanval

Niks!

[SinergyX]

Zoek op: cyberincident
Kom je automatisch bij: Informatiepagina cyberincident | Ben

[CaptainKansloos]

Dat is precies het punt; het feit dat het alleen met een 'precieze zoekterm' terug is te vinden is m.i. not done. Ben open, ben duidelijk (no pun intended), maak het zo makkelijk mogelijk vindbaar.

Dit is wat mij betreft een beetje "move along, there's nothing to see here".

[Reactie gewijzigd door CaptainKansloos op 12 februari 2026 15:07]

[flaskk]

Staat een blauwe banner bovenaan, maar valt niet echt op....

[CaptainKansloos]

In (mijn default) Firefox 147.0.3 is die niet zichtbaar (inprivate, alle cookies geaccepteerd). In Edge wel. In FF heb ik custom tracking protection aan, wellicht dat dit voor problemen zorgt.

Maar dan nog; die blauwe banner in een blauw-wit Ben kleurenschema; daar is over nagedacht natuurlijk. Die is niet 'per ongeluk' blauw. Maak hem dan oranje ofzo. Het is een gevaar; verkeersborden als waarschuwing zijn ook niet voor niks wit-rood en niet groen.

[flaskk]

Ja precies, het is dat overheid ze verplicht om het te communiceren, anders was het stilletjes over gewaaid.

[Vinnie.1234]

Zie het niet staan op mijn mobiel in Edge en Chrome. Alleen gratis nummer behoud, betrouwbaar Odido netwerk en Gratis maandelijks aanpassen.

[DdeM]

Staat inderdaad een blauwe banner, maar ik vermoed dat je die niet bedoelt https://imgur.com/a/zl51abn

[HijDieAllesWeet]

is nog iets. Odido heeft helemaal niets op de homepage

[bzuidgeest]

Ben alleen klant bij odido. Net een supportmail met de hint gestuurd dat ze wel eens een identiteitsfraude verzekering mogen aanbieden of iets dergelijks. Verwacht er niets van, maar ik moedig iedereen aan om de provider een dergelijke hint te sturen.

Wij de klanten zitten met de shit hiervan.

[pheijms]

Ik heb zojuist Simpel gebelt en zij gaven aan dat de hack alleen Odido en Ben betrof.

[sourcecode]

Heb altijd bij BEN gezeten, maar ben nu door dit gedoe wel enorm klaar met ze.

Helaas loopt mijn simonly nog door tot 2027.

Ik wil een nieuw ID kaart aanvragen door ze en het minste wat ze kunnen doe is die kosten vergoeden.

Een nieuwe identiteitskaart (ID-kaart) kost in 2026

voor volwassenen (18+) € 80,10 en is 10 jaar geldig.


Doen ze dat niet dan is het over en uit met BEN (er klaar mee)

[Reactie gewijzigd door sourcecode op 12 februari 2026 16:09]

[JKP]

Ik wil dit, voor m’n rijbewijs, eigenlijk ook doen. Hoe wil jij dit al dan niet juridisch aanvliegen?

[Sluuut]

Ik ben wel benieuwd of het contract stand houd als je dit naar de rechter brengt met de argumentatie dat je weg wilt wegens dit datalek en het verlies van vertrouwen in deze organisaties.

Ze zouden eigenlijk door dit lek al zelf moeten aanbieden om gratis vanaf nu op te zeggen. Dat zou ze sieren.

[Wailing_Banshee]

Ik snap niet dat er zo de nadruk op gelegd dat er geen factuurgegevens zijn gestolen. Ik zou het erger vinden dat mijn identificatie gestolen is dan dat mijn factuurgegevens gestolen zouden zijn.... Met alleen een bankrekening nummer kun je niet zo heel veel, met een identificatie wel. Zeker in combinatie met NAW gegevens.

[Morrowind3]

Ik vind het ook zo grappig dat je melden dat je "Locatiegegevens" niet gelekt zijn (Zie mededeling van moederbedrijf Odildo). De criminelen weten precies waar je huis woont maar geen zorgen, ze weten niet met welke 5G mast je verbonden bent

[Skear]

Ja, precies en dit ook.

Waarom melden we dit?

We willen altijd transparant en eerlijk zijn naar onze klanten, en we willen je informeren zodat je alert kunt zijn op eventuele ongebruikelijke activiteiten. Daarnaast willen we benadrukken dat jouw veiligheid onze hoogste prioriteit heeft. Door dit incident kan niemand jouw mobiele locatiegegevens of je privécontacten inzien.

