Ethisch hacker die Odido-losgeld wilde crowdfunden heeft donaties teruggestort

Ethisch hacker Sijmen Ruwhof, die vorige week een persoonlijke crowdfundingsactie begon om het losgeld van de Odido-hack op te halen, heeft alle donaties teruggestort naar de donateurs. Ruwhof beloofde dat al te doen als de criminelen dat niet zouden accepteren. Dit weekend zetten de hackers alle Odido-data online.

Ruwhof schrijft in een update onder zijn eerdere blogpost dat hij op zondagavond het geld heeft teruggestort aan 152 van de 153 donateurs. Dat gebeurde nadat de hackers alle gegevens van Odido-klanten publiceerden.

"Vijf euro moet nog teruggestort worden die op een ongebruikelijke manier is gedoneerd", schrijft Ruwhof. Tweakers heeft inmiddels kunnen bevestigen dat het geld inderdaad is teruggestort naar de donateurs.

In totaal haalde Ruwhof 2069,79 euro op, verdeeld over 153 donaties. Dat was bij lange na niet genoeg om de hackers te betalen. De Odido-hackers eisten een miljoen euro losgeld, maar Ruwhof schatte in dat 250.000 euro genoeg zou zijn om ten minste een deel van de nieuwe gegevens niet te laten publiceren.

Sijmen Ruwhof, een bekende ethisch hacker, begon vlak voor het weekend een crowdfundingsactie via een eigen bankrekening. Hij deed dat samen met enkele andere beveiligingsexperts, die anoniem willen blijven. De crowdfunding was bedoeld om een bedrag in te zamelen dat als losgeld kon worden betaald aan de hackers van Odido. Die waren op vrijdag al begonnen met het lekken van beperkte datasets, maar Ruwhof en de andere experts hoopten dat met een deel van het geëiste losgeld ook het resterende deel van de gestolen data niet openbaar zou worden gemaakt.

Daarmee houdt Ruwhof zich aan zijn belofte. "Opgehaald geld dat niet gebruikt wordt zal, minus (bank)kosten, teruggestort worden naar de donateurs", schrijft hij op zijn blog. Ruwhof kreeg naast positieve reacties ook veel kritiek op zijn actie. Hij heeft zijn overwegingen in een andere blogpost verder uiteengezet.

Reacties (233)

[Olympus user]

Misschien dat deze ethische hacker moet helpen dit soort criminelen op te sporen en misschien te hacken in plaats van te sponseren door losgeld in te zamelen

[Skit3000]

Buitengewone omstandigheden vragen om buitengewone acties. Ik zie niet in hoe je niet kunt helpen de wereld veiliger te maken én die ene keer dat er echt gevaarlijke data dreigt te lekken, dit tegen proberen te gaan.

Bijkomend voordeel van betalen is dat er dan in ieder geval nog een lijntje is via waar de criminelen opgespoord kunnen worden. Ergens zullen ze dat geld namelijk weer in willen zetten.

[Reactie gewijzigd door Skit3000 op 2 maart 2026 11:08]

[Coolstart]

Buitengewone omstandigheden vragen om buitengewone acties. Ik zie niet in hoe je niet kunt helpen de wereld veiliger te maken én die ene keer dat er echt gevaarlijke data dreigt te lekken, dit tegen proberen te gaan.

Bijkomend voordeel van betalen is dat er dan in ieder geval nog een lijntje is via waar de criminelen opgespoord kunnen worden. Ergens zullen ze dat geld namelijk weer in willen zetten.

Dit is waanzin. Elke cybersecurity expert zegt luid en duidelijk om nooit losgeld te betalen. Je ondersteund enkel de hackersgroep. Ze kunnen dan meer mensen in dienst nemen die meer hacks kunnen uitvoeren. De maatschappelijke schade is compleet.

Hackers los geld betalen zou erg zwaar bestraft moeten worden zodat hun verdienmodel droog komt te liggen. Deze ethische hackers mist elke maar dan ook elke vorm van ethiek.

