Odido meldt na tip dat aanvallers toegang hadden tot nog meer gegevens - update

Odido meldt dat er 'aanvullende gegevens uit het klantcontactsysteem zijn getroffen'. Het telecombedrijf ontdekte dit in het lopende onderzoek naar de cyberaanval van begin deze maand. Het gaat om zeer gevoelige aantekeningen, meldt de NOS, die Odido daarover informeerde.

Odido maakt nu niet bekend om wat voor 'aanvullende gegevens' het precies gaat. Het is dus niet duidelijk of dit informatie van of over klanten is en hoe gevoelig die getroffen gegevens zijn. "Zodra er meer bekend is, zullen we via deze webpagina verdere updates delen", meldt het bedrijf nu. Dezelfde mededeling staat bij dochterbedrijf Ben.

De 'aanvullende gegevens' zijn volgens de NOS van zeer gevoelige aard. De Nederlandse omroep heeft inzage in een deel van de gestolen gegevens. Die omvatten recente mails aan klanten en ook privacygevoelige aantekeningen over klanten. Dit loopt uiteen van instructies om extra op te letten omdat de ex van een klant zich voordeed als die klant, tot aantekeningen als 'gaat door een moeilijke periode' en 'Klant lijkt onder invloed te zijn tijdens het bellen. Is door winkel (...) uit de zaak verwijderd en heeft gedreigd daar de boel kort en klein te slaan'. Verder is in de gegevens te zien welke klanten een bewindvoerder hebben en dus onder curatele staan, meldt de NOS.

Bij de bekendmaking van de cyberaanval gaf de provider aan dat de betrokken klantgegevens 'mogelijk' de volledige namen en adressen van gebruikers omvatten. Daarnaast ging het mogelijk ook om mobiele nummers, klantnummers, e-mailadressen, IBAN-rekeningnummers, geboortedata en de identificatiegegevens van klanten. Onder dat laatste vallen de paspoort- of rijbewijsnummers en informatie over de geldigheid daarvan.

OM stelt onderzoek in

Odido meldde toen dat er geen scans van identiteitsbewijzen zijn uitgelekt en ook geen wachtwoorden, belgegevens, locatiegegevens of factuurgegevens van klanten. Het bedrijf zou wel de eigen bewaartermijn voor persoonsgegevens hebben overschreden. Dit bleek uit het feit dat allang overgestapte klanten toch melding kregen van dit datalek. Het Nederlandse Openbaar Ministerie begint nu een onderzoek naar de cyberaanval op Odido.

Update, 17.42 uur – Toegevoegd dat de 'aanvullende gegevens' volgens de NOS onder meer privacygevoelige aantekeningen over klanten omvatten en recente mails aan klanten.

Reacties (231)

[Dutchzilla]

Ik zei het al, er is waarschijnlijk méér gelekt dan nu wordt toegegeven.

Lees die mail van Odido nog eens goed. Tussen de regels door zie je vooral vaagheid. Geen concrete aantallen, geen duidelijke afbakening, geen technische uitleg. Dat geeft weinig vertrouwen, zeker gezien hoe rommelig de communicatie tot nu toe verloopt.

Als je ziet hoe ze omgaan met updates, vragen ontwijken en vooral via media reageren in plaats van rechtstreeks naar klanten, dan wekt dat niet de indruk dat alles volledig onder controle is.

Ik hoop oprecht dat het meevalt. Maar zolang er geen volledige transparantie is over wat exact is buitgemaakt, inclusief mogelijke metadata zoals belgegevens of locatiegegevens, blijft het gissen.

Dit soort zaken moet je niet in fases naar buiten brengen. Dan krijg je het gevoel dat er steeds weer iets bijkomt.

Openheid nu voorkomt een grotere crisis later. Vertrouwen win je niet met geruststellende zinnen, maar met harde feiten.

[pdidi]

NOS heeft meer details wat er allemaal is gelekt. Ook zeer persoonlijke emails en gevoelige aantekeningen. @JaspB misschien goed dit aan het artikel toe te voegen

Welke gegevens heeft de NOS?

Hackersgroep Shinyhunters benaderde de NOS en deelde een dataset met de persoonsgegevens van circa 10.000 Odido-klanten. De provider meldde deze maand dat de persoonsgegevens van 6,2 miljoen accounts zijn gestolen.

Van de 10.000 klanten van wie de NOS data kreeg, is bij zeker 266 mensen een aantekening aanwezig. Gegevens van een bewindvoerder waren in 128 van de 10.000 gevallen aanwezig. Daarnaast zijn bij alle gebruikers ook recente mails opgenomen die naar klanten zijn verstuurd. Ook daar kunnen gevoelige gegevens in staan.
Uit de aantekeningen zijn ook persoonlijke problemen te destilleren die niets met het abonnement te maken hebben. Zo wordt bij een klant gewaarschuwd extra op te letten: "Ex heeft zich voorgedaan als contractant."
De gevoelige aantekeningen gaan gepaard met gedetailleerde persoonsgegevens, in veel gevallen een telefoonnummer en e-mailadres, maar ook gegevens over iemands identiteitsdocument.

[Reactie gewijzigd door pdidi op 25 februari 2026 17:27]

[Andy Wachelder]

De constatering van de NOS dat "klanten een bewindvoerder hebben en dus onder curatele staan" is niet correct, men kan ook een bewindvoerder hebben zónder onder curatele te staan.

[Aldy]

Is waar, je kunt ook een bewindvoerder hebben zonder onder curatele te staan. Maar te weten dat er een bewindvoerder is, is heel belangrijk om te weten voor eventuele misdadigers. Ze hoeven de klant van Odido niet te benaderen, aangezien er weinig tot niets te halen valt.

[William_H]

Precies. Je kunt ook een bewindvoerder hebben als je fysiek of geestelijk niet in staat bent om je zaken te regelen. Heeft niet altijd met geldzorgen te maken.

[JaspB]

Ah, dat is zeker een nuttige aanvulling! Dank je, ik ga het nu toevoegen.

[Tomatoman]

Pas dan ook even de titel van het artikel aan. Odido heeft dit niet zelf ontdekt, maar journalisten van de NOS.

[JaspB]

Ah, ja inderdaad!

Ook jij dank. 👍

[SanderBos]

Dus niet zo zozeer 'Odido ontdekt dat...', maar meer 'Odido wordt door publicatie gedwongen om toe te geven dat...'.

[familyman]

Odido hoort van externe partijen welke informatie ze überhaupt hebben.

Of

Externe partijen hebben betere en makkelijkere toegang tot Odido's data dan Odido zelf.

Het zijn werkelijk een ongelooflijk stel prutsers daar.

[7ven]

Je kan het natuurlijk ook zien als een vorm van backup. Mochten ze bij Odido dit niet op orde hebben (hoe onwaarschijnlijk is dat) dan kunnen ze altijd betalen en hebben ze gelijk alle data weer. Wellicht werkt het dan beter als ze dreigen om de data te verwijderen als er niet betaald wordt

[familyman]

Ik heb het gevoel dat wat er op orde ks, toeval is.

Dus misschien heb je gelijk.

[ccnl]

Gegevens van een bewindvoerder waren in 128 van de 10.000 gevallen aanwezig.

Dit kan men ook zonder Odido datalek achter komen. Nodig zijn achternaam en geboortedatum

Centraal curatele- en bewindregister

[xxs]

Is dat geen heling door de NOS, 10000 gestolen gegevens ontvangen en bekeken?

[asset185]

Ik zei het al, er is waarschijnlijk méér gelekt dan nu wordt toegegeven.

Dat is een understatement. Er zijn door Odido dingen opgeslagen die NOOIT opgeslagen hadden mogen worden. Ze hebben de GDPR met voeten getreden en mutaties van hele persoonlijke zaken van klanten gemaakt.

https://nos.nl/artikel/2603981-ook-gevoelige-informatie-over-kwetsbare-klanten-in-handen-van-odido-criminelen

En nu hebben criminelen een mooi overzichtje van kwetsbare mensen die ze kunnen misbruiken voor bijvoorbeeld geld ezels.

[bzuidgeest]

ik zei het al, er is waarschijnlijk méér gelekt dan nu wordt toegegeven.

Het word juist wel toegegeven. Maar ze zeggen wat mij betreft terecht pas wat als ze er ook zeker van zijn. Dat vind ik normaal in elk onderzoek. Net als dat ik het goed vind dat het OM er naar kijkt. Het OM zegt ook net als de politie pas wat als ze het (redelijk) zeker weten

Ik ben odido klant en ik val in de set. Gebeurt is gebeurt, aan het einde van het onderzoek kan worden bepaald wat de consequenties moeten zijn.

Ik vind ook dat ze geen geld aan de hackers moeten betalen. Er is geen enkele garantie dat het dan niet alsnog lekt. Criminelen stelen vaak genoeg ook van criminelen. misdaad moet niet belonen. Ook niet als mijn gegevens dan lekken.

Openheid zonder zekerheid leid alleen maar tot paniek. Ze zijn data zoek, dat is bekend. Ze geven ook aan wat er niet gestolen is. De rest komt zo het duidelijk word.

Ben ik er blij mee dat dit gebeurd? Zeker niet. Maar kijk naar de waslijst van datalekken. De meesten halen het nieuws niet eens. het is een constante stroom, elke dag weer. Geen enkel bedrijf ontkomt eraan.

