Gestolen gegevens van alle 6,5 miljoen Odido-klanten staan nu online

De cybercriminele groep achter de datadiefstal bij Odido publiceerde zondagochtend vroeg alle klantinformatie die ze in handen hebben. Naast geboortedata, telefoonnummers en mailadressen omvat dit voor sommige Odido-klanten ook ID-bewijzen en gevoelige privéinformatie.

De hackersgroep publiceert niet langer elke dag een deel van de set met gestolen klantinformatie. Het is niet bekend waarom ShinyHunters afstapt van deze afpersingsstrategie. Alle resterende gegevens staan nu online. Het betreft de gegevens van ruim 6,5 miljoen personen en 600.000 bedrijven, meldt de NOS op basis van een analyse van de dataset.

De nu geopenbaarde informatie bevat ook 'iets meer dan 5 miljoen unieke ID-bewijzen' zoals rijbewijzen en paspoorten, maar ook verblijfspapieren van diplomaten. Verder zijn geboortedata van Odido-klanten nu gepubliceerd, plus hun telefoonnummers en e-mailadressen. Naast die informatie is er van 71.000 mensen het e-mailadres van een bewindvoerder of andere hulpverlener aanwezig in de gestolen Odido-dataset.

'Niet onze schuld'

ShinyHunters beschuldigt de telecomprovider van slechte databewaarpraktijken en stelt dat Odido niet tot een losgeldovereenkomst wilde komen. In de verklaring bij de hele dataverzameling van Odido-klanten stellen de aanvallers dat het niet hun schuld is dat Nederlandse klanten nu angst en terreur ervaren. De boodschap van de afpersers is dat hun slachtoffers altijd moeten reageren op hun eisen, moeten onderhandelen en dan betalen.

Odido-winkel met klanten (bron: Pixelbizz/Getty Images)

Reacties (626)

[Darses]

Als reminder voor iedereen die op zoek gaat: er staat tot 1 jaar celstraf op het bezitten van niet-openbare informatie waarvan je weet dat het uit een misdrijf afkomstig is. Er is een uitzondering voor 'algemeen belang', zoals bijvoorbeeld journalistiek. Ga alsjeblieft niet zelf dit soort data sets downloaden, maar gebruik bijvoorbeeld Check je hack als je wil controleren of je ergens in een datalek staat. De data van Odido staat nog niet in Check je hack, maar volgens mij is het plan wel om deze toe te voegen.

[fvdberg]

Juridisch gezien is dit dreigement hol. de wet kent namelijk de rechtvaardigingsgrond (Art. 40 Sr). wanneer de officiële weg (met een wachttijd van 12 weken (4 weken reactietijd odido op verzoek verstrekken data, 2 weken na ingebrekestelling, dagvaarden kortgeding 2 weken, uitspraak 4 weken) en duizenden euro’s aan kosten) faalt om een dreigend onheil zoals identiteitsfraude af te wenden handelt de burger uit een vorm van digitaal noodweer.

In een noodtoestand waarbij je gegevens publiek bezit is geworden door andermans falen is zelfverdediging geen misdaad, maar een noodzaak. wie de letter van de wet gebruikt om slachtoffers te intimideren negeert de geest van het recht: bescherming van de onschuldige.

[DNA_Saint]

Hoe kan dit een noodtoestand zijn?

1. Je weet dat het is gelekt
2. Je weet wat er is gelekt. Ook al geldt dat voor sommigen wellicht minder data is gelekt.
3. De data dat is gelekt is gevoelig, maar ook weer niet dat alles over jouw als persoon op straat ligt.

Als mijn digitale pasje + pincode ofzo waren gelekt, zou ik het wel een noodtoestand noemen. Maar dan alsnog, waarom zou ik de data willen weten als het al bekend is.

Oftwel, je bent gewoon nieuwsgierig naar de data net zoals velen van ons. Maar dat betekent niet dat je het hoeft te downloaden.

[Cogency]

Ik weet niet wat er gelekt is hoor. Zakelijk met meerdere vennoten en al sinds begin jaren T-mobile klant ben ik wel benieuwd van wie ze de BSN (nog) hebben. En welke rekeningen ze nog in het bestand hebben staan, welke adressen, van wie info mails en weet ik wat nog meer.

Prive zit ik zelf al meer dan 20 jaar niet meer bij tmobile/odido, en mijn email adres komt ook gewoon naar voren in die datagelekt checker. Van hoeveel oude klanten hebben ze nog info, en wat voor?

[HoppyF]

Precies.
Op welke informatie moet je nu afgaan?
De bron is nu vreemd genoeg alleen de data van de hackers zelf.
Van Odido moet je het niet hebben.

[Basxt]

Dit dus. Wát een incapabele toestand is dit.

Geen enkele partij die mij EXACT op een legitieme manier kan vertellen wat er precies gelekt is. Dan niet raar opkijken als men de bestanden zelf gaat downloaden.

[Henk80]

Ook mijn gegevens liggen op straat en ben zeker tien jaar geen klant meer bij Odido/T-mobile. Dat mijn gegevens nog opgeslagen waren vind ik werkelijk bizar. Waarom? En inderdaad wat voor info hadden ze nog!

[fvdberg]

prima ga jij maar proberen of je de data via de officiele weg kan verkrijgen. ik hoor je over een week of 4.

[DNA_Saint]

Maar wat wil je weten?

Of het Iban klopt dat er in het lek staat? 🤔

[nieuwveen]

Gewoon of je gegevens zijn gelekt? Op welke andere manier weet je het zeker? Odido is niet betrouwbaar, en via de dienst van de politie werkt het alleen met een mailadres

[Br3wmaster]

Nou ik kreeg via Firefox de melding dat mijn gegevens gelekt zijn inclusief mijn bankrekeningnummer.

[Deewop]

Beetje flauw.

Denk dat veel mensen willen weten of de verkoopmedewerker een notitie over je heeft geschreven en wat daarin staat. Welke bankrekeningnummers je nu beter in de gaten moet houden. Of het om je paspoortummer of rijbewijsnummer gaat. Welk adres gelekt is, welke telefoonnummers.

[Rutix]

Ik vind dit een rare uitspraak. Ik heb 3 verschillende berichten gezien van Odido waar elke keer andere gegevens die zouden zijn gelekt in stonden. Daarna moest de NOS komen met dat er nog allemaal andere gegevens zijn gelekt. Ik heb daar niet eens een bericht van Odido over gehad. Dus hoe kan ik ervan uit gaan dat de gegevens die ik nu denk zijn gelekt?

[Dummy5]

Als ik in de lek zou zitten zou ik het wel willen weten welke info er precies van mij is gelekt, en niet een algemene opsomming van wat er 'mogelijk' gelekt zou kunnen zijn.

Dat zou voor veel mensen dan het onderscheid zijn wanneer je bijvoorbeeld een mail krijgt die bijna niet van echt te onderscheiden is, je daar sneller bij nadenkt dan wanneer je niet weet welke info ze van je hebben.

[antoine_]

Ik zou willen weten wat er precies van mij gelekt is. Ik ben al 1 jaar geen klant meer dus ik ben wel benieuwd welke data er dan nog wel staat, dan weet ik ook welke gegevens ik op moet letten / veranderen.

[Mirved]

Ik wil weten wat er precies van mij gelekt is. Mijn paspoort of mijn rijbewijs? Welk rekeningnummer.

[Bor]

Je kan onder de AVG een inzageverzoek doen. Daar zal Odido wettelijk gezien aan moeten voldoen. Doen ze dat niet kan kan je de weg naar de rechter kiezen of bv contact zoeken met de Autoriteit Persoonsgegevens. Het biedt geen vrijbrief om het recht in eigen hand te gaan nemen.

[fvdberg]

een avg inzageverzoek duurt wettelijk 4 weken en geeft geen garantie dat odido ook daadwerkelijk daar gehoor aan gaat geven of de boel gaat vertragen met formulieren en andere bureucratische rompslomp.

een gang naar de rechter inclusief uitspraak duurt gemiddeld nog eens 6 tot 8 weken. Dat is een totale wachttijd van 12 weken als het vlot verloopt en niemand uitstel vraagt.

wie beweert dat een slachtoffer drie maanden moet wachten terwijl zijn ID-bewijs op het internet circuleert begrijpt de snelheid van de digitale misdaad niet. de weg naar de ap is bovendien een doodlopende straat voor acute hulp, want zij handhaven achteraf maar beschermen je identiteit niet. gaat ook niet want die is al gelekt.

Artikel 40 Sr (noodtoestand) is er juist voor situaties waarin de officiële weg feitelijk ontoereikend is om onherstelbare schade te voorkomen. het is geen "recht in eigen hand nemen", het is de enige overgebleven weg naar digitale zelfverdediging als de provider en de procedure je in de steek laten.

[jongetje]

Ik heb Odido gebelt en die kunnen aan de telefoon aangeven welke info is gelekt. Hoef je echt het darkweb niet voor op.

[Ryunoru]

Prima, ga jij maar lekker data van 6 miljoen burgers verwerken en opslaan waar jij geen recht op hebt. Net als die hackers dat recht niet hebben en derhalve terecht als criminelen weggezet worden. Het enige verschil is dat jij de initiële hack niet hebt uitgevoerd, maar je bent net zo schuldig aan het bezit van gevoelige data.

Sterker nog, als jij zo bang bent dat belangrijke data van jou op straat ligt... waarom argumenteer je dan dat jij belangrijke data van anderen op jouw computer moet hebben? Is dat niet enorm hypocriet?

[fvdberg]

waar heb ik gezegd dat ik die data op mijn computer heb? waar heb ik gezegd dat ik het verwerk? waar ben ik precies schuldig aan?

[Baserk]

Je weet wat er is gelekt.

Pertinente onzin. Er is bij de klanten en voormalige klanten van Odido, Ben en T-Mobile juist NIET bekend wat er precies gelekt is. Als je de reactie hier op Tweakers enigszins had gevolgd, as dat gevoeglijk bekend.

Ben je;
A - Slecht geinformeerd?
B - Lid van het Odido marketing 'damage control' team?
C - Alleen maar een lauwe contrarian?
/s

[HoppyF]

Ik ben alleen geïnteresseerd in mijn EIGEN gelekte data.
Als Odido of I have been Pwnd mij daar inzage in geeft ben ik tevreden. Dat op korte termijn.
Als ze dat NIET doen behoud ik mij het recht voor de dataset in te zien door deze te downloaden.
De 6 miljoen overige klantgegevens wil ik niet maar is dan bijvangst maar valt te negeren.

[DNA_Saint]

Dat recht heb je niet.

Een bijvangst van 6 miljoen gegevens is geen bijvangat dat valt te negeren.

Dan kan je net zo goed deze hack bagatelliseren. Het zijn maar 6 miljoen gegevens...

[DCG909]

Volgens HIBP hebben ze van mij mogelijk een kopie van mijn rijbewijs, ID kaart of paspoort. Nu ben ik nog vanuit de T-mobile tijd klant, rond de tijd dat ze begonnen met die afscherm kaartjes bij het scannen, maar die werden vaak gewoon niet gebruikt.

Later nog een telefoon bij het verlengen gekocht waarbij een foto van mijn rijbewijs werd gemaakt, zonder wat dan ook af te schermen...

Dus welke info hebben ze nu van mij? Gewoon lekker gemakshalve alles ongecensureerd? Moet ik als een gek naar het stadhuis rennen omdat het echt een gevaar voor mij is? Want dat rijbewijs is nog gewoon geldig en actueel.

[Strigoi]

De de data die in Salesfroce staat is gelekt. De scans van ID bewijzen staat daar niet in, alleen het nummer.

[Ryunoru]

Je hebt dat recht dus niet, ongeacht hoe graag je wil weten op welke manier je slachtoffer bent geworden van deze hack. Data van die 6 miljoen overige klanten is NIET slechts bijvangst - het verwerken en redistributeren van deze data is bijna net zo erg als de hack zelf, minus de stap waar op systemen ingebroken is.

[YGDRASSIL]

Ze liegen over wat wat er gelekt is en/of weten het eenvoudigweg niet precies. Dus punt 2 klopt niet. En punt 3 is ook dubieus. De Odido hack is inclusief id nummers, adressen en nog veel meer. Komt dicht in de buurt van bijna alles.

[Darses]

Wellicht hebben we het over dingen. Ik heb het over Artikel139g en zie niet in waarom je in deze situatie zou kunnen beargumenteren dat er sprake is van 'overmacht'. Er is niemand die je hier dwingt om die data te downloaden.

• Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft degene die niet-openbare gegevens:
  • a. verwerft of voorhanden heeft, terwijl hij ten tijde van de verwerving of het voorhanden krijgen van deze gegevens wist of redelijkerwijs had moeten vermoeden dat deze door misdrijf zijn verkregen;
  • b. ter beschikking van een ander stelt, aan een ander bekend maakt of uit winstbejag voorhanden heeft of gebruikt, terwijl hij weet of redelijkerwijs moet vermoeden dat het door misdrijf verkregen gegevens betreft.

• 2 Niet strafbaar is degene die te goeder trouw heeft kunnen aannemen dat het algemeen belang het verwerven, voorhanden hebben, ter beschikkingstellen, bekendmaken of gebruik van de gegevens, bedoeld in het eerste lid, vereiste.

[Reactie gewijzigd door Darses op 1 maart 2026 10:19]

[fvdberg]

Dit gaat niet boven art. 40 Sr.

[Cambionn]

Maar wat jij zegt valt daar ook niet onder. Je gaat enorm mis op dit stukje:

wanneer de officiële weg (met een wachttijd van 12 weken (4 weken reactietijd odido op verzoek verstrekken data, 2 weken na ingebrekestelling, dagvaarden kortgeding 2 weken, uitspraak 4 weken) en duizenden euro’s aan kosten) faalt om een dreigend onheil zoals identiteitsfraude af te wenden

Ten eerste, je gaat de identiteitsfraude niet afwenden door deze data te bezitten. Het zelf bezitten van deze data haalt het namelijk niet bij derden weg. Enige wat je kan doen, is opletten en acteren bij signalen dat identiteitsfraude plaatsvinden. Maar de daarvoor benodigde info had je al in de eerste mail van Odido hierover, aangevuld met (nieuws)berichten zodra er meer bekend werd. Namelijk: welke soort data openbaar is (en dan weet je van jezelf wel wat de precieze inhoud is).

Ten tweede, zeer waarschijnlijk hoef je niet zo lang te wachten om het te kunnen checken, want de data bij Odido opvragen is niet nodig voor je genoemde risico. Zelfs als Odido je niet had geinformeerd (wat ze wel hebben gedaan), dan nog zullen binnen aanzienbare tijd websites als checkjehack geactualiseerd worden, zoals haveibeenpwnd (en ik ongetwijfeld de betaalde diensten als Hudsen Rock) al lang zijn. Dat is waar die diensten voor zijn.

Er is daarom helemaal geen juridische grond om zelf dit dataset te downloaden, en als je gepakt wordt zul je gewoon de sjaak zijn.

[Reactie gewijzigd door Cambionn op 1 maart 2026 14:15]

[fvdberg]

nee je hebt Expliciet nodig wat er gelekt is. niet wat er gelekt kan zijn. alleen de ruwe data levert je deze bewijslast. zonder deze bewijslast kan je achteraf NOOIT claimen dat de data die odido gelekt heeft is misbruikt. data van meerdere lekken wordt misbruikt dus je moet echt keihard aantonen wat bij odido vandaan komt.

[The Third Man]

zonder deze bewijslast kan je achteraf NOOIT claimen dat de data die odido gelekt heeft is misbruikt

Die volg ik niet. Fraude en andere vormen van misbruik van persoonlijke gegevens zijn niet bewezen door aan te tonen waar de fraudeur de gegevens vandaan zou hebben. Als je dat al kan aantonen via het bewijzen van de lek, immers hoe bewijst dat dat de fraudeur niet bij MijnOverheid of een andere bron het heeft gepikt. Dat er nu een gepubliceerde lek is betekent niet dat er verder geen lekken zijn.

De bewijslast voor fraude is slechts ondersteunend voor wat de wettekst aangeeft, het gebruiken van de gegevens namens het slachtoffer zonder diens kennis, medewerking, enzovoort. En sterker nog, bij een dergelijke situatie hoef jij als slachtoffer niet aan te tonen dat je het niet was, zij moeten aantonen dat je het wel was. Daarom eisen de banken e.d. nu een videoselfie als je op afstand met je ID-bewijs een rekening open om maar wat te noemen.

[Reactie gewijzigd door The Third Man op 1 maart 2026 12:20]

[fvdberg]

Nee hier geldt een omgekeerde bewijslast. nadat je het aan hebt hebt getoond dat die data uit ndit specifieke lek komt is het aan odido om te bewijzen dat die gegevens niet bij hun gelekt zijn maar elders. Succes daarmee odido trouwens...

[The Third Man]

Wacht, over wat heb je het nu precies?

- Een aanklacht vanuit een Odido klant naar Odido?
- Of een situatie later, waarbij er fraude wordt gepleegd met de gegevens van de Odido klant en die mogelijk afkomstig zijn van het lek?

Want in het tweede geval, wat ik begreep het discussieonderwerp hier was, is Odido geen partij bij dat misdrijf. Net als dat het hotel wat mijn creditcard lekt ook niet een partij is als er een fraudeur met die credit card allerlei uitgaves doet en ik dat aangeef. Het doet dan niet terzake wie het gelekt heeft maar dat de fraudeur de identiteit misbruikt.

[fvdberg]

je maakt een cruciale denkfout door odido geen partij te noemen.
bij een datalek van deze omvang is de provider de veroorzaker van de blootstelling.

natuurlijk is de fraudeur de misdadiger, maar odido is civielrechtelijk aansprakelijk voor de schade die voortvloeit uit hun grove nalatigheid. als ik een schadevergoeding eis voor de honderden uren ellende en de financiele impact van identiteitsfraude dan is odido de enige partij die ik kan aanspreken.

om die zaak te winnen, moet ik de causaliteit aantonen. de ruwe data is mijn bewijs. zonder die data geef je odido een get out of jail free card. ik vecht niet alleen tegen de fraudeur, ik vecht ook voor mijn recht op compensatie door de nalatige bron. dat is geen onrealistisch scenario dat is opkomen voor je rechten als gedupeerde.

[Reactie gewijzigd door fvdberg op 1 maart 2026 12:55]

[The Third Man]

Een 'get out of jail' in de context van een civiele zaak? Over cruciale denkfouten gesproken.

Maar waarom moet je dan alsnog de dataset hebben als bewijslast? Het is toch al breed bekend welke gegevens op straat liggen (zelfs de hackersgroep heeft dit gepubliceerd) en jij kan aantonen dat je klant was (of bent)? Zelfs de Autoriteit Persoonsgegevens heeft mensen gevraagd op te houden met te melden omdat de omvang en ernst al volledig bekend zijn? De Claimorganisatie rond het lek van het Bevolkingsonderzoek Baarmoederhalskanker heeft toch ook geen vraag uitstaan dat gedupeerden zelf de dataset even gaan downloaden voordat ze zich aanmelden?

Kortom ik vind het weinig realistisch dat je zogenaamd de daadwerkelijke gelekte informatie moet downloaden om de lekkende instantie uberhaupt te kunnen aanklagen laat staan dat te winnen.

[Reactie gewijzigd door The Third Man op 1 maart 2026 13:16]

[jigalvh]

Want in het tweede geval, wat ik begreep het discussieonderwerp hier was, is Odido geen partij bij dat misdrijf. Net als dat het hotel wat mijn creditcard lekt ook niet een partij is als er een fraudeur met die credit card allerlei uitgaves doet en ik dat aangeef. Het doet dan niet terzake wie het gelekt heeft maar dat de fraudeur de identiteit misbruikt.

Samenvatting: de klant is de pineut en zowel de lekker als de fraudeur hoeven niets te vrezen.

De fraudeur bevindt zich waarschijnlijk in Nigeria of een pandje ergens in Azië. Het bedrijf dat gelekt heeft is de bron van het misdrijf, maar is geen partij.

Volgens de AVG heeft de klant recht op schadevergoeding als er schade is ontstaan door het lek, maar daarvoor moet de klant wel aantonen dat de schade door het lekkende bedrijf is ontstaan. Dat laatste wordt al door diversen als "onmogelijk" bestempeld omdat er zoveel lekken zijn geweest.

De AP zou datalekken moeten onderzoeken, helpen voorkomen en eventueel moeten beboeten, maar door een te klein budget hebben ze nergens capaciteit voor.

Misschien moeten al deze discussies zich eens richten op vragen als:

• waarom sloeg Odido gegevens als identificatiebewijzen en BSN op? (de afgelopen jaren zijn we een keer van ISP gewisseld en elke twee jaar van mobiele provider maar nog nooit hebben ze om die gegevens gevraagd)
• waarom waren die gegevens niet beter beveiligd en waarom was het personeel onvoldoende opgeleid?
• hoe kan Odido ter verantwoording geroepen worden, met voldoende ernstige gevolgen voor het bedrijf en de eindverantwoordelijken, en hoe kan er gezorgd worden dat dit een voorbeeldfunctie voor andere organisaties wordt?

[Ryunoru]

Dit is gewoonweg niet waar. Er geldt geen omgekeerde bewijslast.

[Rasael]

Bij gevaarzetting wel, dat is een risico aansprakelijkheid.

[Cambionn]

Meestal heb je daar helemaal niet het hele dataset voor nodig. Naar zelfs als dat zo zou zijn. Zulke bewijslast is niet voor "het afwenden van" zoals jij stelt. Want jij voorkomt niks door zelf die data te bezitten. Bewijslast is voor de vervolging als het eenmaal gebeurd is (of poging tot gedaan is), waarbij je over het algemeen wel 12 weken kan wachten (al is het maar omdat over het algemeen alles stilgelegd kan worden in afwachting van de uitspraak, waardoor de schade van het wachten beperkt wordt). En daardoor is je hele nood weg, en heb je alsnog geen art. 40 Sr.

Daarbij heb je het over strafrecht. Mocht het tot een strafzaak komen, heeft justitie gewoon mensen die wel bevoegd zijn deze data te bezitten die dit kunnen gebruiken als bewijs. Bij een civiele zaak ligt dat anders, maar wanneer je die "duizenden euro's aan kosten" oploopt door identiteitsfraude kom je al snel met strafrecht als optie. En zo niet, dan nogmaals: kun je de data alsnog opvragen.

Dus nee, je hebt nogsteeds geen juridische grond op basis van dat artikel. En door doodleuk aan anderen verkondigen van wel breng je enkel mogelijk die anderen ermee in de problemen.

Je mag geen illegale data bezitten just in case iemand anders het ook bezit en je bewijs wil hebben just in case je het civiel uit wil vechten, terwijl je het dan ook alsnog kan opvragen tijdens je gerechtelijke processen.

[Reactie gewijzigd door Cambionn op 1 maart 2026 14:17]

[fvdberg]

ja want de gerechterlijke procedure legt echt het gevolg neer van het lek.

de procedure voer je pas NADAT de schade al berokkend is. het is geen fictie meer het is een feit.

[fvdberg]

leuk dat je je tekst aanpast maar je negeert de praktijk: fraude stopt niet omdat er een proces loopt en bewijs dat je niet direct veiligstelt is in de digitale wereld zo goed als verloren. odido gaat mij later echt niet de ruwe data geven om hun eigen schuld mee te bewijzen en de politie voert geen civiele schadeclaims voor burgers. zonder fixatie van het bewijs op dit moment sta je later met 0-1 achter tegen een team van dure advocaten die elke latere of anders verkregen kopie van de dump als "onverifieerbaar" zullen bestempelen.

[Ryunoru]

Maar je hebt niet het recht om diezelfde gevoelige data van 6 miljoen anderen in bezit te hebben en verwerken. Dat is bijna net zo strafbaar als wat de hackers gedaan hebben, minus de hack zelf.

Bovendien is het niet aan jou om aan te tonen waar welke data vandaan komt. Jij weet welke soort data van jezelf op straat ligt en dat is al voldoende info om naar te handelen. Jij hoeft de dataset niet in te zien om je ID te bekijken, want die heb je al. Je hoeft niet te bevestigen dat je personalia op straat liggen, want dat weet je al. Enzovoort.

[fvdberg]

ga even lezen wat ik gezegd heb. doe geen aannames

[DNA_Saint]

Hoe kan je dat überhaupt bewijzen?

Iban, paspoort nr en naw gegevens kunnen net zo goed bij elk andere instelling met wie je ze hebt gedeeld zijn gelekt.

Enige wat je zeker kan weten dat het van odido is, is als je een specifiek email ervoor heb gebruikt.

[Richo999]

Odido is nu aantoonbaar dat ze gelekt zijn. In mijn eigen geval heb ik al gezien dat mijn paspoort is gelekt (heb ondertussen al een nieuw paspoort, herkent aan document nummer) maar de overige gegevens zijn tot nu toe alleen via odido gelekt. dus wat nu? in geen enkele andere bekende hack die relateerbaar zijn aan mijn gebruikte email adressen is tot nu toe NAW, BSN e.d. gelekt.

[fvdberg]

het gaat om wie het laatst de data heeft gelekt of de sleutel tot die data heeft gelekt. deze lek is zo compleet dat de vraag die je stelt eigenlijk irrelevant is. Zolang er geen (grootschalige) hack naar buiten komt waarbij dezelfde nieuwere gegevens worden gelekt is het een dooddoener, en dan nog voegt die nieuwe data niets toe aan het comulatief van data in osint databases.

als er over een jaar een civiele zaak volgt zal odido gelijk roepen: bewijs maar dat het bij ons gelekt is. zonder de ruwe data sta je dan met lege handen.

het downloaden is dus geen interesse maar het is het veiligstellen van juridisch bewijsmateriaal dat de provider je moedwillig onthoudt. in de rechtsstaat heet dat noodweer

[DNA_Saint]

Maar wat jij nu schetst is nu echt een totaal onrealistisch scenario.

