Ethisch hacker die Odido-losgeld wilde crowdfunden heeft donaties teruggestort

Ethisch hacker Sijmen Ruwhof, die vorige week een persoonlijke crowdfundingsactie begon om het losgeld van de Odido-hack op te halen, heeft alle donaties teruggestort aan de donateurs. Ruwhof beloofde dat al te doen als de criminelen dat niet zouden accepteren. Dit weekend zetten de hackers alle Odido-data online.

Ruwhof schrijft in een update onder zijn eerdere blogpost dat hij op zondagavond het geld heeft teruggestort aan 152 van de 153 donateurs. Dat gebeurde nadat de hackers alle gegevens van Odido-klanten publiceerden.

"Vijf euro moet nog teruggestort worden die op een ongebruikelijke manier is gedoneerd", schrijft Ruwhof. Tweakers heeft inmiddels kunnen bevestigen dat het geld inderdaad is teruggestort naar de donateurs.

In totaal haalde Ruwhof 2069,79 euro op, verdeeld over 153 donaties. Dat was bij lange na niet genoeg om de hackers te betalen. De Odido-hackers eisten een miljoen euro losgeld, maar Ruwhof schatte in dat 250.000 euro genoeg zou zijn om ten minste een deel van de nieuwe gegevens niet te laten publiceren.

Sijmen Ruwhof, een bekende ethische hacker, begon vlak voor het weekend een crowdfundingsactie via een eigen bankrekening. Hij deed dat samen met enkele andere beveiligingsexperts, die anoniem willen blijven. De crowdfunding was bedoeld om een bedrag in te zamelen dat als losgeld kon worden betaald aan de hackers van Odido. Die waren op vrijdag al begonnen met het lekken van beperkte datasets, maar Ruwhof en de andere experts hoopten dat met een deel van het geëiste losgeld ook het resterende deel van de gestolen data niet openbaar zou worden gemaakt.

Daarmee houdt Ruwhof zich aan zijn belofte. "Opgehaald geld dat niet gebruikt wordt zal, minus (bank)kosten, teruggestort worden naar de donateurs", schrijft hij op zijn blog. Ruwhof kreeg naast positieve reacties ook veel kritiek op zijn actie. Hij heeft zijn overwegingen in een andere blogpost verder uiteengezet.

Reacties (143)

[Olympus user]

Misschien dat deze ethische hacker moet helpen dit soort criminelen op te sporen en misschien te hacken in plaats van te sponseren door losgeld in te zamelen

[Skit3000]

Buitengewone omstandigheden vragen om buitengewone acties. Ik zie niet in hoe je niet kunt helpen de wereld veiliger te maken én die ene keer dat er echt gevaarlijke data dreigt te lekken, dit tegen proberen te gaan.

Bijkomend voordeel van betalen is dat er dan in ieder geval nog een lijntje is via waar de criminelen opgespoord kunnen worden. Ergens zullen ze dat geld namelijk weer in willen zetten.

[Reactie gewijzigd door Skit3000 op 2 maart 2026 11:08]

[Olympus user]

Ik ben van mening dat geld de enige reden is voor deze criminelen. Als je in heel Europa losgeld betalen verbied valt in ieder geval 1 mogelijkheid (losgeld) weg.
Data verkoop zal altijd een probleem blijven, ook als er betaald wordt.
Maar bedrijven moeten zeker iets aan hun beveiliging doen, het kan toch niet zo zijn dat een fishing bericht naar een medewerker de mogelijkheid geeft alle bestanden te downloaden.

[Skit3000]

Elk incident bestaat uit twee componenten; hoe je het kunt voorkomen en hoe je nadat het heeft plaatsgevonden de impact kunt verlagen. Het eerste deel lijkt Odido te kort in te zijn geschoten. Het tweede deel is lastiger. Ze doen namelijk in het grote plaatje het juiste (niet toegeven aan afperser) maar gokken hier niet met hún data, maar dat van hun klanten.

Stel dat Shell was gehackt en al hun data over mogelijke aardolievelden was gedownload. Zulke data is miljarden waard; sommige boorbedrijven worden alleen al voor hun data overgenomen. Wat mij betreft staat het in dat geval Shell helemaal vrij om te kiezen of ze losgeld betalen in de hoop dat de data niet verder wordt gedeeld, of standvastig vasthouden en géén losgeld betalen.

Wat mij betreft wordt losgeld betalen trouwens verboden, maar zolang dat verbod er niet is zou je van bedrijven mogen verwachten dat ze hun klanten uit de wind houden - op wat voor legale manier dan ook-.

[Reactie gewijzigd door Skit3000 op 2 maart 2026 11:31]

[sijmen-ruwhof]

Er zijn Kamervragen gesteld over een wettelijk verbod op betalen van losgeld bij ransomware: https://www.security.nl/posting/926538/Kamervragen+over+wettelijk+verbod+op+betalen+van+losgeld+bij+ransomware

[NotWise]

Ik heb de post even doorgenomen en staan zeker een paar valide punten in. Maar toch een paar opmerkingen:

Kan je een hackersgroep als ShinyHunters vertrouwen?

