Nederlands Openbaar Ministerie begint onderzoek naar hack bij Odido

Het Nederlandse Openbaar Ministerie begint een onderzoek naar de cyberaanval bij Odido, bevestigt een woordvoerder tegenover persbureau ANP. Op dit moment kan hij geen verdere informatie geven over het onderzoek.

Shinyhunters claimt de data van
Odido-klanten in handen te hebben

Eerder deze week claimde Shinyhunters dat de hackersgroep alle gegevens van het datalek bij Odido in handen heeft. Volgens de hackers gaat het om een set met 21 miljoen regels met data en gegevens van 8 miljoen klanten, schrijft RTL Nieuws. Odido zei eerder zelf dat het om gegevens van 6,2 miljoen klanten gaat.

De hackersgroep dreigt de gegevens donderdag openbaar te maken, tenzij Odido losgeld betaalt. Volgens RTL Nieuws eisen de hackers een bedrag 'van zeven cijfers', oftewel tussen de 1 en 10 miljoen euro. Shinyhunters wist eerder al gegevens van SoundCloud, Ticketmaster, Microsoft en Pornhub in handen te krijgen. Bij dat laatste lek kregen de hackers ook de gegevens van anderhalf miljoen Nederlandse accounts in handen.

Waarom is het zo veelzeggend dat het OM onderzoek doet?

Tijs Hofmans
Redacteur privacy & security

Tijs Hofmans: "Het is niet zeker of het OM de hack zelf onderzoekt, of Odido. Als het dat laatste zou zijn, zou dat erg opvallend zijn, maar ook de ernst van de situatie benadrukken. Datalekken zijn in de basis een zaak tussen een bedrijf en een klant; het bedrijf moet klanten zelf informeren en eventueel helpen met de gevolgen of compensatie. Als een klant schadevergoeding wil, moet dat via een civiele procedure worden afgehandeld. En als een bedrijf de Autoriteit Persoonsgegevens achter zich aan krijgt en bijvoorbeeld een boete krijgt, is dat bestuursrechtelijk.

Maar als het OM iets onderzoekt, is dat strafrechtelijk. Het OM zegt nu niks, maar het feit dat het onderzoek doet, suggereert dat het OM Odido mogelijk nalatig vindt, en potentieel crimineel strafbaar. Dat maakt zo'n onderzoek een serieuze zaak, waar overigens ook een serieuze bewijslast mee gemoeid gaat.

Het geeft ook aan hoe serieus de zorgen onder Nederlandse burgers zijn over het datalek. Datzelfde speelde bijvoorbeeld ook toen Clinical Diagnostics werd gehackt; ook dat was een serieuze zorg. Daar begon het OM toen ook een (nog steeds lopend) onderzoek naar."

Update, 15.48 uur – In het kader stond aanvankelijk dat het OM Odido onderzocht, maar dat is niet zeker. Dat is genuanceerder beschreven.

Reacties (82)

[Floort]

Ik weet niet zo goed hoe ik dit bericht moet lezen. Volgens mij is het vrij normaal dat het OM een onderzoek start bij slachtoffers van hackers naar de daders (hackers en in dit geval ook afpersers). Ik lees niets waaruit blijkt dat het OM waarschijnlijk Odido verdenkt van strafbare feiten.

[downtime]

Lijkt mij ook. Ik zie in het artikel van RTL ook helemaal niets wat doet vermoeden dat het niet gewoon een onderzoek vanwege afpersing is. Het is immers niet zomaar een datalek, het is een bewuste hack gevolgd door afpersing, en met mogelijk grote maatschappelijke impact als al die data op straat komt te liggen.

[voske]

De mogelijke strafbare feiten waar de politie* onderzoek naar zal willen doen, laten zich inderdaad vrij eenvoudig bedenken:
- oplichting (de phishing);
- computervredebreuk (inloggen met de door phishing verkregen gegevens en het vervolgens kopiëren van de data);
- (poging tot) afdreiging (art. 318 WvSr; afpersing zal het vermoedelijk niet zijn, daarvoor is geweld, bedreiging met geweld dan wel bedreiging met het onbruikbaar maken/ontoegankelijk maken/wissen van gegevens nodig).

* Het opsporingsonderzoek wordt gedaan door de politie; het OM (in de persoon van een officier van justitie) geeft leiding aan het opsporingsonderzoek.

[Reactie gewijzigd door voske op 25 februari 2026 15:09]

[PBro]

Als ik de toelichting in het kader goed begrijp wordt er nu een onderzoek gestart naar Odido, waarbij het dus mogelijk is dat Odido strafbare feiten heeft gepleegd volgens het OM.