Dus jij gaat ooit een rechtzaak aanspannen, waarbij je moet bewijzen dat odido de boosdoener is?

[fvdberg]

als ik schade ondervind hierdoor? ovoor mij is ELK potentieel risico ontstaat doordat mijn volledige dataset op straat lig al voldoende reden voor die zaak, dus om je vraag te beantwoorden: ja zeker.

[mbbs1024]

En hoe ga je dan bewijzen dat als je schade lijdt van een phishing aktie of iets dergelijks, dat die gebeurd is met de gelekte Odido data ?
Iedere dag worden er bedrijven en organisaties gehackt, waarbij dezelfde info buitgemaakt wordt, want je naam, adres, telefoonnummer, paspoortnummer is altijd hetzelfde, je geeft niet bij ieder bedrijf een ander adres of id kaart nummer op.
Het kan dus best zijn dat je schade lijdt, op basis van een andere hack dan die bij Odido.

Zo een rechtszaak tegen Odido, op het moment dat je schade ondervind, gaat je enkel een hoop tijd, geld en frustratie kosten, zonder dat je er resultaat van hebt.

[Reactie gewijzigd door mbbs1024 op 1 maart 2026 16:14]

[Gladiator5]

Welke schade ondervind je hiervan?

Een email in je spam folder?

Meeste data heb je toch al een keer vrijblijvend op het internet gezet...

[Ryunoru]

Veel geluk ermee. Laat ons even weten hoe het gegaan is met je rechtzaak!

[Bor]

het gaat om wie het laatst de data heeft gelekt

Hoe is dat relevant? Data die al eerder gelekt is kan uit een eerder lek komen. Zonder onomstotelijk bewijs kan je niet bewijzen dat de data uit het Odido lek kwam en niet ergens anders vandaan. Je zou zelfs kunnen beargumenteren dat de data toch al " in the wild " was op dat moment.

[Martin_1966]

Het is vrijwel uitgesloten dat u kunt bewijzen dat u schade heeft opgelopen doordat gegevens uit dit specifieke datalek misbruikt zijn. De meeste gegevens die Odido over u heeft, zijn namelijk ook bij derden bekend. Het is zelfs de vraag of uw gegevens ooit misbruikt zullen worden. Het in handen krijgen van bewijslast tegen Odido terwijl u nog niet eens daadwerkelijk slachtoffer bent geworden van een misdrijf, lijkt mij daarom geen rechtvaardiging om de gegevens van zesenhalf miljoen mensen en zeshonderdduizend bedrijven te downloaden en te doorzoeken.

[n4m3l355]

Ik vermoed dat Odido bestaande klanten informeert. Pwn2own geeft namelijk aan dat ik in de set zit maar ik heb geen mail ontvangen van Odido. Ook ben je natuurlijk afhankelijk van welke email ze hebben van jou, als dit een oud adres is wederom heb je pech.

Uiteindelijk is de hele houding van Odido een aansluit. Vervelend genoeg zal het weinig gevolgen hebben en goed je geen verandering van Odido te verwachten, sterker nog andere bedrijven zullen hierna kijken en wellicht hetzelfde doen.

Het is dan ook van groot maatschappelijk belang dat Odido hard wordt gestraft.

[Aldy]

Waar ik boos om ben is dat Odido stelde dat alleen mijn mailadres en wachtwoord gestolen was en nu blijkt dat dit aanzienlijk meer is. Via Pwnd en Mozilla ben ik hiervoor vanmorgen gewaarschuwd, maar Odido zwijgt in alle talen. En een wachtwoord veranderen? Nou, dat lukt mij dus niet. Het nieuwe wachtwoord voldoet aan alle eisen, maar Odido wil er niet aan.

Dat Odido de hackers niet betaald heeft, daar heb ik vrede mee, maar licht je (vroegere) klanten volledig in. Dit geeft geen vertrouwen voor de toekomst.

[Nico de Vries]

Dat valt zwaar tegen. Je krijgt van Odildo een e-mail DAT je info gelekt is maar niet WAT precies. Alleen een algemeen zwamverhaal. Ik ben al jaren geen klant daar maar dat maakt helaas weinig uit. Ik ben dus erg op zoek naar een manier om daar achter te komen.

[Mickman]

Ik heb zowel zakelijk als prive (helaas) verschillende emails gehad met daarin opgesomd wat er van welk account is gelekt.

[Arjan P]

Dat valt zwaar tegen. Je krijgt van Odildo een e-mail DAT je info gelekt is maar niet WAT precies.

Ik kreeg anders van Ben op 13/2 een zeer duidelijke email:
"Onderzoek tot nu toe laat zien dat de gelekte informatie mogelijk het volgende bevat:
- Je volledige naam
- Je adres en woonplaats
Wat niet is gelekt:
- Je e-mailadres
- Identificatiegegevens: nummer en geldigheid van je paspoort of rijbewijs
- Je geboortedatum
- Je klantnummer
- Je telefoonnummer
- Je wachtwoord van ‘Ik Ben’
- Je belgegevens – gegevens over wie je hebt gebeld of wanneer
- Je locatiegegevens – waar je was
- Je factuurgegevens
- Scans van identiteitsbewijzen"
Heel duidelijk, en blijkbaar weten ze het nogal precies, in mijn geval athans..

[Cambionn]

Je krijgt van Odildo een e-mail DAT je info gelekt is maar niet WAT precies. Alleen een algemeen zwamverhaal.

Ik heb heidene versies van die mail gezien, en de lijst wat wel en niet gelekt is is niet altijd 100% gelijk ondanks dat de rest van de mail overeenkomt. De lijst lijkt dus wel gepersonaliseerd te zijn, en de mail verdr gewoon volgens een template.

[fsoldt]

Volgens mij klopt er helemaal niks van de pwn2own site en is het gewoon een manier om reclame te slijten. Volgens die site zou mijn email adres gelekt zijn op sites waar ik never nooit op ben geweest.

[ArremeR]

als je gepakt wordt zul je gewoon de sjaak zijn.

Mwoah, dat handhaven loopt nog wel los in BV Nederland, op z'n zachtsgezegd.

Daarnaast kan beter de daders van de hack pakken, al zie ik dat ook niet gebeuren.

[NotWise]

Europol is druk bezig maar het valt niet mee om de daders te pakken:

Europol slaat eerste slag tegen gedecentraliseerd extremistisch netwerk ‘The Com’

Nu denk je wat heeft de 'The Com' met deze hack te maken, nou ShinyHunters is onderdeel van deze scene:

The Com: the growing cybercrime network behind recent Pornhub hack

[Snake_NL]

Buiten wat je allemaal zegt waar ik het volledig mee eens bent.

Ik ben NIET geinformeerd door Odido, maar sta sinds vandaag opeens toch bij pwnd op de lijst.

Dit maakt me wel nieuwsgierig wat er vanuit mijn dossier gelekt is. Dat geeft op zich wel een raar gevoel dat iedereen mijn data kan inzien door deze bestanden zelf maar illegaal te downloaden en te het publiceren, terwijl ik als brave burger maar mag hopen dat ik dit zelf kan gaan inzien.

Immers Odido heeft me niet geïnformeerd, en ben ik volledig afhankelijk of ze me wel gaan beantwoorden. ( Niet wegens kwaadwilligen is, maar onkunde )

[ro4sho]

Odido is niet eerlijk/transparant. De diensten geven mij niet precies weer wat voor data er over mij in die bestanden zit. Daardoor ben ik genoodzaakt zelf onderzoek te doen. Dat lijk mij een prima reden.

[Cambionn]

"Hij doet stout dus dan mag ik ook de wet wel breken" houd vrijwel nooit stand als rechtsgeldige reden . Waarom je niet "genoodzaakt" bent en die wet niet opgaat is al tich keer verteld dus ik ga mezelf niet langer herhalen.

[ro4sho]

Of de wet daadwerkelijk gebruiken wordt vind ik nog maar de vraag. Wellicht komt er nog wat jurisprudentie door deze zaak. “Hij doet stout dus dan mag ik ook de wet wel breken” is overigens wel vaker van toepassing. Zoek maar eens (bij wijze van voorbeeld) op’noodweer’.

[Kun]

Is er een rechter aanwezig hier die de winnaar kan aanwijzen tussen deze twee juristen?

[fvdberg]

helaas stapt er geen advocaat naar die rechter hiervoor, er is geen jurisprudentie beschikbaar omdat er nog nooit iemand vervolgd is voor het downloaden van een bestand om daarin zijn of haar eigen gegevens op te zoeken. wat ook logisch is want dit valt onder art. 40 Sr. dus geen jurist/advocaat durft het aan om hier iemand voor te dagvaarden.

[The Third Man]

Absence of evidence is not evidence of absence. Dat er geen toetsing heeft plaatsgevonden is hooguit indicatief voor het niet vervolgbaar zijn, maar je kan het er niet mee bewijzen. Het komt altijd wel van pas in discussies rond nieuwe technologische criminaliteit, want de kans dat er al jurisprudentie bestaat is dan erg klein. Dus kan je makkelijk roepen "tja het mag gewoon, kijk maar nooit een zaak voor geweest".

[Reactie gewijzigd door The Third Man op 1 maart 2026 12:23]

[ro4sho]

Hij zegt niet dat het mag, maar daar het onwaarschijnlijk is dat het vervolgt wordt.

[The Third Man]

Als het volgens hem onder art. 40 Sr. valt dan is het wel degelijk toegestaan, dat definieert namelijk overmacht waarbij strafbaarheid vervalt.

[fvdberg]

leuke dooddoener, maar je mist de plank. In het strafrecht kijk je niet alleen naar de letter maar in het verlengde van deze letter, oftewel de geest van de wet. de optelsom van meerdere wetten.

Het ontbreken van jurisprudentie komt niet door een gebrek aan bewijs maar door een gebrek aan vervolgingswaardigheid. geen enkele rechter gaat een burger veroordelen voor heling van zijn eigen gestolen eigendom (data) om identiteitsfraude te voorkomen terwijl de bron (odido) 15 miljoen records op straat liet liggen.

De "absence of evidence" hier is simpelweg het gezonde verstand van het OM.
Artikel 40 Sr is er precies voor dit soort situaties waarin de bureaucratie faalt en de burger moet handelen om onherstelbaar onheil af te wenden.

[Aldy]

In het strafrecht kijk je niet alleen naar de letter maar in het verlengde van deze letter, oftewel de geest van de wet.

De geest van de wet volgt altijd uit wat de wetgever voor ogen had bij de totstandkoming van de wet. Er maar naar raden wat de wetgever misschien bedoeld heeft, is daarom uit den boze. Aangezien je zo stellig bent in wat de wetgever bedoeld heeft, neem ik aan dat je mij een link kan bezorgen naar de totstandkoming van deze wet. Anders ga ik er vanuit dat dit niets anders is dan een natte vinger.

[Aldy]

Maar jij komt met de geest van de wet, niet ik. Je komt met geen enkel bewijs dat de geest van de wet iets anders is dan de wettekst. Misschien moet je zelf eens onderzoek doen voordat je iets beweert.

[Aldy]

De letter van de wet is letterlijk: Niet strafbaar is hij die een feit begaat waartoe hij door overmacht is gedrongen.

Je wordt in dit deze helemaal niet gedrongen. Het downloaden is een eigen initiatief, aangezien er ook andere instanties mee bezig zijn. Daarnaast is het helemaal niet nodig om te weten wat er gestolen is, want met die wijsheid kun je toch niets. En er zijn andere manieren om te weten wat er van je gestolen is. Je beroepen op dit artikel zal naar mijn idee door een rechter zo van tafel worden geveegd, afgezien nog van de interpretatie die je eraan gegeven hebt.

[Aldy]

Geweldig. Wat heeft subsidiariteit hier nu weer mee te maken. Het gaat er gewoon over dat je nergens toe gedrongen wordt want er zijn andere kanalen. Punt.

[Aldy]

Sorry, maar ik weet sinds vanmorgen al via twee kanalen wat er van mij op het darkweb staat. Dus de brandweer is gewoon op tijd en daarom heeft subsidiariteit hier niets mee te maken. Tijdig en effectief.

[Aldy]

Ik begrijp dit maar al te goed. De brandweer is er gewoon op tijd en om te weten wat er op het darkweb van mij gepubliceerd is, is hierin ruim voldoende. Juridisch kun je namelijk niets met deze wijsheid en zelfs als er misbruik van wordt gemaakt zul je moeten bewijzen dat het de schuld van Odido is. Je hebt verder geen bal aan een juridische bewijsfixatie als je niet kan bewijzen dat je eventuele schade hierdoor is ontstaan. Het gaat erom dat je helemaal geen reden hebt om deze gegevens in je bezit te hebben, sterker nog: Je bent niet in staat om uitsluitend jouw gegevens te bemachtigen zonder andermans gegevens ook in te zien. Ik vraag mij af hoe je je hieruit redt.

[Aldy]

Ik weet niet welke ondersteuning van je argumentatie jij haalt uit de jurisprudentie. Dit zijn totaal andersoortige zaken en komen niet in de buurt van waar wij het over hebben.

[Aldy]

Alle jurisprudentie heeft met strafrecht te maken en jij wilt het inzetten voor privaatrecht.
https://explore.law/app/l...-law/ECLI:NL:PHR:2025:795
https://explore.law/app/l...w/ECLI:NL:GHSHE:2025:2347
https://explore.law/app/l...w/ECLI:NL:RBLIM:2025:8610
Je zal toch van goeden huize moeten komen wil je art. 40 SR kunnen inzetten.

[Aldy]

Precies. Je hebt met iemand een dispuut over een schuld, maar door onvoorziene omstandigheden ben jij je bewijs kwijtgeraakt. Een brand of zo. En je weet dat er nog wel bewijs ligt bij de andere partij, dus ga je iets illegaals doen om dat bewijs in handen te krijgen. Want dat is waar dit de hele tijd over gaat.

[Aldy]

Ik stop!

[The Third Man]

Het ontbreken van jurisprudentie komt niet door een gebrek aan bewijs maar door een gebrek aan vervolgingswaardigheid.

Jouw inkleuring.

geen enkele rechter gaat een burger veroordelen voor heling van zijn eigen gestolen eigendom (data) om identiteitsfraude te voorkomen terwijl de bron (odido) 15 miljoen records op straat liet liggen.

Jouw inkleuring.

De "absence of evidence" hier is simpelweg het gezonde verstand van het OM.
Artikel 40 Sr is er precies voor dit soort situaties waarin de bureaucratie faalt en de burger moet handelen om onherstelbaar onheil af te wenden.

Wederom, jouw inkleuring. Het zou wat anders zijn als je daadwerkelijk iemand van het OM kan vinden die aangeeft niet tot vervolging over te gaan in zo'n zaak. Maar tot die tijd is het een complete aanname en aannames zijn de moeder van alle ...

Sowieso kan iemand die het niet eens is met inkleuringen en aannames als vastgestelde feiten opblazen niet de plank misslaan. Dan moet er daadwerkelijk sprake van een weerlegbaar feit zijn.

[Reactie gewijzigd door The Third Man op 1 maart 2026 12:33]

[The Third Man]

je verschuilt je achter de letter van de wet om de geest ervan te negeren. het recht is een afweging van maatschappelijke belangen.

Ik heb de letter van de wet nergens genoemd. Ik ben skeptisch over je aannames omdat we het over moderne cybercrime feiten hebben.

je vraagt om een briefje van het OM? dat is de omgekeerde wereld. in een rechtsstaat is alles wat niet expliciet verboden of vervolgbaar is toegestaan binnen de kaders van rechtvaardigingsgronden zoals Art. 40 Sr. het feit dat er in 20 jaar massale datalekken nog nooit een gedupeerde is vervolgd voor het verifieren van zijn eigen schade is geen toeval.

Maar zoals hierboven ook naar voren komt, sommige mensen zoals jij lezen in de wet (over verschuilen gesproken) een andere uitleg dan anderen. Dus het is niet kip en klaar of het wel of niet mag of niet. Dan is dus niet te concluderen dat als er dan ook geen zaak nog is geweest dat automatisch en enkel uit te leggen valt vanwege het toegelaten zijn.

We hebben het hier niet over iets banaals of iets zeer ouderwets wat niet meer wordt vervolgd heden ten dage (denk aan de afschaffing van Majesteitsschennis), we hebben het over iets zeer actueels. En wat tot voor kort nauwelijks mogelijk was (het aantal lekken van deze orde is misschien wel op een hand te tellen).

het inkleurings argument is een zwaktebod.

Wederom, je zet meningen neer als feiten. Het 'is' niet een zwaktebod, jij vindt het dat. Dat geeft denk ik ook een beetje aan hoe de vork hier in de steel zit, je gaat er vanuit dat jouw interpretatie en aannames feitelijk zijn en alle tegenspraak komt voor uit zwakte, verschuiling, misvatting, planken misslaan enzovoort. Zolang je niet zelf openstelt voor de mogelijkheid (dat is wat anders dan toegeven) dat je zelf misschien fout zit, ben je niet aan het discussieren maar aan het 'nee het is zo!' aan het roepen. Niet dat dat betekent dat het niet zou kunnen kloppen wat jij beweert, ik zeg enkel dat de onderbouwing niet dermate stevig is dat we er vanuit kunnen gaan. Dat maakt het een inkleuring.

terwijl jij wacht op een officieel stempel van goedkeuring van de overheid in plaats van in burgerbescherming, kies ik voor de feitelijke veiligheid van mijn eigen identiteit. In een noodtoestand telt actie, niet de angst voor een dagvaarding van het OM die er nooit gaat komen, en als hij er komt geen enkele levensvatbaarheid heeft. Art.40 Sr houdt hier gewoon stand.

Wederom, er is niks feitelijks aan wat je hier allemaal roept. Het is jouw volwaardige overtuiging, en die bewonder ik, maar geeft allerminst garanties.

[Reactie gewijzigd door The Third Man op 1 maart 2026 12:50]

[The Third Man]

Je trok het anders wel wat breder dan dat. Je claimde namelijk beweegredenen van anderen dan de rechter

helaas stapt er geen advocaat naar die rechter hiervoor, er is geen jurisprudentie beschikbaar omdat er nog nooit iemand vervolgd is voor het downloaden van een bestand om daarin zijn of haar eigen gegevens op te zoeken. wat ook logisch is want dit valt onder art. 40 Sr. dus geen jurist/advocaat durft het aan om hier iemand voor te dagvaarden.

en

De "absence of evidence" hier is simpelweg het gezonde verstand van het OM.

Ik zie daarmee niet een juridische casus, ik zie daarmee dat je er niet vanuit kan gaan dat al die anderen niet alsnog dat gaan zien. Dat is het essentiele verschil. Het gaat immers niet om mij en waar ik aan vasthoud, het gaat om het risico dat anderen dat niet doen. En dat is ook een onderdeel van hoe de rechtsstaat werkt.

[The Third Man]

Een beetje meer bescheidenheid op het vlak van persoonlijke comments maken zou je niet misstaan. Je kan ook zoiets zeggen als "dat schat ik anders in, want ik verwacht dit of dat op basis van dit, al kan het natuurlijk wel". Niet zeggen "die persoon denkt natuurlijk zo" en "die andere persoon zou dat nooit doen, want die vindt zus" en nu "jij baseert alles op dit" en "je leeft in angst".

Dat is voor mensen bepalen hoe zij zijn of wat ze wel of niet doen (over zwaktebod gesproken). Jij weet helemaal niet wat de ander beweegt en hoe die precies redeneert, en je demonstreert nu dat wel te pretenderen. En je maakt het er je complete argumentatie van.

[Reactie gewijzigd door The Third Man op 1 maart 2026 17:03]

[The Third Man]

Ik vind het tenminste beneden peil hoe hij in veel reacties op de man speelt en vooral benadrukt dat wat hij als meningen geeft feiten zijn en de rest planken misslaat en uit emotie handelt. Dat gaat dan wel over de inhoud? Zijn hele argument valt of staat met hoe hij de wettekst interpreteert en concludeert vervolgens dat omdat er nog geen vervolging heeft plaatsgevonden, er dus door advocaten en het OM hetzelfde over gedacht wordt. Dat ik me daar niet in kan vinden koppelt hij aan zogenaamd in angst leven of welke emotie dan ook is volslagen inhouds-ongerelateerd en nog beledigend ook. Waarom dat dan wel +2 gemodereerd wordt en geen commentaar krijgt, tja.

[Reactie gewijzigd door The Third Man op 1 maart 2026 17:07]

[sOid]

Wat is hierbij de definitie van 'algemeen belang'? Stel ik wil vanuit mijn functie voor mijn werkgever, die zakelijke abonnementen afneemt bij Odido, checken of er gegevens zijn gelekt en zo ja, welke. Zou dat dan onder de categorie 'algemeen belang' vallen? En maakt het daarbij nog uit wat mijn werkgever is? Commerciële partij versus overheid bijvoorbeeld, waarbij laatstgenoemde een publieke dienst levert.

[Darses]

Ik ben geen jurist en het lijkt mij verstandig om dit eerst met een eigen juridische afdeling te bespreken voordat je deze data gaat downloaden.

Mijn doel is vooral om er aan te herinneren dat er consequenties kunnen zitten aan het downloaden of beschikbaar stellen van dit soort illegaal verkregen data, tenzij je goed kunt onderbouwen waarom die actie in het 'algemeen belang' zou zijn. Persoonlijk verwacht ik dat die lat een stuk hoger dan 'ik wil voor mijzelf weten wat erin staat'.

[lucatoni]

Je hebt helemaal gelijk hoor Darses, daar zal niemand aan twijfelen. Vraag mij wel af of er uberhaupt een partij is die hier actie op gaan ondernemen? Het OM? een andere partij? En wat wordt dan de aanklacht? Ik zie dat eerlijkheid niet gebeuren. Zeker bij het downloaden....het aanbieden daartentegen is wel een stap ernstiger.

[The Third Man]

En dan nog is het een mijnenveld, een beheerder van Have I Been Pwned of iets dergelijks zou dit hard kunnen maken, maar er is geen garantie. Genoeg gevallen van white hatters geweest die toch lang met justitie of in een civiele zaak verwikkeld zijn geraakt. Mede omdat je de schijn tegen niet altijd eenvoudig opgelost krijgt.

Het kan je als particulier op veel meer manieren duur komen te staan. Een strafblad richting cybercrime kan je erg vervelende bijeffecten geven, wellicht zelfs voor reizen in de toekomst zoals naar de VS, of daar geweigerd worden voor diensten (Paypal om maar wat te noemen). Zelfs zonder vervolging op het moment zelf, reken maar dat de digitale opsporing van de politie hier ook mee bezig is en wellicht wel achter de logging komt wie er toegang heeft verschaft en hoe dat ging. Dat kan alsnog op je conto komen te staan op een later moment.

[ro4sho]

Ik verwacht dat hier 0 actie op gaat komen, tenzij men kwaad in de zin heeft. Focus kan beter liggen op de hackers.

[Bor]

Algemeen belang wordt over het algemeen gezien als het welzijn, de belangen en de veiligheid van de gehele samenleving. Wanneer je iets opzoekt voor jezelf of je werkgever is dat niet in algemeen belang maar persoonlijk of zakelijk belang.

[sOid]

Ok. Maar zit daar nog een nuanceverschil in als werkgever dus een organisatie is dat, volgens de definitie die jij geeft, vervolgens wel van algemeen belang is (zoals dus een overheidsinstantie)?

[.oisyn]

Nou niet als je op Tweakers post dat het "grappig" is dat je een database van privegegevens van 6 5 miljoen Nederlanders bezit, waar je niets in te zoeken hebt.

Ik wil ook graag kijken welke gegevens ze van mij precies hebben (haveibeenpwned is te vaag, die zeggen alleen dat jouw adres/domein is gelekt, en wat voor data er in totaal in de set zit, niet zozeer welke dingen op mij van toepassing zijn), dus ik neig ernaar een kijkje te nemen. Maar áls ik dat doe, dan ga ik er wel even voor zorgen dat die data op mijn apparaat écht tijdelijk (mijn standaard download folder wordt bijvoorbeeld al automatisch gebackupt naar mijn nas, dus dat is een no go) en dat ik daarna alleen de gegevens overhoud die op mij en mijn gezin slaan.

Ik gok dat meer hier hetzelfde doel hebben, en misschien is een discussie op zijn plaats over hoe je dit kunt doen op een manier die het aannemelijk maakt dat je dat alleen doet voor je eigen gegevens en niet per ongeluk blijft zitten met data over iedereen, en of dat juridisch stand zou houden.

[Reactie gewijzigd door .oisyn op 1 maart 2026 12:59]

[YGDRASSIL]

Als die database voor jan met de pet kostenloos en eenvoudig te downloaden is dan vind ik het meer een falen van de overheid dat dat kan. Ik heb nul interesse in die data en ga ervanuit dat alles wat ik op sites invul gelekt is of wordt. Dat is de treurige staat van internet/ict tegenwoordig.

[Bor]

Het downloaden van gegevens van miljoenen mensen is niet proportioneel. Daarbij is het maar zeer de vraag of deze situatie als noodtoestand geldt.