Je gaat er van uit dat Shinyhunters (onderdeel van 'The Com) een rationele actor is. Dat is het niet, het betreft hier voornamelijk tieners met problemen. Ze staan te boek als zeer onbetrouwbaar.

Please Don’t Feed the Scattered Lapsus ShinyHunters

Harassment, Scare Tactics, & Why Victims Should Never Pay ShinyHunters

Inability to Foster Credibility

Members of The Com are mostly young males and mostly between the ages of 14-26 years old. Some come from broken homes or struggle with severe mental health issues and debilitating personality disorders that make it difficult to integrate into society—often leading to ostracization in their local communities. Moreover, frequent drug abuse among members of The Com makes their behavior even more erratic. It’s common for groups in The Com to instigate feuds and drama between group members, leading to lying, betrayals, credibility destroying behavior, backstabbing, and sabotage. With this type of ongoing dysfunction, these threat actors aren’t able to act with the core goal in mind of completing a successful, strategic ransom operation. They continually lose control with outbursts that put their strategy and operational security at risk. This severely limits their ability to build a professional and scalable criminal organization network for continued successful ransoms—unlike other more tenured and sophisticated criminal organizations focused on ransomware alone.

Wat gebeurt er als er geen afpersgeld betaald wordt?

Afpersverdienmodel wordt beetje ondermijnd
Het afpersverdienmodel van ShinyHunters wordt een beetje ondermijnd als Odido geen afpersgeld gaat betalen. Er zijn genoeg andere bedrijven die hoogstwaarschijnlijk wel afpersgeld hebben betaald nadat ShinyHunters ze gehackt heeft, zoals Ticketmaster (2024) en Pornhub (2025). Van die bedrijven heeft ShinyHunters de buitgemaakte gegevens nooit op internet gezet.

Dat klopt, echter is de gestolen data van Ticketmaster ingezet voor een grote phishing campagne. Gewoon een andere methode om geld te stelen. Pornhub data is interessant om mensen mee af te persen en te treiteren. De subcultuur The Com zit vol met pubers met mentale problemen.

Nog een punt, als je deze inzamelactie in samenwerking met Politie/Justitie zou doen, dan prima. Maar op eigen houtje opereren en dus daarbij het standpunt van Odido en Politie/Justitie ondermijnen lijkt me geen goed idee. Daarbij komt, dat deze gastjes dan waarschijnlijk denken nog meer te kunnen halen.

[sijmen-ruwhof]

Please Don’t Feed the Scattered Lapsus ShinyHunters
Scattered Lapsus ShinyHunters is een andere groep dan ShinyHunters.

Harassment, Scare Tactics, & Why Victims Should Never Pay ShinyHunters
Volgens ShinyHunters-expert Rickey Gevers klopt er weinig van deze blog. Hij gaat een artikel erover schrijven binnenkort.

[NotWise]

.Nou dan ben ik zeer benieuwd:

https://www.resecurity.com/blog/article/trinity-of-chaos-the-lapsus-shinyhunters-and-scattered-spider-alliance-embarks-on-global-cybercrime-spree

ShinyHunters

In June 4, 2025, ShinyHunters was tied to a widespread data-theft campaign targeting Salesforce cloud customers, which Google's Threat Intelligence team tracked as UNC6040.^[41] The cybercriminal group working in conjunction with Scattered Spider^[42] (now believed to be the same group) and Lapsus$ (also now believed to be the same group or apart of) impersonated IT support staff and used voice phishing (vishing) calls to trick employees into installing a malicious version of Salesforce's Data Loader tool, allowing them to access and extract sensitive customer data by abusing OAuth to bypass traditional authentication methods.^[74] Following the successful intrusions, Google's Threat Intelligence team notes the victims of these intrusions receive an extortion or ransom email from the ShinyHunters cybercriminal group, which is also tracked as UNC6240.^[41]

[Reactie gewijzigd door NotWise op 2 maart 2026 13:02]

[ApexAlpha]

Ik heb ooit (jaren geleden) iemand geadviseerd wel te betalen.

Klinkt dom, maar deze persoon was al zijn zakelijke administratie kwijt en de Belastingdienst eist gewoon dat je x aantal jaar terug kan overleggen, en anders heb je een groot probleem.

Zonder te betalen was die dus aangeklaagd en waarschijnlijk failliet door dezelfde overheid die hem misschien in de toekomst dwingt niet te betalen.

[FreezeXJ]

Yep, dat heet bedrijfsrisico, en ik snap je advies, maar het blijft behelpen. Eigenlijk komen mensen pas dan tot de conclusie dat ze/bedrijven een existentieel risico lopen door hun administratie/infra niet in eigen handen te hebben. Nou is het ondoenlijk om dat volledig in eigen beheer te doen (je kunt niet je eigen servers bouwen, beheren en er software voor schrijven als kleine of grote partij), maar de externe clubs die dat voor je regelen zijn nog verre van betrouwbaar.