Ze hebben gewoon meldplicht... pffft, transparantie.

[Skear]

Ja precies. Odido meldt bijna trots dat de operationele kant niet is geraakt, terwijl dat voor de consument veel makkelijker op te lossen zou zijn.

Liever mijn telefoonnummer, wachtwoord dan mijn adres, documentnummer etc.

[thetakman]

Zit liever een dag zonder TV en glasvezel dan dat mijn zooi op straat ligt.

[Gadgeteer]

Met jouw telefoonnummer en wachtwoord kunnen ze toch je adresgegevens uit de app halen? Wat is het verschil?

[Neurosis]

Wachtwoord heb je vrij eenvoudig gewijzigd. Verhuizen of je telefoonnummer wijzigen doe je niet zomaar.

[thetakman]

Is meer dat ze iets moeten roepen wat volgens een vertegerwoordiger "gelukkig niet gestolen is"

Beetje als een auto kopen die na 2 dagen een kapot motorblok heeft, waarop de garage zegt.. Maar geluidsinstallatie werkt gelukkig nog wel!

[beeldbuijs]

Factuurgegevens worden regelmatig ingezet ter verificatie. Dus je belt naar je provider om je abonnement aan te laten passen en dan vraagt de klantenservicemedewerker eerst wat het laatstbetaalde bedrag is en de laatste cijfers van je bankerekeningnummer.

Zeker nu allerlei andere gegevens zijn uitgelekt, is dit interessant om te weten, want een hackert weet dit volgens Ben dus niet. Dus je IBAN / oude facturen zijn nog te gebruiken als verificatie.

[icecreamfarmer]

Mijn idee.

[steye]

Als factuurgegevens gestolen zijn, dan kan er nog makkelijker gevist worden naar: factuur met nummer xxx en bedrag y is niet voldaan. Maak nu alsnog het bedrag over naar [malafide rekening].

[Advanced03]

Heb vorige maand nog 15 euro betaald om mijn telefoon nummer aan te passen door spammers en robo callers en nu is mijn gloednieuwe nummer WEER gelekt?

Het is tijd dat dit soort gegevenslekken keihard worden afgestraft...

[thetakman]

Ach wees gerust, het is niet alleen je telefoonnummer maar ook:

de volledige naam van klanten, hun adres en woonplaats, het mobiele nummer dat zij gebruiken, het klantnummer dat zij hebben bij Ben, hun e-mailadres, hun geboortedatum en identificatiegegevens, zoals paspoort- of rijbewijsnummer en de geldigheidsduur daarvan.

Met een beetje geluk hebben kwaadwillende nu alles wat ze nodig hebben om een bankrekening of credit card of wat dan ook op je naam te gaan aanvragen. Of nog veel ergere dingen om iemand kapot te maken.

[Rhinosaur]

Hebben burgers in dit soort gevallen ook recht op schadevergoeding als bedrijf aantoonbaar nalatig is geweest?

[PCG2020]

Dat is een goede vraag voor @Arnoud Engelfriet !

[Skit3000]

Die kan ik wel beantwoorden door de vraag om te draaien; hoe kan je een schadevergoeding krijgen als er geen (aantoonbare) schade is?

[PCG2020]

De vraag omdraaien komt eigenlijk neer op 'hoe kun je schadevergoeding krijgen als er geen (aantoonbare) nalatigheid is?' en dat is nu juist de crux: is Odido (aantoonbaar) nalatig geweest?

Wanneer een bedrijf binnen de technische en economisch verantwoorde mogelijkheden z'n beveiliging zo goed mogelijk op orde heeft, is het -denk ik- heel lastig om nalatigheid hard te maken. Maar wanneer het bijvoorbeeld duidelijk wordt dat er al langer ergens een lek zat, dat ondanks herhaaldelijk aandringen niet gedicht werd, is nalatigheid aantonen waarschijnlijk wel mogelijk.

Het is nu een kwestie van afwachten of er klanten zijn waarvan de buitgemaakte gegevens actief misbruikt gaan worden.

[Miglow]

Ik denk een voorzichtige ja, want ze hebben fe beveiliging binnen een paar dagen dusdanig opgeschroefd dat het nu weer veilig is tot het bewezen niet zo is.