Artikel 40 van het Wetboek van Strafrecht bepaalt dat een persoon niet strafbaar is wanneer hij een handeling verricht die hij onder dwang van overmacht heeft moeten uitvoeren.

Wat is hier de dwang? Waarom is bv een controle bij have i been pwn voor de doorsnede consument niet genoeg? Diverse nieuwsmedia hebben al aangegeven welke informatie er in het lek zit.

Onder elk Odido artikel plaats je dezelfde interpretatie en meerdere keren wordt door anderen waaronder een jurist aangeduid dat het e.e.a. toch wel wat anders in elkaar steekt.

Laten we dan ook even kijken naar de term zelfverdediging die je aanhaalt.

Zelfverdediging, juridisch bekend als noodweer (Artikel 41 Wetboek van Strafrecht), is niet strafbaar wanneer je jezelf, een ander, of bezittingen verdedigt tegen een ogenblikkelijke, wederrechtelijke aanranding. Het geweld moet noodzakelijk zijn (subsidiariteit) en in verhouding staan tot de aanval (proportionaliteit).

Zowel subsidiariteit als proportionaliteit zijn absoluut te bediscussiëren in jouw argumentatie en gaan in mijn ogen niet op. Je download de persoonlijke gegevens van miljoenen mensen. Dat lijkt mij al niet proportioneel. Daarbij is het downloaden ook niet absoluut noodzakelijk met de huidige controle mogelijkheden en informatie die je uit de media kan halen.

Mijn advies: download het niet. Zoals bekende jurist Arnoud Engelfriet hier al aangaf: hier:

Ik wil alleen even kwijt dat het downloaden van deze dataset strafbaar is als gegevensheling (art. 138c Strafrecht), ook als je het slechts uit interesse doet. Bij journalisten is dit vaak te verexcuseren vanwege de enorme maatschappelijke impact.

Uiteindelijk is dit onderwerp aan een rechter om te toetsen.

[Reactie gewijzigd door Bor op 1 maart 2026 11:11]

[fvdberg]

Bor, je spreekt over subsidiariteit, maar je negeert de feitelijke onmogelijkheid van de alternatieven.
Have I Been Pwned vertelt me niet welk ID-bewijsnummer er op straat ligt. de media vertellen me niet of mijn BSN uit 2019 nog in de database stond.

de dwang in Artikel 40 Sr komt voort uit de acute dreiging van identiteitsfraude die niet kan worden afgewend door 12 weken te wachten op een trage en dure juridische procedure. het inzien van de data is voor een gedupeerde geen interesse. het is digitale schade inventarisatie.

als Arnoud Engelfriet op linkedin stelt dat dit voor journalisten te verexcuseren is vanwege de maatschappelijke impact dan geldt dat net zo hard voor het individuele slachtoffer dat direct gevaar loopt. de wet is geen zelfmoordpact waarbij de burger lijdzaam moet toezien hoe zijn identiteit wordt misbruikt terwijl de provider zich achter bureaucreatie verschuilt.

[Bor]

Have I Been Pwned vertelt me niet welk ID-bewijsnummer er op straat ligt.

Je weet als het goed is zelf hoe en met wel identiteitsbewijs je je hebt gelegitimeerd bij Odido?

de dwang in Artikel 40 Sr komt voort uit de acute dreiging van identiteitsfraude die niet kan worden afgewend door 12 weken te wachten op een trage en dure juridische procedure.

Die kan ook niet worden afgewend door het inzien van de data helaas.

als Arnoud Engelfriet op linkedin stelt dat dit voor journalisten te verexcuseren is vanwege de maatschappelijke impact dan geldt dat net zo hard voor het individuele slachtoffer dat direct gevaar loopt.

Nee. Journalisten die bv onderzoekjournalistiek doen kunnen zich waarschijnlijk beroepen op algemeen belang. Dat kan een doorsnede burger als individu niet.

[Reactie gewijzigd door Bor op 1 maart 2026 11:35]

[fvdberg]

je suggereert dat ik zelf wel weet welk document ik gebruikte.even hypothetisch.. een voorbeeld: Ik ben al 8 jaar klant. mijn paspoort is tussentijds vernieuwd. weet ik of odido de nummers van de oude scan uit 2018 heeft gelekt of de nieuwe? nee. dat weet ik pas als ik de data zie. bovendien heb ik deze data nodig als bewijslast MOCHT het misbruikt zijn, want aansprakelijkstelling gaat niet via strafrecht. dit is civiel in dit geval.

Bovendien is de stelling dat een individu geen algemeen belang dient een gevaarlijke misvatting. het voorkomen van persoonlijke financiële schade door identiteitsfraude is de kern van het recht op zelfbehoud. Als de officiële weg minimaal 4 maar bij geen reactie zeker 12 weken in het meest gunstige geval duurt en duizenden euro's kost, dan is Artikel 40 Sr (Noodtoestand) er juist om de burger te beschermen tegen de traagheid van het systeem. de wet is er voor de burger, niet voor de bureaucratie van de provider.

[Bor]

Bovendien is de stelling dat een individu geen algemeen belang dient een gevaarlijke misvatting. het voorkomen van persoonlijke financiële schade door identiteitsfraude is de kern van het recht op zelfbehoud.

Zelfbehoud is wat anders dan algemeen belang. Hoe dien je het algemeen belang wanneer je enkel iets voor jezelf opzoekt?

Ik ben al 8 jaar klant. mijn paspoort is tussentijds vernieuwd. weet ik of odido de nummers van de oude scan uit 2018 heeft gelekt of de nieuwe?

Wanneer heb je je voor het laatst gelegitimeerd en welk id bewijs was toen geldig?

[Reactie gewijzigd door Bor op 1 maart 2026 11:47]

[fvdberg]

nee Zelfbehoud is algemeen belang. en welk ID? geen idee, misschien moet je dat even voor me in de dump van de database die gelekt is op zoeken?

[Bor]

Hoe is zelfbehoud algemeen belang? Dat zie ik graag met een objectieve bron. Een definitie van algemeen belang is datgene wat nuttig, gewenst of nodig is voor het welzijn van het volk in zijn geheel.

Jouw zelfbehoud is met name of misschien wel alleen interessant voor jezelf. Daar dien je het algemeen belang niet mee wat bijvoorbeeld anders is dan een onderzoeksjournalist die een item publiceert n.a.v. uitgebreid onderzoek.

[fvdberg]

je vraagt om een objectieve bron? Prima. Kijk naar de geest van de wet.

het algemeen belang is niet gediend bij 15 miljoen passieve slachtoffers maar bij burgers die de schade die een provider heeft laten ontstaan proberen te beheersen.

als jij morgen je portemonnee verliest, ga je die ook zoeken. en dien je dan het algemeen belang? nee, je herstelt je eigen veiligheid.

maar als de gemeente je verbiedt om te kijken waar hij ligt in een bak met gevonden voorwerpen omdat je ook de portemonnee van een ander zou kunnen zien terwijl de dieven je passen al contactloos leegtrekken tot aan de grens dan is dat geen rechtspraak maar kafkaiaanse waanzin

Het algemeen belang is dat burgers niet vogelvrij worden verklaard door de traagheid van procedures. dat is de basis van onze rechtsstaat.

[EnigmA-X]

je vraagt om een objectieve bron? Prima. Kijk naar de geest van de wet.

"De geest" van wat dan ook, is natuurlijk nooit een objectieve bron.

het algemeen belang is niet gediend bij 15 miljoen passieve slachtoffers maar bij burgers die de schade die een provider heeft laten ontstaan proberen te beheersen.

Er valt weinig aan te 'beheersen', want de spreekwoordelijk geest is al uit de fles. De informatie is beschikbaar. Het hebben van diezelfde informatie (of niet) helpt exact niets qua beheersing.

als jij morgen je portemonnee verliest, ga je die ook zoeken. en dien je dan het algemeen belang? nee, je herstelt je eigen veiligheid.

Het verliezen van een portomonee, of jouw data in een dump als deze, heeft in beginsel niets te maken met 'algemeen belang'. Het herstellen van je eigen veiligheid even min. Dat je gaat zoeken is begrijpelijk, maar om die reden mag je nog steeds geen wetten breken.

maar als de gemeente je verbiedt om te kijken waar hij ligt in een bak met gevonden voorwerpen omdat je ook de portemonnee van een ander zou kunnen zien terwijl de dieven je passen al contactloos leegtrekken tot aan de grens dan is dat geen rechtspraak maar kafkaiaanse waanzin

Bullshit. Het komt jou wellicht slecht uit, omdat je jouw nieuwsgierigheid niet weet te onderdrukken. Het gaat hier ook niet om noodtoestand. Je bent niet in levensgevaar. Als je er zo zwaar aan trekt: neem een ander telefoonnummer, verander je e-mail adres, vraag een nieuw paspoort aan, verander je bankrekening en doe een verzoek om een ander BSN-nummer. Allemaal mogelijk binnen de wet (hoewel dat laatste waarschijnlijk wel afgewezen wordt). Is dat vervelend? Ja. Kan je de kosten proberen te verhalen? Zeker. Kansrijk? Absoluut niet.

Het algemeen belang is dat burgers niet vogelvrij worden verklaard door de traagheid van procedures. dat is de basis van onze rechtsstaat.

Het heeft niets met "traagheid" te maken. Jij wilt snel. Jij verzint dat het allemaal snel moet. Dat maakt het geen waarheid.

Een nabrandertje: Jij beroept je op algemeen belang en noodtoestand, maar jij verklaart jezelf ook wezenlijk vogelvrij (jij hoeft je toch niet aan de wet te houden vanwege de traagheid van procedures, ofzo?). Dus beroep je jezelf nou op de basis van onze rechtstaat, of juist niet?

[EnigmA-X]

je advies om alles maar te vernieuwen is een grap omdat fraudeurs juist die oude en vaste gegevens uit dit lek gebruiken.

Een bedrag afschrijven van een niet bestaande rekening, doet jou geen pijn. Een phishing e-mail sturen naar een niet (meer) bestaand adres: geen effect voor jou. Een niet bestaand telefoonnummer dat gebeld wordt: geen effect. Zelfs iets proberen met een verouderd BSN (als je het al vernieuwd zou krijgen) heeft geen effect op jou.

zonder de hele map heb ik geen poot om op te staan bij de rechter want je kunt alleen bewijzen dat data van odido komt als je de hele set als bewijsmateriaal hebt.

Bullshit. Dit is overal in het nieuws geweest en er is ook duidelijk gemaakt om welke gegevenstypen het gaat. Als jij dus kan aantonen dat je de afgelopen 5 jaar ergens klant bent geweest van Odido - zou je die kaart prima kunnen spelen.

Of de rechter daarin meegaat - dat is een heel ander verhaal. Hoe bewijs je dat exact die gegevens van Odido niet elders ook al een keer zijn buitgemaakt?

Kortom, "met die hele map", heb je juridisch precies niets bereikt.

de wet zegt nergens dat er levensgevaar moet zijn maar alleen dat je moet mogen ingrijpen als de normale weg te traag is om grote schade te voorkomen. die usb-stick in de kluis is dus geen nieuwsgierigheid maar het veiligstellen van bewijs zodat ik niet vogelvrij ben als odido straks alles ontkent.

Je hebt het steeds over een 'noodtoestand'.

Definitie (link):

strafrecht - vorm van overmacht die het plegen van een strafbaar feit rechtvaardigt als gevolg waarvan de dader straffeloos is. Bijv. een voordeur intrappen om een kind uit een brandend huis te redden.

Een grond hiervan, zoals hierboven ook in het voorbeeld staat: zelfbehoud (van jezelf of een ander).

De hele begripsvorming speelt rondom "trage overheid" of iets dergelijks. Maar nergens verwijs je naar een bron zover ik kan zien.

Als ik zo al jouw reacties lees in dit (en voorgaande) topics, wijst alles erop dat je 100% zeker bent van je eigen gelijk. Een grote meerderheid van de personen die reageert lijkt er anders over te denken. Hiertussen zitten reageerders die ervoor gestudeerd hebben en het dagelijkse broodwinning is.

Het staat je natuurlijk vrij om overtuigd te zijn van je eigen gelijk - maar ik sluit me aan bij de overgrote meerderheid die denkt dat je geen gelijk hebt - met name omdat je beargumentatie dun, zwak en deels zelfs afwezig lijkt.

Let's agree to disagree.

[EnigmA-X]

Interessant dat je de meerderheid en mensen die ervoor gestudeerd hebben erbij haalt als argument, maar ondertussen beweert dat je een BSN kunt vernieuwen om schade te voorkomen. Een BSN is uniek en levenslang dat vernieuw je niet even als een telefoonnummer. Juist dat gebrek aan basiskennis over de aard van de gelekte data illustreert waarom deze discussie zo moeizaam is.

Misschien moet je mijn reactie nogeens (iets beter) lezen.

En je punt over de bewijslast: het was in het nieuws, dat is in een civiele rechtszaak helemaal niks waard. een advocaat veegt een krantenartikel zo van tafel als onverifieerbaar voor jouw specifieke geval. Zonder fixatie van de bronset op het moment van het lek kun je later nooit aantonen dat exact jouw dataset uit dat lek afkomstig was en niet uit een andere bron.

Met "de fixatie van de bronset" is het nog steeds niet verifieerbaar dat jouw bronset de enige zou kunnen zijn.

Je haalt de definitie van noodtoestand uit het strafrecht aan om mijn handelen te toetsen, maar negeert dat de rechtspraak al decennia erkent dat overmacht ook geldt bij het veiligstellen van vitale belangen wanneer instanties (zoals de provider of de AP) niet tijdig of adequaat handelen.

Dan nogmaals de vraag: verwijzing naar jurisprudentie.

Bovendien voer je dit in de praktijk onder civiel recht en niet onder strafrecht.

Irrelevant.

Als je agree to disagree gebruikt omdat de inhoudelijke argumenten op zijn, is dat prima maar laten we niet doen alsof een meerderheid op een forum de wet bepaalt.

Mijn excuses voor het recht voor zijn raap zijn: als een aantal specialisten die hier aantoonbaar bij elkaar opgeteld >100 jaar voor gestudeerd hebben een bepaalde mening hebben en iemand met zwakke beargumentering, geen referenties naar jurisprudentie en een ogenschijnlijk heel andere achtergrond - dan doet dat iets met beeldvorming qua betrouwbaarheid.

Het is dus niet zomaar 'een meerderheid' die het niet met je eens is.

[fvdberg]

wat betreft jurisprudentie.

Ik was deze eigenlijk voor een interne discussie aan het opstellen maar jij kwam er even tussen door. Jij krijgt hem dus ook van me:

kijk eens naar NJ 1990/42, Optiebeurs/Staat (even ecli nummer weggehaald, is niet gepubliceerd op rechtspraak.nl alleen in NJ 1990/42, komt vaker voor met oudere stukken, maar wij noemen deze Knabbel en Babbel) over de zorgplicht en het recht op eigen handelen bij nalatigheid of de bredere toepassing van Artikel 6:162 BW in combinatie met noodtoestand wanneer een partij (zoals odido) verzuimt haar wettelijke plicht tot informatievoorziening en schadebeperking na te komen.

Dat jij bewijsfixatie irrelevant vindt en denkt dat het nieuws voldoende is voor een civiele claim, bewijst dat die 100 jaar studie niet bij jou terecht is gekomen. een rechter oordeelt op basis van verifieerbare feiten en geconserveerd bewijs, niet op basis van beeldvorming op een forum. veel succes met je krantenknipsels in de rechtszaal.

[Reactie gewijzigd door fvdberg op 1 maart 2026 16:39]

[EnigmA-X]

Ik moet toegeven, je weet wel iedere keer op een creatieve manier eerdere reacties te buigen en draaien.

Jouw bronvermelding is voor mij niet inzichtelijk. Ik zie alleen wel dat het ~36-jaar oud is. Omdat ik het niet kan lezen, kan ik er inhoudelijk die ook niet op reageren.

Het volgende is, dat ik er eigenlijk ook helemaal niet inhoudelijk meer op wil reageren. Dat komt o.a. door jouw laatste opmerking dat ik 'bewijsfixatie irrelevant' zou vinden. Dat staat niet in mijn reactie. Dat de 100 jaar rechtenstudie niet bij mij terecht is gekomen: klopt als een bus. Zou ook niet realistisch zijn denk ik zo. Spoiler: ik ben ergens anders goed in en vertrouw op mensen die er wel voor gestudeerd hebben(!). Dan nog iets met krantenknipsels in een rechtszaal: geen idee waar je dat vandaan haalt. Mijn persoonlijke mening is dat een claim op voorhand kansloos is - je kan niet bewijzen dat het Odido lek de enige bron is en/of wat de daadwerkelijke schade zou zijn.

Mijn persoonlijke conclusie is simpel: je leest reacties van mensen die het niet met je eens zijn kennelijk niet zo heel goed. Ik zie het nut er niet zo van in om in discussie te blijven met iemand die nog steeds geen linkbaar jurisprudentie heeft gedeeld, zo overtuigd is van zichzelf en totaal niet open lijkt te staan voor argumenten vanuit een ander standpunt.

Kortom: succes!

_{(Voor de duidelijkheid: ik reageer hierna niet meer).}

[Baserk]

Diverse nieuwsmedia hebben al aangegeven welke informatie er in het lek zit.

With all due respect Bor, bij de individuele klanten en voormalige klanten van Odido, Ben en T-Mobile is toch juist NIET bekend wat er is gelekt?
Wat hebben individuen eraan, dat bekend is wat er globaal van 6,2 miljoen klanten is gelekt.

Indien oncologen precies kunnen vertellen, wat er allemaal bij 6,2 miljoen burgers onder de leden zit, heb je daar als individu toch geen ene moer aan, als diagnose?

[Robbierut4]

Noodweer is nogal een groot woord, zeker gezien het al een week ofzo bekend is welke gegevens er zijn gelekt.
Je hoeft voor je zelfverdediging ook niet de gegevens te downloaden. Ten eerste weet je wat er is gelekt. Ten tweede is het advies, pas op met emails/telefoontjes die je krijgt en let op onbekende afschrijvingen op je bankrekening.

Voor die dingen hoef je niet de dataset te downloaden.

[ChillinR]

Ten eerste weet je wat er is gelekt.

Ik ben getroffen maar ik heb geen idee welke van mijn gegevens zijn buitgemaakt.

[Robbierut4]

Dan is het knap dat je wel dit artikel hebt kunnen vinden en weet dat je getroffen bent, maar verder al het nieuws hebt gemist betreft deze hack en het lekken. Het is gelukkig ook niet groots in het nieuws geweest hier op Tweakers maar ook alle andere nederlandse nieuwsoutlets. Alleen op Tweakers tel ik al snel 18 verschillende artikelen.

Wat er gelekt kan zijn:
NAW gegevens
geboortedatum
telefoonnummer
email
Bankrekeningnummer
Id kaart gegevens (geen bsn)
Eventuele opmerkingen in het systeem van Odido.

Oftewel, genoeg gegevens dat iemand zich voor kan doen als jou, of vrij overtuigend kan bellen en proberen op te lichten. Daarom ook het advies, let op je mail/telefoontjes en check je bankrekening regelmatig voor onbekende afschrijvingen.

[Reactie gewijzigd door Robbierut4 op 1 maart 2026 19:01]

[HijDieAllesWeet]

Dat is wat er gelekt KAN zijn. Het mag niet maar het is wel verleidelijk om toch maar de dataset te downloaden om te zien wat er daadwerkelijk van mijn is gelekt. Beetje vreemd eigenlijk ook dat dat niet gewoon mag. Het lijkt mij normaler om pas strafbaar te stellen vanaf dat je er misbruik van maakt.

Het is ook verboden om in te breken maar niet strafbaar om een breekijzer te bezitten.

[Reactie gewijzigd door HijDieAllesWeet op 1 maart 2026 10:54]

[Blinkin]

Je eigen data downloaden is niet strafbaar lijkt mij. Het strafbare zit hem in dat je data van anderen onrechtmatig bezit, dat lijkt mij alleen maar goed. Ik denk het risico is dat sommige mensen die deze data willen inzien, geen hoge mate van secuur opslaan/beveiligen van die gegevens toepassen. Gevolg is nog meer verspreiding van die persoonsgegevens.

Dit is in het huidige stadium al niet meer houdbaar kun je zeggen. Maar daarom is het dus ook strafbaar.

[Bor]

Ik denk het risico is dat sommige mensen die deze data willen inzien, geen hoge mate van secuur opslaan/beveiligen van die gegevens toepassen.

Ga daar maar vanuit. Ik heb al mensen gezien die de data vervolgens aan anderen aanbieden, ook hier op Tweakers

Dit is een geest die je niet meer in de fles krijgt helaas.

[Blinkin]

Nou kijk, sommige aannames hebben wel een kern van waarheid dus. Ik vrees dat veel mensen goede bedoelingen hebben maar niet inzien dat ze het alleen maar erger maken.

Terecht dat dit strafbaar is. Ik hoop eigenlijk ook dat de politie hier in de toekomst actiever voor gaat waarschuwen. Of dat er overheidsreclames komen a la Je bent een rund, als je met vuurwerk stunt. Een stukje bewustwording.

Maar dat is hier al te laat dus.

[NotWise]

Wellicht een idee voor Tweakers om een een artikel te schrijven over de achtergrond van deze hack. Een uitleg over de 'groep' (The Com, ShinySpider, etc.) die hier achter schuil gaat. Er staan een hoop naïeve en uiteraard emotionele reacties in de draadjes. Mensen denken hier met een rationele groep hackers te maken hebben i.p.v. een los vast groep van veelal tieners die vooral uit zijn op status. De reageerders zouden dan ook beter begrijpen waarom je deze lieden geen losgeld moet betalen. Wellicht ook uitleggen dat er zo nu en dan leden van deze groep worden opgepakt, maar dat er telkens nieuwe aanwas is.

[Keypunchie]

En voor de zakelijke klanten: BTW-nummers (is vaak nog BSN, bij de eenpitters. Jeuh!)

Daarnaast:
" Eventuele opmerkingen in het systeem van Odido.".
Weet ik veel wat Odido daarin heeft geschreven over mij...

en het erge is: Odido heeft dit in eerste instantie verzwegen. Pas toen mensen de dataset binnen haalden werd het duidelijk.

Mijn conclusie: Bij Odido weten ze *zelf* niet zo goed wat er wel en niet gelekt is!!

[Reactie gewijzigd door Keypunchie op 1 maart 2026 11:23]

[Robbierut4]

En voor de zakelijke klanten: BTW-nummers (is vaak nog BSN, bij de eenpitters. Jeuh!)

Daarnaast:
" Eventuele opmerkingen in het systeem van Odido.".
Weet ik veel wat Odido daarin heeft geschreven over mij...

Voor het "zelfverdedigings" argument van fvdberg is dat geen relevante informatie om te weten. En al helemaal niet relevant genoeg om dan maar illegaal verkregen data van 6.499.999 andere nederlanders te downloaden.

[Keypunchie]

Nee, dat laatste ben ik het met eens.

Maar het punt is dat we als klanten volkomen *RUK* geinformeerd worden door Odido. We hebben geen flauw benul wat gelekt is, waarschijnlijk omdat Odido het zelf niet goed in kaart heeft.

Ik heb al 1 abonnement bij Odido opgezegd en heb heel sterk de neiging om die hele toko voor gezien te houden. In plaats van open kaart te spelen, zijn ze tot nu toe alleen maar aan het downplayen.

[fvdberg]

absoluut wel.

en de aanwezigheid van die andere data doet niet ter zake, ik HOEF er niet naar te kijken... Ctrl - F

[joshua043]

Wat is daar knap aan? Er zijn genoeg platformen die je op de hoogte houden hiervan. Zo kreeg ik ook een melding via Mozilla Monitor dat er gegevens gekoppeld aan mijn e-mailadres in de hack staan.

Maar ook ik heb geen idee welke gegevens daar dan in staan want ik ben geen klant van Odido en ook nooit geweest. Ik heb ook geen enkele e-mail van Odido in mijn mailbox staan. Wel ben ik klant van T-Mobile geweest maar dat is al meer dan 5 jaar geleden.

Ik ben dus ook benieuwd wat ze nog van mij hebben, want wat er ook in staat het had toch nooit meer in hun bezit mogen zijn?

[joho]

Zelfde hier. Firefox Monitor/haveibeenpowned melden dat mijn email adres, telefoonnummer, bankrekening gelekt zijn. Waarschijnlijk gelekt doordat ik ooit T mobile klant was. Maar geen mail van Odido.

[ChillinR]

Het gaat me niet om wat er gelekt kan zijn. Ik wil precies weten wat er gelekt is

Dan is het knap dat je wel dit artikel hebt kunnen vinden en weet dat je getroffen bent, maar verder al het nieuws hebt gemist betreft deze hack en het lekken. Het is gelukkig ook niet groots in het nieuws geweest hier op Tweakers maar ook alle andere nederlandse nieuwsoutlets. Alleen op Tweakers tel ik al snel 18 verschillende artikelen.

Waar zijn dit sarcasme en die (onjuiste) aannames voor nodig? Ik heb het gewoon meegekregen. Van mijn emailadres is het pas sinds vanochtend bekend, ik weet buiten mijn emailadres niet wat er is buitgemaakt en ik heb nooit iets vernomen van Odido.