Ik vergelijk het een beetje met banken, want zelf je geld rondrijden en beheren is ook (vrijwel) onmogelijk, maar door de eeuwen heen hebben bepaalde bedrijven zich daarin gespecialiseerd, en is de betrouwbaarheid voldoende geworden. Bankovervallen zorgen er zelden voor dat bedrijven wiens bank beroofd is failliet gaan. Daar moeten digitale service-verleners ook heen, en dat gaat nog even werk kosten.

(en als vergelijking met jouw puntje dat diezelfde overheid jou de gevolgen van andermans acties kan voorschotelen: dat is met banken hetzelfde, als mijn bank failliet gaat word ik nog steeds gedwongen om m'n belastingen te betalen. )

[MikeyMan]

Je data kwijt zijn is iets anders dan dreigen het te delen.

[Skit3000]

Nu ik er langer over na denk: De volgende stap is natuurlijk dat criminelen direct de getroffen burgers gaan benaderen voor losgeld. Zie dat maar eens met een wet tegen te houden.

Misschien het betalen van losgeld juist wél toestaan of zelfs aanmoedigen, maar enkel als het op de ouderwetse manier gaat (ongemerkte biljetten in een blauw koffertje met bloemetjes er op, achter te laten bij het tweede bankje in het park). Dat vergroot de pakkans terwijl er ook een kans is voor de crimineel om er mee weg te komen, dus wellicht nemen ze de gok. Durven ze het niet aan, dan zullen ze ook niet proberen gegevens te ontfrutselen en neem je het probleem ook weg.

[FreezeXJ]

Geen hacker die daarvoor naar het park gaat, dan kom je allemaal mensen tegen en da's en enzo

Zeker niet als er prima alternatieven bestaan zoals Western Union (bekend geworden door onze Nigeriaanse prinsen) of Bitcoin tumblers ofzo. Daarnaast zijn er altijd de katvangers, mules en andere mensen die voor een paar centen graag risico lopen (of ze dat nou weten of niet).

Van ongemarkeerde bankbiljetten weten we de risicos wel (die serienummers zijn zo mooi traceerbaar), en daar heeft de politie meer dan genoeg opties en kennis om de eigenaren in beeld te krijgen. Bij internationale transacties via ongebruikelijke wegen is dat vrijwel onmogelijk, en dat weten stoute jongens.

Oh en as for tegenhouden van bedrijven geldt precies hetzelfde, als ze echt willen kunnen ze prima frauderen, en alsnog losgeld betalen op de wijze die de crimineel vraagt. Vergeet niet dat de bedrijven het _willen_ betalen, en dus opties gaan vinden om die wet te omzeilen.

[MneoreJ]

Nu ik er langer over na denk: De volgende stap is natuurlijk dat criminelen direct de getroffen burgers gaan benaderen voor losgeld. Zie dat maar eens met een wet tegen te houden.

Dat is een veel duurdere, kanslozere en gevaarlijkere exercitie. Van een groot bedrijf een paar ton proberen los te pingelen is een ding, een administratie bij gaan moeten houden voor miljoenen individuen die elk maar een klein bedrag kunnen lappen weer iets heel anders. Veel makkelijker om gewoon te zeggen "hee groot bedrijf, we weten dat je niet mag betalen, maar doe het nou lekker toch maar, want anders ga je enorme reputatieschade leiden". Het is niet alsof de hackers de politie op de hoogte gaan stellen.

Als individuen afpersen makkelijk winstgevend te maken was deden ze dat nu al wel: elke Odido klant aanschrijven met "Odido betaalt niet, maar jij kan alsnog voorkomen dat je gelekt wordt, hier zijn de Bitcoin instructies". Maar dat is allemaal veel te omslachtig en tijdrovend en je moet een aparte database op gaan zetten. Als je het toch op individueel niveau wil gaan doen kun je de gegevens beter gewoon gebruiken voor identiteitsfraude, dat is ongeveer evenveel werk maar de potentiële winst is veel hoger. Als je dat als hackersgroep niet zelf wil doen verkoop je de boel gewoon bij opbod door aan een groep die daar wel winst in ziet.

[Reactie gewijzigd door MneoreJ op 2 maart 2026 13:20]

[metalmania_666]

Onsbexrijf heeft een verzekering afgesloten voor dit siort zaken (gelukkig nog niet nodig gehad) maar hun adviseren pér zaak of het wel of niet betalen van losgeld een goede optie is.

En nee, liever wil je niet betalen, maar soms is er geen andere goede optie

[Soldaatje]

Dat zijn goede vragen. Wat mij betreft mag zo'n verbod er wel komen. Het zou de investeringen stimuleren in de beveiliging van systemen en het zou het verdienmodel van de criminelen ondermijnen. Ik ben benieuwd naar de antwoorden.

[Croga]

Je hele betoog stoelt op het idee dat losgeld de primaire inkomstenbron is. Dat is het niet. Losgeld is pure bijvangst.