[MikeyMan]

Normaal gesproken gaat het OM niet aan de slag als er geen schade is aangetoond lijkt me...

Die is er vziw tot op heden nog niet.

[William_H]

Maar als Odido 10 miljoen onder afdreiging betaald, is er wel degelijk sprake van schade en een crimineel feit.

[CivLord]

Normaal gesproken gaat het OM aan de slag wanneer er een (volgens het strafrecht) strafbaar feit is gepleegd. De hack zelf is al zo'n strafbaar feit. Of er ook daadwerkelijk schade is, is hierbij niet relevant.

[Aldy]

Er is wel schade. Als er bij jou wordt ingebroken en er worden spullen meegenomen, dan is er schade. Maar als er wordt ingebroken en er wordt een kopie van je harde schijf van je pc gemaakt, dan is er ook schade. Er hoeft niet altijd iets fysieks meegenomen te worden, want ook computervredebreuk is strafbaar en levert wellicht op termijn eveneens schade op.
Heel toevallig vandaag op Tweakers:
nieuws: OM eist 3 jaar cel voor Chinese softwarearchitect die ASML-data kopie...

[Ronald1996]

"In het onderzoek richt het OM zich op „diegene die dit Odido aandoet — wie dit ook mogen zijn laten wij in het midden”." Stelt het OM in het NRC-artikel

[Reactie gewijzigd door Ronald1996 op 25 februari 2026 15:56]

[Floort]

Het is opmerkelijk dat die uitleg nodig is omdat mensen er blijkbaar vanuit gaan dat het OM niet de hackers en afpersers onderzoekt.

[MikeyMan]

Ja, omdat dat eerder ook veel minder duidelijk in het artikel stond.

[Luchtbakker]

Als het OM onderzoek doet dan verdenken ze Odido dus van verwijtbaar gedrag vermoed ik zo. En ik vind dat een terecht punt. Want als jij je medewerkers niet controleert op hoeveel klantverzoeken ze doen, is dat wel echt heel slecht.

Je kan door middel van bijvoorbeeld een API begrenzen op 50 klanten per uur. Dat is voor een doorsnee medewerker meer dan zat en voorkom je echt gigantisch veel problemen mee.

Waar een wil is, is een weg.

[Dychmann]

In artikel NRC staat veel duidelijker dat het onderzoek zich richt op de partij die dit ‘odido aandoet’. Dus het onderzoek van het OM richt zich nu niet Odido zelf.

[Luchtbakker]

In artikel NRC staat veel duidelijker dat het onderzoek zich richt op de partij die dit ‘odido aandoet’. Dus het onderzoek van het OM richt zich nu niet Odido zelf.

Dat was niet in het artikel verwerkt toen ik mijn comment schreef

[Muurtegel]

Odido kan mogelijk ook verweten worden data te lang te hebben bewaard. Zo zijn er meerdere mensen die al meer dan 10 jaar geen klant meer zijn en alsnog een email over het datalek hebben ontvangen.

[Floort]

Dat is geen verwijt voor het OM om te maken. Dat is een bestuurrechtelijke zaak tussen de AP en Odido eventueel. Het gaat wel wat ver om aan te nemen dat het OM niet onderzoek doet naar de afpersers/hackers maar naar slachtoffers om daar vervolgens bij te verzinnen wat het OM voor verdenking zou hebben.

[Faloude]

Als één gecomprimeerde account 6,2 miljoen klantgegevens oplevert, ligt de schuld bij het bedrijf.

Naast wat voor consequentie dan ook bij het OM, zouden Nederlanders massaal moeten vertrekken bij Odido om een signaal af te geven aan andere bedrijven.

[R_Zwart]

Het is niet de vraag of een organisatie wordt getroffen, maar wanneer. Het kan overal gebeuren.

[Faloude]

De vraag is vooral, in hoeverre heeft een organisatie maatregelen getroffen om de schade te beperken?

Odido heeft klantgegevens bewaard van mensen die al 10 jaar geen klant meer zijn en heeft geen restricties toegepast op medewerker accounts die deze datalek enorm konden beperken.

[StarZ]

Ja volgens mij hebben ze hier dus echt ernstige steken laten vallen. Buiten dat ze zichzelf niet houden aan hun data beleid (10 jaar oude gegevens) hebben ze dus schijnbaar ook geen limieten op klant gegevens. Een kwaadwillende medewerker kan dus schijnbaar alle klantgegevens leegtrekken. Dat is volgens mij ook leuke informatie voor concurrenten. Slecht geregeld, kan er niets anders van maken.