Als samenleving gaan we er vanuit moeten gaan dat alle gedeelde data publieke data is. En we gaan onze klanten of leveranciers zware straffen moeten opleggen als blijkt dat een hack heeft plaatsgevonden door nalatigheid. Er zou bij elke grote hack een gerechterlijk onderzoek moeten komen. Indien er fouten gevonden worden dan moeten daar zware straffen tegenoverstaan. In sommige gevallen kan dat leiden tot het einde van dat bedrijf. Enkel zo gaan bedrijven dit risico echt ernstig nemen.

Alle miljoenen moeten naar risicobeperking gaan, niet naar criminelen die zo nog meer hacks kunnen uitvoeren.

Bijkomend voordeel van betalen is dat er dan in ieder geval nog een lijntje is via waar de criminelen opgespoord kunnen worden. Ergens zullen ze dat geld namelijk weer in willen zetten.

Kom op. Onder welke steen leef jij? Dit zijn illegale Internationale criminele groeperingen. Alsof onze westerse rechtbanken daar enige grip op hebben. Ze vallen buiten onze jurisdictie.

[PaulHelper]

Dat laatste maar deels mee eens. Het is al meer dan eens gebeurd dat ofwel door goed speurwerk van 1 land of combinatie van landen zelfs vrij ongereguleerde manieren van geld overmaken zijn opgespoord. Ik zeg niet dat het altijd lukt maar het maakt het wel degelijk een optie in sommige gevallen.

[TEAser_]

Het is niet de taak van bedrijven en burgers om die schade te beperken. Dat is de taak van de overheid en de politie om deze mensen op te sporen en achter slot en grendel te zetten.

[SBTweaker]

Jij denkt dat ze daar tijd en capaciteit voor hebben?

[HDoc]

Je hebt gelijk en tegelijk is het ook de taak van ons burgers en bedrijven om er voor te zorgen dat het niet erger wordt.

Wat mij betreft stellen we het betalen van losgeld gelijk aan heling (wat het eigenlijk is, namelijk betalen voor iets dat gestolen is). Het wordt dan voor bedrijven onmogelijk om geld over te maken richting hackers: uitgaven moeten namelijk in de boeken en de accountant zal geen genoegen nemen met een grote uitgave zonder duidelijke uitleg.

[66JustMe819]

Bedrijven als Odido wettelijk volledig aansprakelijk maken voor schade die particulieren lijden. Dat niet doen is pas echte waanzin en laat het risico volledig bij de gebruiker. Erg stoer al die praat van niet betalen echter dat heeft pas zin als er nooit, door niemand waar dan ook, betaald wordt en dat zal nooit het geval zijn. Laat bedrijven maar voor de kosten opdraaien, niet de consumenten.

[RetroMan]

En hoe zouden die bedrijven die kosten financieren?

[WargamingPlayer]

Door geen risico te nemen. Wanneer Odido alle data niet gehad had welke ze eigenlijk niet nodig hebben voor de bedrijfsvoering had dit allemaal niet gelekt en was de schade minimaal geweest.

Maar marketing afdelingen zijn rupsje nooit genoeg met data vergaring en gooien niks weg, want zou wel eens handig kunnen zijn.

Het zou de overheid dan ook sieren om een boete te geven die maximaal is. Odido heeft een omzet van 2,3 miljard. Dus een boete van 4% van de omzet zou ook sieren. Dat is dus 92 miljoen.

[RetroMan]

Helaas werkt het in de boze buitenwereld als volgt: Bedrijven verhalen dergelijke kosten op hun klanten.

[66JustMe819]

Door de prijzen te verhogen waarschijnlijk en dat lijkt mij beter dan de consument roulette laten spelen want daar komt het nu de facto op neer.

[Batiatus]

Ik vind (als cybersecurity expert) dat je reactie wel wat nuance verdient.

In dit geval -bedrijfsvoering is niet in gevaar- enkel gegevens zijn gelekt, zou losgeld betalen inderdaad niet gedaan moeten worden. Ik vind dat moeilijker om zo stellig te eisen wanneer je complete bedrijfsvoering plat ligt door bijvoorbeeld ransomware. Ja, dan heb je als organisatie waarschijnlijk onvoldoende aandacht gehad voor het treffen van de juiste maatregelen, maar het niet betalen van losgeld maakt de impact misschien nog wel groter. Je kan wel stelling beweren om geen losgeld te betalen wanneer een ziekenhuis geransomed wordt, maar als er daardoor levens op het spel staan zou ik die beslissing niet snel adviseren, met die context in het achterhoofd.