De data van de Odido klanten is al lang verkocht aan hele stapels louche figuren voor veel meer dan een miljoen euro. Dat miljoentje van Odido had een leuk extra zakcentje geweest, meer niet. En of Odido betaald of niet heeft geen enkele invloed op de kwetsbaarheid van de klanten.

Hetzelfde geld voor je voorbeeld; als Shell zou betalen zou daarmee niet de data veilig zijn. De data zou alleen niet openbaar zijn maar ga er maar rustig vanuit dat degenen die er écht voordeel mee zouden kunnen doen al lang die data gekocht zouden hebben.

Betalen of niet betalen is geen zaak van impact verlaging. Het is simpelweg na de hack niet meer mogelijk de impact te veranderen. En dus is niet betalen de enige zinnige optie.

[Skit3000]

Ik denk niet dat deze criminelen deze data al hebben doorverkocht. Het is namelijk veel meer waard als niemand op de hoogte is van het bestaan ervan.

[Olympus user]

Op het moment dat de data gestolen is kun je klanten niet meer uit de wind houden.
Betalen is geen enkele garantie dat de gegevens toch niet in een of andere vorm verspreid worden.

[mrjimmy]

Probleem wat ik vaak tegenkom is dat onze security in orde is, maar dan is dat bij klanten of leveranciers niet in orde, en dan begint het gedonder met phising mails spam mails enzovoorts.

[Toine1]

Dan lijkt mij toch wel goed om dit ook door te geven aan die klant/leveranciers, of evt een audit te doen. Samen helpen we elkaar.

[mcmd]

Zo'n buitengewone actie is volgens mij niet goed. De hacker groep heeft volgens mij een twijfelachtige reputatie wat betreft het houden van hun beloftes na betalen. Bovendien stimuleer je toch echt hun verdienmodel, wat doorbroken moet worden.

Met je eens dat er alles gedaan moet worden aan het opsporen van gelden. Enkele jaren terug heeft volgens mij de universiteit van Maastricht uiteindelijk hieraan verdiend doordat de bitcoins teruggevonden werden en toen een veel hogere waarde hadden dan op het moment dat het gekocht moest worden. Op zich ook een verdienmodel, maar beter zou zijn dat dat niet nodig is!

[Claude]

Dat "verdienen" was maar betrekkelijk, gezien het aantal uren dat men daaraan heeft moeten besteden plus de inhuur van specialisten. Het saldo was negatief.

[T-men]

Even realistisch... is deze hack nou echt zoveel anders dan het zoveelste lek met persoonsgegevens ? Ja, het is een mooie complete set en er staat veel in. Maar je moet er in de praktijk tóch al vanuit gaan dat je gegevens gelekt zijn.

Goed wachtwoorden management, voorzichtig met klikken op links en hopen dat de helpdesk van je bank, je verzekeraar en je webshop e.d. op hun hoede zijn voor Identiteitsdiefstal... dat moest al. Dat veranderd hier niet door.

Deep fakes met A.I. in handen van criminelen en liegende politici zijn m.i. een veel grotere bedreiging.

Dat ik straks geloof dat die videocall waarin mijn vrouw belt dat ze een ongeluk heeft gehad en geld nodig heeft echt is. Of die presentatrice waarvan het hoofd op een porno-model is geplakt. Dát is iets waar ik bang voor ben. Of een Trump die beweert dat (vul maar in) wat in werkelijkheid 'een alternatieve waarheid' is. Van dát soort zaken komt de grote ellende.

[Reactie gewijzigd door T-men op 2 maart 2026 11:34]

[SgtElPotato]

Er zijn genoeg manieren om het geld te laten 'verdwijnen', Monero iemand??

Daarnaast is het maar weer gebleken dat deze groep totaal niet te vertrouwen is. Dus maar goed dat er niet betaald is :)

[Skit3000]

Als er wel was betaald en de gegevens nog even achter de hand werden gehouden door deze groep om later opnieuw Odido af te persen of wat dan ook, was er in ieder geval meer tijd om te proberen deze criminelen te vinden.

Niet betalen van losgeld werkt pas als niemand het meer doet.

[SgtElPotato]

Nah, ik ben daar totaal niet van overtuigd. Deze groep is al jaren bezig en nog steeds niet gepakt. De kans dat dit wel zou gebeuren als er niet betaald was is klein.

We moeten ergens beginnen. En het lijkt er ook op dat deze groep erg gefrustreerd is gezien hun laatste bericht dus in mijn ogen plan geslaagd.

[Aganim]

Ik zie niet in hoe je niet kunt helpen de wereld veiliger te maken én die ene keer dat er echt gevaarlijke data dreigt te lekken, dit tegen proberen te gaan.

Omdat het zinloze actie is. Er is geen enkele garantie dat die data, al dan niet over een aantal jaar, niet toch doorverkocht wordt. Daarnaast: als een onbevoegde toegang heeft gehad tot gevoelige gegevens zal je, ook wanneer deze nu niet worden gepubliceerd, toch moeten handelen alsof die gegevens op straat liggen. Je weet immers de intenties van deze club niet en je weet niet of zij het wel veilig hebben opgeslagen.