[amigob2]

Dan vraag ik mij af waarom ik nog geen mail heb gehad, is ook fijn om te horen dat je gegevens niet gestolen zijn.

[FicoF]

Hoe bedoel je dit? Odido weet dit toch helemaal niet?

[amigob2]

He, ze hebben iedereen waar van de gegevens zijn gestolen een mail gestuurd, niet naar mij. Maar in de media wordt toch iedere keer gezegd dat alle klanten slachtoffer zijn. Ik wil graag van Odido horen of mijn gegevens wel of niet gestolen zijn.

En ander ding , De data van mijn vader is wel gestolen maar daar wordt expliciet gezegd dat niet de ID's of nummers gestolen zijn. Het is gewoon zo onduidelijk.

[Radiance]

Bij mij zat de mail in mijn spambox ondergesneeuwd tussen de rest van de troep.

[amigob2]

Nee niet in mijn spam, een mail was wel aangekomen op mijn vader zijn account ( voor zijn abbo ), die net als mijn eigen domain, bij de zelfde provider gehost wordt.

[SunnieNL]

Hoe kan odido mensen mailen dat hun gegevens niet gelekt zijn als ze die gegevens over die mensen zelf niet meer hebben? (want als ze die gegevens wel hadden waren die wel gelekt)


Als je klant van odido bent, liggen je gegevens op straat. En staat de mail daarover waarschijnlijk in je spammail.

[amigob2]

Nee niet in de spam folder, een mail was wel aangekomen op mijn vader zijn account ( voor zijn abbo ), die net als mijn eigen domain, bij de zelfde provider gehost wordt.

[Solaroid]

Zelfde hier. Niks gehoord van odido. Wel van Ben. En vanmorgen een mail van haveibeenpwned (of zo) dat het gelekt is. Maar vreemd genoeg niks vanuit Odido.

[SirMemeAlot]

Bedrijven ontkomen er zeker niet aan, maar als ze ook maar iets meer prioriteit aan jouw data hadden gegeven was de omvang van deze hack lang zo groot niet geweest. Maar ik lees tussen de regels door bij meerdere Tweakers wel erg veel berusting in het feit dat dit gewoon normaal is. Ik hoef niet te bewegen want die kan bij iedereen gebeuren, wat er precies voor zorgt dat bedrijven hier geen prio aan zullen blijven geven helaas.

[bzuidgeest]

Het kan niet gebeuren bij iedereen, het gebeurd bij iedereen, gegarandeerd. Niets maakt het 100% safe.

Het is berusting in zoverre dat het gebeurd is en de meeste "dreigementen" als overstappen schaden niet zozeer de provider (in dit geval), maar de financiele situatie van de consument. Overstappen voor hen die een odido email adres of zo gebruiken heeft kosten of moeite. Je abbo word mogelijk duurder etc etc. En je krijgt 0 garantie dat het probleem niet elders over een week ook optreed. Misschien word het dan gejat zonder dat het opvalt bij de leverancier. Je kan het gewoon niet voorspellen.

Bedrijven gaat alleen prio geven aan iets dat moeite kost als de wetgever het economisch aantrekkelijk maakt. Ik zou graag zien dat bij wet word geregeld dat je een individu waarvan de data gestolen is van een identiteits fraude verzekering moet voorzien voor zo lang als de gestolen gegevens geldig zijn. Ik zou ook graag zien dat ze geen documenten(nummers) opslaan, maar gewoon met digid verifieren. Dat lost een groot deel op. Je naam en adres zijn dingen die in principe openbaar zijn. Je email deel je met zoveel mensen dat het ook nagenoeg publiek is. Dus dat soort dingen maak ik mij inderdaad niet zo druk over. Ik vind niet dat mijn adres, iets dat iedereen kan opzoeken en zien, privacy gevoelig is.

[SirMemeAlot]

Het kan niet gebeuren bij iedereen, het gebeurd bij iedereen, gegarandeerd. Niets maakt het 100% safe.

Het is berusting in zoverre dat het gebeurd is en de meeste "dreigementen" als overstappen schaden niet zozeer de provider (in dit geval), maar de financiele situatie van de consument. Overstappen voor hen die een odido email adres of zo gebruiken heeft kosten of moeite. Je abbo word mogelijk duurder etc etc. En je krijgt 0 garantie dat het probleem niet elders over een week ook optreed. Misschien word het dan gejat zonder dat het opvalt bij de leverancier. Je kan het gewoon niet voorspellen.

Bedrijven gaat alleen prio geven aan iets dat moeite kost als de wetgever het economisch aantrekkelijk maakt. Ik zou graag zien dat bij wet word geregeld dat je een individu waarvan de data gestolen is van een identiteits fraude verzekering moet voorzien voor zo lang als de gestolen gegevens geldig zijn. Ik zou ook graag zien dat ze geen documenten(nummers) opslaan, maar gewoon met digid verifieren. Dat lost een groot deel op. Je naam en adres zijn dingen die in principe openbaar zijn. Je email deel je met zoveel mensen dat het ook nagenoeg publiek is. Dus dat soort dingen maak ik mij inderdaad niet zo druk over. Ik vind niet dat mijn adres, iets dat iedereen kan opzoeken en zien, privacy gevoelig is.

We gaan het niet eens worden merk ik al, maar jij moet het economisch aantrekkelijk maken, niet wachten op een overheid. Oftewel je kan zelf stemmen met je portemonnee. Besides een hack kan bij iedereen gebeuren maar de omvang en dat ze gegevens langer bewaren dan dat ze in hun eigen privacy statement zeggen is pure minachtig richting je klant en dit kan echt niet bij iedereen gebeuren. Besides, het is niet bij iedereen gebeurd een hack van deze omvang en deze gegevens maar bij Odido, maar blijf lekker zitten maar ga dan ook niet zeuren als zoiets blijft gebeuren wmb.

[bzuidgeest]

Oftewel je kan zelf stemmen met je portemonnee.

Helaas werkt dat niet genoeg. Neem gamers. Ze zijn allemaal tegen "pay to win" maar een game die dat bevat van een hippe IP laten liggen doen ze er niet voor. Met dit is het exact hetzelfde. Je kan naar een andere provider, maar elke provider heeft wel eens lekken en het word waarschijnlijk duurder bij die ander. Dus het kost alleen maar jezelf geld.

Minachting richting de klant? Ik zie daar geen bewijs van. Dat is gewoon een emotie toekennen aan een emotieloos ding als een bedrijf. Wat je er zelf in legt. Mensen doen dat ook met huisdieren.

De hack zijn omvang is best groot. Maar wereldwijd komt het best vaak voor. De meeste hacks halen het nieuws niet eens.

Nee we gaan het zeker niet eens worden. Maar je bied mij geen oplossingen waar ik iets mee kan. Alle opties voor stemmen met je portemonee. Kosten mijn portemonee meer dan die van odido. Wie straf ik dan? Mijzelf?

[SirMemeAlot]

Correctie, ik bied je oplossingen, je vind het echter geen goede oplossing. Ik zie het als de vrijheidsbijdrage die we nu betalen voor veiligheid in fysieke zin, die moet je dan ook betalen voor veiligere data. Dan kun je wel stellen dat het net zo goed bij KPN/Delta/Ziggo kan gebeuren maar het is daar niet gebeurd, dus om die aanname te doen is enorm makkelijk. Klinkt een beetje alsof je enorm doet aan 'Whataboutisme'/ 'Relativeringsretoriek' om zelf maar geen actie te hoeven ondernemen.

Maar dat is je goed recht uiteraard, maar persoonlijk vind ik daar wat van.

[bzuidgeest]

maar persoonlijk vind ik daar wat van

Dat is prima!

Ik heb geen bezwaar tegen de "vrijheids" bijdrage. Maar ik vind dat die bijdrage tot iets moet leiden. Ik denk dat als je de andere providers die betaald, dat die gewoon in de zakken van aandeelhouders verdwijnt. Er gebeurd niets extras voor en dan is het verspilling wat mij betreft. Als we hogere belastingen krijgen voor een beter leger en ik zie de aanschaf van beter leger materiaal dan vind ik dat acceptabel. Als we produceren van beschermingsmateriaal als mondkapjes en gasmasker hier subsidiëren vind ik dat OK. Maar die bijdrage moet verantwoord worden en ik geloof er niets van dat de providers en veel andere commerciële bedrijven dat gaan doen. Ik ga geen geld overhandigen voor aandeelhouders en een persoonlijk illusie. Dus bied je wat mij betreft dus inderdaad geen echte oplossing voor het issue.

De bedrijven dwingen bij lekken, gebruikers voor identiteitfraude te verzekeren voor X jaar. Dat is iets wat zoveel de realiteit van lekken ondervangt als de bedrijven laat overwegen die noodzaak te voorkomen. Want die verzekeringen voor 6 miljoen gebruikers zijn niet goedkoop. En dat kan met een verbod komen de abbo prijs daarna te verhogen.

[Reactie gewijzigd door bzuidgeest op 26 februari 2026 12:05]

[SirMemeAlot]

Je doet enorm veel aannames wat in je straatje past om te kunnen blijven zitten en niks hoeven te doen. Feit blijft dat er een hack bij Odido is gebeurd met onverantwoord hoeveelheid data en hoeveelheid data per persoon wat eenvoudig met data governance was voorkomen. Maar je mag uiteraard wachten tot andere mensen voor jouw in beweging gaan komen en je probleem gaan oplossen, dat is je goed recht, of je je daar goed bij voelt is aan jouw.