[asset185]

Bedoel je als cybersecurity expert die het bedrijf adviseert met het oog op de belangen van het bedrijf. Dan kun je inderdaad makkelijk denken. Nu hebben de klanten een probleem. Bij Ransomware heeft het bedrijf zelf een probleem. Wat boeien ons die klanten.

Dat is precies hoe deze hele zaak overkomt. De klanten lijken Odido weinig te deren.

[HDoc]

Het zou wellicht helpen als het betalen van losgeld gewoon strafbaar wordt gesteld. Daar zijn volgens mij juridisch wel mogelijkheden voor. Het wordt dan voor een bedrijf onmogelijk om een grote som losgeld neer te leggen. Daarmee wordt het voor hackers ook onaantrekkelijk om dergelijke aanvallen uit te voeren.

[Skit3000]

Kom op. Onder welke steen leef jij? Dit zijn illegale Internationale criminele groeperingen. Alsof onze westerse rechtbanken daar enige grip op hebben. Ze vallen buiten onze jurisdictie.

Ik leef onder de steen waar redelijk bekend is dat deze groep waarschijnlijk uit Frankrijk en Canada komt. Het opsporen van deze mensen is dus heel relevant.

Shinyhunters is een relatief kleine groep. Bronnen die bekend zijn met de groep zeggen dat de kern uit maar enkele personen bestaat die uit onder andere Canada en Frankrijk zouden komen.

[Firstjazz]

Los geld accepteren ze niet, maar losgeld wel denk ik.

[Olympus user]

Ik ben van mening dat geld de enige reden is voor deze criminelen. Als je in heel Europa losgeld betalen verbied valt in ieder geval 1 mogelijkheid (losgeld) weg.
Data verkoop zal altijd een probleem blijven, ook als er betaald wordt.
Maar bedrijven moeten zeker iets aan hun beveiliging doen, het kan toch niet zo zijn dat een fishing bericht naar een medewerker de mogelijkheid geeft alle bestanden te downloaden.

[Skit3000]

Elk incident bestaat uit twee componenten; hoe je het kunt voorkomen en hoe je nadat het heeft plaatsgevonden de impact kunt verlagen. Het eerste deel lijkt Odido te kort in te zijn geschoten. Het tweede deel is lastiger. Ze doen namelijk in het grote plaatje het juiste (niet toegeven aan afperser) maar gokken hier niet met hún data, maar dat van hun klanten.

Stel dat Shell was gehackt en al hun data over mogelijke aardolievelden was gedownload. Zulke data is miljarden waard; sommige boorbedrijven worden alleen al voor hun data overgenomen. Wat mij betreft staat het in dat geval Shell helemaal vrij om te kiezen of ze losgeld betalen in de hoop dat de data niet verder wordt gedeeld, of standvastig vasthouden en géén losgeld betalen.

Wat mij betreft wordt losgeld betalen trouwens verboden, maar zolang dat verbod er niet is zou je van bedrijven mogen verwachten dat ze hun klanten uit de wind houden - op wat voor legale manier dan ook-.

[Reactie gewijzigd door Skit3000 op 2 maart 2026 11:31]

[sijmen-ruwhof]

Er zijn Kamervragen gesteld over een wettelijk verbod op betalen van losgeld bij ransomware: https://www.security.nl/posting/926538/Kamervragen+over+wettelijk+verbod+op+betalen+van+losgeld+bij+ransomware

[NotWise]

Ik heb de post even doorgenomen en staan zeker een paar valide punten in. Maar toch een paar opmerkingen:

Kan je een hackersgroep als ShinyHunters vertrouwen?

Je gaat er van uit dat Shinyhunters (onderdeel van 'The Com) een rationele actor is. Dat is het niet, het betreft hier voornamelijk tieners met problemen. Ze staan te boek als zeer onbetrouwbaar.