Die gegevens zijn gecompromitteerd en blijven gecompromitteerd. Dit soort tuig belonen voor hun daden stimuleert ze alleen maar meer.

[Alex3]

Het is ook zinloos omdat Odido het best zelf kan en zou moeten betalen in plaats van anderen, afgezien van het feit dat betalen sowieso slecht is.

[avlt]

Wat ik bij deze hele actie niet snap is dat er zoveel data gestolen kon worden. Er moeten toch alle toeters en bellen afgaan als iemand de gegevens van miljoenen klanten gaat downloaden?

[The-Source]

Ja en daar heeft Odido ruimschoots gefaald.
Daarnaast dus gecombineerd met retentie van data van oud klanten.
Als een klantenservice medewerker gemiddeld 20 klanten per uur afhandelt dan zou er toch al iets moeten gaan rinkelen / automatisch geblokkeerd worden als dat 40 data request worden.
Laat staan 6 Miljoen records. Als je dus per dag 160 records op vraagd (8x 20) dan zou het 37500 dagen werk zijn om als 1 account al die records onder normaal werktempo op te vragen. (In jaren is dat ruim 100 jaar)

[uiltje]

Ja minimale access interdaad. Maar ik denk dat je er nog verbaasd over zal zijn hoe vaak dit niet in de architectuur plaatjes terugkomt. Heel veel software borduurt nog voort op oude database paradigma's waarin dit soort interacties sowieso niet wordt geregistreerd. In dat geval wordt het ook lastig om het te detecteren (zonder dure detectie softwarepakket zoals een SIEM die op applicatie-niveau dreigingen weet te detecteren + reactievermogen).

Mits er überhaupt al een goed programma van eisen of ontwerp overlegt kan worden in deze wereld van agile development. Ik heb het nu al een paar keer meegemaakt dat er van een overkoepelend design helemaal geen sprake meer is; alles zit in een soort wiki omgeving en als buitenstaander (e.g. een security consultant zoals ik) is er geen vat op te krijgen - ik heb letterlijk meegemaakt dat de documentatie eigenlijk niet te verkrijgen was zonder externe toegang tot de systemen.

[bzuidgeest]

Waarom? Voor wat ik begrijp hadden ze de credentials van een beheerder te pakken. Laat zeggen dat die database onderhoud of diagnose moet kunnen doen bij queryproblemen.... Dan moet hij database toegang hebben. En een backup maken op zo een moment is niet vreemd.

Een groot deel van ICT draait uiteindelijk op vertrouwen. Op vertrouwen in je medewerkers. Ergens kan er iemand bij het "root" password. Als je die persoon niet kan vertrouwen of de persoon die gebruik monitord dan heb je gewoon pech. Niets is 100% waterdicht te maken. Je kan een hack alleen onwaarschijnlijk maken.,

[Hawkysoft]

Ik snap je punt, maar nee. Ethisch impliceert niet dat hij/zij dit kan/mag doen. Heb je toch een ander soort persoon/groep voor nodig.

[Genosha]

Nee. Een telecom bedrijf met een omzet van 2,5 miljard euro moet meer investeren in veiligheid en duidelijke communicatie leveren naar klanten als er een hack plaatsvind. Odido heeft in beide gevallen gefaald.

[wiseger]

Klopt. Ik heb tot op heden als oud-klant van Odido nog altijd geen bericht gehad terwijl mijn gegevens wel in de gelekte dataset staan. Odido faalt nog altijd in het voorlichten van de slachtoffers.

[bzuidgeest]

Als je oud klant bent. Is het email adres in die oude set er nog wel een die je gebruikt? Want als ze niets recents hebben kunnen ze je ook niet mailen. (de informatie vanuit odido is verder wel verschrikkelijk summier) Ik moest op tweakers lezen dat je een f secure abbo kon afsluiten op hun kosten

[wiseger]

Ik ben een paar maanden geleden vertrokken bij Odido. Van Odido heb ik niets gehoord terwijl mijn e-mailadres nog altijd hetzelfde is.

Volgens TrosRadar kan ik via de site datagelekt.nl controleren of mijn gegevens onderdeel van de hack zijn. Die site laat me weten dat dit inderdaad zo is.

Voor de actuele crisis: Datagelekt.nl

Deze website is specifiek ingericht voor het recente datalek bij Odido. Je kunt hier gericht controleren of je e-mailadres, maar ook je IBAN, BSN, adres of telefoonnummer zijn buitgemaakt door deze hackers.

[bzuidgeest]

Die site of have i been powned en andere. Alleen de politie had de dataset nog niet toegevoegd aan hun db de laatste keer dat ik keek.

Maar goed dan heb ik ook geen verklaring. Ik heb de mail wel gehad, maar dat was dan ook het enige en het laatste. Het is summier. Maar ergens is het niet ongewoon dan een organisatie pas communiceert als ze alles duidelijk hebben om ruis te voorkomen. Het is niet fijn maar je ziet het vaker als het OM of de politie betrokken is.