[J1ngleJ4ngle]

Zeker! In Salesforce, kun je schijnbaar zelfs in het Privacy Center de data retentie automatiseren dat na x periode de gegevens komen te vervallen. Odido had dit kunnen instellen en dan werden de gegevens automatisch opgeschoond of geanonimiseerd. Scheelde iig aanzienlijk minder getroffen.

[timeraider]

Het is niet de vraag wanneer, het is de vraag hoeveel ze kunnen wanneer het gebeurd.
Hoewel ik ICT admin ben bij een groot bedrijf kunnen ze mijn admin account hacken, maar zonder toestemming van andere medewerkers kunnen ze niks noppes.

[Lord Anubis]

dan kan je nergens terecht..

[Linux gebruiker]

Als het OM onderzoek doet dan verdenken ze Odido dus van verwijtbaar gedrag vermoed ik zo. En ik vind dat een terecht punt. Want als jij je medewerkers niet controleert op hoeveel klantverzoeken ze doen, is dat wel echt heel slecht.

Je kan door middel van bijvoorbeeld een API begrenzen op 50 klanten per uur. Dat is voor een doorsnee medewerker meer dan zat en voorkom je echt gigantisch veel problemen mee.

Waar een wil is, is een weg.

Wat er ook van zij, het onderzoek van het OM komt niks te vroeg, verantwoordelijken, directie, raad van bestuur, de top, hiervoor aansprakelijk stellen.

[Pas_PC]

Dit lijkt me nou echts voor Tweakers om te vragen hoe dit bij andere providers is.

Dat idee van API begrenzen op 50 klanten per uur is een prima manier om schade op grote schaal te voorkomen.

[DonHighor]

Doet niemand

[ComputerGekkie]

Als ik bij jou een steen door de ruit flikker, dan gaat de politie toch ook onderzoek doen. Maar ik denk niet of jij je wel genoeg hebt beschermt tegen steengooiers, maar wie die steen erdoor heen gooit.

[Luchtbakker]

Als ik bij jou een steen door de ruit flikker, dan gaat de politie toch ook onderzoek doen. Maar ik denk niet of jij je wel genoeg hebt beschermt tegen steengooiers, maar wie die steen erdoor heen gooit.

Laten we ten eerste de toon even normaal houden. Maar ten tweede, als je weet dat je een potentieel gevaar bent voor steengooiers, dan monteer je speciaal glas

[ComputerGekkie]

Excuus, ik ben een beetje klaar met het constante victim blaming hier in de tweakers comments. Iedereen is opeens een expert. Niet fair om dat op jou af te reageren, zeker gezien je een genuanceerde comment schrijft. Ik log wel even uit

[Reactie gewijzigd door ComputerGekkie op 25 februari 2026 18:23]

[Ascension]

Ik lees nergens dat het onderzoek zich op odido richt, lijkt me een voorbarige conclusie. Misschien heeft Odido zelf aangifte gedaan want zover ik weet is wat Shinyhunters heeft gedaan (binnendringen van IT systemen en afpersing) gewoon strafbaar en rechtvaardig dit een strafrechtelijk onderzoek.

[Pasteis]

Wat mij betreft snijdt het mes aan twee kanten . Enerzijds moet er logischerwijs gericht worden tot de hackers zelf.

Anderzijds heb ik nog steeds heel veel vraagtekens bij de vraag: "Hoe de hell is het zo makkelijk geweest om zoveel persoonsgegevens te downloaden"????

Een aantal vragen die al direct in mij op kunnen:
- Waarom kan het hele klantenbestand door iemand gedownload worden?
- Waar is de audittrail gebleven? Lokaal op de server of cloud? Heeft Salesforce dit niet? Want dan kan je toch beter pinpointen wat ze gedaan hebben?
- Hoe was de authenticatie en autorisatie ingeregeld?
- Hoelang zijn ze binnengebleven?

Er mag niet weggekeken worden en ik hoop echt dat de onderste steen naar boven komt. Al is dit voor het leerproces?

Ook vind ik dat de overheid al dan niet via de politie hier in moet deelnemen. Ruim 6 miljoen persoonsgegevens vind ik een zaak van nationale veiligheid, want het kan op den duur veel slachtoffers maken. Oplichting kan een nieuw niveau aannemen.

[Reactie gewijzigd door Pasteis op 25 februari 2026 14:31]

[Bedge85]

Ja, volgens mij hebben ze het intern gewoon heel slecht geregeld. Eneige tijd terug heeft Odido ook een boete van 1.5 miljoen gekregen omdat hun aftap systeem en procedures niet voldeden.