Please Don’t Feed the Scattered Lapsus ShinyHunters

Harassment, Scare Tactics, & Why Victims Should Never Pay ShinyHunters

Inability to Foster Credibility

Members of The Com are mostly young males and mostly between the ages of 14-26 years old. Some come from broken homes or struggle with severe mental health issues and debilitating personality disorders that make it difficult to integrate into society—often leading to ostracization in their local communities. Moreover, frequent drug abuse among members of The Com makes their behavior even more erratic. It’s common for groups in The Com to instigate feuds and drama between group members, leading to lying, betrayals, credibility destroying behavior, backstabbing, and sabotage. With this type of ongoing dysfunction, these threat actors aren’t able to act with the core goal in mind of completing a successful, strategic ransom operation. They continually lose control with outbursts that put their strategy and operational security at risk. This severely limits their ability to build a professional and scalable criminal organization network for continued successful ransoms—unlike other more tenured and sophisticated criminal organizations focused on ransomware alone.

Wat gebeurt er als er geen afpersgeld betaald wordt?

Afpersverdienmodel wordt beetje ondermijnd
Het afpersverdienmodel van ShinyHunters wordt een beetje ondermijnd als Odido geen afpersgeld gaat betalen. Er zijn genoeg andere bedrijven die hoogstwaarschijnlijk wel afpersgeld hebben betaald nadat ShinyHunters ze gehackt heeft, zoals Ticketmaster (2024) en Pornhub (2025). Van die bedrijven heeft ShinyHunters de buitgemaakte gegevens nooit op internet gezet.

Dat klopt, echter is de gestolen data van Ticketmaster ingezet voor een grote phishing campagne. Gewoon een andere methode om geld te stelen. Pornhub data is interessant om mensen mee af te persen en te treiteren. De subcultuur The Com zit vol met pubers met mentale problemen.

Nog een punt, als je deze inzamelactie in samenwerking met Politie/Justitie zou doen, dan prima. Maar op eigen houtje opereren en dus daarbij het standpunt van Odido en Politie/Justitie ondermijnen lijkt me geen goed idee. Daarbij komt, dat deze gastjes dan waarschijnlijk denken nog meer te kunnen halen.

[sijmen-ruwhof]

Please Don’t Feed the Scattered Lapsus ShinyHunters
Scattered Lapsus ShinyHunters is een andere groep dan ShinyHunters.

Harassment, Scare Tactics, & Why Victims Should Never Pay ShinyHunters
Volgens ShinyHunters-expert Rickey Gevers klopt er weinig van deze blog. Hij gaat een artikel erover schrijven binnenkort.

[NotWise]

.Nou dan ben ik zeer benieuwd:

https://www.resecurity.com/blog/article/trinity-of-chaos-the-lapsus-shinyhunters-and-scattered-spider-alliance-embarks-on-global-cybercrime-spree

ShinyHunters

In June 4, 2025, ShinyHunters was tied to a widespread data-theft campaign targeting Salesforce cloud customers, which Google's Threat Intelligence team tracked as UNC6040.^[41] The cybercriminal group working in conjunction with Scattered Spider^[42] (now believed to be the same group) and Lapsus$ (also now believed to be the same group or apart of) impersonated IT support staff and used voice phishing (vishing) calls to trick employees into installing a malicious version of Salesforce's Data Loader tool, allowing them to access and extract sensitive customer data by abusing OAuth to bypass traditional authentication methods.^[74] Following the successful intrusions, Google's Threat Intelligence team notes the victims of these intrusions receive an extortion or ransom email from the ShinyHunters cybercriminal group, which is also tracked as UNC6240.^[41]

[Reactie gewijzigd door NotWise op 2 maart 2026 13:02]

[Floort]

Wat ik mis in de argumentatie die ik her en der lees over vertrouwen in criminelen is het onderscheid tussen makkelijk zichtbare manieren waarop vertrouwen geschonden kan worden (publicatie van gestolen dat na betaling om dat niet te doen) en manieren de niet of minder goed zichtbaar zijn (data stiekem blijven bewaren, inlichtingendiensten die meekijken met de criminelen, stiekeme doorverkoop aan andere criminelen, etc.). Hoewel het niet publiceren van de data opzich goed is, zie ik een belangrijk verschil tussen "je kan de criminelen vertrouwen" en "de criminelen hebben er belang bij om niet zichtbaar het vertrouwen te schenden en hier is een lijst van dingen die criminelen na betaling nog ongezien kunnen doen."