[bzuidgeest]

Omzet is niet hetzelfde als winst. En met social engineering maken ze gebruik van het vertrouwen van mensen en mensen blijven mensen.

[Genosha]

Omzet van 2.3 miljard euro, 780 miljoen winst in 2024. Cijfers voor 2025 zullen weinig verschillen. Geld genoeg voor investering in veiligheid, genoeg om een duidelijke communicatie boodschap te (laten) schrijven over welke gegevens allemaal zijn buitgemaakt. Odido heeft een grote blunder begaan en boet hier helaas (nog) niet voor.

[NLblabla]

Voordat je anderen probeert te vertellen wat zij moeten doen, kun je beter eerst naar jezelf kijken. Hij heeft tenminste iets geprobeerd te doen. De volgende keer doet hij wellicht niets meer, om het 'gezeur' van alle 'toetsenbordhelden' te voorkomen.

[Olympus user]

Iedereen mag zijn mening hebben lijkt mij.
Ik vind het verkeerd om criminelen te faciliteren. Als er al betaald zou moeten worden dan door Odido en door de aandeelhouders, niet door klanten of goedbedoelende mensen.

[Dark Angel 58]

Inderdaad, de ethische hackers moeten de criminele hackers opsporen en ze vernietigen. Dus eerst adressen en locaties vinden en data aan politie doorgeven zodat ze met brute force de locaties binnenstormen.

Wanneer de verdachten gearresteerd worden en tijdens verhoor zoals verwacht slaan ze volledig dicht. Stuur ze meteen naar de mijnen waar ze lekker dwangarbeid mogen uitvoeren, stenen kapotslaan Een maand lang en reken maar dan gaan ze wel sneller praten

[Olympus user]

Of gewoon hun gaan laten gaan.

[AMDLegion]

Reken maar dat Odido betaald had als het om data ging wat hun kon schaden.

Ze schuilen nu achter het onnozele narratief dat betalen betekent dat hackers nog meer gaan hacken.

Het is nu de informatie van klanten wat op straat ligt, zal Odido naast wat imagoschade niet boeien.

Als het data was waar ze wel om gaven hadden ze direct betaald en naar niemand geluisterd die zei dat je hackers niet mag betalen.

Maar blijf ze lekker verdedigen, ga je gang

[TwiekertBOB]

Dit is wel erg kort door de bocht.

Ook door het niet te betalen zullen ze grote schade hebben, mogelijk zelfs meer dan wanneer ze hadden betaald.

Imagoschade betekent klantverlies, maar ook in de toekomst minder klanten.

[AMDLegion]

Nee, imagoschade is nu groter dan als ze betaald hadden.

Shinyhunters staat bekend als een groep die de data niet lekt zodra er betaald is.

Nu zegt Odido eigenlijk dat de data van 6 miljoen klanten niet 1 miljoen euro waard is. Dit gaat niet om het niet supporten van hackers, dit gaat om geld besparen.

Moment dat dit omgekeerd was en niet de klant de dupe was maar Odido zelf dan hadden ze direct betaald.

[m.z]

Daarom, nu ga ik ook effe kort door de bocht denken: misschien mag overheid eens bezighouden met berekening van kosten van schade die slachtoffers mogelijk kan lijden vs dit bedrag betaald zou zijn geweest.

Nee, politie kan wel roepen “niks betalen”, maar zelf hebben ze nog niet eens de fractie van de capaciteit om mogelijke slachtoffers bij te staan, beter gezegd de aangiftes wel eens aannemen.

Off-topic: Zelfs het OM seponeert zaken, omdat ze “niks” kunnen doen. Er worden strafbare feiten gepleegd tegen ambtenaren, maar wordt door OM niet behandeld omdat de pleger geen vaste woon/verblijf heeft.

Effe serieus, hoe dan ook Odido is gewoon fout bezig geweest en laat dit effe een staartje krijgen. Gegevens zo lang bewaren, zegt ook wat over controle en handhaving hierop.

[TwiekertBOB]

Als we op die manier gaan denken dan kun je als Odido klant ook de bedrijven aanklagen die wel hebben deze criminelen hebben betaald.

Omdat ze daardoor het idee hadden dat ze hier meer geld mee konden verdienen, hebben ze nu ook Odido gehacked.

Het is net als met terroristen: Daar onderhandel je niet mee, want dan blijven ze mensen ontvoeren etc.

[aap]

Het is net als met terroristen: Daar onderhandel je niet mee, want dan blijven ze mensen ontvoeren etc.

Ik denk dat het tegenvalt hoe veel er wel met terroristen onderhandeld wordt.

[moonlander]

Ik ben benieuwd hoe jij in die situatie zou staan als het jou overkomt. Jij betaald dan gewoon? En dan zien ze, oh dat is een makkelijk slachtoffer die kunnen we nog wel een keer pakken.. Maar dan wel 10x zo hard. Betaald toch wel.

