Nederlands Openbaar Ministerie begint onderzoek naar hack bij Odido

Het Nederlandse Openbaar Ministerie begint een onderzoek naar de cyberaanval bij Odido, bevestigt een woordvoerder tegenover persbureau ANP. Op dit moment kan hij geen verdere informatie geven over het onderzoek.

Shinyhunters claimt de data van
Odido-klanten in handen te hebben

Eerder deze week claimde Shinyhunters dat de hackersgroep alle gegevens van het datalek bij Odido in handen heeft. Volgens de hackers gaat het om een set met 21 miljoen regels met data en gegevens van 8 miljoen klanten, schrijft RTL Nieuws. Odido zei eerder zelf dat het om gegevens van 6,2 miljoen klanten gaat.

De hackersgroep dreigt de gegevens donderdag openbaar te maken, tenzij Odido losgeld betaalt. Volgens RTL Nieuws eisen de hackers een bedrag 'van zeven cijfers', oftewel tussen de 1 en 10 miljoen euro. Shinyhunters wist eerder al gegevens van SoundCloud, Ticketmaster, Microsoft en Pornhub in handen te krijgen. Bij dat laatste lek kregen de hackers ook de gegevens van anderhalf miljoen Nederlandse accounts in handen.

Waarom is het zo veelzeggend dat het OM onderzoek doet?

Tijs Hofmans
Redacteur privacy & security

Tijs Hofmans: "Het is niet zeker of het OM de hack zelf onderzoekt, of Odido. Als het dat laatste zou zijn, zou dat erg opvallend zijn, maar ook de ernst van de situatie benadrukken. Datalekken zijn in de basis een zaak tussen een bedrijf en een klant; het bedrijf moet klanten zelf informeren en eventueel helpen met de gevolgen of compensatie. Als een klant schadevergoeding wil, moet dat via een civiele procedure worden afgehandeld. En als een bedrijf de Autoriteit Persoonsgegevens achter zich aan krijgt en bijvoorbeeld een boete krijgt, is dat bestuursrechtelijk.

Maar als het OM iets onderzoekt, is dat strafrechtelijk. Het OM zegt nu niks, maar het feit dat het onderzoek doet, suggereert dat het OM Odido mogelijk nalatig vindt, en potentieel crimineel strafbaar. Dat maakt zo'n onderzoek een serieuze zaak, waar overigens ook een serieuze bewijslast mee gemoeid gaat.

Het geeft ook aan hoe serieus de zorgen onder Nederlandse burgers zijn over het datalek. Datzelfde speelde bijvoorbeeld ook toen Clinical Diagnostics werd gehackt; ook dat was een serieuze zorg. Daar begon het OM toen ook een (nog steeds lopend) onderzoek naar."

Update, 15.48 uur – In het kader stond aanvankelijk dat het OM Odido onderzocht, maar dat is niet zeker. Dat is genuanceerder beschreven.

Reacties (54)

[Floort]

Ik weet niet zo goed hoe ik dit bericht moet lezen. Volgens mij is het vrij normaal dat het OM een onderzoek start bij slachtoffers van hackers naar de daders (hackers en in dit geval ook afpersers). Ik lees niets waaruit blijkt dat het OM waarschijnlijk Odido verdenkt van strafbare feiten.

[downtime]

Lijkt mij ook. Ik zie in het artikel van RTL ook helemaal niets wat doet vermoeden dat het niet gewoon een onderzoek vanwege afpersing is. Het is immers niet zomaar een datalek, het is een bewuste hack gevolgd door afpersing, en met mogelijk grote maatschappelijke impact als al die data op straat komt te liggen.

[voske]

De mogelijke strafbare feiten waar de politie* onderzoek naar zal willen doen, laten zich inderdaad vrij eenvoudig bedenken:
- oplichting (de phishing);
- computervredebreuk (inloggen met de door phishing verkregen gegevens en het vervolgens kopiëren van de data);
- (poging tot) afdreiging (art. 318 WvSr; afpersing zal het vermoedelijk niet zijn, daarvoor is geweld, bedreiging met geweld dan wel bedreiging met het onbruikbaar maken/ontoegankelijk maken/wissen van gegevens nodig).

* Het opsporingsonderzoek wordt gedaan door de politie; het OM (in de persoon van een officier van justitie) geeft leiding aan het opsporingsonderzoek.

[Reactie gewijzigd door voske op 25 februari 2026 15:09]

[PBro]

Als ik de toelichting in het kader goed begrijp wordt er nu een onderzoek gestart naar Odido, waarbij het dus mogelijk is dat Odido strafbare feiten heeft gepleegd volgens het OM.

[MikeyMan]

Normaal gesproken gaat het OM niet aan de slag als er geen schade is aangetoond lijkt me...

Die is er vziw tot op heden nog niet.