[Reactie gewijzigd door ChillinR op 1 maart 2026 11:05]

[!mark]

Als voormalig klant is deze informatie nog steeds niet specifiek genoeg, ik weet inderdaad wel dat er bijv. een telefoonnummer en ID is uitgelekt, maar niet precies welke:
- Ik heb meerdere telefoonnummers gehad, ik weet zo echt niet meer welke daarvan ik heb gebruikt bij Odido en dus in hoeverre het uitlekken daarvan een probleem is.
- Ik heb onder meerdere bankrekeningnummers bij Odido in het systeem gestaan ooit, is alleen het meest recente hiervan gelekt of ook de oudere rekeningnummers?
- Ik zou oprecht niet meer weten of een eventuele ID scan welke Odido van mij heeft gelekt nog actueel is of dat dit langer geleden is dan de laatste keer dat ik mijn ID heb vernieuwd wegens het verlopen ervan.

- Ik weet niet meer of ik mijn BSN heb weggehaald uit de ID scan toen, en of dit nummer dus ook gelekt is of niet.

Als oud klant kan ik niet meer inloggen bij Odido om dit zelf te controleren, en op mijn verzoek richting de klantenservice welke ik gedaan heb tot opheldering welke data ze nog precies van mij hebben vanaf 14 februari krijg ik geen enkel concreet antwoord van Odido. Buiten een vreselijke chatbot welke het begrip voormalig klant niet gebruikt en blijft zeuren of ik eerst even in wil loggen of vraagt welke diensten ik momenteel heb lopen bij het bedrijf

De enige manier om op korte termijn hier inzicht in te krijgen lijkt toch echt het downloaden van de data te zijn, op mezelf te zoeken en het weer weg te gooien. Dat ga ik overigens niet doen omdat ik er voor nu gewoon van uitga dat het meest belangrijke telefoon nummer en recente ID erbij zitten, maar kan me best voorstellen dat anderen het downloaden in zo'n situatie.

[Reactie gewijzigd door !mark op 1 maart 2026 11:59]

[mawashigeri]

Lees je zelf wel wat je opschrijft? "Wat er gelekt kan zijn" - m.a.w. geen idee wat er precies gelekt is.

[Robbierut4]

Voor de zelfverdediging van fvdberg is het niet heel relevant wat er exact is gelekt, weten wat er gelekt kan zijn is voldoende.

[Bor]

Daarnaast heb je geen enkele garantie dat hetgeen nu gelekt is alle data is. Mogelijk houdt men nog een deel data achter om later alsnog een keer een afperspoging mee te doen of op een andere manier misbruik van te maken. Dat valt niet uit te sluiten. Je kunt hooguit vaststellen dat jouw data wel / niet in de nu gelekte gegevens zit.

[Robbierut4]

Bij de NOS las ik dat er data achtergehouden is door de hackers voor "eigen gebruik". Dus je hebt eerder garantie dat niet alle data nu publiek is.

[mawashigeri]

Voor waakzaamheid klopt dat, maar voor de aansprakelijkheid van Odido zal je het toch echt precies moeten weten. Daarnaast kan je veel gerichter actie ondernemen als je zeker weet of bijvoorbeeld een ID nummer is uitgelekt.

Odido is buitensporig nalatig, dat was het al door gegevens niet te compartimenteren en medewerkers onbeperkte toegang te geven, en nu alweer door niet als eerste te vertellen aan iedere klant wat er precies op straat ligt.

[YGDRASSIL]

Wel je bankreknr maar geen iban? Dat is al tegenstrijdig toch?

Odido wist overigens niet wat ze precies kwijt waren totdat het online stond. Dus kan best zijn dat er meer weg is dat nog niet online gezet is.

[sir_knudde]

En daarbij wordt het verzoek om inzage van mijn gegevens door Odido wordt geweigerd omdat het bijgevoegde formulier niet zou zijn gebruikt!8)7

[mawashigeri]

Gelukkig heb je nu een tweede bron voor die informatie

[anboni]

Ten eerste weet je wat er is gelekt

Het enige wat ik weet is dat mijn emailadres is gelekt (melding van hibp). Ik weet niet wat er nog meer is gelekt. Ik weet niet eens welk ID bewijs ik daar ooit heb gebruikt, dus als ik al weet dat dat nummer erbij zat, weet ik nog niets.

Verder kan het best zijn dat alle gegevens afzonderlijk al eens op straat hebben gelegen, maar in mijn geval is dit het eerste bekende lek waar alle gegevens bij elkaar zijn gelekt...

[Clu3M0r3]

Checken met behulp van Mozilla Monitor. Die gaf in mijn geval meer info dan HIBP.

[AWitteveen]

Bedankt voor de tip, Mozilla Monitor geeft mooi aan welke data gelekt is. Heel fijn!

[enkb]

Dank voor deze tip, bij Mozilla Monitor kan ik zien dat zowel het e-mail adres/IBAN en telefoonnummer waarmee ik in 2021-2022 tervergeefs en in het andere e-mail/iban en telefoonnummer waarmee ik in 2025 wederom tervergeefs een glasvezelabonnement wilde afsluiten bij Odido.

2 verschillende e-mail adressen, 2 bankrekening nummers en twee zijn er telefoonnummers gelekt. Nooit klant geweest maar desalniettemin liggen die gegevens nu op straat.

[R0KH]

Deze is zeker handig, bedankt hiervoor!

Ook wel mooi te zien dat deze Odido hack er al tussenstaat. Wat ik vreemd vind is dat ik geen enkel bericht van Odido heb ontvangen, maar ik sta er wel bij. Daarnaast vraag ik me af of alle gelekte zaken wel benoemd worden. Bij mij staat namelijk alleen mailadres, bankrekeningnummer en telefoonnummer. Ben benieuwd of het dus alleen dat is of dat er meer kan zijn gelekt.

[DdeM]

Dan doe je een verzoek voor inzicht onder avg bij Odido. Ofwel, er is een wettelijke manier om inzicht te krijgen in welke data er allemaal mogelijk en zeker gelekt is, je hoeft dus niet de wet te overtreden ergo er is geen sprake van overmacht noch noodweer.

[SBTweaker]

Hoezo is dat duidelijk? Ik had geen idee of mijn paspoort etc gelekt is, odido geeft hier geen enkele informatie over. Als dat zo is vraag ik direct een nieuwe aan. Heb de dataset meteen gedownload, en wat denk je nog veel meer data van mij hebben ze dan ik had verwacht. Ze klagen me maar aan als ze willen

[vpm]

Over wat voor data hebben we het dan? In mijn mailtje stond dat ze alles hadden buitgemaakt. Ik kan me niet herinneren dat ik ooit mijn ID heb gedeeld, laat staan welke. Mijn rijbewijs is inmiddels vervangen, mijn paspoort verloopt over een paar maanden. Evengoed hebben ze nog mijn ID van toen ze Orange heetten.

Elders lees ik dat ze van sommige mensen ook het BSN hebben. Dan hebben we wel echt een probleem.

[Reactie gewijzigd door vpm op 1 maart 2026 10:54]

[Keypunchie]

Heel lang gaf de belastingdienst "voor het gemak" aan ZZP'ers een BTW nummer dat hun BSN nummer was.

Zie ook: nieuws: AP: Belastingdienst mag in btw-nummer geen burgerservicenummer gebruiken

bij de zakelijke klanten zit het BTW nummer ook in de data...

[Blinkin]

Dat het BSN van sommige is buitgemaakt mag je eigenlijk gewoon vannuit gaan. Er is namelijk met zekerheid ook het veld gelekt waar de BTW-nummers in staan. En jaren lang was voor zelfstandige ondernemers zoals eenmanszaken het BTW-nummer je BSN.

Ja dat is echt een probleem.

[Unstable Element]

Ik heb geen mailtje gehad van Odido, maar sta volgen HIBP wel in het lek.
Dus nee ik heb geen idee wat er gelekt is.

Ook staat er hier in het artikel en op HIBP dat er ID-bewijzen zijn gelekt. Dus niet alleen de nummers maar de hele bewijzen.

[fvdberg]

Nee je weet niet wat er gelekt is. Dat weet je alleen als je de ruwe data hebt. Ook alleen dat is afdoende als bewijslast wanneer er data misbruikt wordt om mee aan te tonen dat Odido verantwoordelijk is voor het lekken van die data.

Daarvoor heb je die data nodig.

[Blinkin]

Kun je je daarvoor niet gewoon op artikel 15 van de AVG beroepen?

[fvdberg]

Artikel 15 AVG geeft de provider 4 weken de tijd om te reageren. Als ze weigeren of traag zijn of met excusen komen als formulieren ben je inclusief ingebrekestelling en een gang naar de rechter al snel 12 weken verder.

dus nee, helaas.

[Blinkin]

Ik mis waarom dit een probleem is. Nu ben ik vooral nieuwsgierig hoor, absoluut geen expert. Wik graag leren.

Voor het bewijzen van wie je data gelekt heeft maakt het niet uit dat dit ff duurt lijkt mij. En voor het jezelf beschermen door te weten wat er gelekt is is best practise voor de doorsnee burger er vanuit gaan dat alles wat Odido noemt is gelekt. Dat is wat ik doe in elk geval, ik ga t toch niet allemaal uit het hoofd onthouden.

Daarnaast: je kunt niet controleren of data die niet in de publieke hacks zit of die wel in het bezit van de hackers is. Op de blauwe ogen geloven is t laatste wat ik bij hen zou doen.

[Reactie gewijzigd door Blinkin op 1 maart 2026 11:45]

[fvdberg]

het probleem is dat ervan uitgaan dat alles weg is je geen juridische bewijslast geeft. als jij over een half jaar schade hebt door identiteitsfraude moet jij bewijzen dat die specifieke data bij odido vandaan kwam om hen aansprakelijk te kunnen stellen. zonder de ruwe data kan de tegenpartij simpelweg zeggen:Dat kan ook uit een ander lek komen.

alleen met de exacte datasetvan jou gegevens kun je de herkomst van de data uit dit lek aantonen. wachten op een AVG-verzoek van 4 weken geeft de provider alle tijd om logs te schonen of informatie te minimaliseren danwel incompleet naar je aan te leveren of de paarse krokodil in te zetten om de boel te vertragen..... en wat als de provider besluit de stekker er uit te trekken omdat zij bang is voor een faillissement en gewoon niet meer op je reageert?

inzien is geen nieuwsgierigheid, het is het veiligstellen van je eigen juridische positie voordat de sporen via de "officiële" kanalen gewist zijn.

[Bor]

als jij over een half jaar schade hebt door identiteitsfraude moet jij bewijzen dat die specifieke data bij odido vandaan kwam om hen aansprakelijk te kunnen stellen.

Dat kan je niet onomstotelijk gezien de data ook uit andere lekken vandaan kan komen.

[fvdberg]

Bor, met alle respect, maar dat is een juridisch zwaktebod. In het civiel recht gaat het om de balans van waarschijnlijkheid. natuurlijk liggen basisgegevens overal, maar een dataset van 15 miljoen records bevat unieke markers. combinaties van metadata, interne ID's waar je tijdstempels aan kan verbinden die uniek zijn voor de administratie van odido.

als een fraudeur die specifieke 'set' gebruikt, is de causaliteit naar dit lek forensisch prima te onderbouwen.
al is het alleen maar door te zeggen dat dit de laatste publiek gelekte beschikbare bron met de meest actuele gegevens is. Het is vervolgens aan odido om aan te tonen dat dat niet zo is, waarbij ze toe moeten geven dat die gegevens uit hun lek afkomstig zouden moeten zijn, of ze liegen onder ede.

door te zeggen je kunt het toch niet bewijzen geef je nalatige bedrijven een vrijbrief om hun zorgplicht te verwaarlozen. de ruwe data is het enige middel om die onomstotelijkheid te beredeneren. Zonder die data sta je met 0-1 achter, maar met die data heb je een forensisch dossier waar een rechter wel degelijk naar kijkt. zelfverdediging begint bij het weigeren van de slachtofferrol die jij hier schetst.

[Bor]

maar een dataset van 15 miljoen records bevat unieke markers. combinaties van metadata, interne ID's waar je tijdstempels aan kan verbinden die uniek zijn voor de administratie van odido.

Dat klopt allemaal maar hoe zie jij die zaken terug wanneer je slachtoffer bent van fraude nav dit lek? Hoe wil je dan bewijzen dat de informatie uit dit lek komt en niet uit een ander? Die unieke markers, metadata etc zijn dan niet inzichtelijk / verdwenen etc.

Je bekijkt het uit een forensisch oogpunt zo te lezen en dat is prima maar dat geldt niet voor de doorsnede burger of Tweakers gebruiker die de data "wel even download".

[fvdberg]

dat is een vreemde redenering voor een platform als tweakers. je erkent dat de forensische markers bestaan, maar raad het veiligstellen ervan af omdat de doorsnee burger er niets mee kan?

je downloadt die set niet om zelf de expert uit te hangen, maar om de bewijslast te fixeren voordat odido de sporen wist of de dataset door toedoen van de politie die ook actief servers op spoort van het directe web verdwijnt. bewijsmateriaal dat weg is, komt nooit meer zo makkelijk als nu terug.

als ze zelf die dataset hadden gehad dan hadden ze mij niet hoeven bellen. hooguit om te verifieren wat voor data er in eerdere publieke lekken heeft gezeten. de advocaat weet zelf echt wel hoe hij dit in moet brengen in het dossier.

door te zeggen "doe maar even niet downloaden" adviseer je mensen eigenlijk om geblinddoekt een mijnenveld in te lopen.

[phoenix2149]

Ik heb een verzoek bij Odido neergelegd mij in te lichten welke gegevens er van mij zijn gelekt. Indien ik daar geen gehoor op krijg ben ik dus genoodzaakt via een andere weg hier achter te komen. Dat zal ik dan ook trachten te doen.

[jochemd]

wie de letter van de wet gebruikt om slachtoffers te intimideren negeert de geest van het recht: bescherming van de onschuldige.

Ik als onschuldig slachtoffer wil graag beschermd worden tegen verwerking van mijn persoonsgegevens door jou.

Maar mocht je toch de gegevens gaan downloaden, dan neem ik aan dat je je netjes aan de AVG zal houden en alle 6199999 anderen in de dataset in overeenstemming met AVG artikel 14 op de hoogte zal stellen dat je hun persoonsgegevens verwerkt. Toch?

[fvdberg]

De AVG is er om burgers te beschermen tegen misbruik door bedrijven en overheden, niet om slachtoffers van een datalek juridisch te ontwapenen wanneer ze hun eigen bewijslast veiligstellen.

Goede poging though

[WargamingPlayer]

Er is geen enkele rechtvaardigheidsgrond om legaal gestolen data te downloaden als de eigenaren van de data "de slachtoffers" hiertoe geen toestemming hebben gegeven.

En mensen moeten beseffen dat wanneer mijn familie bedreigd wordt dan is ieder middel, legaal en illegaal om de dreiging af te wenden toegestaan. Ik ben zelfs bereid om daarvoor juridische consequenties te aanvaarden.

[fvdberg]

Dus als jouw familie bedreigd wordt, is ieder middel, legaal en illegaal toegestaan, maar als mijn digitale identiteit (en daarmee mijn financiële veiligheid) door criminelen wordt bedreigd moet ik braaf toestemming vragen aan 6 miljoen mensen om bewijs te fixeren? Je beschrijft in je tweede alinea precies de definitie van noodtoestand uit Artikel 40 Sr. Je bent het dus eigenlijk met me eens, je hebt alleen een andere drempel voor wanneer je de wet opzij schuift.

[zaadstra]

Of check hier:

https://datagelekt.nl/odido/

Nu helemaal compleet:
Update | Zondagochtend 1 maart: De gehele dataset is openbaar gemaakt. Deze is nu in zijn geheel geindexeerd in de Odido datalek checker. De checker is inmiddels meer dan 750.000 keer gebruikt.

[Reactie gewijzigd door zaadstra op 1 maart 2026 14:49]

[Creepy]

Gevaarlijk op dit moment, want de laatste set die gelekt is staat hier nog niet in! https://haveibeenpwned.com/ is wel bij.

Edit:
@11:04: datagelekt heeft als laatste status update staan:

Update | Zaterdagochtend 28 februari: De derde dataset is vanochtend openbaar gemaakt. Deze is nu ook geindexeerd in de Odido datalek checker. De checker is inmiddels meer dan 400.000 keer gebruikt.

Dus wacht nog even met deze site te gebruiken.

Edit:
@17:02: Datagelekt heeft ondertussen nu wel de volledige set ook ingeladen.

[Reactie gewijzigd door Creepy op 1 maart 2026 17:03]

[lometje]

Nu wel....

Sorry verkeerd gelezen ik doelde juist op hibp

[Reactie gewijzigd door lometje op 1 maart 2026 11:11]

[Creepy]

Sorry, maar ik vertrouw HIBP meer. Die zegt dat een e-mail adres er in zit en datagelekt.nl op dit moment nog niet. Dus ik trek de conclusie dat datagelekt.nl de hele set van vanochtend vroeg nog niet heeft ingeladen.

[Reactie gewijzigd door Creepy op 1 maart 2026 10:59]

[Kyle]

Ik sta sinds vanochtend voor het eerst 1 keer in HIBP met verwijzing naar het Odido lek.
Het lijkt mij vesrtandig om hier schermopnames van te maken als mogelijke bewijslast bij misbruik.

[Milo44]

Deze is (voor mij) recent. (eer)Gisteren stond mijn emailadres er nog niet bij en nu wel.

[ChillinR]

Die is nog niet bijgewerkt met de data van vandaag. Dat zal later ongetwijfeld nog wel gebeuren.

edit:
Inmiddels wel bijgewerkt

[Reactie gewijzigd door ChillinR op 1 maart 2026 12:53]

[bussie66]

Hmmm. Hoe kan het dat ik mijn gegevens hier niet vind?

Als ik zoek op mijn mail-adres en IBAN geen resultaat.

Zijn dan niet van alle klanten de gegevens gelekt?

Als ik zoek op mijn achternaam dan resultaat. Maar ja, er zijn meer hondjes die fikkie heten

Hmm zojuist haveibeenpwned gecheckt en bingo!
Die site datagelekt niet actueel / betrouwbaar...?

Gegevens worden nu wel gevonden via datagelekt 😞

[Reactie gewijzigd door bussie66 op 1 maart 2026 12:23]

[zaadstra]

Ik denk dat de laatste set die vanmorgen gepubliceerd is, na je eerste poging is ingeladen, zodat de tweede zoek wel resultaat gaf.

[Mic2000]

Onderstaande site kun je wel gebruiken.

Have I Been Pwned: Check if your email address has been exposed in a data breach https://haveibeenpwned.com/

[Martinspire]

Ik zie mijzelf daar nu inderdaad in staan inderdaad, al is het nog gokken wat er werkelijk in mijn record staat

edit:
Toch gevonden helaas...

[Reactie gewijzigd door Martinspire op 1 maart 2026 10:15]

[Mic2000]

En waar heb je gevonden wat er daadwerkelijk in staat?

[Martinspire]

Die site die @Darses hierboven linkt. Niet welke info er daadwerkelijk staat

[phoenix2149]

Het jammer daar aan is dat je niet de actuele data kunt zien van wat er gelekt is.

Dus bijvoorbeeld mijn email is (niet echt) [e-mail] dan staat er allen wat er "mogelijk"buit is gemaakt waaronder paspoort, ID of rijbewijs nummer. Maar ik weet dus niet wat mocht ik er een opnieuw willen aanvragen.

[Caldera]

Nou sta er toch in terwijl ik 0 ben geïnformeerd door Odido, geen mail of sms

[Jerie]

Wat wil je hiermee zeggen? Of voorkomen? Dat iedereen die dit bestand download een stopgesprek gaat krijgen? Of is het zo dat iedereen die deze data in bezit heeft maar na een check weer spoedig gaat verwijderen hier niet het probleem is?

Een realistischer advies is om de data niet lang in bezit te hebben, en niet te misbruiken. Dat laatste dat klinkt misschien ridicuul, maar er zijn mensen die nu overwegen om hiermee misdaden te begaan, zoals oplichting.

Ik heb de dataset gedownload om te checken welke gegevens er precies van mijn vrouw en ik in zitten. Ik zie af van checken voor vrienden, maar voor mijn naaste familie die dicht bij mij staat doe ik dat wel (t/m 2e graad. Specifiek twee hoogbejaarden). Dat doe ik door er screenshots van te maken, en deze door te sturen ter inzage. Daarna verwijder ik de data want ik heb het niet meer nodig. Dat is trouwens in meerdere opzichten maatschappelijk gewenst, doch onze samenleving voorziet hier niet in.

Kortom, wat je hier doet, is een beetje War on Drugs-achtig. Er zijn belangrijkere zaken dan iemand die zo'n dataset download, verifieert, en dan weer netjes verwijdert en ik mag hopen dat de politie dat ook inziet. Er zijn zat boeven op o.a. Telegram die ernstigere misdaden plegen, met ook daadwerkelijk objectief slachtoffers tot gevolg.

De data van Odido staat nog niet in Check je hack, maar volgens mij is het plan wel om deze toe te voegen.

Dan loop je achter de feiten aan.

[Bor]

Dat laatste dat klinkt misschien ridicuul, maar er zijn mensen die nu overwegen om hiermee misdaden te begaan, zoals oplichting/

Laat dat overwegen maar weg. Je kan er vanuit gaan dat de informatie al wordt misbruikt in phishing campagnes en andere narigheid.

[Jerie]

Laat dat overwegen maar weg. Je kan er vanuit gaan dat de informatie al wordt misbruikt in phishing campagnes en andere narigheid.

Goed lezen. Ik zeg niet dat de data niet nu misbruikt wordt (dat is wel zo), ik zeg dat er mensen zijn die overwegen deze data te misbruiken. Hopelijk doen ze dat niet. Ie. dit heeft de potentie dat bepaalde mensen (die daar al vatbaar voor zijn) de criminaliteit in worden gezogen. Waardoor er inderdaad meer van deze narigheid gaat ontstaan. Dat is spijtig.

[jochemd]

Als je de hele dataset hebt gedownload dan moet je nu dus in overeenstemming met AVG artikel 14 de 6199999 anderen in die dataset op de hoogte gaan stellen dat je hun persoonsgegevens verwerkt. Ik wacht met spanning op je email.

[Jerie]

Ik zou de spanning loslaten als ik jou was. Die email ga je niet ontvangen.

Het staat enkel in RAM geheugen. Doe ik de VM uit, is de data weg. Swap gebruik ik niet. Geen swap = machine dood. Je zou ook encrypted swap kunnen gebruiken.

Daarnaast gebruik ik enkel regexp's om mijn eigen data (en die van onze moeders) eruit te vissen. Ik geef toe dat ik ook mijn nichtje heb gevonden, maar ik hou het bij inlichten van enkel onze ouders (onze vaders zijn beide overleden) omdat wij m.i. een zorgplicht naar hen hebben. Ik help ze immers ook bij de beveiliging van hun computers (incl. smartphones), en we dragen ook bij aan hun huishouden. Dit hoort daar gewoon bij. En ik wil exact weten wat er is gelekt. Niet ongeveer. Het is namelijk gebleken dat Odido daar onduidelijk en/of oneerlijk over is geweest. Dat dat is gebleken, blijkt uit diverse reacties die niet op de hoogte zijn gesteld door Odido, maar die na eigen onderzoek er wel in staan.

[Triblade_8472]

Dit dus.

Als ik de optie had om alleen mijn gegevens te downloaden uit de dump, had ik die gekozen. Maar ja, die optie heb ik niet. En geen enkele instantie bied mij die optie. En ook de avg/ap/odido gaat mij hier niet (snel) in helpen.

[luchthaak]

Helemaal eens met dat odido niet heeft betaald. Kwalijk is wel dat ze niet een banner frontaal op de voorpagina zetten met dit soort info, of een link naar have i been powned.

Gewoon met de billen bloot en oprecht handelen.

[P. vd Loo]

Oprecht handelen zou zijn geweest als ze de date van klanten na 2 jaar ook daadwerkelijk hadden verwijderd, conform eigen beleid.

Nu wentelen ze tevens de gevolgen van slecht beheer van onze data, volledig af op hun klanten.

[devins2]

Van mij staat er data in van zeker 8 a 9 jaar geleden toen ik T-Mobile had. Ik kan er met mijn verstand niet bij waarom ze dit opgeslagen hebben al die tijd

[jongetje]

Die staat er gewoon al sinds het lek. Dus snap je punt niet.

[luchthaak]

Zowel op kantoor, pc, en thuis, in edge, firefox en vivaldi staat er geen banner boven de site. Wellicht wanneer je bent ingelogt? (ook geprobeerd via wifi, mobiel, inprivate windows).

[TwaalfdeMan]

Ik snap je punt over het niet zelf downloaden van datasets. Tegelijkertijd is het voor betrokkenen wel frustrerend dat je afhankelijk bent van de transparantie van de partij waar het misging.

“Algemeen belang” geldt vooral voor journalisten, maar als individu wil je gewoon weten: sta ik erin en wat is er precies gelekt? Dat is geen sensatiezucht maar risicobeperking. Odido zal vanwege claims en aansprakelijkheid waarschijnlijk terughoudend communiceren, maar volledige en tijdige openheid helpt juist om verdere schade te beperken.

Tot die tijd is het inderdaad verstandiger om gebruik te maken van diensten zoals Have I Been Pwned of Check je Hack zodra de dataset daar gecontroleerd en veilig is verwerkt, in plaats van zelf te gaan grasduinen in gelekte data.

Transparantie vanuit Odido zou hier eigenlijk de norm moeten zijn, niet omdat mensen willen claimen, maar omdat ze hun eigen risico willen inschatten.

[Triblade_8472]

Ik moet zelf kunnen controleren welke specifieke data van mij erin staat, want dat zeggen alle checks niet.