[DrPoncho]

Voor zover ik weet is dat praktisch nog nooit gebeurd, '10x zo hard pakken' nadat een hack plaatsvond.

[AMDLegion]

Mijn beveiliging is overkill voor mijn risico profiel. Als ik dan gehackt word dan zal ik informatie inwinnen of de gestolen data mij of mijn klanten benadeeld en dan zal ik een redelijk bedrag betalen mits de partij betrouwbaar is.

shinyhunters is een respected hacker groep en 1 miljoen is een redelijk bedrag, zelfs 10 miljoen was redelijk in deze situatie

Odido heeft gewoon steken laten vallen en wil vervolgens niet losgeld betalen waardoor al onze info nu op straat ligt

[911GT2]

Geen enkel bedrag was redelijk in deze situatie. Geen miljoen, geen tien miljoen. Maar ook geen enkele euro.

Je handelt gewoon niet met criminelen. Punt.

[xxs]

Waar ligt de grens? Wat als ze je kind gegijzeld hebben, ben je dan nog zo stellig

[911GT2]

Ja. Want gijzelen hangt ook af van hetzelfde succes… als er niet betaald wordt is de businesscase niet de moeite. Hoe hard het ook klinkt.

[911GT2]

Je impliceert dat Odido crimineel is? Dat is nogal een bewering…

[AMDLegion]

Zeker weten. Ze hebben data retentie regels overtreden ( sommige ex klanten van 10+ jaar geleden zitten zelfs bij het lek )

[911GT2]

Een overtreding maakt je nog geen crimineel. Dat zou betekenen dat iedereen die te hard rijdt crimineel is. Gelukkig is dat niet het geval.

[AMDLegion]

juridisch heb je gelijk. Maar het is erger dan de meeste criminele vergrijpen.

[911GT2]

Volgens mij overdrijf je een beetje. Het is maar wat data. Waar je nauwelijks iets mee kan.

[escalate]

Ik ben blij dat Odido niet betaald heeft puur om de reden dat Nederlandse bedrijven dan niet als makkelijk doelwit bekent staan. Moderne hacker groeperingen handelen bijna hetzelfde als bedrijven met indicaties van makkelijke doelwitten etc.

Ik verdedig Odido niet hierin, zij hebben de hack dusdanig schadelijk gemaakt door niet de juiste bewaartermijnen te hanteren voor de data die zij hebben van hun klanten. Maar zij zijn niet degene die in braken, chanteren of andere illegale praktijken uitvoeren voor maximale schade...

[AMDLegion]

Dit ga je houden of je nou wel of niet betaald.

hackers blijven hacken al is het om prestige

En naast prestige kan je ook hacken voor; eigen gebruik/misbruik van gewonnen data, verkopen van de data aan de hoogste bieder of in opdracht van iemand om imagoschade aan te brengen bij een bedrijf.

En nogmaals, Odido betaald niet omdat het ze geld kost voor data die henzelf niet schaad.

[Reactie gewijzigd door AMDLegion op 2 maart 2026 11:19]

[escalate]

Natuurlijk schaad het dit Odido... reputatie schade is een ding.|

Prestige ding mag zo zijn, maar wel met consequenties en niet alleen maar geld binnen harken... misdaad mag niet lonen...

Hackers gonna hack is iets wat je kunt roepen, maar het feit is wel dat als je ze er niet voor betaald het minder zal zijn dan wanneer het een inkomsten bron kan zijn. Op BNR is er een podcast te vinden over Noord Koreaanse hackers. Misschien nuttig om die eens te beluisteren om wat meer inzicht te krijgen in wat voor prikkels er bij bepaalde Hackers groepen er zijn en hoe die functioneren.

[Llopigat]

Ze schuilen nu achter het onnozele narratief dat betalen betekent dat hackers nog meer gaan hacken.

Dit is ook het algemene standpunt van de cybersecurity gemeenschap en de meeste overheden dus zo raar vind ik dat niet.

Het had nooit moeten gebeuren maar dat ze niet betaald hebben vind ik wel terecht.

Het wordt wel tijd dat Odido mag gaan opdraaien voor alle gelopen schade, dat wel (wat ongetwijfeld een hoop meer gaat kosten dan dat miljoen). Of op zijn minst een boete krijgen van het AP. Ik vond ook hun reactie van "ach zo'n drama is het niet hoor" erg teleurstellend.

[Reactie gewijzigd door Llopigat op 2 maart 2026 11:23]

[aldieaccounts]

Er is echt nul reden om dit soort losgeld te betalen. De data is al weg. Als je betaalt wordt hij daarna doodleuk alsnog verkocht/gelekt. Denk je nou echt dat die hackers eerlijk alles wissen na betaling ;-P

[pegagus]

Is even zijn blog gelezen, maar wat ik totaal mis, is het ethische deel. In het verlengde ligt de maffiapraktijk van betalen voor "bescherming". Niet betalen leidt er toe dat je bedrijf in de fik wordt gestoken, je familie wordt bedreigd, et cetera. Waar is nu die ethische beschouwing, anders dan op korte termijn hopen dat je de schade beperkt?