[Room42]

Het aanvragen van een nieuw paspoort en/of ID zijn toch wel concrete kosten. Zou niet vreemd zijn om die te kunnen verhalen op de lekkende partij.

[StrongArmLance]

Immateriële schade voortkomend uit een data lek of andere overtreding, zoals een US-transfer zonder waarborgen, (bijvoorbeeld angst voor misbruik gegevens) is al eens aangenomen als grond voor schadevergoeding in Europese rechtbanken, maar moet inderdaad wel aangetoond worden en wordt niet automatisch aangenomen. Grondslag voor schadevergoeding uit schending AVG komt uit art 82 AVG.

maar, Overwegingen :

Article 82(1), read in the light of Article 8(1) of the Charter of Fundamental Rights of the European Union must be interpreted as meaning that an infringement of the provisions of that regulation is not sufficient, in itself, to constitute ‘damage’ within the meaning of Article 82(1).

"people claiming to have suffered non-material damage must convince a court that their fear is well-founded" (denk bijv. aan een 'geheim' adres)

daadwerkelijke materiele schade is natuurlijk aan te tonen, het verband met specifiek dit datalek wel lastiger.


(https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:62021CJ0340, GC: T-354/22, CJEU C‑741-21, C-300/2, C-340/2, ECLI:NL:RBDHA:2023:14359, ECLI:NL:RVS:2024:2311)

[Reactie gewijzigd door StrongArmLance op 12 februari 2026 15:31]

[ocarina]

Op dezelfde manier als dat je ook een boete krijgt als je nalaat je gordel om te doen bij het autorijden.

Een lek is niet altijd te voorkomen, maar als blijkt dat Odido bijvoorbeeld heeft nagelaten zijn medewerkers op de klantenservice eens in de zoveel tijd een training in het herkennen van phishing te geven, dan vind ik een schadevergoeding persoonlijk wel op zijn plaats.

[jrswgtr]

Een boete en een schadevergoeding zijn niet hetzelfde.

[jannesbeterams]

Dat is een lekker groot grijs gebied. De schade kan namelijk ook berokkend worden zonder dat het directe verband aangetoond is. Daarmee kom je als gegevensverwerker lekker makkelijk weg.

[kameleon20]

Dan is het toch voor de gegevensverwerker om aan te tonen dat dit niet door hun lek komt?

[Miglow]

Wie eist bewijst en onschuldig tot het tegendeel bewezen is toch?

[beeldbuijs]

Dat lijkt me iets te eenvoudig geredeneerd.

[dabrainz]

Die is er nu nog niet, maar lijkt me dat de schade snel genoeg aantoonbaar wordt als er inderdaad creditcards op je naam etc aangevraagd worden.

[wiseger]

Nee dat heb je niet. Al heb je een behoorlijke schade, de advocaat van Odido zal altijd betogen dat er geen causaal verband is tussen het uitlekken van jou gegevens bij Odido en de fraudeur die jou schade heeft toegebracht via identiteitsfraude.

[icecreamfarmer]

Ik heb dat net wel via de mail gevraagd waar ik de kosten van een nieuwe bankpas en paspoort plus andere gevolgschade kan declareren. Dit is niet een kleine lek maar bijna alle persoonlijke gegevens ook die voor identificatie bij andere diensten gebruikt worden zijn gelekt.

[Netsrek]

Tsja, kijk eens naar het enorme lek bij het bevolkingsonderzoek waar zelfs BSN's etc allemaal gelekt zijn. Ik denk dat je kan fluiten naar een schadevergoeding.

We zullen moeten accepteren dat je gegevens een keer of 1000 tijdens je gehele leven lekker, want potdicht is het nergens.

[vinkjb]

Is dit het eerste waar je aan denkt? een financieele slag slaan, triest

[Skywalker27]

Leuk dat je BSN op je kopie paspoort staat als je dit niet hebt afgeschermd. Gelukig geen scans lees ik terug.

[Reactie gewijzigd door Skywalker27 op 12 februari 2026 14:55]

[gielie]

Wel handig dat deze info op straat ligt, heb je straks 87 nieuwe abonnementen op jouw naam staan met bijbehorende schuld van een "gratis" iPhone.

[jongetje]

Dat zal ook wel meevallen aangezien je een betaling moet doen van 1 cent om je bankrekening te verifiëren.

[gielie]

Met de gegevens die gelekt zijn kan je gewoon een bank rekening openen.