Dus ik vraag je sterk af of ze mij hiervoor kunnen berechten, als ik de rest er direct na weggooit.

Een beetje hetzelfde als een ethisch hacker, die kan soms data verkrijgen, maar als die het weggooit na bewijs gemaakt te hebben.

[ShadowLord]

Het wordt tijd dat Odido naar iedere (oud) klant exact communiceert welke data echt gestolen is. Want tot nu toe hebben ze alleen een standaardlijst gegeven aan hun klanten (of zelfs dat niet als ik de reacties hier lees). Maar sinds die mail is het duidelijk geworden dat er nog veel meer gelekt is.
Zonder te weten welke data dat precies is, is het heel lastig om je te beschermen tegen fraude.

Zolang Odido, of een andere partij, dit niet doet is het goed te begrijpen, en naam mijn inziens verdedigbaar, dat mensen de dataset toch downloaden en hun eigen informatie hier uit halen. Uiteraard moet het daar wel bij blijven.

Ik ben helaas band dat de dataset dermate complex is dat het niet eenvoudig is een website op te zetten waar je jezelf kan opzoeken en er dan een lijst van gelekte gegevens getoond wordt. En dan niet de inhoud, maar de 'metadata' namen zoals 'voornaam', 'achternaam', 'rijbewijs document nummer', 'klantenservice notities', etc, etc. Dus dat is iets waar serieus geld in gestoken moet worden... door Odido dus. Kunnen ze gelijk ook wat geld opzij zetten om een identiteitsfraude verzekering afsluiten voor de getroffen (ex-)klanten.

[Rogers]

Odido laat mij niet weten wat er exact gelekt is zodat ik maatregelen kan nemen. Dan moet je wel bijna zelf aan de slag gaan.

Odido komt er mee weg, criminelen komen er mee weg, maar dan gaan we de slachtoffers zitten bedreigen dat ze niet hun eigen data mogen controleren

[Reactie gewijzigd door Rogers op 1 maart 2026 11:16]

[arbraxas]

Ga er maar vanuit dat alles gelekt is. email, wachtwoorden en identiteitsbewijzen.

Gelukkig moet alles makkelijk en online benaderbaar zijn. Als samenleving zijn we ons lekker kwetsbaar aan het maken.

[copywizard]

Misschien gewoon even hier checken dan doe je niks illegaals omdat je niks in je bezit hebt maar kan je wel zien wat er van je is gelekt.

https://haveibeenpwned.com/Breach/Odido

[Malarky]

Ik heb alle data gedownload en al mijn iPhone contacten er doorheen gehaald en mijn contacten geïnformeerd welke data van ze gelekt is in de Odido hack. Daarna alles weer verwijderd, omdat de dataset nu compleet is en mijn naasten allen geïnformeerd zijn.

Ik was niet geïnformeerd door Odido, ondanks dat ik ook geraakt was en gewoon klant en de overheid heeft Odido niet netjes opgeroepen haar verantwoordelijkheid zo snel mogelijk te nemen. Ik heb dus mijn eigen verantwoordelijkheid genomen voor mijzelf en naasten.

Als mij dat geld kost in een rechtszaak is dat maar zo. Als de overheid mij niet meer wil of kan beschermen, het minste wat ik kan doen is mezelf en mijn naasten informeren over de schaal van het risico dat zij lopen. Dat is mij geld waard.

Mijn Iraanse familie mag in Iran ook de straat niet opgaan om voor vrijheid te vragen, is tegen de wet. Maar ook dat toont aan dat de wet niet heilig is, zeker niet op moreel niveau. En dat je soms moet betalen (hier wellicht in geld, daar met de dood) om voor de juiste morele waarden op te komen.

[Jaldea]

Ik had me ingeschreven op haveibeenpwned.com en heb daar vandaag mail van gehad dat inderdaad mijn gegevens hierin zitten.

[Ludwig005]

Dus de politie mag dat wel inzien?


ik zou er volledig akkoord mee zijn, als een slachtoffer van de hack zelf in de lijst kijkt, wat is daar crimineel aan?


Ik mag de trailer niet zien waar een gestolen fiets van mij op is beland?

[Reactie gewijzigd door Ludwig005 op 1 maart 2026 10:06]

[Blokker_1999]

Dat je niet alleen je eigen data ziet, maar ook de data van 6,5 miljoen andere mensen.

[phoenix2149]

Het nadeel is dat je alleen ziet of je email in de data staat niet wat ze van mij hebben

[Bor]

Het is bekend welke records er in het lek zitten toch? Je kan er dus vanuit gaan dat die records in het slechtste geval allemaal gevuld zijn.

[phoenix2149]

Nou nee. Want er staat dat paspoort, rijbewijs en ID nummers gestolen zijn. Geef jij ook altijd alle drie ter identificatie?

Nee toch? Ik be vrij recent verhuisd. Hebben ze dan mijn oude of nieuwe adres? Ik weet niet meer precies welke ID ik gebruikt heb en sinds ID's 10 jaar geldig zijn en duur wil ik graag weten welke ik ook alweer gebruikt had en of die reeds is vernieuwd.

Overigens staat in de eerste email dat er geen ID nummers gestolen zijn, maar dat blijkt wel het geval. Dus wat hebben ze nu van mij?

Hoe dan ook wil ik precies weten wat er gestolen is, is dat zo'n gekke vraag?

[Reactie gewijzigd door phoenix2149 op 1 maart 2026 11:40]

[Bor]

Want er staat dat paspoort, rijbewijs en ID nummers gestolen zijn. Geef jij ook altijd alle drie ter identificatie?

Je weet zelf toch waarmee je je hebt gelegitimeerd neem ik aan? Dan zal het om het nummer van dat identiteitsbewijs gaan.

[phoenix2149]

Ik zeg net dat ik niet precies weet welke ik heb gebruikt, ik heb 4 of 5 jaar geleden afgesloten, in tussentijd is paspoort vervangen en heb in ‘22 een id kaart aangevraagd die nog geldig is en rijbewijs geldig s ook nog geldig.

Dus ik wil weten wat ODIDO van mij geregistreerd heeft en wat de hackers in handen hebben.

[jongetje]

Ga er gewoom vanuit dat ze dat allemaal van je hebben en houd daar rekening mee.

Verder kun je met een documentnummer van een reisdocument weinig zonder het document daadwerkelijk in bezit te hebben.

[Triblade_8472]

Zeker niet, een hele logische èn terechte vraag!

Wellicht zou Odido deze gegevens in je account kunnen plaatsen ter inzage? Gaan ze nooit doen natuurlijk, maar dat is het enige alternatief.

[Sandor_Clegane]

Nee dat is helemaal niet gek, helemaal omdat alles op je eigen verantwoordelijkheid is tegenwoordig.

[GertMenkel]

Voor mensen die ik gesproken heb die zelf een kijkje hebben genomen, blijkt die informatie dus niet accuraat. In hun geval stond er in de datadump minder dan wat er in de mail die ze kregen stond, maar wel weer een paar andere velden die Odido nooit vermeld had.

Wellicht dat je wat kan met een AVG-inzageverzoek aan Odido.

[DNA_Saint]

Wat is je punt? Dat de politie meer bevoegdheden heeft dan een burger? 🤔

Als je de dataset download heb je ook alle gegevens van 6.5 andere burgers en bedrijven. Iets van het doel en middel...

[m.z]

Aanvullend, zoals in het vorig artikel benoemd werdt: nieuws: Hackers publiceren weer Odido-data, Have I Been Pwned voegt eerste gegevens toe kan je je gegevens dus ook checken via: https://haveibeenpwned.com/

[Rogers]

Daar staat alleen of je in de lek zit niet wat er exact van jou gelekt is.

[m.z]

Klopt inderdaad, maar ik begreep uit het bericht waarop ik had gereageerd, dat alleen melding krijgt als je in de datalek staat. Ik wist niet of je dan ook krijg medegedeeld wat er gelekt is. Plus, ik begreep dat mijn link wel alles al heeft, terwijl de pagina van de politie nog niet actueel is. Vandaar.

[Drardollan]

Je hebt natuurlijk 100% gelijk en uiteraard moet men dit niet gaan downloaden.

Dat gezegd hebbende, hoe gaat hier ooit iemand achter komen? Bronserver staat in Rusland en de data is ontzettend veel gedownload en via-via verspreid. Al zouden ze bij je uitkomen, wat dan? Als je de gegevens verder niet opgeslagen hebt en enkel voor 'algemeen belang' (rekbaar begrip) geraadpleegd hebt dan is er niet eens serieus bewijs. Dat gaat je hooguit een waarschuwing van een rechter opleveren in Nederland.

Waarmee ik het absoluut niet wil aanmoedigen of steunen als mensen het toch doen. Laat dat helder zijn.

[GertMenkel]

Ik mag toch hopen dat de Nederlandse autoriteiten, voor zover binnen de Nederlandse grenzen mogelijk is, internetverkeer naar die downloadserver in de gaten houden. Ze hebben hard gestreden voor de Sleepwet om heel het land live af te kunnen tappen, dan verwacht ik ook dat ze bij zoiets simpels hun middelen ook daadwerkelijk gaan inzetten.

Dingen als "algemeen belang" hebben in de wet wel de nodige uitzonderingen, maar ik zou het als leek niet als schild zien. Ik zou een advocaat die inschatting laten maken voor ik het als verdediging in de rechtbank zou voorleggen. Ik denk dat het grootste risico hier, voor de mensen op Tweakers, is dat je als voorbeeld eruit wordt gepikt, er met een kleine taakstraf vanaf komt, maar dan jarenlang met computervredebreuk op je strafblad zit.

Maar goed, laten we realistisch blijven: als het op computerfraudezaken aankomt, zit de pakkans na twee jaar onder één procent bij daadwerkelijke oplichters. Aangifte van diefstal wordt weggewuifd naar onlineformuliertjes tenzij er grote bedragen mee zijn gemoeid en zelfs dan kun je beter zelf op zoek naar je gestolen fiets dan dat de politie er ooit iets mee gaat doen. Als dat soort dingen allemaal al te veel werk met te weinig slagingskans zijn voor de politie, betwijfel ik ten zeerste dat ze achter een Tweaker aangaan die wil opzoeken hoeveel data er van hem of haar is gelekt.

Als er mensen straf krijgen voor het downloaden, vermoed ik dat dat de mensen zijn die proberen andere mensen af te persen, zwart te maken, lopen te stalken, of op een andere manier de data misbruiken. Mocht het OM niet in staat zijn sluitend bewijs te vinden voor daadwerkelijke diefstal, dan kunnen ze nog altijd met dataheling een straf afdwingen zodat dat soort mensen niet helemaal vrijuit gaan.

[Reactie gewijzigd door GertMenkel op 1 maart 2026 15:46]

[Toine1]

Check je hack

Update 27-02 (11:45) U kunt hier (nog) geen check doen op de gelekte data van Odido.



overigens, https://haveibeenpwned.com/ Is wel actueel.

[Reactie gewijzigd door Toine1 op 1 maart 2026 10:43]

[Infant]

Sure.

En wat is de straf op grove nalatigheid waardoor nu iedereen inclusief kennelijk een of andere Microsoft MVP deze informatie bezit? Die zal dan wel in de miljoenen jaren celstraf / euro's oplopen?

[TouW]

Het mag duidelijk zijn dat deze gevevens inmiddels openbaar zijn gemaakt. Zie Memorie van Toelichting bij Computercriminaliteit III:

"Het downloaden van openbare gegevens van internet is dus niet strafbaar op grond van deze strafbepalingen. Hiervoor kan worden verwezen naar de artikelsgewijze toelichting op artikel 139g Sr (Artikel I, onderdeel E). De voorgestelde strafbaarstelling laat de mogelijkheid van civielrechtelijk optreden door het slachtoffer, op grond van onrechtmatige daad, onverlet."

Maar, zelfs als je verdedigt dat art. 138c/139g Sr hier niet van toepassing is, blijft het downloaden juridisch riskant: je haalt dan zelf een grote hoeveelheid persoonsgegevens van derden binnen. Dat is óók verwerking van persoonsgegevens, waarvoor buiten de strikt persoonlijke/huishoudelijke sfeer een AVG-grondslag nodig kan zijn. Het belang om je eigen gelekte gegevens te controleren geeft dus niet automatisch een vrijbrief om een volledige dump te downloaden; de betere route lijkt Odido formeel te vragen (bijv. via een AVG-inzageverzoek/recht op inzage) welke persoonsgegevens van jou zijn verwerkt en welke daarvan door het lek zijn geraakt.

[Darses]

Goed punt. Als de gegevens nu als openbare informatie gezien worden doordat ze vrij te downloaden zijn, dan zal dit artikel ook niet meer van toepassing zijn.

[GertMenkel]

Deze gegevens zijn niet legaal openbaar gemaakt. Deze hackers hebben niet het recht om gegevens te openbaren dus ik denk niet dat de rechter het met deze lezing eens zou zijn.

"Openbare gegevens" in deze context zijn eerder dingen als uittreksels van de KvK, bepaalde onderzoeksdatabases, dat soort dingen, waarvan de eigenaar het recht heeft om die informatie te delen.

Wat betreft het inzageverzoek: dat lijkt me het beste juridische middel, al verwacht ik dat er onderhand zoveel verwijderingsverzoeken in de inbox van de privacy officer staan dat zo'n aanvraag nog wel even kan duren.

Daarnaast heeft Odido eerder gelogen over de persoonlijke informatie die gelekt is (zoals het bewaren van data voorbij het bewaartermijn en het niet noemen van het feit dat persoonlijke indicatoren zoals onder bewind staan of niet) of, zoals hun lezing tegen de NOS was, voor hen een verrassing was. Ik heb sterk mijn twijfels dat ze na een standaardformulier ineens wel de waarheid gaan spreken/competent genoeg zijn om alle informatie op te zoeken.

[doctormetal]

De data saat overigens wel al op https://haveibeenpwned.com/ waar ik mezelf ook al terug kon vinden.

[pdidi]

Alles valt of staat met de definitie van Openbaar Toegankelijk. En de opmerking van Arnoud dat het zijn "stellige overtuiging" is dat zaken op het dark web niet openbaar zijn, laat op z'n minst ruimte voor interpretatie. Jan en alleman kan tegenwoordig op het dark web zaken zoeken

[Zeurkool]

Ik kreeg vanmorgen deze mail:
You've been pwned in the Odido data breach

You signed up for notifications when your account was pwned in a data breach and unfortunately, it's happened. Here's what's known about the breach:

Ik zit er behoorlijk mee in mijn maag, en de afkoop van ODIDO met een gratis abonnement op F-Secure doet daar niets aan af.

[Danfoss]

Dan noem je jezelf journalist en zit je goed.

[jacob.korf]

Thanks voor de tip. De link die je deelt is puur op emailadres en geen melding van de bron. Ik weet dat bijv. Norton een darkweb check heeft en https://haveibeenpwned.com/

Maar zaken als bsn, bankrekening of andere id-gevoelige informatie. Is daar ook op te checken op een veilige manier?

[rko4u]

https://haveibeenpwned.com Weet al te vertellen wie er gelekt is, dus daar kan je vast kijken, maar ga er van uit dat het iedereen is die de laatste jaren klant is geweest van Odido en zo’n beetje alles wat er bestaat aan prive data.

[ELD]

Ja maar sie heeft geen specifieke data per account

[ro4sho]

En als je wil weten welke gegevens er precies van jou zijn gelekt?

[ELD]

En als ik zelf mijn eigen data wil zien wat dan, die kun je nergens vinden behalve dan die download.

[zath]

Dit is echt zulke belangrijkdoenerij en ik wil de rechter nog wel eens zien die hier een veroordeling voor gaat geven. Deze data zijn gewoon zo goed als "openbaar". Met de hoeveelheid media aandacht die hiervoor is geweest is iedereen met malafide intenties volledig op de hoogte en zullen dit dataset direct hebben gedownload. Het idee dat je nog schade aan kan brengen door dit soort data in je eigen bezit te hebben is complete onzin. Laat mensen vooral weten welke informatie over hen nu precies gelekt is zodat ze zich ertegen kunnen wapenen.

En "check je hack" is leuk maar gaat natuurlijk alleen zeggen OF je erin zit, niet welke aantekeningen een willekeurige Odido medewerker in je dossier heeft gemaakt over jou, die nu tegen je gebruikt kan worden.

[Jari_b]

Extra context: Memorie van Toelichting van 138c en 139g Sr

"De strafbaarstelling van zowel het wederrechtelijk overnemen van gegevens als van het voorhanden hebben of bekend maken van door misdrijf verkregen gegevens heeft uitsluitend betrekking op niet-openbare gegevens. Hiermee worden gegevens bedoeld die niet voor het publiek beschikbaar zijn. Gegevens die op het internet zijn geplaatst, zijn openbaar mits het publiek toegang heeft tot de internetpagina waar de teksten zijn weergegeven (vgl. Hof Amsterdam 23 november 2009, NJFS 2010,29). Het downloaden van openbare gegevens van internet is dus niet strafbaar op grond van deze strafbepalingen. Hiervoor kan worden verwezen naar de artikelsgewijze toelichting op artikel 139g Sr (Artikel I, onderdeel E). De voorgestelde strafbaarstelling laat de mogelijkheid van civielrechtelijk optreden door het slachtoffer, op grond van onrechtmatige daad, onverlet."

[HansMij]

Daar staat dat er gegevens gelekt zijn die ik odido nooit gegeven heb.

[Reactie gewijzigd door HansMij op 1 maart 2026 13:15]

[LongJoy1980]

Weet je...op dit moment zou ik zo een complete sch**t hebben of het wel/niet strafbaar is.
Ik, als potentieel slachtoffer, heb het recht om gvd te weten wat er specifiek over mij is gelekt en waar ik dus voor op moet passen.
Ja..we hebben algemene waarschuwingen gekregen maar toch vind IK het fijner om te weten wat men allemaal over mij te weten is gekomen en dan laat ik mij niet door 1 of andere miezerige zogenaamde wet mij tegenhouden.
Ja..mijn data staat ertussen aangezien ik ook al mail van Odido heb gehad en have I been pwnd ook hetzelfde aangeeft...ben zowieso al on high alert maar de beperkingen die je zogenaamd al worden opgelegd zijn niet meer van deze tijd. Mijn data boeit het mij...de rest van de slachtoffers boeit mij niet.

[HijDieAllesWeet]

Ik heb vanochtend gekeken op https://haveibeenpwned.com/ . Daar stond het laatste lek toen al op. Volgens die site is 1 telefoon nummer, 1 email adres en 1 bankrekening nummer van mij gelekt. Maar ik heb er weinig vertrouwen in dat dat het enige is wat er gelekt is van mij.

Zijn er mensen die via die site (of andere sites) melding hebben gekregen van de andere zaken als paspoort nummer e.d. openbaar zijn gemaakt?

Ik ga het voorlopig niet doen want het mag niet. Maar ik kan mij voorstellen dat het verleidelijk is om de data set te gaan downloaden om te kijken wat er nou precies van mij openbaar gemaakt is. Mag misschien niet maar lijkt mij wel een legitiem doel. Het is best handig om te weten of mijn paspoort nummer e.d. nu eigenlijk openbare informatie is!

Ik ben ook de laatste jaren meerdere keren klant geweest bij Odido / T-Mobile met hetzelfde email adres. Ik weet nu dus ook niet welk telefoonnummer / bankrekeningnummer er gelekt is!

[Reactie gewijzigd door HijDieAllesWeet op 1 maart 2026 13:50]

[Geim]

Ik heb vanochtend gekeken op https://haveibeenpwned.com/ . Daar stond het laatste lek toen al op. Volgens die site is 1 telefoon nummer, 1 email adres en 1 bankrekening nummer van mij gelekt!

Hoe kun je dat zien? Ik krijg alleen algemene info te zien, meer van wat er gelekt kan zijn.

[HijDieAllesWeet]

Als ik daar mijn email invul kom ik bij een pagina die laat zien dat er mijn email gelekt is. Ook welk email (logisch want daar zocht ik op). En dan 1 telefoon nummer en 1 bank rekening nummer. Ze vermelden niet welke nummers maar dat is ook logisch anders kun je van elk willekeurige email de nummers erbij zien.

[Hamsterfish]

Aangezien er een uitzondering is voor de journalistiek, is het misschien een idee voor Tweakers om die dataset te bewaren mochten mensen die later een rechtszaak willen beginnen na identiteitsfraude die dataset nodig hebben als bewijslast? Tweakers mag het blijkbaar sowieso downloaden. Of komt dan de
AVG om de hoek kijken?

[Geim]

Ga alsjeblieft niet zelf dit soort data sets downloaden,

Ik weet dat er Odido data van mij openbaar gemaakt is, maar hoe kom ik er achter welke data dat is?

[HijDieAllesWeet]

Voorlopig gewoon niet behalve als je zelf gaat kijken maar dat mag dus kennelijk niet. Misschien dat er binnenkort sites komen waar je het op kan zoeken. Maar het is natuurlijk niet echt juist als je op een website kan kijken welke gegevens er openbaar gemaakt zijn op puur je email/telefoon nummer. Want dan kan ik direct ook jouw email invullen en dan je rekening nummer inzien.

[familyman]

Ik blijf het vooral bizar vinden dat een dergelijke dataset makkelijker is voor mij om te bepalen wat odido aan data over mij heeft dan odido zelf proberen te contacteren

We hebben het over dafa van 10 plus jaar oud

[iAR]

Ergens is dat toch krom?! Ik realiseerde dat ik relatief recent een nieuw paspoort heb. Maar ik weet niet welk nummer Odido heeft. Als ik de dataset wil checken ben ik strafbaar?

Check je Jack of have I been owned vertelt mij dat niet…

[jdh009]

Is er sinds 2023 iets veranderd?

Gegevens die op het internet zijn geplaatst, zijn openbaar mits het publiek toegang heeft tot de internetpagina waar de teksten zijn weergegeven (vgl. Hof Amsterdam 23 november 2009, NJFS 2010,29). Het downloaden van openbare gegevens van internet is dus niet strafbaar op grond van deze strafbepalingen.

En:

Het enkel snuffelen uit nieuwsgierigheid is dus niet strafbaar. Als je de gegevens voor wat anders gaat gebruiken, dan krijg je wel allerlei wettelijke bezwaren. Ze overnemen in een eigen bestand (je AI trainen, je marketingdata verrijken of een waarschuwingssite bouwen, ik noem er een paar) kan al snel in strijd zijn met de AVG als er persoonsgegevens in zitten. De gegevens kunnen beschermd zijn door auteursrecht of databankrecht. Een herpublicatie kan smaad opleveren. En ga zo maar door.

Bron: https://www.security.nl/p...+gelekte+data+te+bekijken

Of is deze casus echt zoveel anders @Arnoud Engelfriet (data staat namelijk niet meer alleen op het 'darkweb' maar ook op vrij toegankelijke sites en te vinden via een zoekmachine of Twitter)?

[Reactie gewijzigd door jdh009 op 1 maart 2026 18:52]

[i7x]

Zal allemaal wel maar ik wil gewoon zien wat van mijn eigen gegevens bekend is, niet simpelweg een check om te kijken of er iets gelekt is—dat is iets heel anders.


En wbt de wetgeving, dat is alleen relevant als de overheid erachter komt en het dan ook nog gaat handhaven. Wordt een mooi verhaal in de rechtbank, Pietje die z’n eigen data download terwijl de werkelijke daders geen enkel gevolg ondervinden. Lijkt mij nogal sterkt dat ze überhaupt tijd zouden gaan steken daarin. Maar goed, het is een risico ja, handig om mee te nemen.

[dwarfangel]

ik wil weten welke data er van mij in omloop is, dus rechtvaardigd dat het belang. als men dat had willen voorkomen dan had men dat moeten voorkomen dat het op straat ligt. willekeurig mensen vervolgen omdat ze de scherven oprapen, lijkt me vrij niet de juiste inzet van de wet

[bzuidgeest]

Op check je hack zie ik dit:

Update 27-02 (11:45) U kunt hier (nog) geen check doen op de gelekte data van Odido.

Ik geef je gelijk dat mensen niet op zoek moeten naar de dataset. Maar ze laten mensen wel wachten. Dat vind ik niet erg netjes. En ik begrijp wel dat mensen willen weten wat er in zit. Ik ben ook nieuwsgierig naar wat odido eventueel over mij heeft gedocumenteerd.

[MadDogMcCree]

Ik zou eerlijk gezegd eerder waarschuwen voor eventueel verborgen malware in de datasets. Dat is een stuk riskanter.

[free4all90]

tuurlijk download ik deze info , niet mijn probleem dat deze info op straat ligt .En buiten dat , boeiend . Daar gaan ze nooit wat mee doen . Waarom kan zogenaamde journalist van rtl deze wel inzien ? En beetje zoeken kom je wel op deze files ... gewoon beetje ballen tonen voor je eigen privacy !!

[banaj]

De data is openbaar, oftewel niet niet-openbaar.

[PtrO]

Hoe moet je dat controleren wanneer je (ik zelf al) 200+ email identificaties hebt ?
En dan nog, ik kan mijn naam, geborotedatum, BSN en IBAN niet veranderen.

[Dutchzilla]

Als persoonsgegevens van miljoenen klanten op straat liggen, dan heb je het niet over een “incidentje”, maar over falende basisbeveiliging. Dan mag je best de vraag stellen wie de rekening betaalt.