[bzuidgeest]

Ik ben in beweging, ik denk alleen dat er betere richtingen zijn om in te bewegen. Maar blijkbaar blijf jij erbij dat de enige weg jou weg is. Dat iedereen die niet doet wat jij vind stil staat.

Ik stel wat ik de oplossing vind. Jij lijkt vooral bezig om mensen te overtuigen dat wat jij zegt de enige mogelijkheid is. Niet echt een goed manier om te leren van een discussie.

[SirMemeAlot]

Je hebt tot nu toe nog geen enkele oplossing geboden wat ook maar enigszins binnen je macht ligt, of is in jouw ogen op een Tech site reageren met zogenaamde oplossingen die de overheid moet doorvoeren bewegen? Vervolgens ga je het weer helemaal omdraaien en op geen 1 inhoudelijk punt in die is aangedragen, behalve met aannames 'het gaat in de zakken van de aandeelhouders'. Op basis van aannames is inderdaad geen discussie aan te gaan, want je weet toch wel weer een rookgordijn terug te gooien. Nogmaals ik hoop voor je dat een 2e kamer lid je goede ideeen hier ziet en oppakt.

Ik kijk vooral naar wat er binnen je eigen macht ligt om te doen en daar zijn de wegen inderdaad beperkt, maar ik sta open mocht je met echte argumenten komen, ik hoor graag hoe jij in beweging bent.

[bzuidgeest]

k kijk vooral naar wat er binnen je eigen macht ligt om te doen

Je zou eens moeten proberen te evalueren of wat je kan doen ook zin heeft buiten de emotionele impuls. En kan jij dan zien waar bij een provider de geldstromen heen gaan? Komen ze bij jou verantwoording afleggen? Ik denk het niet. Als jij bereid bent meer te betalen nemen ze dat graag aan, maar bieden ze niets meer dan ze al deden.

Ik heb meer invloed op de regering dan op bedrijven. Ik denk dat ik op elk inhoudelijk punt van jou ben ingegaan. Maar wellicht herken ik een hoop niet als inhoudelijk. Maar ik denk dat je zoals ik al aangaf vast zit in je overtuiging. Je bent zo te lezen niet geinteresseerd in de opties die andere mensen zien. Je bent alleen overtuigd dat iedereen moet doen als jij doet want anders is het fout.

Ik kan net zo goed stellen "ik hoop dat de providers de comments op deze tech site lezen en je extra geld aan betere data beveiliging geven" Nogal een aanname die je nergens mee kan staven. Het enige wat je zeker kan weten dat opgevolgd word is een wet. En de gevolgen als ze dat niet doen staan ook vast. Zoals het nu is, is geen enkele provider je ook maar iets verschuldigd, kan je geen schade verhalen tenzij het al fout is gegaan met fraude bij jou en dan moet je ook nog aantonen dat het van het odido lek kwam. Dat kan je gewoon teruglezen in de verschillende online stukken op tweakers over schadevergoedingen. Ik heb duidelijk meer kans iets te doen via de overheid dan bedrijven wat mij betreft. Dus ik beweeg, maar in een voor mij effectievere richting. Jammer dat jij denkt dat er maar 1 richting is. En maar 1 ding waar je invloed op hebt.

[SirMemeAlot]

Je ziet vol met dooddoeners en aannames zoals bijv. dat ik deze reactie uit emotionele impuls heb. Kijk gewoon feitelijk naar wat binnen je eigen macht is en wat realistisch is. Ik kan wel 100 voorbeelden geven die beter zouden zijn dan mijn acties, maar waar ik zelf 0,00001 invloed op heb. De invloed van 1 weglopende klant is idd klein en zal geen aandeelhouder van wakker liggen, maar van 100.000 zeker wel. Een provider zal nu zeker niet denken laten we hier wat aan gaan doen, als we allemaal maar blijven kijken en wachten op een overheid om te reguleren.

P.S. ik discuseer met jouw, niet andere mensen erbij gaan betrekken die en dat weer in je beargumentatie gebruiken. Heel vervelend om op deze manier met iemand te discusser. Als je niet wil discusseren is dat ook prima, maar zeg dat dan.

Maar goed, ik stop hiermee, zoals al eerder aangegeven gaan we het niet eens worden.

[PtrO]

Ik vind ook dat ze geen geld aan de hackers moeten betalen. Er is geen enkele garantie dat het dan niet alsnog lekt.

Je spreekt natuurlijk geheel voor jezelf waarbij je niet voor anderen mag/kunt beslissen. Anderen, al is het er maar één (iets met recht op zelfbeschikking), zullen koste wat het kost willen voorkomen dat hun (wie weet hoe overgevoelige) data cq (bel)gegevens mogelijk aan derden geopenbaard kunnen worden.

Nog even los dat uitblijven van een schikking, het zeker mogelijk wordt dat getroffenen individueel - nog heel lang - kunnen worden benaderd. Indirect kan ook jij worden getroffen met diefstal van je identificatie en ik verzeker je dat je wat anders in dat scenario zult gaan zitten.
Nu zijn die specifiek potentiële slachtoffers indirect nog verborgen in de enorme dataset. Doet Odido niets kan het wel eens worden dat die data in brokjes wordt uitgespit om te zien wat er wel is te verhalen.
De één zal het een zorg zijn maar de ander zal zich in wantrouwen wat anders afvragen.

De criminele partij kan in zoverre, net als feitelijk een Odido, zodanig vertrouwd worden dat zij anders daarmee hun volgende target geen keus laten door overal van af te gaan zien. De criminelen lijken iig te hebben aangetoond dat ze "data" hebben. Hoeveel en hoe diep, blijft natuurlijk giswerk.
Verder opnieuw een leerschool hoe het kan zijn dat een bedrijf kan beschikken en laat staan die data laat meenemen die mensen daarmee schade kunnen toebrengen.

[bzuidgeest]

Er is elders een "poll" in de comments van een nieuwer artikel over wel of niet betalen. De opinie was gisteravond overweldigend "niet". Simpelweg omdat misdaad niet mag lonen. Het documentnummer dat ze van mij hebben is al verlopen. Mijn adres is toch "openbaar" net als mijn email. Dat zijn dingen die ik uitdeel. Mijn bank waakt al op de rekeningen, daar hebben ze over gecommuniceerd.

Het beste wat odido kan doen (en eigenlijk verplicht zou moeten zijn) is iedereen die getroffen is verzekeren tegen identiteit fraude. Dan kan je er last van hebben, maar met geen of heel beperkte schade. Met de meeste gegevens kunnen ze helemaal niets.

De kans dat de dataset in brokjes word misbruikt is zo groot dat betalen geen zin heeft. Criminelen stelen ook van elkaar. Zelfs als deze groep zijn belofte houd, een lid zou zich af kunnen splitsen en wat anders gaan doen.

[PtrO]

Er is elders een "poll" in de comments van een nieuwer artikel over wel of niet betalen. De opinie was gisteravond overweldigend "niet". Simpelweg omdat misdaad niet mag lonen.

Er lopen twee zaken door elkaar. De meerderheid kan/mag imo hierbij niet beschikken over een individueel belang. Jij (en ik) mogelijk niet/minder en een ander die misschien oneindige zorgen heeft omtrent de kans met wat er (imo vrijwel) zeker gebeurd bij niet onderhandelen.

Fundamenteel gezien dient Odido in het belang van haar klanten te dienen, los van een maatschappelijk opinie; en de kans aan te grijpen om via betaling een verder misbruik te voorkomen of gevolgschade mogelijk te beperken. De vraag is dan welk bedrag Odido daarvoor in de waagschaal wil leggen. Wanneer die kosten zeg €1 per getroffen account zijn, lijkt mij dit een prima afkoopdeal.
Een beetje als toch maar losgeld betalen om een geliefde whatever misschien toch maar terug te krijgen of kan gevolgen te beperken omdat er anders elke andere kans verloren is.
Garanties omtrent verder of herhaling van misbruik zijn helaas nooit tegen, ook niet als er (niet) betaald wordt.

Ik voer geen pleidooi maar meen dat wanneer een crimineel aan het gerief is gekomen die verder ter zake, minder belang ziet om inkomensten vanuit zijn diefstal te vergroten. De gedachte van rupsje nooit genoeg zijn vooral overtuigingen. Criminelen - hackers hier ook - die betaald krijgen, zullen hun kip niet afslachten.
Los hiervan sluit ik niet uit dat die hackers met andere verkregen data of toegang, voor een tweede ronde gaan. eenmaal weten hoe systemen intern verbonden zijn, opent dat perspectieven.

[bzuidgeest]

Ik weet niet of dat niet een pleidooi is zoveel tekst.

Maar je hebt het over het belang van de klant. Ik ben odido klant en ik vind het niet in mijn belang dat criminelen de vruchten plukken van hun werk. Dat nodigt alleen maar uit tot meer crimineel gedrag.

Criminelen - hackers hier ook - die betaald krijgen, zullen hun kip niet afslachten.