[Ronald1996]

"In het onderzoek richt het OM zich op „diegene die dit Odido aandoet — wie dit ook mogen zijn laten wij in het midden”." Stelt het OM in het NRC-artikel

[Reactie gewijzigd door Ronald1996 op 25 februari 2026 15:56]

[Luchtbakker]

Als het OM onderzoek doet dan verdenken ze Odido dus van verwijtbaar gedrag vermoed ik zo. En ik vind dat een terecht punt. Want als jij je medewerkers niet controleert op hoeveel klantverzoeken ze doen, is dat wel echt heel slecht.

Je kan door middel van bijvoorbeeld een API begrenzen op 50 klanten per uur. Dat is voor een doorsnee medewerker meer dan zat en voorkom je echt gigantisch veel problemen mee.

Waar een wil is, is een weg.

[Dychmann]

In artikel NRC staat veel duidelijker dat het onderzoek zich richt op de partij die dit ‘odido aandoet’. Dus het onderzoek van het OM richt zich nu niet Odido zelf.

[Faloude]

Als één gecomprimeerde account 6,2 miljoen klantgegevens oplevert, ligt de schuld bij het bedrijf.

Naast wat voor consequentie dan ook bij het OM, zouden Nederlanders massaal moeten vertrekken bij Odido om een signaal af te geven aan andere bedrijven.

[R_Zwart]

Het is niet de vraag of een organisatie wordt getroffen, maar wanneer. Het kan overal gebeuren.

[Faloude]

De vraag is vooral, in hoeverre heeft een organisatie maatregelen getroffen om de schade te beperken?

Odido heeft klantgegevens bewaard van mensen die al 10 jaar geen klant meer zijn en heeft geen restricties toegepast op medewerker accounts die deze datalek enorm konden beperken.

[StarZ]

Ja volgens mij hebben ze hier dus echt ernstige steken laten vallen. Buiten dat ze zichzelf niet houden aan hun data beleid (10 jaar oude gegevens) hebben ze dus schijnbaar ook geen limieten op klant gegevens. Een kwaadwillende medewerker kan dus schijnbaar alle klantgegevens leegtrekken. Dat is volgens mij ook leuke informatie voor concurrenten. Slecht geregeld, kan er niets anders van maken.

[timeraider]

Het is niet de vraag wanneer, het is de vraag hoeveel ze kunnen wanneer het gebeurd.
Hoewel ik ICT admin ben bij een groot bedrijf kunnen ze mijn admin account hacken, maar zonder toestemming van andere medewerkers kunnen ze niks noppes.

[Lord Anubis]

dan kan je nergens terecht..

[Muurtegel]

Odido kan mogelijk ook verweten worden data te lang te hebben bewaard. Zo zijn er meerdere mensen die al meer dan 10 jaar geen klant meer zijn en alsnog een email over het datalek hebben ontvangen.

[Floort]

Dat is geen verwijt voor het OM om te maken. Dat is een bestuurrechtelijke zaak tussen de AP en Odido eventueel. Het gaat wel wat ver om aan te nemen dat het OM niet onderzoek doet naar de afpersers/hackers maar naar slachtoffers om daar vervolgens bij te verzinnen wat het OM voor verdenking zou hebben.

[Linux gebruiker]

Als het OM onderzoek doet dan verdenken ze Odido dus van verwijtbaar gedrag vermoed ik zo. En ik vind dat een terecht punt. Want als jij je medewerkers niet controleert op hoeveel klantverzoeken ze doen, is dat wel echt heel slecht.

Je kan door middel van bijvoorbeeld een API begrenzen op 50 klanten per uur. Dat is voor een doorsnee medewerker meer dan zat en voorkom je echt gigantisch veel problemen mee.

Waar een wil is, is een weg.

Wat er ook van zij, het onderzoek van het OM komt niks te vroeg, verantwoordelijken, directie, raad van bestuur, de top, hiervoor aansprakelijk stellen.

[Pas_PC]

Dit lijkt me nou echts voor Tweakers om te vragen hoe dit bij andere providers is.

Dat idee van API begrenzen op 50 klanten per uur is een prima manier om schade op grote schaal te voorkomen.

[Ascension]

Ik lees nergens dat het onderzoek zich op odido richt, lijkt me een voorbarige conclusie. Misschien heeft Odido zelf aangifte gedaan want zover ik weet is wat Shinyhunters heeft gedaan (binnendringen van IT systemen en afpersing) gewoon strafbaar en rechtvaardig dit een strafrechtelijk onderzoek.

[Pasteis]

Wat mij betreft snijdt het mes aan twee kanten . Enerzijds moet er logischerwijs gericht worden tot de hackers zelf.

Anderzijds heb ik nog steeds heel veel vraagtekens bij de vraag: "Hoe de hell is het zo makkelijk geweest om zoveel persoonsgegevens te downloaden"????

Een aantal vragen die al direct in mij op kunnen:
- Waarom kan het hele klantenbestand door iemand gedownload worden?
- Waar is de audittrail gebleven? Lokaal op de server of cloud? Heeft Salesforce dit niet? Want dan kan je toch beter pinpointen wat ze gedaan hebben?
- Hoe was de authenticatie en autorisatie ingeregeld?
- Hoelang zijn ze binnengebleven?