[Jamesman]

Nieuw toegevoegde info op de odido.nl/veiligheid site:

"Terwijl het onderzoek nog loopt, hebben we kunnen vaststellen dat ook aanvullende gegevens uit het klantcontactsysteem zijn getroffen. Zodra er meer bekend is, zullen we via deze webpagina verdere updates delen"

[vdr01]

Wat ik nu zo ontzettend demotiverend vind is dat hier kennelijk niets aan te doen is. Hack na hack na hack. Zoveel slimme mensen maar niemand heeft de oplossing.

[Ulysses]

Internet is ook zo hip en nieuw, het is gewoon onmogelijk om daar op zulke korte termijn het juiste talent voor aan te trekken...

[mphilipp]

Nou, dat valt nog te bezien. Er zijn maatregelen te nemen zodat men, zelfs als is men in bezig van gestolen credentials en 2FA, ze toch niet in het systeem kunnen. Je kunt er namelijk voor zorgen dat medewerkers alleen maar bij de bedrijfssoftware kunnen als ze met een compliant device inloggen. Dus een device dat goedgekeurd is voor gebruik op het bedrijfsnetwerk. Dat kan zelfs zover gaan dat je Windows gepatched moet hebben voordat je toegang krijgt. Ook moet je via het VPN ingelogd zijn. Het is voor hackers denk ik erg ingewikkeld om ook aan die voorwaarden te voldoen.

Je wéét immers dat de mens de zwakke schakel is en dat hackers en andere kwaadwillenden altijd wel een manier vinden om die credentials te stelen. Vandaar 2FA, passkeys etc. Helemaal onmogelijk maken is denk ik niet te doen, maar je kunt het ze wel heel erg moeilijk maken. Waarom denk je dat er nog nooit bij ING of Rabobank is ingebroken? Not for lack of trying denk ik...

[CivLord]

Je wéét immers dat de mens de zwakke schakel is en dat hackers en andere kwaadwillenden altijd wel een manier vinden om die credentials te stelen. Vandaar 2FA, passkeys etc.

Je hebt gelijk dat de mens in veel gevallen de zwakke schakel is. Helaas wordt daardoor gedacht dat de oplossing gezocht moet worden in het diezelfde mens het werken onder normale omstandigheden zo lastig mogelijk te maken.
Inderdaad, 2FA, passkeys, tien keer per dag opnieuw in moeten loggen, pop-ups, dialoogschermen waar je de reden in moet geven waarom je iets in wilt zien, etc. Allemaal zaken die het normale werk belemmeren, alleen om een mogelijke hack lastiger te maken.

Wat is in een moderne gepanserde auto het zwakste punt bij een overvalpoging? De banden: wanneer je die lek schiet lukt het niet meer om weg te komen. De oplossing daarvoor is niet om massieve rubberbanden te gebruiken, waardoor elke rit onfomfortabel wordt. Nee. De oplossing is een massief rubbere rand op de velg met een net iets kleinere diameter dan de opgepompte band, waarop doorgereden kan worden wanneer de banden lekgeschoten worden.
Dus geen oplossing die onder normale omstandigheden óók vervelend zijn, maar een oplossing die je pas merkt wanneer het nodig is.

Op dezelfde manier zou cybersecurity ook onder normale omstandigheden passief en onmerkbaar moeten zijn en pas bij een hack actief moeten worden. Zolang alle schuld alleen maar op de gebruiker wordt geschoven en alle oplossingen er uit bestaan om het normale werken van die gebruiker zo lastig mogelijk te maken, zal het probleem nooit opgelost worden.

[mphilipp]

Klopt. Maar ook 2FA is in dit geval onvoldoende gebleken. Je zou bij bedrijven die met gevoelige data werken het gebruik van compliant devices moeten afdwingen. Alleen computers die aan de eisen van het bedrijf voldoen en op het bedrijfsnetwerk zijn aangesloten mogen bij de applicaties.

Bovendien kun je ook nog werken met application firewalls die controleren op verdacht gedrag: komt een client van de vreemd ip adres, of is dat een afwijkend ip adres dat deze user normaliter heeft? Wanneer logt de gebruker in en is dat zijn/haar normale werktijd? Hoeveel data vraagt de gebruiker op? Als ie zeg maar meer dan 3 queries in een minuut ofzo doet, is dat normaal? En als ie dat 10 minuten lang blijft doen? Dan moeten er allerlei alarmbellen gaan rinkelen. Die software is er al heel lang, maar ja...duur en lastig in te stellen en beheren.