En hoewel de criminelen vertrouwen nodig hebben kunnen ze vrij makkelijk "rebranden" als hun reputatie onderuit gaat. Er zijn voldoende nieuwe groepen die opkomen dat het lastig bij te houden is en het is niet alsof je even in de KVK kan opzoeken of de bestuurders eerder oneerlijk zijn geweest.

Ik denk dat het belang van vertrouwen in deze context soms wordt overschat en de rol van angst wordt onderschat.

[Reactie gewijzigd door Floort op 2 maart 2026 15:57]

[Hakker]

Groepen als Shinyhunters weten heel goed dat als men betaald en de gegevens alsnog online dumpen er 0 vertrouwen is. Honor among thieves dus. Nu loopt iedereen te roepen alsof we bedrijven wel op hun blauwe ogen moeten vertrouwen, maar elke dag komen er ondertussen meer skeleten uit de kasten van Odido zetten en wat doen bedrijven onderling.... foei jongens dat mogen jullie niet doen en dan 100K boete waar ze om lachen aangezien het diner waar ze het beslist hebben waarschijnlijk meer heeft gekost dan de boete. Ondertussen mag 35% van Nederland achter hun schouders blijven kijken voorlopig.

[MikeyMan]

De argumentatie gaat een beetje mank op 'groepen als'. Is het wel een groep?

Wat is ShinyHunters voor groep? Hoe vast is deze? Hoeveel zijn het er? Wie heeft er toegang tot de data? Waar staat het opgeslagen. Als een van de pubers voor zichzelf gaat beginnen, loop je nog steeds risico.

Punt is; je krijgt nul garantie voor je betaling.

[Sinester]

Alles wat je zegt klopt wellicht wel, ik zou nooit van me leven een crimineel geloven, wat hij ook zegt.
Ik geloof nog 10x liever Odido dan Shinyhunters.

In deze zou Shinyhunters dus ook nooit van me leven betalen en wou ook niet dat Odido dit ging doen. 0 vertrouwen in dat hun echt doen wat ze beloven. Ook de berichten die ze sturen van "Het is onze schuld niet dat dit nu op straat ligt" Ja tuurlijk nul respect, begrip of enig iets voor zulke figuren

[ApexAlpha]

Ik heb ooit (jaren geleden) iemand geadviseerd wel te betalen.

Klinkt dom, maar deze persoon was al zijn zakelijke administratie kwijt en de Belastingdienst eist gewoon dat je x aantal jaar terug kan overleggen, en anders heb je een groot probleem.

Zonder te betalen was die dus aangeklaagd en waarschijnlijk failliet door dezelfde overheid die hem misschien in de toekomst dwingt niet te betalen.

[FreezeXJ]

Yep, dat heet bedrijfsrisico, en ik snap je advies, maar het blijft behelpen. Eigenlijk komen mensen pas dan tot de conclusie dat ze/bedrijven een existentieel risico lopen door hun administratie/infra niet in eigen handen te hebben. Nou is het ondoenlijk om dat volledig in eigen beheer te doen (je kunt niet je eigen servers bouwen, beheren en er software voor schrijven als kleine of grote partij), maar de externe clubs die dat voor je regelen zijn nog verre van betrouwbaar.

Ik vergelijk het een beetje met banken, want zelf je geld rondrijden en beheren is ook (vrijwel) onmogelijk, maar door de eeuwen heen hebben bepaalde bedrijven zich daarin gespecialiseerd, en is de betrouwbaarheid voldoende geworden. Bankovervallen zorgen er zelden voor dat bedrijven wiens bank beroofd is failliet gaan. Daar moeten digitale service-verleners ook heen, en dat gaat nog even werk kosten.

(en als vergelijking met jouw puntje dat diezelfde overheid jou de gevolgen van andermans acties kan voorschotelen: dat is met banken hetzelfde, als mijn bank failliet gaat word ik nog steeds gedwongen om m'n belastingen te betalen. )

[ApexAlpha]

Bij banken is er een wettelijke garantie dat je geld tot €100.000 veilig is... Geregeld door de overheid.

[MikeyMan]

Je data kwijt zijn is iets anders dan dreigen het te delen.

[kakanox]

Dat klinkt als een ransomware aanval, en is echt een andere situatie.