[Zandor]

Je vergeet nog je rekeningnummer, Iban

[n0elite]

Ben je nou serieus? Phishing, scam, reclame, 2fa stealers. Allemaal reële gevaren. Helemaal icm met de andere gelekte data

[Reactie gewijzigd door n0elite op 12 februari 2026 14:55]

[xxs]

Doe eens een voorstel hoe dit bedrijven gestaft moeten worden en mail onze nieuwe staatssecretaris.

[PCG2020]

Simpel: je zegt je abonnement op wegens geschaad vertrouwen. Als klant kun je op die manier een bedrijf economisch "straffen".

[GranCanaria]

Wanneer mag de consument een rechtzaak aanspannen tegen een bedrijf als Odido om het feit dat zijn gegevens gestolen zijn.


Odidio meldt dit en moet waarschijnlijk wat onderzoek doen etc maar de consument is uiteindelijk de dupe omdat die nu risico loopt op allerlei hacks en dingen die ze met alle gegevens kunnen doen.

[vdr01]

Als enkele consument is dit bijna niet te doen. Maar een class action lawsuit lijkt mij goed geschikt hiervoor. Dwz 1 of een paar advocaten spannen een lawsuit aan namens alle deelnemende klanten. Dat kost in beginsel niets voor de klant maar als de rechter besluit tot schadevergoeding wordt deze uitgekeerd minus een percentage dat naar de advocaten gaat. Als de rechter besluit dat Odido niets te verwijten valt en er daardoor ook geen schadevergoeding op zijn plaats is krijgen zowel advocaten als klanten helemaal niets.
Bovenstaande laat onverlet dat je altijd zelf een zaak kunt aanspannen al kan dat een kostbare
aangelegenheid worden.

[Reactie gewijzigd door vdr01 op 12 februari 2026 15:05]

[iam2noob4u]

Wat geeft je het idee dat een consument geen rechtszaak aan mag spannen? De vraag is of het kostentechnisch interessant is. Wat dat betreft zou je kunnen kijken naar een collectieve vordering. Daar zou ik overigens best aan mee willen doen.

[Warri]

Een collectieve vordering heeft geen enkel kans van slagen als je niet kan bewijzen dat je schade hebt geleden.
Al wordt je in de toekomst slachtoffer van phishingaanvallen, dan nog moet je kunnen aantonen dat het komt door deze hack.

Dit is Nederland niet de VS

[Warri]

dat mag altijd, de kosten zullen alleen niet opwegen tegen de baten.

[Hoi1966]

Ongelooflijk, moeten ze toch iets op verzinnen, waarom al de gegevens bewaren al die tijd. Kan me voorstellen dat ze iets nodig hebben bij het afsluiten van een dienst, maar daarna kan het 1 en ander verwijderd worden lijkt me.

[Elorad]

Precies, waarom moet tot in de eeuwigheid mijn paspoort/rijbewijs nummer bewaard worden? Doe verificatie, zet een boolean geverifieerd op true en flikker de zooi weg.

Naw gegevens snap ik, maar als die ID data is nergens voor nodig. Levert alleen maar meer risico op.

[gorgi_19]

Op de vraag waarom ze deze gegevens moeten bewaren, is het antwoord: dat moeten ze voor de wet doen, en dat mogen ze ook van de wet doen.

Zie bijvoorbeeld deze vraag:

Vraagt u een abonnement voor een mobiele telefoon aan? Dan mag de telecomaanbieder een kopie maken van uw identiteitsbewijs, zoals uw paspoort of identiteitskaart. Hierbij moeten in ieder geval uw burgerservicenummer (BSN) en uw pasfoto zijn afgeschermd.

Een (afgeschermde) kopie van het identiteitsbewijs is bedoeld om achteraf te kunnen bewijzen wie het telefoonabonnement heeft afgesloten en om identiteitsfraude tegen te gaan.

De reden waarom ze dit doen, is (in eerdere beantwoording van kamervragen), als volgt:

quote: https://zoek.officielebek...l/ah-tk-20132014-294.html

De kopie van dat document kan dan als (potentieel) bewijsstuk dienen in de daarop volgende juridische procedure. Voor telecombedrijven is daarom van belang om ook na het aangaan van de overeenkomst aan te kunnen tonen met welk document de identificatie heeft plaatsgevonden.

De vraag ligt dus niet alleen bij bedrijven: “Waarom bewaar je al mijn gegevens?”, maar ook bij de wetgever: “Welke bewijspositie verplichten we bedrijven om in stand te houden?”