Odido heeft het nu the hard way geleerd, en ik ben benieuwd of ze nu ook acties gaan ondernemen. Helaas hoor je dat natuurlijk niet. Ja, ze zullen roepen dat ze iets gaan doen, maar je gaat natuurlijk niet precies vertellen wat je allemaal in stelling brengt.

[CivLord]

Je moet het inderdaad in dit soort maatregelen zoeken.

Enkel direct op het bedrijfsnetwerk aangesloten, of d.m.v. een VPN bij thuiswerken.
Enkel toegang op logische tijdstippen: Enkel tijdens de openingstijden van de servicedesk, wanneer de betreffende medewerker is ingeroosterd om te werken. (Eventueel gedifferentieerd, zodat een medewerker buiten die tijden wel op algemene delen van het netwerk kan en zijn eigen rooster kan raadplegen.)
En uiteraard de hoeveelheid opvragingen van ongeralateerde informatie. (Binnen een gezin met meerdere abonnementen, kan het natuurlijk voorkomen dat in één telefoongesprek van twee minuten info over 5 verschillende nummers wordt opgevraagd, maar die hebben dan dezelfde abonnementhouder of minstens hetzelfde adres. Twee verschillende nummers in hetzelfde telefoongesprek die geen verband met elkaar lijken te hebben verdient in ieder geval een pop-up scherm.)

Maar ga dan weer niet zo ver dat je enkel info op kan vragen over het nummer waarmee wordt ingebeld.

[mphilipp]

Ik noem ook maar wat. Zoiets kost tijd om goed te implementeren en je kunt het doorgaans mee laten draaien in een soort training mode waarin ie vastlegt wat er gebeurt. Zo kun je zien wat 'nomraal' is. Pak je een beetje marge erop en dan zit je wel goed. Ook al weten ze precies dat je dat soort spul hebt draaien, kunnen ze nooit je hele database leegtrekken. Hooguit een paar honderd ofzo voordat de boel weer dicht gaat.

Maarja....het zijn allemaal dure oplossingen, dus doet men dat meestal niet. Totdat ze nu veel duurder uit zijn.

[Gamejuize]

Als het verhaal klopt en één medewerker echt zo makkelijk toegang had tot 8 miljoen gegevens, dan is het gewoon terecht dat ze worden aangepakt voor stevige nalatigheid. En ik hoop ook dat dat dit keer daadwerkelijk gebeurt.

[ethrellik]

Odido's beveiliging was duidelijk te wensen over. Ze kunnen de hack niet ongedaan maken, maar nu is het hun kans om verantwoordelijkheid te nemen. Betalen voorkomt dat de gegevens openbaar worden en met hun winst zou dat financieel geen probleem zijn. Ik vind het betalen van criminelen niet goed… maar ook al is het maar een kans dat ze de data later toch lekken, is dit misschien de enige manier om (meer) schade te voorkomen.

[Robru1]

Heeft het OM de hack bij zichzelf al onderzocht?

[Draconian]

Plaintext wachtwoorden is al erg genoeg als het op waarheid berust.
Sterker nog. Hoe zijn de gegevens opgeslagen bij Odido in het klantcontactsysteem? Aangezien deze gestolen zijn. Want dan liegt Odido en hebben ze waarschijnlijk wel de kopie van onze identiteitsbewijzen in plaats van alleen nummers.

Ja, klantcontactsystemen (CRM-systemen) kunnen foto's bevatten en opslaan. De mogelijkheden variëren per type systeem:

• Algemene CRM-systemen: Veel moderne CRM-systemen (zoals Microsoft Dynamics 365) maken het mogelijk om foto's toe te voegen aan klantprofielen, records van contactpersonen, leads of accounts. Dit helpt om een persoonlijker beeld van de klant te krijgen.
• Specifieke CRM-systemen: In systemen die gericht zijn op fotografie of creatieve sectoren, is het opslaan van foto's een kernfunctie. Hierin kunnen complete fotogalerijen, bewerkte foto's en documenten direct aan een klantdossier worden gekoppeld.
• Bestandsbeheer: CRM-oplossingen maken het vaak mogelijk om documenten en afbeeldingen "achter de klant te hangen", wat zorgt voor betere vindbaarheid en inzicht.

Daarnaast kunnen klantcontactsystemen ook algemene persoonsgegevens, belgegevens en locatiegegevens opslaan.

Privacy: Omdat foto's persoonsgegevens zijn, moet de opslag ervan voldoen aan de geldende privacywetgeving (AVG/GDPR).

[CPV]

Het zouden plaintext antwoorden op controlevragen zijn, geen wachtwoorden.