Misschien moet Odido niet alleen een boete aftikken richting de schatkist, maar concreet opdraaien voor de schade bij klanten. Denk aan het kosteloos vervangen van identiteitskaarten of paspoorten wanneer die gegevens aantoonbaar zijn gelekt, plus langdurige monitoring tegen identiteitsfraude. Want laten we eerlijk zijn: voor mensen met een unieke naam (ben ik helaas een van) is misbruik een stuk sneller herleidbaar en daarmee ook risicovoller.

Wat ze waarschijnlijk krijgen? Een berisping, een boete die in de staatskas verdwijnt, een persbericht met “we nemen dit zeer serieus” en daarna gaat iedereen weer over tot de orde van de dag. De gedupeerden mogen zelf uitzoeken hoe ze de komende jaren alert blijven op leningen of abonnementen die op hun naam worden afgesloten.

Als bedrijven structureel weten dat de echte kosten van een datalek bij henzelf terechtkomen, inclusief directe compensatie aan klanten, dan verandert er pas echt iets aan prioriteit en beveiligingsbudgetten. Tot die tijd blijft het voor grote partijen vooral een ingecalculeerd risico.

[rickvdvulkaan]

En toch vraag ik me altijd af waarom het zo erg is dat mijn paspoort online te vinden is. Of mijn adres. Het zou wat anders zijn als mensen geld van mijn rekening kunnen halen. Of als je echt anoniem wil leven. Het lijkt me meer een beschamend iets voor de ict afdeling van odido, dan dat het werkelijk iets "ergs" is voor de meeste mensen. Toch? Of zie ik nu iets over het hoofd?

[GertMenkel]

Naam, adres, bankgegevens, en zelfs een foto van je paspoort zouden niet echt een probleem moeten zijn. Helaas zijn dat wel vaak de gegevens die gebruikt worden om op afstand te bevestigen dat je bent wie je beweert te zijn, en de enige stap die je beschermd tegen allerlei frauduleuze valse accounts, bestellingen, en andere ongein.

Paspoorten worden gebruikt om op plaatsen als Marktplaats met jouw naam en eventueel adres een account te maken en mensen op te lichten. Er is bijvoorbeeld een babbeltruc die in het verleden aardig vaak gebruikt werd om een paspoortscan van anderen te stelen voor eerst je "eigen" paspoort te sturen via de chat ter "verificatie", met een heel verhaal, en dan ook nog eens geld afhandig te maken op het einde. Boze, opgelichte mensen staan ineens voor de deur van nietsvermoedende slachtoffers van oplichting om te vragen waar hun honderd euro heen is en de dief gaat vrijuit.

Ook is een paspoortscan onderdeel van veel beveiligingsstappen voor bijvoorbeeld het inloggen op je bankrekening. Je inloggegevens voor internetbankieren + je identiteitsbewijs zijn genoeg om een bankapp te activeren, die vervolgens ook meteen als tweefactorauthenticatie kan dienen.

Net zoals het BSN ooit alleen als administratief nummertje bedoeld was en nu fungeert als iets wat absoluut geheim zou moeten zijn, zijn de gegevens uit deze datadump op zichzelf grotendeels onschuldig, maar maakt de manier waarop ze gebruikt worden de schade.

Daarnaast is voor zo'n 6,5 miljoen mensen nu al het advies om phishingmails te vinden zo'n beetje waardeloos. Spookfacturen en andere ongein bevat nu niet alleen [e-mail], maar Pietje Jan Bertus Bakker's volledige adres, telefoonnummer, en meer.

Online-vetes van mensen die alleen andermans emailadres hebben, komen nu opeens de fysieke wereld in. Slechtopgevoede kinderen en volwassenen die zich als kinderen gedragen in online-games vinden het soms "leuk" om iemand te SWATen; nu is dat in Nederland niet zo'n risico, maar genoeg andere vervelende dingen die je op een afstandje kunt doen: 's nachts als je slaapt duizenden bestellingen op jouw naam+rekeningnummer+adres waarvan je de webshops mag gaan vertellen dat ze frauduleus zijn, bijvoorbeeld, en een poging doen om dat geld allemaal terug te storneren.

Overigens zijn er ook genoeg redenen om je adres geheim te houden. Slachtoffers van huiselijk geweld, stalking, en andere ongein zijn nu op te zoeken in databases. Je zou als Odido-klant maar in een blijf-van-mijn-lijf-huis zitten! Ook suggereerde de NOS een misbruikmethode die ik zelf nog niet bedacht had: criminelen kunnen vinden wie er onder bewind staan en uit wanhoop waarschijnlijk dus sneller bijten als ze een aanbod krijgen om snel, zwart geld te verdienen.

[jared9]

Het probleem zit ’m niet in één los gegeven. Het gaat om de combinatie. Als je paspoortgegevens, geboortedatum en adres ergens rondzwerven, kan iemand zich ineens best geloofwaardig als jou voordoen.

Daarmee kunnen ze bijvoorbeeld abonnementen op jouw naam afsluiten, spullen op afbetaling bestellen, proberen je telefoonnummer over te nemen (SIM-swap). En dat laatste is bij een telecombedrijf juist extra gevoelig, want je nummer hangt vaak aan je bank of DigiD voor sms-codes.

[Bathing Aap]

Noem 1 bedrijf waar dat ook echt zo simpel werkt.

[Keypunchie]

Een willekeurige huisarts...

Dat is dan geen abonnementen afsluiten, maar wel zeer gevoelige data die je kan ontfutselen.

[Reactie gewijzigd door Keypunchie op 1 maart 2026 11:04]

[Bathing Aap]

Nee dan moet je al je oude huisarts kennen voor de overdracht, en dan ga je naar de nieuwe huisarts die natuurlijk vraagt om een keer persoonlijk langs te komen, met je zorgpas.

[Jensw19]

Nou, buiten het stukje dan inderdaad voor de overdracht heb ik NIET fysiek langs hoeven te komen bij mn nieuwe huisartspraktijk.

[drvinnie]

odido

[nnndoh]

Heb wel me password van Bol.com veranderd, want daar kan je vaak
bestel nu . betaal later"kiezen.

[DNA_Saint]

Wat heeft het wachtwoord van bol.com temaken met dit lek?

En met achteraf betalen kan je met de gelekte gegevens niks. Dan heb je alsnog een photo Id, SMS verificatie en email verificatie nodig.

[nnndoh]

Neem aan met een omweg dat ze ook jouw email kunnen ontvangen op hun computers

[DNA_Saint]

Nee. Dat kan niet.

Niemand kan zomaar in mijn Gmail inloggen zonder 2fa.

En ook al was mijn verificatie wachtwoord gelekt, wat ik niet heb, dan is dat alsnog anders dan al mijn wachtwoorden.

Ik mag hopen dat het verificatie wachtwoord die mensen hebben afgesproken anders zijn dan hun email wachtwoord

[donny007]

Je kunt bij een partij als Hetzner een SEPA incasso instellen met alleen naam rekeninghouder + IBAN. Daarna kun je direct servers huren voor je dubieuze crypto/DDoS/filesharing operatie.

Uiteindelijk kun je die incasso wel weer terug laten storten, maar dan is het kwaad al geschied. Hetzner komt toch echt bij jou als "contractant" verhaal halen voor de betaling.

[jared9]

Het is geen angst zaaien, het is al jaren aan de gang:
https://www.juridischloket.nl/politie-en-justitie/aangifte/identiteitsfraude/

[DataMan]

Wel eens van phishing gehoord? Als het hackers lukt om met social engineering van 6,5 miljoen klanten deze gegevens te ontfutselen, denk je dat het ze dan niet lukt om op jouw naam contracten af te sluiten, goederen te bestellen, medische gegevens te stelen met behulp van wat ze nu in handen hebben, enz., etc.,?

[DNA_Saint]

Dat gaat dus niet gebeuren. Ze gaan we niks afsluiten of bestellen op jouw naam.

Enige wat gaat gebeuren is dat je meer phising mails krijgt.

[DataMan]

En wat maakt dat je daar zo overtuigd van bent?

[DNA_Saint]

Omdat het niet loont.

Waarom een contract afsluiten onder jouw naam? Bijna alle contracten die je als consument afsluit heb je een photo Id nodig. Voor de contracten die dat niet nodig hebben, moet je vooraf betalen. En in de uitzondering gevallen zijn ze niet eens interessant voor criminelen.

Zelfde voor bestellingen. Ik kan me geen realistische scenario bedenken waarbij dit gaat werken. Ook niet met klarna.

[DataMan]

De crimineel zal proberen uit jouw naam iets te kopen zonder betalen en jij zit het met het gedoe. Het gaat om identiteitsfraude.

[Richo999]

hoe gaan ze toegang krijgen tot de bankrekening om vanaf daar te betalen? Ze kunnen heel veel bestellen maar dan nog is er een betalings dingetje, jammer voor de webshop die zijn producten kwijt is en geen geld krijgt.

Belangrijkste is gewoon je bankrekening wat beter te gaan controleren voorlopig, verdachte transactie storneren en automatische incasso's ongedaan maken zodra je het merkt.

[FriXion]

Er kan van alles met die informatie gedaan worden. Genoeg instanties die verifiëren wie jij bent op basis van bijvoorbeeld de laatste cijfers van je bankrekeningnummer o.i.d.

[DNA_Saint]

Welke instanties en met welk doel? Ben daar wel benieuwd naar dan.

[Kyle]

Dat wilde ik ook wel weten, maar ik realiseerde me tijdig dat het niet slim is om dat hier te vermelden.
Je hoeft immers kwaadwillende figuren niet wijzer te maken.

[Richo999]

Odido zelf bijvoobeeld? ze zijn niet de enige.

[Martinspire]

Mja ik verwacht dat de meeste gegevens al wel ergens online stonden en anders was het een kwestie van tijd voordat het ergens ging lekken.

Ik zit wel te denken om misschien een nieuw id-bewijs aan te vragen, al is het helaas niet duidelijk wat nou van welke account is gelekt in deze data. De mail van odido met wat erin zou zitten, is wellicht al verouderd.

Verder hoop ik dat mijn bank wat beter op zal letten met dit soort situaties, al heb ik al wel altijd een paar notificaties aan staan voor als er bedragen worden afgeschreven, zodat ik daar meteen van op de hoogte ben.

Daarnaast is het denk ik wel aan te raden om je belangrijkste naasten even op de hoogte te brengen dat je gegevens gelekt zijn, dan zijn ze hopelijk ook wat beter voorbereid.

[kodak]

Het probleem gaat om het recht om zelf controle te hebben wie welke persoonlijke gegevens van je gebruikt. Natuurlijk kun je net doen als het geen probleem is dat jij geen controle hebt of iemand je gegevens illegaal verwerkt. Maar het recht is er ook om te voorkomen dat je op een later moment er last mee krijgt.

Overigens is het mogelijk dat criminelen nu geld van je rekening kunnen halen. Als ze een geldezel, bijvoorbeeld via afpersing of een gehacked bedrijf, weten te vinden die automatische incasso's kunnen doen dan hebben ze met je bankrekeningnummer, naam en adres nu genoeg om dat te doen. Banken eisen die gegevens maar controleren niet of die rechtmatig zijn verkregen. Het weten van die combinatie is in principe genoeg.

[runnershigh]

Zolang je zelf je incasso's blijft controleren, kun je ze binnen 8 weken storneren. Dan is het verder vooral een probleem van de bank.

[kodak]

Dat is het afschuiven van extra risico's op de slachtoffers en negeren dat een crimineel ondertussen serieuze extra problemen voor het slachtoffer kan veroorzaken.

[SCS2]

Voor het openen van belangrijke dingen wordt een kopie van je paspoort of id gevraagd.

Ja, je kan delen afdekken of er tekst in zetten dat het een kopie is.

Maar hoelang duurt het om een photoshop AI tool te maken die dat met het juist font weer invult ??

[Davy de Vries]

Hoelang duurt het voordat have i been pwned geüpdatet wordt?

update, is al geüpdatet. Ik zit er blijkbaar ook tussen. Maar ik heb nog geen enkele communicatie van odido gehad 🤷🏻‍♂️

[Reactie gewijzigd door Davy de Vries op 1 maart 2026 10:01]

[ifyeyeyuef]

De enige communicatie die Odido heeft gedaan was 1 email. Waardeloze club is het. Nergens in de media een excuus. Schouders ophalen en doorgaan met geld harken. Ik hoop oprecht dat het OM alle bestuurders en betrokken persoonlijk strafrechtelijk vervolgd. Uiteindelijk weten we dat dit nooit gaat gebeuren.

[911GT2]

Wat zou je dan precies willen? Odido heeft hier zelf ook niet voor gekozen. Het is alsof je Oekraïne verantwoordelijk maakt voor de oorlog waar ze in zitten en Zelensky aanklaagt dat zijn leger niet sterk genoeg was.

[ArmEagle]

Behalve dat Oekraïne de verdediging wél op orde had en de aanval grotendeels wist te weerstaan.

[iAR]

Odido heeft er niet voor gekozen. Maar blijkbaar hebben ze er wel voor gekozen om de waarschuwing van salesforce te negeren.

Je vergelijking is overigens nog niet eens een tang op een varken…

[911GT2]

Ze hebben inderdaad de waarschuwing van salesforce genegeerd die slechts weken van tevoren gegeven was. Heb je enig idee hoe lang het duurt om dergelijke veranderingen gedegen door te voeren? Dan heb je het niet over een week hoor.

Een waarschuwing krijgen en hem dan nog testen en implementeren zijn niet processen die je in een uurtje doorloopt.

[iAR]

Weken, week, uurtje… in een post ga je vrij snel. Wat is het nu?

Ik heb geen idee van Salesforce, en de periodes. En het probleem. Maar ik kan je wel vertellen dat als er bij ons een ernstig probleem is dat je soms wat harder doorpakt.

[Reactie gewijzigd door iAR op 1 maart 2026 15:19]

[911GT2]

Uiteraard. Maar iedereen weet je gooit niet ad-hoc een systeem om met 6.2 miljoen gebruikers er in.

Dat doe je met een plan. Ik kan je zeggen uit ervaring dat in salesforce niet binnen dit soort termijnen de benodigde mitigerende maatregelen doorgevoerd krijgt zonder dat ze daar bij CS heel veel last van hebben. En zelfs dan nog als het wel zou lukken moet je de workaround ook nog kunnen delen met je medewerkers.

Ik ontken niet dat ze hier veel beter op hadden moeten anticiperen. Maar zie het als Titanic. Als je de waarschuwing krijgt voor een ijsberg is bijsturen niet echt een optie meer in de gestelde termijn.

[Kyle]

Een verplichte periodieke beveiligings audit door erkende specialisten had de zwakke plekken veel
eerder boven water kunnen halen. Maar dat kost natuurlijk pecunia maar de totale schade nu is natuurlijk veel groter.

[mawashigeri]

Ik zou willen dat Odido mij vanochtend precies verteld had welke gegevens er nu op straat liggen.

Het is toch volstrekt idioot dat 6+ miljoen mensen dat nu zelf moeten achterhalen?

[911GT2]

En wat was er dan anders geweest? Je hebt toch een mail gehad? Hoe vaak wil je dat ze je mailen dan?

[Orian]

Ik heb helemaal geen mail van ze gehad, maar mijn gegevens zijn weldegelijk gelekt. Gelukkig zijn er andere organisaties die dit voor me in de gaten hebben gehouden, maar odido heb je geen zak aan.

[mawashigeri]

Ik wil van hun precies horen wat er nu op straat ligt, waarom moeten 6 miljoen mensen daar zelf achteraan jagen terwijl Odido dat centraal, legaal en efficiënt zou kunnen doen?

Waarom wordt Odido verdedigd, dat is voor mij onbegrijpelijk.

[xoniq]

Je hebt al gehoord wat er gelekt is.

Van andere media / bronnen ja! Om zeker te weten wat er daadwerkelijk is gelekt moet ik illegale dumps downloaden.

Odido heeft een verkapt mailtje gestuurd met slechts 20% van wat er écht gejat is. De rest verzwijgen ze. Ze hadden een mass mailing kunnen sturen met "oh het lek is groter dan gedacht, dit is er gelekt."

Stop met het verdedigen van een toko die hun kop in hun eigen reet steekt en doet alsof er niks meer gelekt is dan de originele mail. Waarom moet er steeds meer stront achterweg komen en houdt Odido na het 'mij niet bellen' hun kaken stijf op elkaar.

Dát neem ik ze kwalijk, niet het oorspronkelijke lekker (buiten de buitensporige bewaartermijn om).

[911GT2]

Het is maar waar je je druk om maakt. Ik ben met 4 abonnementen klanten bij ze. Ik vind het ook niet leuk. Maar probeer weg te blijven van uitspraken zoals de jouwe. Had het beter gekund? Zeker! Maar je bereikt er niets mee.

Odido heeft hier zelf niet voor gekozen. Als je enigszins weet hoe log deze organisaties bewegen begrijp je hoe moeilijk het is om bij te sturen. Dat pleit ze niet vrij, maar het wil niet zeggen dat ze hier om gevraagd hebben.

[mawashigeri]

Zij hebben wettelijke plichten verzaakt, overduidelijk. Ik heb hiervoor niet gekozen en ze hebben me helemaal niet verteld wat er precies gelekt is.

Waarom verdedig je Odido, werk je daar of zo of betalen ze je om hier te trollen?

[911GT2]

Ik voel me niet alsof ik zit te trollen. Vervelend als je dat zo ervaart.

Ik probeer alleen perspectief aan te brengen in je nogal eenzijdige blik. Ik pleit Odido niet vrij maar wat jij doet is victim blaming.

[mawashigeri]

Ik ben slachtoffer, Odido is de plichtsverzakende dienstverlener en niet een onschuldig slachtoffer. Heb je niet meegekregen dat ze allereerst geen beperking op toegang hadden, ten tweede geen gecompartimenteerde databases en ten derde illegaal veel te lang persoonsdata bewaarden?

Interessant dat je het eenzijdig vindt dat ik van mijn dienstverlener verwacht dat ze me gedetailleerd op de hoogte houden, het lukt Mozilla Monitor wel namelijk.

Natuurlijk zijn de hackers primair schuldig, maar Odido is geen omstander die er per ongeluk bij betrokken is geraakt. Hun nalatigheid maakte deze idioot grote lek mogelijk.

"Vervelend als je dat zo ervaart" is precies de reactie die ik van een schuldbewust bedrijf verwacht.

[Reactie gewijzigd door mawashigeri op 1 maart 2026 13:50]

[911GT2]

Ik ben ook slachtoffer. Maar maak me er niet zo druk om. Het is gebeurd. Je kan het niet veranderen. Met rancune bereik je niets. Iedereen kan fouten maken. Vergeven is makkelijker dan wraak koesteren en beter voor je gemoedsrust.

[mawashigeri]

"Het is gebeurd. Je kan het niet veranderen. Met rancune bereik je niets. Iedereen kan fouten maken. Vergeven is makkelijker dan wraak koesteren en beter voor je gemoedsrust."

Serieus? Je weet dat je op Tweakers zit en niet met tante Sjaan op nu punt nl aan het praten bent over een pak melk dat lekt?

Vandaar mijn conclusie: je bent aan het trollen en/of Odido medewerker.

[911GT2]

Ik ben geen van beide. Waarom wil je zo graag dat Odido iets aangedaan wordt? Wat win jij daarmee?

Je lijkt heel boos. Waarom wil je kwaad met kwaad vergelden?

[Reactie gewijzigd door 911GT2 op 1 maart 2026 14:57]

[mawashigeri]

Ziehier weer de tactiek om schuld af te schuiven.
Odido is het probleem, niet ik - en zo te zien ben jij dus ook deel van het probleem.

[Kyle]

Ik leef met je mee en kan me best voorstellen daf je woede uit je tenen komt. Maar ik kan me ook goed
voorstellen dat Odido plat gebeld en ge-emailed wordt en niet zomaar een paar blikken extra personeel
kan opentrekken. Dus van de kant van Odido verwacht ik voorlopig niets. Het enige wat je wel kan doen
is na te gaan welke maatregelen je kan treffen om de kans op schade zo veel mogelijk te verkleinen.
De evaluatie over schuldvraag komt later ongetwijfeld wel, want daarvoor is de impact te groot.

[mawashigeri]

Ze wisten dagen geleden al dat ze niet gingen betalen en dus konden verwachten dat er grootschalige datadumps aankwamen. Hierop hadden ze betrekkelijk eenvoudig kunnen anticiperen door met twee programmeurs om de dumps te analyseren en iedereen via een mail precies te vertellen wat er nu openbaar staat. Die informatie heb ik nu (misschien, geen idee of het compleet is) via Mozilla Monitor die dat kennelijk wel kunnen.

Eerst grove nalatigheid dus door databases dumpbaar te hebben via een simpele medewerkerstoegang, en nu nogmaals door niet snel en adequaat iedereen in te lichten wat er precies openbaar gemaakt is.

Als jij je pasje van je bank verloren hebt, wacht je dan een week met blokkeren?

[Kyle]

Ik ben het helemaal met je eens, laat daar geen misverstand over bestaan, maar de datadumps zijn volgens
shinyhunters niet volledig omdat ze nog een deel achter de hand houden. Wat daar in staat en wat ze daarmee van plan zijn is tot nu toe onbekend maar mijn inschatting is dat het heel gevoelige klanten info betreft die ze alsnog te gelde willen maken. Om helemaal ook hierover open kaart te spelen en volledig te zijn zou Odido in hun emails aan klanten deze aanvullende info moeten vermelden, maar dat ligt kennelijk te gevoelig bij Odido en vormt wellicht een dilemma waar ze denk ik niet uitkomen
Just my 2 cents.

[911GT2]

Fijne zondag. De zon schijnt. Geniet ervan!

[mawashigeri]

Daar zijn we het over eens, fijne zondag!

[mac1987]

Een betere vergelijking is dat de VVD jarenlang heeft bezuinigd op defensie en dan na een aanval waarbij we de helft van het land verliezen geen excuses aanbiedt.

[911GT2]

Wij hebben zelf de VVD gekozen. Net als we er zelf voor kiezen Odido te gebruiken. De keus is vooraf gemaakt om moverende redenen. Daar kun je achteraf niet over komen zeuren imho. Dan had je vooraf bewuster moeten kiezen.

Je hebt altijd keuze. Maar achteraf commentaar hebben is altijd makkelijk.

[mac1987]

Dat is een terechte opmerking zolang de handelingen conform vooraf gemaakte afspraken of beloftes zijn. De VVD heeft nooit in het partijprogramma opgenomen dat ze defensie weg zouden bezuinigen en Odido heeft nooit opgenomen in de algemene voorwaarden dat ze hun beveiliging niet op orde houden en na tekortkomingen alle verantwoordelijkheid zullen ontkennen. Bovendien is het niet meer dan redelijk dat iemand na bewuste keuzes verantwoordelijkheid neemt voor de gevolgen die uit die keuzes voortvloeien.

[Reactie gewijzigd door mac1987 op 1 maart 2026 14:30]

[Triblade_8472]

Nou ja, geen excuus, ja. Maar schouders ophalen dat ben ik het niet met je eens. De site geeft genoeg punten waarmee ze aantonen dat ze er wel flink mee bezig zijn.

[Orian]

De praktijk laat zien dat ze er helemaal niet mee bezig zijn. Sommige mensen hebben een mail gehad, maar velen ook niet. Op de vraag of ze een nieuw id bewijs gaan vergoeden krijg je alleen een 'het hogere management heeft besloten dit niet te doen' te horen.


Wat doen ze nou precies bij odido hiermee? Behalve een dikke middelvinger naar al hun (oud) klanten geven?

[Triblade_8472]

Als je verwacht dat ik ze ga verdedigen: dat ga ik niet doen. Blijkbaar zitten mensen zo in hun emotie dat ze er niet rationeel naar kunnen kijken.

Ik heb tot nu toe geen bericht op betrouwbare sites gezien dat velen de mail niet gehad hebben, dus dat zal wel...

Wat doen ze 'hiermee'? Welke 'hiermee' refereer je aan? Waar geven ze een "dikke middelvinger" dan? Ze zijn midden in een onderzoek, verwacht je half verzonnen resultaten ofzo? Waarom dat niet afwachten?
Er zijn meerdere bureaus ingeschakeld én het OM kijkt ernaar. Wat verwacht je nog meer?

Ze hebben geschreven wat er gebeurt is, hebben mails rondgestuurd, er zijn teams bezig met onderzoek... Wat zou jij als ceo meer doen dan?

[Orian]

Ik heb tot nu toe geen bericht op betrouwbare sites gezien dat velen de mail niet gehad hebben, dus dat zal wel...

Voorbeeld nummer 1 ben ik. Voor de andere tientallen voorbeelden stel ik voor dat je de reacties onder dit nieuwsbericht leest en het forum topic hier. Maargoed, zolang odido zelf niet bevestigd dat ze nalatig zijn zul je het wel geloven. Odido is immers een baken van betrouwbaarheid. Lol.

Wat doen ze 'hiermee'? Welke 'hiermee' refereer je aan? Waar geven ze een "dikke middelvinger" dan? Ze zijn midden in een onderzoek, verwacht je half verzonnen resultaten ofzo? Waarom dat niet afwachten?
Er zijn meerdere bureaus ingeschakeld én het OM kijkt ernaar. Wat verwacht je nog meer?

Ik verwacht iets minder dan 150 euro van ze, om een nieuw paspoort en rijbewijs aan te vragen. Zij zijn degenen die mijn persoonlijke gegevens hebben gelekt. En in dat geval mats ik ze nog, want alle tijd die ik eraan besteed (nieuwe aanvraag, ophalen etc.) doe ik dan al uit eigen tijd. Als ze echt netjes waren zouden ze die uren vergoeden, want ik heb wel betere zaken met mijn tijd te doen.