Als we vinden dat ID-kopieën niet structureel of langdurig bewaard moeten worden, dan moet ook duidelijk worden vastgelegd hoe lang bedrijven die bewijspositie moeten kunnen onderbouwen bij betwisting van een contract.

[Reactie gewijzigd door gorgi_19 op 12 februari 2026 15:13]

[FricoRico]

De nadruk hoort dan wel te liggen op 'afgeschermde'. Dat is hier dus duidelijk niet het geval geweest. Je kan ook stellen dat de eerste of laatste cijfers van je documentnummer en geldigheid ook voldoende is.

Daarnaast staat is alles dus vrij beschikbaar binnen 1 systeem, zonder verdere encryptie. Als laatste is het gewoon ongekend dat het systeem geen beveiligingen heeft die inschakelen zodra er 6,2 miljoen records worden opgevraagd/geexporteerd. Het gaat niet om een kleine hoeveelheid data, en ook niet om een klein bedrijf.

Dit is naar mijn mening gewoon zeer ernstige nalatigheid van de provider.

[beeldbuijs]

Inderdaad, dit kan blijkbaar veel te makkelijk. Maar de scans van identiteitsbewijzen zijn bij Ben niet uitgelekt. Dus het lijkt er op dat die beter beveiligd zijn, apart bewaard worden of zo. Ik heb ook nog nooit meegemaakt dat ze om het rijbewijs/paspoortnummer vroegen.

[beerse]

Als je naar de klantenservice belt vanaf een 'onbekend' nummer omdat je eigen nummer het niet doet. Dan hebben ze een paar gegevens nodig om te controleren dat jij het bent. In de regel zijn dat zaken die anderen niet zo snel van jou hebben maar zij wel omdat ze het toch al moeten controleren.

Nu maar hopen dat mijn gegevens in dat bestand niet vooraan staan en meteen gebruikt worden om misbruik van te maken...

[AnonymousGerbil]

waarom al de gegevens bewaren al die tijd.

Gelukkig hebben ze al die gegevens. Hoe zouden ze anders al die klanten kunnen waarschuwen dat die gegevens gestolen zijn?

[Hoi1966]

Kan ook met een sms of zo, maar al die overige gegevens bewaren is onzin, echt onzin

[410Gone]

Why the f&ck zijn deze gegevens niet encrypted?

[smiba]

Tja als het decryptable is, dan is het ook te hacken natuurlijk.

Als het systeem de data kan decrypten is het zo simpel als gewoon de key uit dat systeem halen en het zelf doen

[Bas_f]

Ja, maar die key kan op meerdere verschillende plekken in meerdere delen zijn opgeslagen, waardoor de hacker toegang moet hebben tot al die onderdelen. In het verleden heb ik software gemaakt voor de tandheelkunde en een van de beveiligingsmethodes was het opslaan van klantgegevens op die manier. De wat oudere collega's vonden het maar onhandig, omdat wij nu zelf de gegevens niet meer konden inzien en dus onze klanten niet konden helpen met het inzien en/of aanpassen van patientgegevens.

En in het geval van Odido is het simpel: U wou goedkoop? U krijgt goedkoop.

[Flaneurette]

Netjes, zo zie ik het graag. Net zoals alle ontsleutelings codes beneden de webroot /www/ of /html/ plaatsen. Als een adminpaneel dan gehacked is, kunnen ze niet bij de sleutels. Maar ja, als ze root op de server hebben dan heb je wel grotere problemen, dan is alles verloren.

[steye]

Omdat het klantcontactsysteem wel toegang moet hebben tot deze gegevens. Als jij belt, wil je snel geholpen worden en dan is het handig als zij de gegevens kunnen inzien. Alhoewel het mooi zou zijn als ze daar bij wijs van spreken een wachtwoord moeten invoeren wat gelijk staat aan jouw postcode oid, dat is dan meteen een tweezijdige veiligheidscheck

[MrRobot]

Nou, dan zal Simpel ook wel snel volgen denk ik.

[Pilovali]

Simpel is volgens mij geen dochteronderneming van Odido. Ben is dat wel.
Ben zit in hetzelfde pand als Odido. Daarom kun je met Ben wél klantvoordeel krijgen en met Simpel niet.

[protected22]

(reactie verwijderd want het heeft toch geen zin om hier boos over te worden)

[Reactie gewijzigd door protected22 op 12 februari 2026 15:12]