Er mag niet weggekeken worden en ik hoop echt dat de onderste steen naar boven komt. Al is dit voor het leerproces?

Ook vind ik dat de overheid al dan niet via de politie hier in moet deelnemen. Ruim 6 miljoen persoonsgegevens vind ik een zaak van nationale veiligheid, want het kan op den duur veel slachtoffers maken. Oplichting kan een nieuw niveau aannemen.

[Reactie gewijzigd door Pasteis op 25 februari 2026 14:31]

[Bedge85]

Ja, volgens mij hebben ze het intern gewoon heel slecht geregeld. Eneige tijd terug heeft Odido ook een boete van 1.5 miljoen gekregen omdat hun aftap systeem en procedures niet voldeden.

[Jamesman]

Nieuw toegevoegde info op de odido.nl/veiligheid site:

"Terwijl het onderzoek nog loopt, hebben we kunnen vaststellen dat ook aanvullende gegevens uit het klantcontactsysteem zijn getroffen. Zodra er meer bekend is, zullen we via deze webpagina verdere updates delen"

[vdr01]

Wat ik nu zo ontzettend demotiverend vind is dat hier kennelijk niets aan te doen is. Hack na hack na hack. Zoveel slimme mensen maar niemand heeft de oplossing.

[Ulysses]

Internet is ook zo hip en nieuw, het is gewoon onmogelijk om daar op zulke korte termijn het juiste talent voor aan te trekken...

[mphilipp]

Nou, dat valt nog te bezien. Er zijn maatregelen te nemen zodat men, zelfs als is men in bezig van gestolen credentials en 2FA, ze toch niet in het systeem kunnen. Je kunt er namelijk voor zorgen dat medewerkers alleen maar bij de bedrijfssoftware kunnen als ze met een compliant device inloggen. Dus een device dat goedgekeurd is voor gebruik op het bedrijfsnetwerk. Dat kan zelfs zover gaan dat je Windows gepatched moet hebben voordat je toegang krijgt. Ook moet je via het VPN ingelogd zijn. Het is voor hackers denk ik erg ingewikkeld om ook aan die voorwaarden te voldoen.

Je wéét immers dat de mens de zwakke schakel is en dat hackers en andere kwaadwillenden altijd wel een manier vinden om die credentials te stelen. Vandaar 2FA, passkeys etc. Helemaal onmogelijk maken is denk ik niet te doen, maar je kunt het ze wel heel erg moeilijk maken. Waarom denk je dat er nog nooit bij ING of Rabobank is ingebroken? Not for lack of trying denk ik...

[Gamejuize]

Als het verhaal klopt en één medewerker echt zo makkelijk toegang had tot 8 miljoen gegevens, dan is het gewoon terecht dat ze worden aangepakt voor stevige nalatigheid. En ik hoop ook dat dat dit keer daadwerkelijk gebeurt.

[ethrellik]

Odido's beveiliging was duidelijk te wensen over. Ze kunnen de hack niet ongedaan maken, maar nu is het hun kans om verantwoordelijkheid te nemen. Betalen voorkomt dat de gegevens openbaar worden en met hun winst zou dat financieel geen probleem zijn. Ik vind het betalen van criminelen niet goed… maar ook al is het maar een kans dat ze de data later toch lekken, is dit misschien de enige manier om (meer) schade te voorkomen.

[Robru1]

Heeft het OM de hack bij zichzelf al onderzocht?

[Draconian]

Plaintext wachtwoorden is al erg genoeg als het op waarheid berust.
Sterker nog. Hoe zijn de gegevens opgeslagen bij Odido in het klantcontactsysteem? Aangezien deze gestolen zijn. Want dan liegt Odido en hebben ze waarschijnlijk wel de kopie van onze identiteitsbewijzen in plaats van alleen nummers.

Ja, klantcontactsystemen (CRM-systemen) kunnen foto's bevatten en opslaan. De mogelijkheden variëren per type systeem:

• Algemene CRM-systemen: Veel moderne CRM-systemen (zoals Microsoft Dynamics 365) maken het mogelijk om foto's toe te voegen aan klantprofielen, records van contactpersonen, leads of accounts. Dit helpt om een persoonlijker beeld van de klant te krijgen.
• Specifieke CRM-systemen: In systemen die gericht zijn op fotografie of creatieve sectoren, is het opslaan van foto's een kernfunctie. Hierin kunnen complete fotogalerijen, bewerkte foto's en documenten direct aan een klantdossier worden gekoppeld.
• Bestandsbeheer: CRM-oplossingen maken het vaak mogelijk om documenten en afbeeldingen "achter de klant te hangen", wat zorgt voor betere vindbaarheid en inzicht.

Daarnaast kunnen klantcontactsystemen ook algemene persoonsgegevens, belgegevens en locatiegegevens opslaan.

Privacy: Omdat foto's persoonsgegevens zijn, moet de opslag ervan voldoen aan de geldende privacywetgeving (AVG/GDPR).

[CPV]

Het zouden plaintext antwoorden op controlevragen zijn, geen wachtwoorden.