Ze hebben geschreven wat er gebeurt is, hebben mails rondgestuurd, er zijn teams bezig met onderzoek... Wat zou jij als ceo meer doen dan?

Correctie, ze hebben een deel van de mensen gemaild, lang niet alle slachtoffers.

En wat ik als ceo zou doen? Om te beginnen diep door het stof, in plaats van deze bizar arrogante houding. En ten tweede alle kosten vergoeden. Oh, en ten derde aftreden.


Maargoed, het wordt me steeds duidelijker waar odido wel zijn tijd en geld aan besteedt, o.a. mensen betalen om ze online te verdedigen. Case in point: bericht hierboven.


Anyway, ik ga niet meer op je reageren als je toch al de feiten gewoon negeert.

[Triblade_8472]

Dus... Jij wil geld zien vóór zij zeker weten of jouw paspoort\rijbewijs gegevens gejat zijn? Typisch.

Ik wacht liever onderzoek af. Dáárna mag je conclusies trekken en vergoeding eisen.

Ik zie ook geen arrogante houding, ze zeggen precies wat er aan de hand is en wachten onderzoek af. Ze hebben meermaals aangegeven dat het ze betreurt. Voor de rest: geduld. Het is lastig, ik weet het.

Ik ben dan ook absoluut voor keihard straffen als er gegevens onterecht bewaard zijn. Liefst mét celstraf voor bestuurders. Maar: wacht... het... onderzoek... af.

[sOid]

Onder de NIS2/Cbw zijn bestuurders bij grove nalatigheid hoofdelijk aansprakelijk. Ik vermoed dat Odido onder deze wetgeving wordt gezien als ¨essentiële entiteit".

De juridische status van de wetgeving is mij echter niet helemaal duidelijk voor dit soort zaken. Afaik is de NIS2 Europees wel van kracht, maar is het nog niet vertaald in nationale wetgeving (in NL de Cbw).

[banaj]

De Nederlandse overheid is vreselijk traag: NIS2 is in Nederland meermaals vetraagd / vooruit geschoven. De verwachting nu is dat de Cbw rond de zomer op het programma staat.

[SCS2]

Dat is niet waar.

Ik heb tientallen reclames zien/horen langskomen in de tussen tijd.
Lachende gezichten, blije toon.

Ook met het nieuws er direct achteraan, dat begon met de hack ..... ;-)

[Somoghi]

Mijn emailadres wordt al weergegeven bij de odido hack op have i been pwned.

[smoove]

waarom heeft Odido ID-bewijzen zoals rijbewijzen en paspoorten nodig voor een abonnement van een paar tientjes per maand? en bovendien is het een buitenlands bedrijf

[DaRealRenzel]

Odido is gewoon een Nederlands bedrijf. Waar jij als klant zaken mee doet is Odido Netherlands BV.

Als je een abonnement aangaat, met name eentje waarbij je een gratis telefoon bij krijgt, ga je in feite een koop op afbetaling aan. Dat is een vorm van lening die bij het BKR geregistreerd moet worden.
Ook bij een prepaid SIM kaart moet officieel de indetiteit van de koper vastgesteld worden, omdat in geval van een tap bijvoorbeeld, men zeker moet weten bij welke persoon de tap gelegd wordt.
Echter, identiteit vast stellen betekent niet ook meteen scan maken van ID bewijs en die opslaan. De medewerker in de winkel moet jouw identiteit vaststellen aan de hand van jouw ID bewijs, en het volstaat dan om in het systeem het nummer van je ID kaart vast te leggen, met een verklaring (vinkje in het juiste vakje) dat je identiteit is gevalideerd.

[Reactie gewijzigd door DaRealRenzel op 1 maart 2026 13:54]

[JKP]

Waar baseer je het op dat je je voor een prepaid sim moet legitimeren? Recent (~ 2 weken geleden) nog 2 prepaid sims gekocht. Beide keren geen legitimatie nodig.

[DaRealRenzel]

Je hebt gelijk, het is in NL geen wet om de identiteit vast te stellen bij ene prepaid SIM, wat wel het geval is in Belgie en Duitsland.

[Reactie gewijzigd door DaRealRenzel op 1 maart 2026 13:54]

[JKP]

Geen probleem, het is ook lastig om al die verschillende regelgeving per land uit elkaar te houden. Er is in het verleden (2016) wel een poging gedaan om het verplicht te stellen maar dat is - wat mij betreft maar goed ook - uiteindelijk niet gelukt.

[kr4t0s]

Ze zijn verplicht ID te checken ivm met fraude- en terrorismebestrijding en dan mee te werken als politie of andere dienst erom vraagt. Dat is prima. Wat niet goed is dat blijkbaar die ID's voor elke medewerker (helpdesk) in te zien zijn. Die ID's horen in een "kluis" of in losse omgeving te staan waar alleen fraude team bij kan.

[smoove]

alsof terroristen thuis gaan internetten ipv publieke wifi etc..

[DaRealRenzel]

Klopt, maar ID Checken (Identiteit vast stellen) betekend niet dat je ook kopietjes van ID bewijzen moet opslaan in je systeem.
Gelukkig heeft ODIDO ook alleen maar ID bewijs nummer opgeslagen in het klantenservice-systeem. Maar nog steeds wordt er bij de winkels gevraagd en ge-eist dat er een ID Scan wordt gemaakt, anders krijg je ej abbo niet. EWn dat hoeft niet, als Odido de medewerker in de winkel gewoon vertrouwt, dus als die jouw identiteit vast stelt aan de hand van je ID bewijs, dat er vertrowud wordt op die vaststelling, en niet dat er ook een scan nodig is.

[R4gnax]

Klopt, maar ID Checken (Identiteit vast stellen) betekend niet dat je ook kopietjes van ID bewijzen moet opslaan in je systeem.

Hebben ze ook niet. Alleen document nummer (Het volgnummer v/h paspoort of de ID kaart zelf; niet jouw BSN!) en vervaldatum.

Tweakers citeert de NOS fout in dit artikel:
R4gnax in 'Gestolen gegevens van alle 6,5 miljoen Odido-klanten staan nu online'

[StefanJanssen]

"sorry, het is niet onze schuld dat je geen kogelvrijvest droeg toen we je neerschoten"

[Olaf van der Spek]

Ze hebben wel een punt.. Odido had zijn zaakjes simpelweg niet op orde.

[xxtremexx]

De oorzaak lijkt mij een combinatie van verantwoordelijkheden aan zowel de kant van Odido als leveranciers.

Salesforce geeft aan (NOS artikel) klanten te hebben gewaarschuwd, maar lijkt zelf geen actief beveiligingsbeleid te hebben terwijl men op de hoogte was van soortgelijke incidenten bij andere partijen. Sinds 2025 wordt er gebruikgemaakt van een gemanipuleerde versie van Salesforce's eigen Data Loader OAuth-app (bron: Truesec.com. Salesforce had deze app kunnen aanpassen en voorzien van een extra beveiligingslaag.

Tegelijkertijd draagt ook Odido een deel van de verantwoordelijkheid. De vraag dringt zich op waarom het mogelijk was om op grote schaal data te downloaden zonder dat dit alarmsignalen activeerde. Een goed rechten- en monitoringbeleid had een dergelijke download-hoveelheid tijdig moeten detecteren of voorkomen. Ook is Odido natuurlijk bijzonder slordig om gegaan met bewaartermijnen en attributen.

Hier zal het laatste woord nog niet over gesproken zijn.

[GertMenkel]

Salesforce of niet, Odido heeft besloten hun data in Salesforce te stoppen. Odido is verantwoordelijk voor de data die ze verwerken en lekken.

Als ze kunnen beargumenteren dat het originele lek de schuld is van Salesforce, dan kunnen ze de rekening voor enige consequenties naar Salesforce sturen nadat ze hun eigen rechtszaak gewonnen hebben. Als eindklant van Odido kan het me een bal wezen of Odido die data in Salesforce gestopt heeft of in een Excelsheet op een netwerkshare.

Aangezien Odido gegevens van oud-klanten voorbij hun zelf-opgestelde bewaartermijn in de database had staan én Salesforce een waarschuwing voor actieve phishingaanvallen had rondgestuurd, denk ik dat Odido maar weinig kans maakt om de leverancier hier de schuld van te geven.

[StefanJanssen]

Het klopt dat Odido zn zaakjes beter op orde had moeten hebben, maar zelfs als een juwlier zijn deuren wagenwijd openzet is het nog steeds diefstal als er mensen binnenkomen en dingen meeneemt zonder te betalen.

[eilavid]

Echter heeft de juwelier die zijn deuren openzet alleen zichzelf ermee. Nu zijn 6 miljoen Nederlanders de dupe.

[Keypunchie]

Maar de daad van het duperen heeft Odido niet gedaan. Dat heeft ShinyHunters gedaan.

Let ook op, we hebben het hier niet over een open webdir of zoiets. ShinyHunters heeft aktief medewerkers 2FA codes ontfutseld.

Odido heeft dingen verkeerd gedaan, maar daarmee is ShinyHunters niet plotseling iets anders dan een criminele organisatie.

Laat ik het zo stellen: Bob steelt de portomonnee van Alice. Vervolgens steelt Carol de portomonnee weer van Bob. Bob heeft wat fout gedaan, maar dat betekent niet dat wat Carol gedaan heeft plotseling geen diefstal is. (Zelfs niet als Carol vervolgens de portomonnee wel aan Alice wil teruggeven, maar alleen als Bob een flink bedrag aan haar geeft...)

[Reactie gewijzigd door Keypunchie op 1 maart 2026 11:12]

[HansMij]

Misschien dat Odido een beloning kan uitloven voor het achterhalen van de naw-gegevens van de daders. Kan Odido dat op zijn beurt publiceren, kunnen benadeelden op dezelfde manier eigen rechter spelen als Shiny Hunters heeft gedaan.

Zal wel wishful thinking zijn.

[GertMenkel]

Als we Brian Krebs mogen geloven, weten we al dat het hoofd van deze ring in Jordanië woont. De Nederlandse politie en haar directe bondgenoten hebben helaas niet zoveel te zeggen in Amman. Zelfs als hij wordt uitgeleverd denk ik niet dat de straf voor zo'n lek heel hoog zal zijn aangezien hij als 16-jarige onder het jeugdrecht valt.

[liberque]

Jan weet van 3 jaar geleden waar Alice haar portemonnee bewaart. Jan zet jaren later op een briefje waar Alice haar portemonnee bewaart en plakt dit aan de binnenkant van haar voordeur. Vervolgens verzuimt hij de voordeur te sluiten. Bob belt aan en merkt dat de voordeur openstaat. Vervolgens ziet hij het briefje en gapt de portemonnee van Alice. Alice is in alle staten en Jan geeft toe dat hij per ongeluk de deur open heeft laten staan, maar verzwijgt dat hij dat papiertje aan de binnenkant van de voordeur heeft gehangen of wat er precies op stond.

Alice is haar geld kwijt. Bob is de dief! Echter omdat Jan het verzwijgt dat hij dat papiertje heeft opgehangen of wat er op stond legt Alice haar portemonnee weer op dezelfde plaats. De volgende keer als Bob weer de deur op een kier ziet staan weet hij precies waar hij moet zoeken en hij vraagt Jan om honderd euro om het te vergeten anders vertelt hij dit ook aan al zijn dievenvrienden.

Nogmaals Bob is de dief, maar is Jan ook niet fout en niet minstens zo aansprakelijk. Had Jan niet beter kunnen vertellen over dat briefje en wat er op stond en hoezo weet Jan na drie jaar nog precies te vertellen waar Alice haar portemonnee ligt? Hij wilt niet volledig het boetekleed aantrekken, maar weigert Alice volledig te informeren en om Bob voor honderd euro af te kopen.

Zie je de vergelijking? :P

[Keypunchie]

Je draaft door.

(Edit, overigens niemand die zegt dat Odido niks fout heeft gedaan. Er zit alleen een groot verschil tussen 'fouten maken' en 'misbruik van fouten maken').

@liberque Wie zal het zeggen. Het punt gaat er vooral om dat je ShinyHunters hier niet kunt laten wegkomen.

[Reactie gewijzigd door Keypunchie op 1 maart 2026 14:09]

[liberque]

We zijn het er dus over eens dat Jan fouten heeft gemaakt. Ik draaf nog even verder: Nu is Jan al eens gewaarschuwd door de moeder van Alice dat het ophangen van papiertjes met gevoelige info aan de binnenkant van de voordeur niet verstandig is. Jan heeft dit goede advies duidelijk in de wind geslagen. In hoeverre is Jan nu door verwijtbaar handelen schuldig aan de diefstal van de portemonnee? Is hij aansprakelijk voor de kosten van het vervangen van de pasjes, het rijbewijs of moet Alice dit maar zien te halen bij Bob (die onvindbaar is)?

[Xfade]

tenzij de boeven jou ter reparatie aangeboden sieraden of eerder bestelde, meeneemt, en je contact gegevens die er bij horen

[Olaf van der Spek]

is het nog steeds diefstal als er mensen binnenkomen en dingen meeneemt zonder te betalen.

Yep, maar daar hebben we in de (digitale) praktijk weinig aan.

[moonlander]

Nee, dat werkt exact hetzelfde. Je doet iets wat niet mag

[Olaf van der Spek]

Nee, dat werkt exact hetzelfde. Je doet iets wat niet mag

Zeker. En dan? Geef jij deze hackers een tik op de vingers?

[arjan1995]

Als de politie ze weet te vinden, dan zullen ze zeker worden vervolgd. Cybercrime is - net als diefstal bij een juwelier - een strafbaar feit, dus hier kunnen ze evengoed voor worden vervolgd.

[Olaf van der Spek]

Als de politie ze weet te vinden, dan zullen ze zeker worden vervolgd. Cybercrime is - net als diefstal bij een juwelier - een strafbaar feit, dus hier kunnen ze evengoed voor worden vervolgd.

Zeker. Hoeveel grote (chinese en russische) hackgroepen zijn er de afgelopen jaren vervolgd?

[Erebos]

Waarschijnlijk kan je het beter vergelijken met een museum (dan een juwelier)die een geleende collectie heeft die gejat wordt. Als de deur niet op slot zit zegt een verzekering waarschijnlijk ook: wij keren niet uit, draai zelf maar op voor de schade.

Odido had gegevens opgeslagen die op z’n zachts gezegd twijfelachtig zijn qua AVG maar verantwoordelijkheid nemen doen ze niet, de getroffenen krijgen een dikke middelvinger van Odido dus die krijgen ze van mij na einde contract ook.

[Reactie gewijzigd door Erebos op 1 maart 2026 18:42]

[Palomar]

B*llsh*t, ze moeten gewoon met hun fikken van die data afblijven. En ook al hebben ze de data wel in bezit, om vervolgens het bedrijf af te persen en de data uiteindelijk te publiceren is misdadig. Terecht dat Odido niet betaald heeft en hoop dat de criminelen hard gestraft worden. Heb hier geen goed woord voor over. Laat staan dat ze 'een punt' hebben...

[vpm]

Het enige punt dat ze hebben, is dat de data voor het oprapen lag/ligt. Om vervolgens dezelfde redenatie toe te passen voor het publiceren van zoveel gevoelige gegevens, voluit wetende dat ze hiermee identiteitsfraude faciliteren, is niet alleen misdadig, maar terrorisme.

[Palomar]

'Oprapen' vind ik nog steeds vergezocht. Dan denk ik aan een open directory die iedereen via internet kan benaderen en dan in 1 klik een excelletje met al die gegevens kan downloaden. Wat ik van deze actie lees is dat ze bewust met social engineering en je voordoen als een IT-collega via medewerkers toegang hebben verkregen. Dat is een goed voorbereid plan met een bewust misdadig doel.

[vpm]

Je weet wat ik bedoel. De data ligt daadwerkelijk heel simpel opgeslagen en er zat blijkbaar geen enkele limiet. Daarnaast is/was veel gevoelige data, die ze uberhaupt niet horen op te slaan, in plain text vastgelegd. Toch benieuwd naar de gevolgen voor Odido en Salesforce.

[Dancing_Animal]

Ze zouden toch 1 miljoen records per dag publiceren? Hiermee houden ze zich zelf ook niet aan de afspraak en zit een “positieve” reputatie met betrekking tot afspraken voor de toekomst er niet in. Ik denk dan aan het alsnog publiceren van gegevens na betaling.

[jongetje]

Ik ben blij dat het nu klaar is ipv elke dag hetzelfde nieuwsbericht met dezelfde reacties eronder.

[R4gnax]

Ze zouden toch 1 miljoen records per dag publiceren?

Het zal hen wel iets te heet onder de voeten geworden zijn nu bleek dat Odido op geen enkele manier bereid was te betalen, de politie en het OM sterk met de zaak bezig zijn, de media zich er mee bemoeit, en ondertussen ook andere security researchers zelfs al bezig waren met fondswerving om de dieven af te kopen.

Op een gegeven moment wordt het een beetje te popie-jopie allemaal, met het risico dat iemand je identiteit of locatie weet te achterhalen en de opsporingsdiensten de deur komen intrappen.

[Boekster]

Ga toch weg. Als ze een punt hadden willen maken, dan waren het wel ethische hackers geweest. Afpersen is niets anders dan een misdaad, dus de schuld ligt bij ShinyHunters. Dat Odido de zaken niet op orde had is zeker kwalijk, maar het recht praten op deze manier is verwerpelijk.

[sweetdude]

Inderdaad, de manier waarop dit gegaan is maakt ieder bedrijf kwetsbaar. Het is nu makkelijk om met een vingertje te wijzen naar Odido.
Maar we zijn er zelf ook verantwoordelijk voor bij de bedrijven waar we zelf voor werken.

[ElectroDonker]

Nee, ze hebben helemaal geen punt. Ethische hackers kunnen dat argument voeren, afpersende datadieven niet.

[NLblabla]

Als jij je deur niet op slot doet (wat de reden ook is), is dat ook geen legitieme reden om maar in te breken, je spullen te doorzoeken en al je familiegeheimen op social media te publiceren.

[RomeoOscarBravo]

Stefan heeft gewoon een goed punt. Wat je over Odido zegt klopt, maar die hackers hebben helemaal geen punt met de claim dat het niet hun schuld is. Odido heeft het misschien mogelijk gemaakt, maar zij hebben het gedaan.

[[Roland]]

Ze hebben geen punt. zij zijn de criminelen!

Dat Odido de zaken niet voor elkaar heeft en niet voldoet aan de eisen van de wet is zeer ernstig en moet absoluut bestraft worden. Dat is wel aan onze AP/Overheid en niet aan een stelletje criminelen.

[Reactie gewijzigd door [Roland] op 1 maart 2026 10:16]

[zalazar]

Een crimineel die data steelt en dan beweren dat het niet hun schuld is, heeft helemaal geen punt.
De opmerkingen van deze criminelen slaan ook helemaal nergens op.

Odido had zijn zaken zeker niet op orde en had het datalek grotendeels kunnen voorkomen door minimaal detectie in Salesforce te implementeren. Deze hack was gebaseerd op phishing en is als je veel medewerkers hebt dan is het lastig om dit helemaal te voorkomen.

Criminelen moet je wat mij betreft niet betalen in het geval van een datalek.
Je kunt er namelijk vanuit gaan dat die lui de gegevens niet vernietigen als er betaald wordt.
Op een bepaald moment zal men delen van de data verhandelen of uitruilen met andere hackers.
In de publieke opinie waren veel mensen dan misschien gerustgesteld omdat er betaald is, maar op een later moment is de kans groot dat het alsnog fout gaat en de gegevens worden gebruikt.

[ernstoud]

Ja, dat meisje had maar niet zo’n uitdagend jurkje moeten dragen.

Zie je de overeenkomst?

[Loft]

Ik snap werkelijk niet dat je zo kunt denken.

Als ik het goed begrijp vind jij dus dat als iemand / organisatie iets niet op orde heeft, dat dat een vrijbief is om daar misbruik van te maken??

Ik doe de deur van mijn auto/huis een keer niet op slot, dus men mag inbreken??
Ik heb mijn telefoon ergens laten liggen (nooit gebeurd, maar toch..) dus dan mag iemand die als de zijne beschouwen, in plaats van politie te brengen?
Er zijn bugs in verschllende software, dus die mag je uitbuiten , data jatten, en dan de mensen afpersen??

Enzo nog veel meer??

Nee. Odido zat niet goed, mag daar (wat mij betreft) voor beboet worden, maar dat geeft, niemand, maar dan ook NIEMAND het recht om daar misbruik van te maken

[Olaf van der Spek]

Als ik het goed begrijp vind jij dus dat als iemand / organisatie iets niet op orde heeft, dat dat een vrijbief is om daar misbruik van te maken??

Dat begrijp je niet goed..
Het punt dat ze hebben:

ShinyHunters beschuldigt de telecomprovider van slechte databewaarpraktijken

[Reactie gewijzigd door Olaf van der Spek op 1 maart 2026 13:22]

[Elorad]

Is dat al bekend dan? Ja, ze hebben gegevens bewaard die ze niet meer zouden moeten hebben, maar ik bedoel op technisch vlak, is al bekend dat ze daar ook nalatig zijn geweest?

[phoenix2149]

Het enige punt dat ze gebben is dat het nalatigheid is geweest van Odido dat hun systeem toegankelijk was door onoplettendheid medewerker en slachte beveiliging.

Dat de data gebruikt wordt om af te perseN en vervolgens op het internet zet is 100% hun schuld en keuze en dus ook strafbaar.

[Reactie gewijzigd door phoenix2149 op 1 maart 2026 15:11]

[hawke84]

Da's geen punt. Dat is een kantrekening. Een enorm belangrijke, maar in de context van hun boodschap niet.

dit zijn geen "good guys"

[Evanesco]

Oh dus als jij je voordeur open laat staan, mag ik jouw huis straffeloos leegroven en je spullen op marktplaats verkopen? Of nog beter: ik mag zelfs gewoon inbreken als ik zie dat je oude sloten op je deur hebt. Ze hebben helemaal geen punt, ze konden de gegevens ook niet lekken, dat is hun keuze. Omgekeerde wereld als je deze criminelen nog eens gelijk gaat geven ook.

[Reactie gewijzigd door Evanesco op 1 maart 2026 10:11]

[Miglow]

Of in dit geval, als ik jou overtuig de sleutel te overhandigen door me voor te doen als een onderhoudsman van de woningbouwvereniging en vervolgens je huis leeg roof...

[Evanesco]

Het gaat ook helemaal niet om de vergelijking, maar om het principe. Of het nou een (suffe) medewerker bij een miljardenbedrijf is die een fout maakt, of jij die vergeet de voordeur dicht te doen. Het geeft een hackersgroep net zo min het recht om gegevens te stelen als dat ik het recht heb om jouw inboedel te stelen.

Ik begrijp ook heus wel dat de impact groter is in het eerste geval. Maar zeggen dat een bende criminelen “een punt” heeft dat het Odido’s eigen schuld is dat er nu miljoenen gedupeerden zijn terwijl zij degenen zijn die het leed aanrichten door te lekken, is absurd en verwerpelijk. Kan er nog wel een vergelijking ingooien: als een vrouw in een kort rokje aangerand wordt is het toch ook niet haar eigen schuld? Al liep ze naakt, een verkrachter is een verkrachter. En een dief is een dief, al staat de deur wijd open. Je blijft met je fikken van anderen en hun eigendommen af, ongeacht om wie of wat of omstandigheden.

Dat er grondig onderzocht moet worden of Odido nalatig was: helemaal mee eens. Evenals dat er forse boetes opgelegd moeten worden als blijkt dat dit zo was. Tot die tijd is deze hackergroep het kwaad en niet Odido. Ook iets met “onschuldig tot het tegendeel bewezen is”…

[Reactie gewijzigd door Evanesco op 1 maart 2026 16:13]

[RomeoOscarBravo]

Er is niets krom aan die vergelijking. De essentie is hetzelfde.

[P. vd Loo]

Dat beweert niemand natuurlijk.

[StefanJanssen]

In de verklaring stellen de aanvallers dat het niet hun schuld is dat Nederlandse klanten nu angst en terreur ervaren.

Helemaal niemand inderdaad

[P. vd Loo]

Je maakt meerdere punten een onjuiste vergelijking. Dat iemand zich nu angstig voelt, is totaal wat anders dan dat je iemand verwijt dat hij zich niet goed heeft beschermd. Daarnaast heb je het over Odido die geen kogelvrij vest draagt, terwijl de hackers het over de slachtoffers hebben in je citaat.

[Dennis-L]

Wat een kromme vergelijking.
Dat Odido teveel gegevens veel te lang en onjuist bewaarde én had kunnen voorkomen dat het online geplaatst zou worden is inderdaad niet de schuld van de klanten van Odido.

[Ace_010]

Odildo kan nog steeds mijn rug op. Maar Shinyhunters had nooit aan de data mogen komen. En dat toont wel aan dat de beveiliging bij Odildo minimaal is tot slecht.

[brederodekater]

Weet iemand of er een manier is om te zien wat er daadwerkelijk over jezelf openbaar is geworden?

[xxtremexx]

Download de dataset, schrijf een paar regels Python en zoek - in mijn geval eigenlijk heel weinig; een oud paspoortnummer, geen IBAN, geen adres, geen geboorteplaats en slechts een deel van mijn Odido producten. De set lijkt incompleet; de datadieven houden data achter of ze hadden beperkt toegang.