Ze kan elders de links in comments vinden van situaties waar dat gewoon gebeurde. Het gebeurd keer op keer. Dieven stelen van elkaar en groepen vallen uit elkaar. Iemand die hacken en stelen zijn werk maakt maakt zich daar niet zo druk over. Het idee dat ze hun kip niet afslachten is keer op keer ontkracht.

De meerderheid kan/mag imo hierbij niet beschikken over een individueel belang

They needs of the many. We leven in een democratie. het belang van de groep gaat altijd boven dat van het individu. Je kan niet rekening houden met elke uitzondering. Dan kom je nergens. Ik word ook niet gelukkiger van dit lek, het houd mij echt wel bezig en ik controleer de rekeningen wat vaker. Maar criminelen belonen is erger.

[Reactie gewijzigd door bzuidgeest op 26 februari 2026 16:46]

[PtrO]

Zoveel tekst is het niet met in de kern dat het belang van een meerderheid niet mag beschikken over dat van een geslachtofferd individu. Iets met grond -en mensenrechten.
En ja we leven in een democratie dat niet betekent dat andermans rechten er ineens niet meer toedoen.

Dat een kennelijk onaangeraakte meerderheid het prima vindt dat iemand wordt ..vul-naar-in.. , zal de getroffen persoon in kwestie mogelijk heel anders kunnen opvatten.

Nogmaals, er spelen twee zienswijzen: de overweging van een andersdenkende meerderheid en het getroffen belang van een onbekende minderheid. Ik zou het met je eens kunnen zijn dat je niet moet betalen mits dat ook garandeert dat het daarmee ook gevolgen zijn afgelopen.

Het benoemde "nooit" e.d. is vooral een aanname omdat in beide gevallen van wel/niet betalen nooit zekerheid ontstaat. Ik spreek over wel betalen van die luizige 5ton en alsnog blijkt dat het niet helpt, heeft Odido tenminste gehandeld in directe belang van haar individuele klanten met wie zij het contract heeft. Odido heeft geen contract met de democratie, politie of samenleving.

[bzuidgeest]

Odido kan die vijf ton ook besteden aan een verzekering tegen identiteitsfraude voor zijn klanten. Dan krijgen de criminelen niets, is de klant beschermt. Ziet u, er zijn betere oplossingen dan criminelen betalen die toch de klant veilig en gerust kunnen doen leven.

[Houtenklaas]

Ik hoop oprecht dat het meevalt.

Wat kan er nu nog kan meevallen? Ik ken geen voorbeeld van een grotere hack in NL dan deze waar ook zo'n verscheidenheid aan gegevens is buitgemaakt. Dat zaken in fases naar buiten komen vind ik geen issue, vertel echter wel transparant wat je aan het doen bent en meldt het volgende communicatiemoment. Het totale gebrek aan communicatie is wat ik tenenkrommend vind. Klanten afschepen met een F-secure abonnementje, maar je oude klanten volstrekt negeren. Te bizar voor woorden dit.

[Reactie gewijzigd door Houtenklaas op 25 februari 2026 16:57]

[JJ Le Funk]

De F-Secure actie lijkt mij een juridisch strategische zet, om in toekomstige rechtszaken tegen te kunnen werpen dat er tegemoetkoming heeft plaats gevonden en daarmee een compensatie of schade te neutraliseren. In dat opzicht lijkt het mij dan ook onverstandig om dit schamele aanbod te accepteren, want dan zal een rechter dat eventueel kunnen beschouwen als 'door klant geaccepteerde compensatie' al dan niet in een massa-claim naar voren gebracht.

Disclaimer: ik heb geen juridische kennis, opmerking uit boerenverstand.

[Reactie gewijzigd door JJ Le Funk op 25 februari 2026 17:13]

[duiveltje54]

De F-Secure actie is van een koude kermis thuis komen, elk wel denkende heeft al een internet security pakket in huis......Windows Defender of een andere pakket.

.Odido moet van betere huizen komen met een vergoeding want wat er is gebeurd valt niet goed te praten !!

Zeker dat de afgelopen jaren al meerdere data leks zijn geweest ! Dus ze waren net als elk ander bedrijf gewaarschuwd dat dit had kunnen gebeuren.

[William_H]

En wat dacht je van de ex-klanten. Die hebben niks aan dit aanbod. En die hebben ze ook niet gekregen. Niet dat ik daar op zit te wachten.

[duiveltje54]

Het is gewoon te schofterig inderdaad, heb daar ook geen goed word voor over.

[FiberSam]

Je buurman steekt in een dronken bui je huis in de fik. Je moet halsoverkop naar een hotel. De buurman beseft op dat moment dat hij iets doms heeft gedaan en geeft je € 1000 om alvast de eerste nachten door te komen. Denk je dat je daarmee je rechten hebt verspeeld om de herstelkosten van je huis van € 500.000 te eisen?

[JJ Le Funk]

Enige wat ik zeg is dat het aanbod van gratis security software naar mijn idee een dringend advies is geweest van een jurist aan team Damage Control en niet een suggestie van de afdeling Klanttevredenheid.


Stel je zegt het vertrouwen in Odido op en wilt er per direct weg. Maar je iPhone is nog niet volledig afbetaald. Als je dan het FSecure aanbod gretig hebt afgenomen zal dat mogelijk meegewogen worden in je claim om de openstaande lening kwijt te schelden.

[pebertje01]

Lees die mail van Odido nog eens goed.

Welke mail... nog steeds niets gehoord

Ik heb wel, direct nadat dit uitlekte , mijn E-mailadres en wachtwoord veranderd..

[Reactie gewijzigd door pebertje01 op 25 februari 2026 16:54]

[TheVivaldi]

Ik heb in het begin één mail gehad over gelekte gegevens, maar daarna niet meer.

[moonlander]

Ook niet geheel gek natuurlijk. Openheid van zaken doen in de eerste dagen is lastig omdat ze misschien niet weten wat er precies allemaal gebeurt is. En altijd makkelijk praten zo vanaf de zijlijn. Als ze straks maar updates mailen naar klanten.

[Morress]

Jij hebt mail.

Ben.nl heeft 1x gemaild.

[no_way_today]

Hier inmiddels nieuwe paspoorten en rbw aangevraagd. De rekening gaat naar Odido. Ik wil andere documentnummers, zij hebben die van mij niet goed beschermd.

[TheVivaldi]

Ik verwacht niet dat er juridische grond gaat zijn voor Odido om die zaken te vergoeden, maar je kunt het altijd proberen.

[Bruin Poeper]

Hier inmiddels nieuwe paspoorten en rbw aangevraagd. De rekening gaat naar Odido. Ik wil andere documentnummers, zij hebben die van mij niet goed beschermd.

Zeg er nou even bij dat die sowieso an verniewing toe waren.

[no_way_today]

Vernieuwing? 1,5 jaar oud.

[TheVivaldi]

Dit pusht me alleen maar meer om over te stappen, maar helaas heb ik nog geen goede opvolger gevonden die hetzelfde waar voor ongeveer dezelfde prijs biedt. Ik wil best een tientje meer betalen per maand, maar zelfs dát is moeilijk te vinden. Al het andere is gelijk schrikbarend duur. Spijtig.

Edit: voor de duidelijkheid: ik wil niet overstappen om verdere gegevenslekken tegen te gaan. Ik was al niet meer helemaal tevreden met Odido en de manier waarop ze met dit lek omgaan, pusht me alleen maar meer om over te stappen.

[Reactie gewijzigd door TheVivaldi op 25 februari 2026 18:26]

[mkleinman]

Dan betaal ik inderdaad maar wat meer, maar dan wel bij een provider waarbij ik het idee heb dat ze privacy en beveiliging hoger in het vaandel hebben staan dan Odido.

Volgens mij hebben we slechts nog het topje van de ijsberg gezien aan informatie wat er is gelekt, deze beerput gaat vrees ik nog veel verder open.

Ik heb echt net 5 minuten geleden mij aangemeld bij Freedom internet . Ik stap per 01/04/2026 over.

[TheVivaldi]

Freedom lijkt me ook top, maar ik kan helaas geen mobiel abonnement bij ze afnemen. Ik wil wel graag beide.

[Bruin Poeper]

Dit pusht me alleen maar meer om over te stappen, ...

Helpt je niets, te laat. Ze hebben jou gegevens al. Die kunnen nog jaren gelekt worden.
En als je overstapt... vergroot je de lekkans: er komt weer een mogelijke lekbron bij.
Je kan dus beter blijven zitten waar je zit, en verroer geen lid, want er dreigt gevaar, en je weet niet waar.

[TheVivaldi]

Ik zei niet dat het helpt om gegevenslekken tegen te gaan; het gaat mij om de manier waarop Odido ermee omgaat. Ik was toch al niet helemaal meer tevreden, maar dit is voor mij de druppel die de emmer doet overlopen.

[DeComponeur]

Er zijn legio kleine providers inmiddels in Nederland die prima diensten hebben.
Wel ben je afhankelijk waar je woont helaas, Heb je ODF ?
https://opendutchfiber.nl/nl/providers Fiber en Freedom zijn meestal behoorlijk concurrerend

[TheVivaldi]

Wat gek:

Helaas! Glasvezel van Open Dutch Fiber is (nog) niet beschikbaar op jouw adres.

Ik heb nu glasvezel 1 Gbit en mobiel internet van Odido. Welke kleine providers raad jij aan?