[PvdVen777]

Heb eens voor een bedrijf waarvan een groot deel van de boekhouding in vlammen op was gegaan. Daar kan dat bedrijf niets aan doen en de belastingdienst niets tegen doen.

Als bewijs lever je dan bij vragen het process verbaal aan. Dat bedrijf bestaat nog steetds overigens.

[WargamingPlayer]

Failliet doordat hij bezuinigd had op cybersecurity? Want dat was het geweest. Je hebt dus geadviseerd om die ondernemer zijn eigen fout af te kopen.

Klinkt hard, maar bedrijven gaan nu eenmaal failliet. Wat is het verschil tussen failliet gaan door mismanagement of een cyberaanval en de gevolgen daar van? Niks.

[Skit3000]

Nu ik er langer over na denk: De volgende stap is natuurlijk dat criminelen direct de getroffen burgers gaan benaderen voor losgeld. Zie dat maar eens met een wet tegen te houden.

Misschien het betalen van losgeld juist wél toestaan of zelfs aanmoedigen, maar enkel als het op de ouderwetse manier gaat (ongemerkte biljetten in een blauw koffertje met bloemetjes er op, achter te laten bij het tweede bankje in het park). Dat vergroot de pakkans terwijl er ook een kans is voor de crimineel om er mee weg te komen, dus wellicht nemen ze de gok. Durven ze het niet aan, dan zullen ze ook niet proberen gegevens te ontfrutselen en neem je het probleem ook weg.

[FreezeXJ]

Geen hacker die daarvoor naar het park gaat, dan kom je allemaal mensen tegen en da's en enzo

Zeker niet als er prima alternatieven bestaan zoals Western Union (bekend geworden door onze Nigeriaanse prinsen) of Bitcoin tumblers ofzo. Daarnaast zijn er altijd de katvangers, mules en andere mensen die voor een paar centen graag risico lopen (of ze dat nou weten of niet).

Van ongemarkeerde bankbiljetten weten we de risicos wel (die serienummers zijn zo mooi traceerbaar), en daar heeft de politie meer dan genoeg opties en kennis om de eigenaren in beeld te krijgen. Bij internationale transacties via ongebruikelijke wegen is dat vrijwel onmogelijk, en dat weten stoute jongens.

Oh en as for tegenhouden van bedrijven geldt precies hetzelfde, als ze echt willen kunnen ze prima frauderen, en alsnog losgeld betalen op de wijze die de crimineel vraagt. Vergeet niet dat de bedrijven het _willen_ betalen, en dus opties gaan vinden om die wet te omzeilen.

[MneoreJ]

Nu ik er langer over na denk: De volgende stap is natuurlijk dat criminelen direct de getroffen burgers gaan benaderen voor losgeld. Zie dat maar eens met een wet tegen te houden.

Dat is een veel duurdere, kanslozere en gevaarlijkere exercitie. Van een groot bedrijf een paar ton proberen los te pingelen is een ding, een administratie bij gaan moeten houden voor miljoenen individuen die elk maar een klein bedrag kunnen lappen weer iets heel anders. Veel makkelijker om gewoon te zeggen "hee groot bedrijf, we weten dat je niet mag betalen, maar doe het nou lekker toch maar, want anders ga je enorme reputatieschade leiden". Het is niet alsof de hackers de politie op de hoogte gaan stellen.

Als individuen afpersen makkelijk winstgevend te maken was deden ze dat nu al wel: elke Odido klant aanschrijven met "Odido betaalt niet, maar jij kan alsnog voorkomen dat je gelekt wordt, hier zijn de Bitcoin instructies". Maar dat is allemaal veel te omslachtig en tijdrovend en je moet een aparte database op gaan zetten. Als je het toch op individueel niveau wil gaan doen kun je de gegevens beter gewoon gebruiken voor identiteitsfraude, dat is ongeveer evenveel werk maar de potentiële winst is veel hoger. Als je dat als hackersgroep niet zelf wil doen verkoop je de boel gewoon bij opbod door aan een groep die daar wel winst in ziet.

[Reactie gewijzigd door MneoreJ op 2 maart 2026 13:20]

[Skit3000]

Het gebeurt al regelmatig dat individuelen doelwit zijn van criminelen en grote bedragen kwijtraken.