(edit: typo)

[Reactie gewijzigd door xxtremexx op 1 maart 2026 10:43]

[Infant]

Of bespaar je het werk, en gebruik deze:

https://github.com/datasafari-org/Odidoviewer

[Biofinity]

Ja daar zit ik ook een beetje mee. Denk de beste optie is opvragen bij Odido ipv met shinyhunter datasets aan de gang..

Snap niet dat Odido in het portaal waar je inlogt dit niet gewoon inzichtelijk maakt. Ligt toch al op straat dus gewoon alles weergeven achter login kan zeker geen kwaad. Zou mij in iedergeval een stuk rust geven omdat ik dan gericht kan opletten op misbruik van die specifieke gegevens. Nu is het gissen.

[thamaster88]

https://www.datagelekt.nl/odido/

[Fermat2006]

Er zou een wet moeten komen dat her betalen van losgeld verboden wordt. En dat de CEO hoofdelijk verantwoordelijk is voor het niet op orde hebben van de beveiliging.

[Blokker_1999]

Neen, die wet moet er niet komen. En managers zijn reeds aansprakelijk wanneer men kan aantonen dat zij verwijtbare fouten hebben gemaakt. Daar zijn geen nieuwe wetten voor nodig.

[phoenix2149]

Zeker wel! Het betalen van losgeld houd direct de criminaliteit in stand.

Of ze nu wel of niet de gegevens delen na betalen (het in stand houden van "reputatie") doet er ook niet toe en het "aansprakelijk" stellen van de manager slaat nergens op. Want dan kan hij weer op zijn beurt de medewerker verantwoordelijk stellen die de hacker die zich als IT afdeling voor deed door liet.

Dat die persoon slecht engels sprak (hypothese) betekent niet dat het onbetrouwbaar is, wij outsoursen ook veel naar buitenlandse organisaties die met een hard accent praten.

Het enige wat helpt is criminaliteit niet laten lonen en bij voorkeur hard aanpakken.

De "niet onze schuld" bullshit slaat ook nergens op. Het is dan ook niet de schuld van de inbreker die redelijk makkelijk door het dakraam kwam en mijn huis leeghaalde? (niet echt gebeurd)

[Reactie gewijzigd door phoenix2149 op 1 maart 2026 10:30]

[Keypunchie]

Ik vind dit te makkelijk.

Stel het volgende scenario voor: De anti-betalen wet is er door heen.

Organisatie A wordt gehackt. Het is super-genant en ze willen reputatieschade voorkomen, en het is maar een klein bedrag. Onder de druk van het moment en maken ze een kortzichtige afweging en ze betalen.

Nu gaan de hackers een stapje verder: ze komen nog een keer geld vragen. Organisatie A gaat nu even iets beter nadenken en wil eigenlijk toch niet meer meewerken, want ze zien wel waar het heen gaat.

Maar ja, nu is de barriere wel *groter* geworden voor organisatie A om naar de politie te stappen. Niet alleen alle reputatieschade en ellende, maar ze komen ook nog eens in het strafrecht terecht...

Je kunt zeggen: tsja, wie zijn billen brandt moet op de blaren zitten, maar aan de andere kant betekent het dus dat je *meer* macht aan de echte criminelen geeft. Bovenstaande is geen ongebruikelijk scenario. Mensen (en dus bedrijven) kiezen nou eenmaal vaak voor de weg van de minste weerstand, zeker onder druk.

Het is onwenselijk om dan slachtoffers ook nog eens te criminaliseren.

[phoenix2149]

Organisatie A wordt gehackt. Het is super-genant en ze willen reputatieschade voorkomen, en het is maar een klein bedrag. Onder de druk van het moment en maken ze een kortzichtige afweging en ze betalen.

Allereerst is de reputatie schade er al, want je moet een hack altijd melden. Dus in de media komt het toch wel. Doen ze dat niet, dan zijn de gevolgen vele malen groter als het toch bekend wordt. En als er een ding duidleijk is, is dat hackergroepen maar al te graag hun werk met trots melden. Natuurlijk zijn zij de onschuldige in het verhaal want het is de schuld van de organisatie dat ze gehackt konden worden.

Nu gaan de hackers een stapje verder: ze komen nog een keer geld vragen. Organisatie A gaat nu even iets beter nadenken en wil eigenlijk toch niet meer meewerken, want ze zien wel waar het heen gaat.

Je had al niet moeten betalen. Automatisch treed opmerking 1 in werking want je moet wel blijven betalen anders komen de instanties er achter......

NEE, betalen moet strafbaar zijn punt uit. Als ik onwetend een fiets tweedehands koop die gestolen blijkt te zijn ben ik strafbaar voor heling. Als ik de gegevens van een hack in handen krijg (omdat ik wil weten of ik er in sta) ben ik strafbaar. Maar afkopen voor het lekken is niet strafbaar? Dat vind ik heel gek.

Er zijn 101 manieren om te hacken (of ransom encrypten) en je kunt het niet altijd voorkomen, maar de wet moet heel duidelijk hierin zijn. Betalen mag niet.

[Reactie gewijzigd door phoenix2149 op 1 maart 2026 11:35]

[Keypunchie]

Als ik onwetend een fiets tweedehands koop die gestolen blijkt te zijn ben ik strafbaar voor heling.

Zeker niet. Te goeder trouw, heet dat.

Je had al niet moeten betalen. Automatisch treed opmerking 1 in werking want je moet wel blijven betalen anders komen de instanties er achter......

Maar dit gebeurt. Je kan het wel niet willen, maar zoiets heet "onbedoelde gevolgen". Als je als wetgever daar geen rekening mee houdt, dan worden je wetten juist minder effectief. En er zijn genoeg voorbeelden van hoe dat in de praktijk werkt.

[phoenix2149]

Die gestolen fiets wordt je toch wel degelijk afgenomen in de regel. Of het nu wel in “ter goede trouw” is gebeurd. Dus je bent je fiets en geld kwijt.

Dat het betalen van afpersing gebeurd wil niet zeggen dat het als legaal gezien moet worden.

Daarbij is het in de wet duidelijk dat als er een hack plaats heeft gevonden er een meld plicht is. Dus je reputatie is al beschadigd, of wordt wellicht meer beschadigd al het alsnog naar buiten komt. Struisvogel gedrag mag ook niet beloond worden.

[Reactie gewijzigd door phoenix2149 op 1 maart 2026 12:11]

[Keypunchie]

Die gestolen fiets wordt je toch wel degelijk afgenomen in de regel. Of het nu wel in “ter goede trouw” is gebeurd. Dus je bent je fiets en geld kwijt.

Dat is iets heel anders dan strafbaar.

Daarbij is het in de wet duidelijk dat als er een hack plaats heeft gevonden er een meld plicht is. Dus

Jij hoeft een hack helemaal niet te melden. Je bent verplicht om *datalekken* te melden. Dat zijn twee verschillende zaken.

Struisvogel gedrag mag ook niet beloond worden.

Dat lijkt me niet de taak van een wetgever. Die moet maatschappelijke misstanden aanpakken.

Je haalt nogal veel dingen door elkaar.

[phoenix2149]

Heling is gewoon strafbaar. Dat je wellicht niet vervolgd wordt is een ander verhaal.

Voor jou als heler (indien het niet bewezen bewust is) is de straf dat je de spullen in principe kwijt bent.

Ok, de verwoording was wellicht niet correct, maar je weet het zo goed dat we het hier over de Odido hack hebben en daar zijn persoonsgegevens buit gemaakt.

Er zullen best hacks zijn waar geen GDPR gevoelige data is buit gemaakt. Of dat nu wel of niet gemeld moet worden moet ook daarvan moet betalen aan criminelen strafbaar zijn.

De maatschappij, voor zover ik weet, berust op wetgeving. Als je iets maatschappelijk wil aanpakken en er is geen jurisprudentie of wetgeving, heb je lijkt mij weinig middelen om iets aan te pakken.

[PtrO]

Ik vind dit te makkelijk.
Stel het volgende scenario voor: De anti-betalen wet is er door heen.

Het voorkomt dat een bedrijf - zoals Odido besloot - om die al of niet keuze te gaan maken voor/namens 'haar' klanten en afpersers bij voorbaat al weten dat er niet betaald mag en dus gaat worden. de wet moet geen ruimte bieden om met criminelen te kunnen onderhandelen.

[Reactie gewijzigd door PtrO op 1 maart 2026 19:57]

[sniker]

Maar de verzekering keert niks uit als er geen braakschade is. Hun argument is dat jij door jou nalatigheid zelf verantwoordelijk bent en dat is door de rechter al meermaals bevestigd. Dus Misschien niet 'schuldig' in juridische zin maar wel verantwoordelijk, en die verantwoordelijkheid lijkt odido nu dus niet te nemen.

[phoenix2149]

Zeker wel.

Bij ons was ingebroken via de portiek flat. Daarbij was "geflipperd" nadat ze door de portiek deur naar binnen waren hebben ze met hun oor (oorafdruk op deur) geluisted of er iemand thuis was (wellciht ook aangebeld) en daarna geflipperd. Dat laat het belang zien dat op slot draien belangrijk is.....

Overgigens was dit heel toevallig nadat de gevels en balkons geschilderd waren met hoogwerkers waar ze vrij zicht in de woningen hadden.

2 laptops en spiegelreflex met lenzen buit gemaakt en netjes vergoed gekregen. Een laptop was te oud de ander een MB air van nog geen jaar, welke volledig werd vergoed. Je moet dan wel de originele bonnen hebben.

[Reactie gewijzigd door phoenix2149 op 1 maart 2026 11:13]

[sniker]

dat is voor het eerst dat ik die hoor, ik heb zelf al 1 keer meegemaakt dat er geen braakschade was en dat juridische hulp niet hielp en ik heb het bij een buur met een andere verzekeraar gezien.
dus ik zou zeggen wat een geluk voor jou dat jouw verzekeraar wel zo netjes was.

evt. kan een rol spelen dat het een huurwoning was? (portiekflat is vaak huur) dan is het aan de eigenaar om degelijk hang en sluitwerk te voorzien. en mogelijk dat de verzekeraar daar is gaan verhalen.

[phoenix2149]

Nee, het was een koopwoning waarvan ik eigenaar was.

We hadden na het ontdekken dat er spullen weg waren de politie gebeld, welke het onderzoek uitvoerde en de oorafdruk als ook schoen afdrukken (van schoenen die wij niet hadden) vonden. Daarna een verzekerings expert.

Wij hadden ook verwacht dat we niets zouden krijgen, maar gelukkig was het tegendeel waar.

[Reactie gewijzigd door phoenix2149 op 1 maart 2026 11:27]

[Geim]

dus ik zou zeggen wat een geluk voor jou dat jouw verzekeraar wel zo netjes was.

Kwestie van polis doornemen voordat je een verzekering afsluit (en schade meldt).

Als er its uit mijn vrijstaand tuinschuurtje gestolen wordt, moet er wel braakschade zijn, wil de verzekering uitkeren. Voor mijn (vanuit de woning binnendoor bereikbare) garage niet. Als daar een fiets gestolen wordt is dat gewoon gedekt. Braakschade hoeft daarvoor niet aanwezig te zijn.

Overigens loont een beetje poliskennis altijd, voordat je aangifte van schade doet. Zo zou schade door binnendringend water niet verzekerd kunnen zijn, maar schade door terugstromend rioolwater wel weer. Ik noem waar wat.

[hulseman]

Ja goed plan.. not.. of wil je dan ook dat managers 10x meer gaan verdienen?

[GertMenkel]

Dit soort wetten worden wel vaker voorgesteld, ook door experts. Als je niet mág betalen als bedrijf, heb je als crimineel weinig kans om je losgeld te ontvangen van bedrijven die in een bepaald land zijn gevestigd. Plus, cyberrisicoverzekeringen komen er op die manier ook niet mee weg om criminelen te betalen als dat goedkoper is dan bedrijven hun zaken op orde te laten krijgen.

Met hoeveel criminelen er met het losgeld vandoor (proberen te) gaan en alsnog hun afpersmateriaal publiceren snap ik ook niet zo goed waarom we die wet niet hebben. Ik kan weinig redenen bedenken waarom je een crimineel op zijn woord zou vertrouwen.

[Cyb]

De vraag is wat de minste schade geeft voor de samenleving op de lange termijn. Niet betalen zorgt ervoor dat de criminelen die de data hebben gestolen, niet worden beloond. Maar het effect daarvan is dat de data nu openlijk en permanent beschikbaar is op het Internet, wat ervoor zorgt dat vele andere criminelen er gebruik van gaan maken, waar een continue stroom van nieuwe misdrijven uit voort gaan komen, met veel slachtoffers en leed tot gevolg. Zowel betalen als niet-betalen is dus kiezen tussen twee kwaden.

Stel ze hadden een symbolisch bedrag van 1 euro gevraagd, dan is de keuze heel duidelijk: betalen, want de kosten voor de samenleving zijn dan vele malen goedkopen dan niet-betalen. Zelfs 1 miljoen euro is een stuk goedkoper dan de schade op lange termijn. Het is dus niet zo zwart-wit als velen hier denken, het is kiezen tussen twee kwaden.

Hoe dan ook, Odido (en de criminelen uiteraard ook) moet keihard worden gestraft. Die 1 miljoen euro is voor Odido peanuts. Dus de straf moet komen uit boetes en klanten die weg gaan en nooit meer terugkeren. Niet bij Odido, maar ook niet bij dochterondernemingen Simpel en Ben.

[Reactie gewijzigd door Cyb op 1 maart 2026 10:15]

[The Zep Man]

De vraag is wat de minste schade geeft voor de samenleving op de lange termijn. Niet betalen zorgt ervoor dat de criminelen die de data hebben gestolen, niet worden beloond. Maar het effect daarvan is dat de data nu openlijk en permanent beschikbaar is op het Internet,

Een valse vergelijking. Met betalen heb je geen garantie dat de data niet alsnog online wordt gezet, nu of later. ShinyHunters is geen organisatie die gebonden is aan wet- en regelgeving bij het aangaan van een overeenkomst. Er hoeft daar maar één persoon met toegang tot de data een vlaag van verstandsverbijstering te hebben en de data staat alsnog online zonder repercussies.

Hoe dan ook, Odido (en de criminelen uiteraard ook) moet keihard worden gestraft. Die 1 miljoen euro is voor Odido peanuts. Dus de straf moet komen uit boetes en klanten die weg gaan en nooit meer terugkeren. Niet bij Odido, maar ook niet bij dochterondernemingen Simpel en Ben.

Waarom kan nalatigheid bij een organisatie afgekocht worden met een geldbedrag, maar kan nalatigheid bij een particulier (die bijvoorbeeld de dataset ophaalt om diens eigen data in te zien bij gebrek aan communicatie vanuit Odido) bestraft worden met celstraf?

[Reactie gewijzigd door The Zep Man op 1 maart 2026 13:07]

[Cyb]

Een valse vergelijking. Met betalen heb je geen garantie dat de data niet alsnog online wordt gezet, nu of later. ShinyHunters is geen organisatie die gebonden is aan wet- en regelgeving bij het aangaan van een overeenkomst. Er hoeft daar maar één persoon met toegang tot de data een vlaag van verstandsverbijstering te hebben en de data staat alsnog online zonder repercussies.

De grote bekende afpersings bendes met een "goede" naam, hebben meestal een reputatie te verliezen als ze zich niet aan hun afspraken houden, wat hun verdienmodel aantast. Het is uiteraard geen garantie dat ze zich aan de afspraken houden.

Maar wat nog wel eens vergeten wordt is dat als je kiest voor "niet-betalen" dat er dan niet betaald wordt. Er wordt namelijk vrijwel altijd betaald, behalve in de meest worse-case scenario, namelijk dat de data gratis openlijk ter beschikking wordt gesteld. En dat laatste is hier dus bij deze Odido hack aan de hand. Als het gehackte bedrijf namelijk niet betaald en de slachtoffers ook niet, dan zijn het wel andere criminelen die de data kopen op het dark web.

[phoenix2149]

Reputatie of niet, criminaliteit moet je nooit belonen.

Afpersers willen altijd meer en als je betaald ben je verleidelijk voor ook andere bendes om het ook te proberen.

Als ik afgeperst zou worden door bijvoorbeeld een pittig plaatje of wat ook, dan leef je eigenlijk altijd in onzekerheid of ze niet weer terug komen voor meer. Deze onzekerheid heeft Odido niet, maar de slachtoffers van de gelekte gegevens wel.

Ik heb daarom ook Odido verzocht met mij te delen wat er exact buit is gemaakt van mij, als daar bijvoorbeeld mijn ID nummer bij zit, dan vraag ik wel degelijk een nieuwe aan en zal met mijn rechtsbijstand kijken of dit dan verhaald kan worden bij Odido.

[PtrO]

Odido had - in beste geval vanwege haar "ethische" overwegingen - besloten om niet te betalen en wentelt vervolgens de gevolgen van die keuze af over haar (voormalige) klanten. Om vervolgens #Next #nietonsissue te gaan galmen.

[FREAKJAM]

Dat laatste gaat komen, met NIS2 oftewel specifiek in Nederland Cbw (Cyberbeveiligingswet). Bestuurlijke verantwoordelijkheid en governance

[Reactie gewijzigd door FREAKJAM op 1 maart 2026 10:56]

[phoenix2149]

Kan niet echt terug vinden wanneer dit actief wordt.

Want dit betekent dus dat als er schade of actie, zoals vernieuwen van je paspoort, verhaald kan worden op het bedrijf als deze zaken gelekt zijn.

[FREAKJAM]

Verwachting is Q2 2026.

Wat betreft het 2de wat je zegt, zit het anders.Wanneer belangrijke of essentiele entiteiten niet voldoen aan de gestelde eisen (hier wordt per sector op toegezien door een aangewezen toezichthouder) uit dit zich in een boete (hoogte van boete is afhankelijk van grootte van organisatie en omzet). Daarnaast kan de toezichthouder bestuurders tijdelijk schorsen of definitief uit hun functie ontheffen bij ernstige nalatigheid.

[Reactie gewijzigd door FREAKJAM op 1 maart 2026 10:51]

[phoenix2149]

Daar gaat, vind ik, wetgeving toch altijd weer de mist in. Een boete betkent eigenlijk 2 dingen:

• Geld voor de staatskas
• klanten of werknemers lopen nog steeds risico, want hun gegevens liggen op straat
• kosten voor abonnement gaat omhoog, want boete komt uiteindelijk uit de winst en dat vinden aandeelhouders niet leuk.

Dus de klant is nog steeds de dupe links en rechtsom.

Ik vind dat een boete direct terug moet vloeien naar de klant en dat aantoonbare vervolg schade en/of kosten bij het voorkomen van vervolgschade, door bijvoorbeeld je paspoort te vernieuwen bij lekken daarvan, verhaald moeten kunnen worden op het bedrijf.

[fevaho]

Ik zou het eigenlijk wel mooi vinden als Odido 1 miljoen euro beschikbaar stelt om de tinyhunters te achterhalen en bloot te stellen

[segil]

ik heb liever dat ze die 1 miljoen investeren in het beter beveiligen van hun brakke omgeving! Ze hadden gewoon moeten detecteren dat zo'n grote hoeveelheid data in 1x gekopieerd werd.

[Polderviking]

Vind het ook ergens wel opvallend dat Salesforce zelf hierin buiten schot blijft.

Los van vraagstukken rond inrichting waar Odido dan eventueel heeft verzaakt moet dat schrapen van grote hoeveelheden data natuurlijk gewoon überhaupt niet kunnen.

[Reactie gewijzigd door Polderviking op 1 maart 2026 10:15]

[DNA_Saint]

Eens. Salesforce heeft gemaild aan alle klanten dat het systeem qua rechten moeten worden aangepast omdat het vatbaar is voor criminelen.

Maar daarmee is het wel heel makkelijk voor ze. Oh, data is gelekt, maar we heb ben gewaarschuwd.

Lijkt mij dat ze hun beveiligingen niet op orde hebben. Ze kunnen zoveel meer automatisch laten gebeuren qua security. Maar dat boeit ze niet.

[fevaho]

De "service" voor na het gebeuren is inderdaad wel dramatisch.
En technisch data in blokken verpakken zou ook beter kunnen.
Net als gegevens die gevoelig zijn zoals betalingsproblemen etc encrypten zodat deze niet op straat komen.
Echter begint het hier met een menselijke fout. Kan je technisch alles dichttimmeren maar dan beperkt je hooguit de impact (wat altijd fijner is).
Anderzijds heeft Odido niet gevraagd om de data te stelen. Als ik mijn voordeur open zet voor iemand die naar de wc gaat en ondertussen mijn huis leeghaalt, ben ik misschien een beetje naïef, maar heb ik niet gevraagd om mijn spullen te stelen.
Dus mooi klote voor alle Odido klanten (ikzelf ook), en die kunnen hierna hun systemen en procedures (met mensen) misschien verbeteren.
Maar mijn handen jeuken door deze mensen die maar andermans gegevens jatten en er geld aan willen verdienen. Als dit soort groepen weten dat ze niet meer veilig zijn dan wordt het misschien minder gebruikt.

[The Zep Man]

Vind het ook ergens wel opvallend dat Salesforce zelf hierin buiten schot blijft.

De klanten kozen voor Odido, niet Salesforce. Odido is eindverantwoordelijk.

[Reactie gewijzigd door The Zep Man op 1 maart 2026 10:35]

[FREAKJAM]

Salesforce heeft klanten al meerdere keren gewezen op het implementeren van phishing-resistente MFA om weerbaarder te zijn tegen de aanvalsmethode die nu naar het schijnt gebruikt is.

Protect Your Salesforce Environment from Social Engineering Threats (maart 2025)
Protecting Salesforce Data After an Identity Compromise (jan 2026)

[lenwar]

Dat zijn twee algemene blogs over algemene zaken die je beter kunt doen bij welk product dan ook, waaronder een paar 'conservatieve statements'. Zo zijn het beperken van ip-ranges altijd een beetje een lastige in deze tijden van cloud en dynamische adresseringen. Ik zeg nadrukkelijk niet dat het geen goed idee kan zijn, maar een niet-verstorende implementatie ervan op een zinvolle manier (dus zonder gelijk heel Azure, AWS, of een van de anderen toegang te geven), is lang niet altijd realistisch.

Enfin. Het is even afwachten met de hoe en wat. Mogelijk had Odido deze zaken (die in die blogs staan) allemaal op orde, maar is het ergens anders helemaal misgegaan.

[SirMemeAlot]

Heb liever dat ze 10 miljoen boete krijgen omdat ze hun data governance niet op orde hebben.

[luchthaak]

Of een ruime donatie doen aan bv have i been powned en/of vergelijkbare projecten die de veiligheid op het internet ondersteunen.

Niet alleeen kwaadwillenden, maar ook de advertentiemarkt zal deze informatie gaan gebruiken. De info zal in komende jaren naar boven sijpelen, en de advertentie profielen in sluipen.

Wellicht kan odido de gelekte mailadressen proactief beschermen tegen ad misbruik via bv incogni

[Koffie]

Unpopular opinion: Odido is hier degene met de grootste schuld en zou hiervoor een bijzonder hoge geldboete opgelegd moeten krijgen.

- Odido heeft zijn zaken niet op orde gehad waardoor men bij data kon komen
- Odido heeft te lang teveel data bewaard
- Odido heeft meerdere keren kansen gehad om deze data na de hack te laten vernietigen
- Odido is volledig verantwoordelijk voor het feit dat al deze op straat ligt

En dat onzin verhaal van 'je moet hackers niet betalen, je hebt nul garantie, je houd het alleen maar in stad': bullshit. Er zijn meer aantoonbare verhalen van dit soort omvang waarbij het betalen de oplossing was dan dat er na betaling alsnog alle data op straat kwam.
Odido is op alle vlakken de schuldige hier.

[Evanesco]

Weet niet of dat unpopular is. Unpopular is hackers losgeld betalen. Ik ben ook zeker voor wetgeving die aantoonbare nalatigheid rondom datalekken beboetbaar maakt (waarbij er dus geld naar de schatkist vloeit en niet naar hackers). Naast wetgeving die het betalen van losgeld strafbaar maakt. Zo worden bedrijven gestimuleerd hun beveiliging te verbeteren en hackers ontmoedigd uberhaupt data te stelen (iig voor het losgeld).

[Luctia]

Als je denkt dat hackers die data gewoon weggooien als iemand losgeld betaalt, ben je, denk ik, een beetje naïef. Misschien belandt het niet op een forum op het dark web, maar die lui bewaren dat echt wel voor zichzelf en mengen het wellicht later met andere onbekende datalekken om in bulk te verkopen zonder bronvermelding, of gaan er zelf mee aan de haal. Als hacker heb je een goede reden om het niet te publiceren, namelijk om te laten lijken alsof losgeld betalen helpt, maar geen goede reden om het echt te verwijderen. Je zou het zelfs x jaar later nog kunnen publiceren als de aandacht er een beetje af is.

In ieder geval is Shinyhunters de schuldige. Odido was op sommige plekken nalatig en bewaarde data te lang, laten we hopen dat ze daarvoor beboet worden, maar als op Amsterdam centraal je paspoort gerold wordt ben jij ook niet de schuldige, dat is de zakkenroller, ookal had je misschien beter op kunnen letten of je paspoort op een andere plek moeten bewaren.

[WargamingPlayer]

Een vriend van mij zit in een getuigenbeschermings programma en nu liggen dus ook alle adressen van zijn 2 ex-en, zijn kinderen op straat. Die zijn al naar het buitenland gevlucht. De kosten en angst en stress die hierbij zijn komen kijken zijn zo groot dat Odido hier zeker schuld aan is.