[DeComponeur]

Tja Fiber is iets goedkoper, soms is er een (op)start aanbieding, belangrijk vind ik dat het telefoonnummer wordt opgenomen en dat is bij beide het geval. Over de klantenservice kunnen we kort zijn, die is bij alle isp's ver onder de maat.
Net als de postcodechecks... Volgens mij zijn trouwens niet alle Odido-netwerken i.s.m. Open Dutch Fiber
Hier kaartje ODF https://opendutchfiber.nl/nl/projecten

[Hans1990]

Dit soort zaken moet je niet in fases naar buiten brengen. Dan krijg je het gevoel dat er steeds weer iets bijkomt.

Ik krijg het gevoel dat er veelal wordt gepeild wat de opinie/reacties/kritiek zijn door telkens een klein stukje uit te brengen, om daar vervolgens tactisch op in te spelen in verdere berichtgeving. Ik heb het al eerder gezegd: het wekt zo de schijn dat PR belangrijker is voor ze dan daadwerkelijk het belang van hun (ex-)klanten. Maar misschien zit ik er naast, en is alles oprecht geopenbaard op moment van schrijven.

Maar bvb met de bewaartermijnen van klantgegevens die per ongeluk geen 2 maar 10+ jaar bleek te zijn.. dat kan ik echt niet meer geloven dat dit onbewust zo is gegaan. Ik neem aan dat er financiele mensen daar bovenop de actieve klantenaantallen zitten, samen met de in/uitstroom van klanten? En niemand die dan echt heeft gecheckt hoeveel records er in de DB zitten?

[BiLLY_daKid]

Lijkt mij niet zo moeilijk om aan te geven welke data attributen er zichtbaar zijn en dus maximaal gelekt kunnen zijn?

[William_H]

Uit de gegevens blijkt dat hun ERP systeem is gehackt. Aangezien dat ook vaak door de klantenservice gebruikt wordt om zaken in op te schrijven, is het niet ondenkbaar dat er ook aantekeningen zoals nu genoemd, gelekt zijn. Gevoelige persoonlijke informatie inderdaad, die interessant is om te gebruiken om onder andere betere phising acties op te kunnen toepassen.

[CasualKnaller]

Volgens mij is Odido een Salesforce klant en daar worden dit soort dingen allemaal in genoteerd. Dit lijkt mij echt een wake-up call voor bedrijven om eens goed te kijken naar rollen binnen dit soort platformen. Het is toch wel erg bijzonder dat klantenservice medewerkers toegang hebben tot dit soort gevoelige informatie informatie.

[William_H]

Ik ben het met je eens hoor.
De klantenservice moet echter wel aantekeningen kunnen maken. En ook moeten weten als iemand als een bewindvoerder het woord namens een client voert. Je ontkomt er dus niet aan ergens daar wat van in je systemen te zetten.


Wat ik nog steeds heel opmerkelijk vind, en ik heb zelf dit soort systemen beheert en geïmplementeerd, is inderdaad dat sommige mensen blijkbaar dusdanige rechten hebben gehad, dat het systeem via een klantenservicemedewerker gehackt kon worden. Dat zou niet mogelijk moeten zijn. Dan staan inderdaad je rechten niet goed of bepaalde functies niet aan.

[schrikbeeld]

Bedrijven die gehackt zijn vertonen vrijwel allemaal hetzelfde gedrag: ontkennen, beetje toegeven, downplayen, iets meer toegeven, enz.

Totdat aan het eind blijkt dat ze enorm ondoordacht bezig zijn en vooral niet aansprakelijk zeggen te zijn.

Wordt het niet eens tijd voor duidelijke wetgeving hierover met zware sancties.

[Jan121]

Waarom schrijft Odido/Ben eigenlijk niet in de mail aan klanten of de gelekte Identificatiegegevens nog geldig zijn.

Oud-klant van Ben, maar zo lang geleden klant geworden dat - uit mijn hoofd - de geldigheid van de Identificatiegegevens moet zijn verstreken.


Maar een bevestiging zou fijn zijn, als de gelekte Identificatiegegevens niet meer geldig zijn, scheelt dat toch een slok op een borrel.

[Torac]

Omdat ze dan jouw email adres niet meer zouden hebben toch? Vziw mag je die 2 jaar bewaren. Daarna moet die verwijderd worden.

[moonlander]

Niet helemaal waar. Als jij nog openstaande facturen hebt dan mogen ze die echt nog wel lange tijd bewaren. Overigens persoonsgegevens op facturen moeten ze minimaal 7 jaar bewaren volgens de wet.

[TweakingRens]

Als jij twee jaar lang een factuur open hebt staan dan hebben ze daar al lang wat aan gedaan hoor.

[moonlander]

Ja een betalingsregeling waarschijnlijk, die kunnen echt nog jaren duren.

[IplugNplay]

ik heb laatst even teruggeboekt want wat Ben doet dat klopt van geen kant.
Maar echt vorderen doen ze niet aan, ze registreren je bij een of ander bureautje als wanbetaler.

Communicatie is gewoon dramatisch, ze willen gewoon niet met klanten praten.
Na mijn contract gelijk overstappen, Odido was wel prima maar aangezien het hetzelfde bedrijf is ga ik daar weg uit principe.

[Reactie gewijzigd door IplugNplay op 25 februari 2026 18:31]

[Jan121]

Nou, heb zo'n mail gekregen, dus dat e-mailadres hebben ze wel.

Wat ik eigenlijk bedoel, ze checken je ID als je klant wordt, maar itt een bank vragen ze niet om een nieuw ID als die verlopen is. Dus als je lang klant (> 10 jaar) bent hebben ze alleen verlopen ID gegevens

Of zie ik dat verkeerd.

Eigenlijk hoeven ze dus wettelijk die ID gegevens helemaal niet te bewaren, ze moeten ze 1 keer checken, en daarna weggooien.

[Rovaran]

Ik heb om deze reden gebeld. Ik heb het ID nummer dat zij hadden vergeleken met wat ik momenteel gebruik, en dit komt inderdaad niet overeen. Wat irritant in mijn geval, en wat ik niet gemakkelijk terug kan vinden, is dat ik om andere reden elke 5j mijn ID moet wijzigen. Het nummer wat zij hebben heeft technisch een vervaldatum in 2028, maar is al een tijdje terug ingeleverd en als het goed is vernietigd/gedeactiveerd door de gemeente. Of dit deactiveren werkelijk gedaan wordt bij inleveren kan ik alleen niet vinden, maar ga hier dus vanuit.

[vrow]

Hoe ging dat gesprek?

-Hallo, met Odido!

-Ja, u spreekt met Henk de Vries. Mijn ID-kaart nummers is 12345 en mijn geboortedatum is 1-1-1970 hebben jullie dat ook staan?

-Nee, meneer, wij hebben nummer 67890 en volgens mij is uw geboortedatum 3-2-1974.
U bent toch die ene Jan de Vries met IBAN NL32BANK001283739?

-Ja, dat ben ik inderdaad, dankuwel, daaaaaaaaaag!

[croc]

Zomaar de gegevens van Jan aan Henk doorgeven. Wéér een lek!

[mjl]

Ze mogen ook weer niet te veel informatie per e-mail aan je versturen. Je kan wel een data verzoek doen. Dan krijg je als het goed is alle informatie via een beveiligde omgeving.

[Hans1990]

En niet onbelangrijk: welke (geldige) documenten ze van mij nog wel hebben.

Ik zou echt niet meer weten of ik met een ID kaart of rijbewijs mij heb geidentificeerd. Beide documenten hebben hun eigen verloop datum. Maar het is dan beetje verspillend dat ik de deze (beide) vroegtijdig ga vernieuwen terwijl ze nog jaren geldig zijn.

Dit is informatie waar klanten wel belang bij kunnen hebben.

[Reactie gewijzigd door Hans1990 op 25 februari 2026 17:55]

[Strigoi]

Het lijkt dus erop dat er meer gegevens uit het CRM zijn gehaald dan eerder genoemde gegevens. In dit geval ook de contact logs.Echter, de NOS doet nu wel aan sensatie journalistiek door de "sappige" logs te benoemen. In 99% van de gevallen zijn de logs meer van "Klant wil verlengen" "Klant heeft vraag over rekening" of "Klant wil weten wat een databundel in Peru kost". Weinig interessant dus.

Die logs zijn voor jou als klant ook gewoon op te vragen in het kader van de AVG (Algemene Verordening Gegevensbescherming).Uiteraard alleen de logs die naar jou te herleiden zijn, niet de logs over je vriendin ofzo.

[Reactie gewijzigd door Strigoi op 25 februari 2026 18:20]

[eettjjuuhh]

Het gaat dus ook net over die ene procent (ga ik even uit dat dit % klopt) Dat zijn toch 60000 klanten. Kwalijke zaak imo

[Strigoi]

Euuh nee. Ik denk eerder 99,999% van de logs, en als je geen contact hebt met Odido dan dan heb je ook geen logs in het CRM, zo makkelijke is die berekening niet te maken, Van die 6.2 miljoen klanten kunnen misschien maar 3 miljoen mensen ooit eens contact gehad hebben. Ik heb zelf als klant met meerdere abonnementen voor mijn gezin in ieder geval nooit contact gehad met Odido na activatie.