[Reactie gewijzigd door pegagus op 2 maart 2026 11:44]

[Oon]

Persoonlijk gewin. Dit soort acties doe je alleen om bijv. je blog te promoten, niet omdat je je daadwerkelijk druk maakt over de klanten van deze specifieke hack.

[Wickedmen030]

Anderzijds. Wat als een van ons gegijzeld wordt door criminelen. Ze vragen de staat om een miljoen euro te betalen voor onze vrijheid of ze zullen (dodelijk) geweld gebruiken. Moet de staat het dan maar negeren en ons aan ons lot overlaten? Het zijn ten slotte wel criminelen die het geld vragen.

[DiaZ_1986]

Naar mijn mening zou dat inderdaad genegeerd moeten worden.

Wat weerhoud diezelfde criminelen er dan van om iedere dag een ander te ontvoeren en dus iedere dag weer een miljoen te eisen? Wat als 10 verschillende groepen 10 mensen per dag gaan ontvoeren, moet de staat dan maar even 10 miljoen per dag betalen?

Wat als ze dan ineens van 1 miljoen naar 2 miljoen, of 100 miljoen gaan?

Wil je dat er dan "afspraken" gemaakt worden als: als je deze maand niemand ontvoerd krijg je 20 miljoen van de staat? Maffia praktijken, betaal voor bescherming anders breken we je benen.

[squareware]

Er zit een verschil tussen de fysieke wereld en data.

Data kan gekopieerd worden en later altijd nog iets anders mee worden gedaan. Zeggen dat je het verwijderd hebt, kan de betalende partij nooit 100% weten.

Bij een gijzeling of gestolen objecten, dan kan je wel zeker zijn als betalendepartij dat zodra het object, dier of persoon terug komt, het ook echt zo is.

[Electr0n]

Losgeld betalen moet je eigenlijk niet doen, want stel je doet het wel dan moet je als nog maar geloven op hun blauwe ogen dat ze het alsnog niet via de zwarte markt het verkoopt. Daarnaast denk ik dat we Odido ook maar eens moeten aanklagen en onderzoek moeten gaan starten. AVG/GDPR is sowieso overtreden en als je hoort wat voor gegevens ze hadden van hun klanten en voormalige klanten dan vraag ik mezelf echt af wat ze hadden. Eigenlijk moeten we de hackers in deze dan weer bedanken, want waarom al deze gegevens? Ze willen graag dat we digitale persoontjes worden, maar dan moeten we wel beschermd worden in deze.

[m_snel]

Los van dat je niet weet of ze betrouwbaar zijn, zit je natuurlijk met het probleem dat je deur opzet voor nieuwe slachtoffer.

Als niemand betaalde dan bestond deze vorm van afpersing niet eens .

[Vincedf]

Beetje vreemd, ook al zouden ze op dat moment niet publiceren. De gegevens zijn nog steeds in handen van criminelen. Ga je daar echt geld voor betalen??

[Omnicron1]

Exact En is wel zo wijs.

Want dit doe me vermoeden dat er meer loos is in deze richting.
Lijkt op een wellicht goedbedoelde, maar zeer domme aktie. Kijk mij eens...

Schoenmaker blijf bij uw leest

[Barsonax]

Geld verzamelen om criminelen te betalen en dus dit in stand te houden. Lekker dom bezig...

[GRerink]

Het was op zich een nobel idee. Maar geld inzamelen om een criminele organisatie te betalen vindt ik persoonlijk wat onethisch en misschien wel strafbaar omdat je dit zou kunnen scharen onder het financieren van een criminele organisatie.

Er zou beter meer geld naar het opsporen van deze criminelen kunnen gaan. Het gaat deze criminele organisatie niet om te laten zien dat een bedrijf gehack kan worden maar ordinair om geld waarbij het niet boeit of en hoeveel mensen er de dupe van worden. Ga gewoon werken voor je geld!

[xoniq]

Er zou beter meer geld naar het opsporen van deze criminelen kunnen gaan.

Zou een bodemloze put zijn lijkt mij. Aangezien zulke criminelen vaak voorbij de Russische grens zitten. Nou dan heb je ze opgespoort in Rusland, en dan? Putin ziet je aan komen.

[roelboel]

Wat is er precies nobel aan het belonen van afpersers, nu in en in de toekomst?

[TheDeeGee]

Goed bezig hoor, criminelen aanmoedigen om dit meer te doen door juist te betalen

[Warri]

Ik vind het grappig dat ODIDO in de blogpost min of meer wordt verweten dat zij niet duidelijk maken welke security-experts zijn ingehuurd en hebben geadviseerd om niet te betalen, terwijl de crowdfundingcampagne mede wordt opgezet door security-experts die anoniem willen blijven.

Een gevalletje de pot verwijt de ketel.

Verder is de communicatie en afhandeling door ODIDO natuurlijk schandalig, maar ODIDO zal er waarschijnlijk mee wegkomen.