[robvanwijk]

"hee groot bedrijf, we weten dat je niet mag betalen, maar doe het nou lekker toch maar, want anders ga je enorme reputatieschade leiden". Het is niet alsof de hackers de politie op de hoogte gaan stellen.

Nee, maar het is wel alsof de accountants vragen gaan stellen over dat rare, onverklaarbare bedrag dat afgeboekt wordt. Plus dat er alles bij elkaar best veel medewerkers op de hoogte zullen zijn dat er losgeld geëist is en ze vast een vermoeden hebben wat er is gebeurd als ze vervolgens niet groot in het nieuws komen. Ik denk dat zo'n verbod best goed te handhaven is.

[kodak]

Je neemt geen probleem weg door betalen van losgeld te normaliseren en aan te moedigen. Want wat je feitelijk doet is het normaliseren van afpersing. Criminaliteit aanmoediging en bevoordelen is geen excuus om criminaliteit een kans te geven.

[wooha]

Ik snap niet dat ze de hele boel online hebben gegooid in plaats van er direct of indirect aan te verdienen door Odido klanten met die gegevens op te (laten) lichten.

Is het ze veel geld waard om volgende slachtoffers/bedrijven te motiveren om wel te betalen, omdat echt alles publiek beschikbaar komt, in plaats van hier en daar een klant die er last van heeft?

Of willen ze het extra risico niet lopen dat volgt uit het oplichten van veel klanten, zelfs een indirect risico, als ze dat laten doen?

[TijsZonderH]

Ik heb ooit een artikel geschreven waarin onderzoekers keken naar de voor- en nadelen ervan:

review: Losgeldverbod voor ransomware: het gevoel zegt ja, het onderzoek zegt nee

[jmb66]

Sijmen, je doet een beetje een Willem Holleedertje met je actie.

Willem bezocht ook zakenmensen die hij wijsmaakte dat ze gevaar liepen door gemene boeven en hij dat kon oplossen, door een kleine betaling te doen. Uiteindelijk bleek die enge gevaarlijke boeven, waar Willen voor waarschuwde, Willem Holleeder zelf. Je kent de hackers, staat met ze in contact en als naïeve mensen bij jou gaan doneren op je Bunq rekening, dan los je het voor hun op.

Je bent immers een zelfverklaard ethisch hacker, na betaling zal er misschien een pijplijn verstopt zitten en vraag j e weer een kleine donatie, zodat je vrienden de data echt niet gaan lekken.

Ik kan het natuurlijk mis hebben, maar je bent ales behalve ethisch bezig, alles ruikt naar boef.

[metalmania_666]

Onsbexrijf heeft een verzekering afgesloten voor dit siort zaken (gelukkig nog niet nodig gehad) maar hun adviseren pér zaak of het wel of niet betalen van losgeld een goede optie is.

En nee, liever wil je niet betalen, maar soms is er geen andere goede optie

[NatteKrant]

Help me even dit te snappen.

De verzekeraar zelf gaat jullie adviseren of zji wel of niet moeten uitkeren? Als je er voor verzekert bent, wanneer zou je dan kiezen voor het niet betalen van losgeld? Of zijn er nog allerlei clausules die hierin meegewogen moeten worden?

[metalmania_666]

Óf ze keren de geleden schade volledig uit, óf ze betalen losgeld en de verbeteringen in het security protocol

[TijsZonderH]

Verzekeraars dwingen doorgaans veel veiligheidsmaatregelen af die je moet implementeren voor je aanspraak op vergoeding kunt maken. De verzekeraar zelf denkt meestal niet mee maar ze vergoeden vaak wel (een deel van) de incident response die je daar wel mee kunnen helpen.

Ransomwaregroepen zoeken in een systeem vaak eerst informatie op over het bedrijf om de hoogte van het losgeld te bepalen. Dat gaat deels op basis van hoeveel verzekeringsgeld het slachtoffer kan krijgen.

[NatteKrant]

Thanks voor de toelichting!

[WargamingPlayer]

Ik hoop dat ze dan alles op orde hebben, want bij duidelijk verwijtbaar wordt er niet uitgekeerd.

[Soldaatje]

Dat zijn goede vragen. Wat mij betreft mag zo'n verbod er wel komen. Het zou de investeringen stimuleren in de beveiliging van systemen en het zou het verdienmodel van de criminelen ondermijnen. Ik ben benieuwd naar de antwoorden.