Ze sturen heel erg op zelfredzaamheid via het My Odido portal omdat dat een stuk goedkoper is dan een blik agents aan de lijn te zetten, dus ik zal niet de enige zijn die nooit met de CS gebeld heeft. Aantal logs is dus niet gelijk aan het aantal klanten met logs, want er zullen ook klanten zijn die er relatief veel hebben. Geloof mij, de voorbeelden van de NOS zijn echt extreem zeldzaam.

[eettjjuuhh]

Ik heb ook geen contact gehad met ks. Maar volgens mij mis je het punt imo. Als het zo is dat er gevoelige notities zijn gemaakt dan is dat echt kwalijk. Al is er maar 1. Odido moet eens open kaart spelen. What’s next…

[Tweakriez]

Dit is wel echt een van de grootste flaters van de afgelopen jaren. Lekker al mijn gegevens en mijn gezinsleden op straat. Dit moet toch niet zomaar "afgekocht" kunnen worden met een discutabele "virusscanner" voor de duur van 2 jaar?

[Job1234]

ik hoop op een enorm zware straf voor odido en gedwongen compensatie van klanten. Al je gegevens op straat omdat één bedrijf hun security niet op orde heeft is niet acceptabel.

[nutty]

Dat is al jaren mijn reactie. En wat ik dan als reatie krijg hier, is; "Joh dit is niet te voorkomen, dus straffen heeft geen zin".

[BezurK]

Na ruim 25 jaar daar klant te zijn geweest (al sinds de Dutchtone tijd) kreeg ik vorige week de vraag of ik wederom wilde verlengen. Ik heb voor het eerst gekozen om over te stappen. Niet doordat de gegevens gestolen zijn, maar vanwege de manier waarop Odido hier mee om gaat.

[nicow101]

Odido moet onmiddellijk het gevraagde losgeld betalen, uit de zakken van de directie, zodat de klanten er geen cent aan bijdragen.

[Tweakriez]

Eens! En daarna opstappen!

[Pasteis]

Ik vertrouw dit bedrijf met de seconde minder... bah! Ik baal hier toch wel van. Dit kan potentieel zoveel narigheid veroorzaken voor de klanten die getroffen zijn.

Er gaat volgens mij iets niet goed bij dit bedrijf? Ik mag hopen voor hun dat dit geen nalatigheid, maar zoals ik in een eerdere reactie al stelde heb ik heel veel vragen gekregen over de manier hoe dit bedrijf te werk gaat.

[Reactie gewijzigd door Pasteis op 25 februari 2026 16:08]

[Orangelights23]

Het ding is dat elke hack en datalek er één te veel is. Echter leiden dergelijke situaties vaak tot victim blaming. Ik sta vanuit mijn werk veel bedrijven bij die slachtoffer geworden zijn van hacks en geloof me, 100% veiligheid bestaat niet. Van een bedrijf als Odido mag je veel verwachten, maar je beveiliging is zo sterk als het zwakste punt - ook in een strategie dat bestaat uit meerdere verdedigingslagen.

Zonder concrete informatie over het aanvalspad, netwerksegmentatie, dataretentie, MFA, enzovoorts, kunnen wij alleen maar gissen. Ik weet dat er inmiddels wat informatie bekend is, maar dat is sterk onvoldoende om een goed beeld te krijgen van hun volwassenheidsniveau.

[Pasteis]

Het ding is dat elke hack en datalek er één te veel is. Echter leiden dergelijke situaties vaak tot victim blaming. Ik sta vanuit mijn werk veel bedrijven bij die slachtoffer geworden zijn van hacks en geloof me, 100% veiligheid bestaat niet. Van een bedrijf als Odido mag je veel verwachten, maar je beveiliging is zo sterk als het zwakste punt - ook in een strategie dat bestaat uit meerdere verdedigingslagen.

Zonder concrete informatie over het aanvalspad, netwerksegmentatie, dataretentie, MFA, enzovoorts, kunnen wij alleen maar gissen. Ik weet dat er inmiddels wat informatie bekend is, maar dat is sterk onvoldoende om een goed beeld te krijgen van hun volwassenheidsniveau.

Ik ben het met je eens dat het nooit volledig te voorkomen valt, maar daarom is je governance zo belangrijk. Er zijn in mijn ogen best wel maatregelen te treffen om informatie van klanten zo min mogelijk toegankelijk te maken. Dat wordt alleen niet gedaan omdat het of geld kost of mogelijk gebruiksgemak in de weg zit of om andere reden.

Ook al worden ze dan gehackt.. dan kan je de schade wellicht toch minimaliseren tot bijv. namen & contactgegevens, maar nu is het Naam + adres + identificatiegegevens + contactgegevens. Dat vind ik veel kwalijker. En misschien dus nog meer informatie.

[DdeM]

Dat wordt alleen niet gedaan omdat het of geld kost of mogelijk gebruiksgemak in de weg zit of om andere reden.

Alleen weten we dus helemaal niet of dat in dit geval aan de orde is. Zo vreemd is het namelijk niet dat mensen van de klantenservice toegang hebben tot basis klantgegevens en aangezien die gegevens gelekt zijn (inclusief wat nu dus naar buiten komt, aantekeningen over klanten l, en je kan je eigenlijk niet vertellen dat Odido dat niet wist...). Het grootste punt is dan eigenlijk dat id gegevens ook gelekt zijn, waarom stonden die in dat systeem en niet gewoon een gegenereerd database id waarmee deze gegevens opgevraagd kunnen worden in een apart beveiligd systeem.

[spokje]

Neemt niet weg dat het raar is als je al 10 jaar geen abbo meer afneemt alsnog je gegevens gelekt zijn. Ze hadden de boel gewoon niet op orde daar. Dus waarom zou ik dan wel verwachten dat ze hun beveiliging op orde hadden. Het stinkt aan alle kanten daar bij Odido.

[Orangelights23]

Mijn data als oud klant (+3 jaar) zit er ook tussen, ik vind het ook belachelijk voor woorden. Een enterprise als Odido heeft voldoende capaciteiten om dit soort data automatisch te kunnen taggen. Maar, theorie is altijd anders dan de praktijk, en ik ken geen enkel bedrijf wat zich houdt aan de dataretentie beleid, puur omdat er enorme hoeveelheden data, datastromen en dataverwerkingen zijn.

Daarmee zeggende dat Odido dit punt niet op orde had, maar het eerste bedrijf wat zich wel aan dit beleid houdt moet ik nog tegenkomen.

[metalmania_666]

Ik weet dat bij het bedrijf waar ik werkte (<25 man, maar veel persoonsgegevens van klanten), en als FG te werk ging, ik meerdere lijsten heb moeten weghalen. Ook was er idd geen databeleid opgesteld.

We hebben toen enorm veel data gewist, maar ik weet zeker dat er toch nog wel lijsten rondzwierven die er niet hoorden te zijn volgens de AVG. Later zijn we op bijvoorbeeld een server die werd ingericht als testserver maar eerst een oude productieserver was, nog een database tegengekomen die allang gewist had moeten zijn. (gelukkig hing die al geruime tijd niet meer aan het netwerk).

Mijn punt is, dat het bijna ondoenlijk is om alles 100% goed in te richten. Maar het moet wel het streven zijn. En zeker bij de wat grotere bedrijven moet dat kunnen.

[FicoF]

Juist bij kleine bedrijven hangen er allemaal persoonsgegevens in excel-bestanden ergens op de server. Ook bij de grotere bedrijven gebeurd dat gewoon. Een salesmedewerker die even een download uit Navision / Salesforce doet voor een bellijst. Die beland in een map waar 4 vertegenwoordigers toegang toe hebben op een locatie waar niemand ooit nog komt. Zo zijn er echt heel veel lijstjes op servers. Van kerstkaarten tot uitnodigingen voor golftoernooien.

[aap]

Maar als je data langer bewaart dan wettelijk toegestaan of meer data bewaart dan noodzakelijk voor de utivoering van de bedrijfsfuncties, dan is dat gewoon verwijtbaar gedrag.

Ik heb daarom vooralsnog weinig sympathie voor Odido als slachtoffer van deze situatie.

[TinusH777]

Sterker nog: ze overtreden de privacy wetgeving omdat ze niet aan hun privacy statement houden.

Dit staat in hun privacy statement:

Na het einde van je contract bewaren we je gegevens nog maximaal 2 jaar voor het geval je op een later moment weer klant bij ons wilt worden.
Als we om een kopie van je identiteitsbewijs hebben gevraagd toen je klant werd verwijderen we die zodra je geen klant meer van ons bent. Tenzij je je rekeningen niet hebt betaald, dan hebben we de kopie mogelijk nog nodig bij geschillen.

[xxs]

Dat zou een goede reden kunnen zijn om je contract op te zeggen, ze houden zich eenzijdig niet aan het contract.
Ik zou daar wel eens een jurist @Arnoud Engelfriet over willen horen.

[Arnoud Engelfriet]

Ben ik het mee eens. Probleem is natuurlijk dat ze gewoon niet luisteren naar je argumenten en een incassobureau op je afsturen, met melding bij BKR als er een toestel van 250 euro bij zat. Dus dat kan fors gedoe geven. Als je aan het huizenzoeken bent, kan dit je hypotheekaanvraag in gevaar brengen. Tuurlijk, bij de rechter krijg je vast gelijk maar dan ben je zes maanden verder.

[xxs]

Dank voor de reactie.

Afhankelijk waartoe je bereid bent lijken er dus mogelijkheden om je contract te beeindigen te zijn.

[ComputerGekkie]

Fijn om eens iemand te zien die niet gelijk aan het victim blamen gaat en gewoon met de praktische bril op kijkt. Tegenwoordig zitten we hier als tweakers op het witte paard wat betreft van alles en nog wat, en kunnen we geen normaal gesprek meer voeren zonder dat het er gelijk over gaat dat alles en iedereen 'nalatig' is geweest en dat 'koppen moeten rollen'.

[Houtenklaas]

Ik herken zeker wat je zegt, maar daarom werk je ook met drempels. Je moet niet één hobbel nemen om binnen te komen, maar meerdere. En in alle simpelheid had het technisch onmogelijk moeten zijn om 6,2Miljoen klanten met hun gegevens te downloaden. Een menselijke schakel is veelal de zwakste, daar hou je dan ook rekenging mee in risico analyses en neem je technische maatregelen voor als die mens faalt. Het is een optelsom van maatregelen. Dat, met het feit dat er gegevens tussen zitten van (veel) mensen mensen die al 10 jaar geen klant meer zijn geeft mij wel degelijk een goed beeld van hun volwassenheidsniveau.

Stel even dat ze maar 200 klanten hadden kunnen downloaden is dat nog steeds buitengewoon vervelend voor elke persoon die het betreft, maar is toch een andere orde van grootte dan deze 6,2 miljoen. Ik zeg alles overziend - ook voor de gebrekkige communicatie - dat een voldoende er simpelweg niet in zit.

[Stukfruit]

Het ding is dat elke hack en datalek er één te veel is. Echter leiden dergelijke situaties vaak tot victim blaming.

Victim blaming is geen term die bedacht is om grote partijen met relatief veel middelen te duiden.

Bovendien zit Odido hier sowieso fout. Ik doe even een kleine greep uit de gegevens die ze zouden hebben opgeslagen over klanten:

De aantekeningen waren bedoeld voor de communicatie tussen medewerkers van de Odido-klantenservice. "Klant wil niet gebeld worden voor contractverlenging", is bijvoorbeeld te lezen en: "gaat door een moeilijke periode".

Bij een ander account staat: "Klant lijkt onder invloed te zijn tijdens het bellen. Is door winkel (...) uit de zaak verwijderd en heeft gedreigd daar de boel kort en klein te slaan."

Tel dat op bij alle andere zaken die inmiddels naar buiten zijn gekomen, zoals het opslaan van gegevens die al lang verwijderd hadden moeten zijn, en je kan moeilijk stellen dat ze hier het slachtoffer zijn.

[Highlands]

Ik ben het eens dat 100% veiligheid niet bestaat en dat victim blaming niet helpt. Elke organisatie kan te maken krijgen met phishing of social engineering. Maar de volwassenheidsvraag begint juist daar waar de initiële aanval eindigt.

In moderne security-architectuur moet je ervan uitgaan dat identities vroeg of laat worden gecompromitteerd. Dat is geen uitzonderlijke gebeurtenis meer, maar een ontwerpuitgangspunt. De relevante vraag is daarom niet of een account is gestolen, maar wat die account vervolgens kon doen. Als de compromise van één identity leidt tot toegang tot een zeer grote hoeveelheid gevoelige klantdata, dan zegt dat iets fundamenteels over de toegangsarchitectuur en de begrenzing van blast radius.

Zonder volledig forensisch inzicht kunnen we geen definitieve conclusies trekken over alle details. Wat wel zichtbaar is, is de schaal van de impact. Die schaal ontstaat niet door phishing alleen, maar door effectieve permissies, data-concentratie en onvoldoende begrensde toegang.

Een volwassen architectuur, ondersteund door geïntegreerde tooling voor entitlement-analyse, attack path modelling, data-classificatie en identity-gedragsdetectie, maakt die exposure vooraf expliciet. Dan wordt inzichtelijk welke identities daadwerkelijk toegang hebben tot welke gevoelige datasets, hoe aanvalspaden lopen bij compromise van een specifieke account en waar disproportionele toegang bestaat. Dat biedt de mogelijkheid om rechten terug te brengen, data te segmenteren en bulk-toegang structureel te beperken.

Dat garandeert geen absolute veiligheid. Maar het verkleint de kans aanzienlijk dat één gecompromitteerde identity kan uitgroeien tot een incident van deze omvang. Daarmee raakt dit aan maturiteit en uiteindelijk ook aan bestuurlijke verantwoordelijkheid. De initiële aanval is vaak onvermijdelijk; de schaal van de impact is een ontwerp- en governancekeuze.

[Nevalus]

Ik denk dat de vraag ook is of dit bij andere bedrijven heel anders zal zijn als dit gebeurd. Zijn er in het verleden (grote) databreaches geweest waarbij men wel content was met de afhandeling?

Onderzoek zal uitwijzen in hoeverre Odido zelf ook slachtoffer is of nalatig, of ergens ertussenin.

[Pasteis]

Ik denk dat de vraag ook is of dit bij andere bedrijven heel anders zal zijn als dit gebeurd. Zijn er in het verleden (grote) databreaches geweest waarbij men wel content was met de afhandeling?

Nee, dat zal vast ook niet, maar daarom is het van belang om goede IT risicomanagement te hebben. "Wat, als"-vragen stellen en daar op anticiperen. Maar er wordt ontzettend laks omgegaan met onze persoonsgegevens.

[aap]

Nu doe je alsof het botte pech is dat ze bij Odido binnengekomen zijn. Maar reken maar dat die hackers systematisch alle bedrijven afgaan. Voor iedere Odido waar ze binnenkomen zijn er misschien honderden bedrijven waarbij het niet gelukt is binnen te komen.

Ik verwacht daarom dat er gevonden zal worden dat er bij Odido een kwetsbaarheid zat, die er bij veel andere bedrijven niet zit.

En ja, als het eenmaal gebeurd is, zullen klanten nooit tevreden zijn met de afhandeling, want wat zo'n getroffen bedrijf ook doet, ze kunnen het nooit ongedaan maken.

[Alex3]

Nalatig op meerdere punten. Gegevens veel te lang bewaard, en blijkbaar kan iedere loopjongen daar bij alle data gezien de manier waarop ze zijn binnengekomen.

[hotabibber]

100% mee eens. Ik vertrouw het bedrijf ook voor geen meter meer en staat bij mij ook op de lijst om nooit meer klant te worden aldaar. Wat is dit toch slecht wat is de informatie voorziening van Odido naar klanten toe slecht.

Dit soort bedrijven mogen voor mij gesloten worden. Helaas kan dit alleen niet.

[bzuidgeest]

Dit bedrijf meld wat ze zeker weten. de meeste bedrijven melden gewoon het hele lek niet. Zeker niet in mkb of ZZP. Vraag je bakker maar wat zijn beleid is. (klantenkaart of zo). ze hebben geen idee.

Kijk eens hoeveel lekken iedere dag gerapporteerd worden. Met jou houding kan je geen enkel bedrijf meer vertrouwen en heb je geen diensten meer. Je mag van dit gebeuren zeker wat vinden. Maar dit bedrijf ineens wantrouwen is zinloos. Ze zijn niet anders dan andere en misschien wel beter. Ze verbergen het lek niet. De data hoeft niet door een journalist gevonden te worden.

[SgtElPotato]

Heel vervelend. Maar door de jaren heen zijn er zoveel grote datalekken geweest van nog vele malen grotere bedrijven. En wat doen we? We blijven het gewoon gebruiken. De kans dat het gras groener is bij de buren is klein, nihil. En als die partij vervolgens ook zeer groot wordt krijg je daar weer meer kans op aanvallen...

Niet om het goed te praten. Maar onder de streep is er vaak weinig aan de hand.

[moonlander]

Er gaat volgens mij iets niet goed bij dit bedrijf?

Nou nou, volgens mij gaat er ontzettend veel goed bij dit bedrijf. 100% veiligheid bestaat er niet, zelfs niet bij je bank of overheid..

[asset185]

Als je leest wat er nu naar buiten is gekomen dan vertrouw je het bedrijf helemaal niet meer.

De NOS heeft reccords van de hackers ontvangen waarin medewerkers zeer persoonlijke en gevoelige info hebben gelogd.

https://nos.nl/artikel/2603981-ook-gevoelige-informatie-over-kwetsbare-klanten-in-handen-van-odido-criminelen

Hiermee kunnen criminelen heel makkelijk kwetsbare mensen ronselen voor zaken als bijvoorbeeld geldezels

[bzuidgeest]

Ik ben zo een klant en ik zie geen enkele reden om ze te wantrouwen.
Heb je enig idee van de stroom van datalekken die gemeld worden? De meesten halen het nieuws niet. Elke dag continue. De meesten zijn niet eens zo groot. Als iedereen elk lek netjes melde volgens de regels zou je niet weten wat er gebeurde. Wat dat betreft denk ik dat bedrijven als odido eerder beter melden dan slechter. MKB en ZZP weten waarschijnlijk niet eens hoe ze dat moeten doen en wat de regels zijn. Laat staan dat ze er iemand voor hebben.

Wat wil je doen? Naar een andere provider? Alsof die nooit lekken hebben gehad.

Je hoeft er niet blij mee te zijn en wat consequenties vind ik wel terecht. Maar waarom zou ik ze meer wantrouwen? Of meer dan de rest? Ik zie nauwelijks verschil. Tot nu toe vind ik de klantenservice van odido beter dan die van kpn.... (buiten dit incident)

[Blyzka]

Odido is lekker duidelijk in de communicatie, 'aanvullende gegevens'.

Denk dat ze heel snel duidelijk moeten zijn naar de klanten, anders kan er wel eens een wave aan stopzettingen voorbij komen, als die Tsunami er al niet is ;')

[scsirob]

Als je het een beetje omdenkt is Odido nu je beste optie om naartoe te gaan. Ze zijn hard geraakt en zullen vanaf nu wel hun zaakjes op orde willen hebben. Dat moet je van <vul-maar-in> nog maar afwachten, die denken ook vast dat ze het helemaal prima geregeld hebben, totdat ook hun gegevens op straat liggen.

Het is tegenwoordig niet een kwestie van óf je gehacked wordt, maar wanneer. En zelfs hoe vaak.

[hottestbrain]

Ik zit liever bij een partij die privacy en security vanaf dag 1 gewoon hoog in het vaandel heeft. Die expertise kun je namelijk niet kopen, het moet bovendien ook in het DNA van je bedrijf zitten.

[scsirob]

Helemaal eens, maar dat weet je vantevoren niet. Bij geen enkele serieuze partij wordt het security team 's ochtends wakker met het plan om de boel eens helemaal open te zetten voor hackers. En toch komen hacks overal voor. Zo niet bij de eigen IT infra, dan wel bij een derde partij. Bij Odido weet ik zeker dat ze nu ruw wakkergeschud zijn. Reken maar dat alles nu tegen het licht gehouden wordt. Wat ik ermee wil zeggen is dat je dat bij de partij waarnaar je overstapt maar moet afwachten.

Voor de duidelijkheid, ik ben geen Odido aanhanger, heb zelf die email ook ontvangen en zit noodgedwongen alweer een jaar of twee bij Ziggo omdat er hier niks anders is. En Ziggo ligt er op dit moment bij mij al de halve dag uit..

[InfzZ]

Zoals anthropic? Het "DNA" van het bedrijf houdt stand zolang het maar geld oplevert.

[Upr0ar]

Als je het een beetje omdenkt is Odido nu je beste optie om naartoe te gaan. Ze zijn hard geraakt en zullen vanaf nu wel hun zaakjes op orde willen hebben.

Tot nu toe vind ik Odido zich allerminst klantgericht gedragen - ze zijn tot nu toe vooral zichzelf aan het vrijwaren van enige verantwoordelijkheid en/of aansprakelijkheid.

Dus met dat in m'n achterhoofd vrees ik dat je misschien iets te goed van vertrouwen in ze bent....

[thetakman]

Totdat er een externe marketing consultant met een uurtarief van 150,- in de data gaat spitten en erachter komt dat Odido door hun laatste grote hack bijna 9% meer klanten heeft gekregen en het idee krijgt dit nu vaker te doen.

[aap]

Ik denk dat 99% van de mensen niet zal omdenken zoals @scsirob voorstelt.

Dit gaat Odido een hoop klanten kosten en het idee dat ze zich om strategische reden hebben of zouden moeten laten hacken, is absurd.

[Alex3]

De boete die ze krijgen wordt gewoon in de tarieven doorberekend en moet je met minder klanten delen als ze weglopen. Die betalen ze niet uit eigen zak.

[alt-92]

Als je het een beetje omdenkt is Odido nu je beste optie om naartoe te gaan.

Aandelen ofzo? Oh nee, die beursgang was al afgeblazen.
Jammer, ergens... aandeelhouders houden doorgaans niet van dit soort grappen en zetten nog wel eens druk op de bedrijfsleiding om hun 'shareholder value' te beschermen.
Dát was beter geweest.

Sorry, Odido is toast.

[Pathogen]

Communicatie? Welke communicatie... Ik heb als jaaaarenlang Ben, T-Mobile en nu Odido klant nog geen letter toegestuurd gekregen sinds het begin van deze affaire. Toch wel apart.

[Cilph]

10 jaar klant bij TMobile/Odido. Ook geen enkele email of correspondentie. Lijkt me stug dat ik niet gelekt ben...

[thetakman]

Het kan wel.. ik zelf ben gelekt, mijn vrouw niet.
Beiden klant bij Odido (op dezelfde dag nog en 1 gezin dus zelfde adres gegevens en korting etc)

Het zegt dus vrij weinig.

[locke960]

Het kan wel.. ik zelf ben gelekt, mijn vrouw niet.

Bedoel je "ik heb een mail gehad, mijn vrouw niet" en je trekt zelf de conclusie dat de gegevens van je vrouw dus niet gelekt zijn?

Dat kan, maar lijkt me voorbarig. Je kunt eigenlijk alleen (enige mate) zeker zijn als Odido meld dat je gegevens niet gelekt zijn. Er kan in het onderzoek en informatie traject ook genoeg fout gaan.

[Cilph]

Intussen bevestigd via haveibeenpwned enz dat ik wel degelijk gelekt ben.

[Leo. P. Klepper]

Dan zijn jouw gegevens mogelijk niet gehackt.

[jc1982]

Bedoel je: Mogelijk niet gehackt?

Als ze nu aangeven dat er aanvullende gegevens gegevens zijn getroffen, zou dat m.i. ook kunnen betekenen dat er meer klanten zijn getroffen. In andere berichten lees ik dat het gaat om gegevens van 8 miljoen klanten gaat (n.a.v. berichtgeving hackers), terwijl het in dit bericht gaat om 6,2 miljoen klanten.

Hoe dan ook, heel vervelend voor Odido en nog vervelender voor de klanten die zijn getroffen.

[wildhagen]

Het zou kunnen dat jouw gegevens dan niet gelekt zijn. Eerder werd door Odido gemeld dat alléén mensen die betrokken zijn bij het lek een mail zouden ontvangen. De rest niet.

Ik heb er zelf helaas ook één ontvangen.

Wel vind ik de communicatie érg summier, en de manier waarop Odido hiermee omgaat is érg ondermaats.

Dit had imho véél beter en opener gemoeten en gekund. Geef op zijn minst minimaal 1 mail-update per dag. En meldt wat je als bedrijf doet om ervoor te zorgen dat de daders deze gegevens niet gaan misbruiken.

[adje123]

We gebruiken tegenwoordig ook email.

Die heb ik ontvangen

[Pathogen]

Die worden ook toegestuurd, wat is je punt?

[thetakman]

Ik denk eerlijk gezegd dat HEEL VEEL klanten gewoon aan een contract zitten voor X aantal tijd.

Deze kunnen niet zomaar opzeggen.
Zit niet raar te kijken als 60-70% van de klanten aan een contract vast zitten.

En van die resterende zal altijd de helft wel laten doorlopen.

[spokje]

Exact. Tot augustus en dan ben ik voorgoed weg bij die partij. Wat een gepruts.

[TheRicolaa10]

Ik zit ook nog tot oktober vast aan ze, daarna stap ik over.

[Tusk]

Als ze je gegevens nog 10 jaar bewaren heeft opzeggen ook niet zoveel zin

[xxs]

Als je iets over het lek bij Odido wilt weten moet je NIET bij Odido zijn.
Ze zijn door de NOS geinformeerd dat er veel meer data gejat is.

[Pas_PC]

Mag je op basis van het gebeuren bij Odido jouw contract vroegtijdig beëindigen?

[Jensw19]

Welke opzegtsunami?

Ik moet even rustig 14 mnd (looptijd) x 33,61 + 33,61 (administratie) betalen als ik nu opzeg. Ik kan niet onder het contract uitkomen.

[Reactie gewijzigd door Jensw19 op 25 februari 2026 16:16]

[xxs]

Zou een wettelijk recht moeten worden dat bij het lekken/wegsluizen/verkopen van persoonsgegevens je een contract kunt beëindigen.

[Jaldea]

En voor all die mensen die riepen dat het puur toeval is dat ik nu plots veel meer gebeld wordt met oudere gegevens, rekeningnummer en adres (toen ik mn abonnement afsloot bij Odido voor mn telefoon, aka rekeningnummer die voor niet meer dan alleen nog dit abonnement gebruikt wordt)
Komen dus toch van deze lek met "aanvullende" gegevens en is dus geen toeval dat plots veel meer activiteit is op spam en belletjes door onbekende bedrijven. Deze gegevens liggen al op straat zoals veel mensen al een week roepen, maar iedereen nog nee schudde want dat was gezegd van niet.

[Jermak]

waarschijnlijk ook nog het geslacht van de abbonnee

[EelcoG]

Gelukkig heeft niemand iets te verbergen, dus er is helemaal niks aan de hand.

(En ja, dat is sarcasme, ik zet het er maar even bij. Maar DIT is dus wat er gebeurt als je iedereen maar verplicht om informatie op te slaan.)

[ZesBarkiePK]

Goedkoop is weer eens duurkoop.

[moonlander]

En welk bedrijf vertrouw je wel voor de volle 100%? Dat kun je nooit namelijk.