[Croga]

Je hele betoog stoelt op het idee dat losgeld de primaire inkomstenbron is. Dat is het niet. Losgeld is pure bijvangst.

De data van de Odido klanten is al lang verkocht aan hele stapels louche figuren voor veel meer dan een miljoen euro. Dat miljoentje van Odido had een leuk extra zakcentje geweest, meer niet. En of Odido betaald of niet heeft geen enkele invloed op de kwetsbaarheid van de klanten.

Hetzelfde geld voor je voorbeeld; als Shell zou betalen zou daarmee niet de data veilig zijn. De data zou alleen niet openbaar zijn maar ga er maar rustig vanuit dat degenen die er écht voordeel mee zouden kunnen doen al lang die data gekocht zouden hebben.

Betalen of niet betalen is geen zaak van impact verlaging. Het is simpelweg na de hack niet meer mogelijk de impact te veranderen. En dus is niet betalen de enige zinnige optie.

[Skit3000]

Ik denk niet dat deze criminelen deze data al hebben doorverkocht. Het is namelijk veel meer waard als niemand op de hoogte is van het bestaan ervan.

[wooha]

Wat zouden die louche figuren er dan van vinden dat die data nu gratis beschikbaar is voor andere louche figuren? Hebben ze in de tussenliggende tijd voldoende voordeel kunnen halen uit hun investering? Was het van hun uit een gok dat Odido wel zou betalen en zij de enigen zouden blijven met de informatie?

Ik denk niet dat het al doorverkocht was. En anders alleen van een heel beperkt aantal voor misbruik waardevolle klanten. Als Odido wel betaald had, dan zou ShinyHunters alsnog aangekeken worden als uit een groot aantal oplichtingen blijkt dat de data is doorverkocht. Vooraf of achteraf is dan niet meer van belang.

Ik denk dat ze een voorbeeld willen stellen in de hoop dat andere bedrijven wel betalen als die weten dat alle informatie ook echt publiek wordt. ShinyHunters lijkt zelfs niet het risico te willen lopen om zelf op grote schaal voordeel te halen uit de gegevens.

[Olympus user]

Op het moment dat de data gestolen is kun je klanten niet meer uit de wind houden.
Betalen is geen enkele garantie dat de gegevens toch niet in een of andere vorm verspreid worden.

[NotWise]

Er is iets opvallends aan de hand met het de hoogte van het losgeld. Toen ik vernam dat er maar een miljoen euro losgeld werd gevraagd (en dat bedrag is verlaagd naar 5 ton) toen vond ik direct raar. Wie vraagt er maar een miljoen euro van een grote telecom provider? Dus ik zei tegen mijn vrouw, dit klinkt alsof de hacker(s) niet helemaal de waarde van geld begrijpen. Ik sprak direct het vermoeden uit dat het hier waarschijnlijk om jonge daders gaat. Dat klopt dus. Normaliter zou je een bedrag vragen die niet te hoog/laag is. Ik zou dan richting de 10 miljoen denken, dat is serieus geld, maar niet onmogelijk om te betalen (+ marge voor onderhandeling)

Je neemt namelijk een enorm risico met de hack, dan wil je ook navenant betaald worden.

[Olympus user]

Hert bedrag is inderdaad laag voor zo'n grote vis.
Maar ik las ook dat het een groep met een historie van "betrouwbaarheid" lijkt dat ze wel weten wat ze kunnen vangen.
Het is allemaal een beetje zozo.

[mrjimmy]

Probleem wat ik vaak tegenkom is dat onze security in orde is, maar dan is dat bij klanten of leveranciers niet in orde, en dan begint het gedonder met phising mails spam mails enzovoorts.

[Toine1]

Dan lijkt mij toch wel goed om dit ook door te geven aan die klant/leveranciers, of evt een audit te doen. Samen helpen we elkaar.

[mcmd]

Zo'n buitengewone actie is volgens mij niet goed. De hacker groep heeft volgens mij een twijfelachtige reputatie wat betreft het houden van hun beloftes na betalen. Bovendien stimuleer je toch echt hun verdienmodel, wat doorbroken moet worden.

Met je eens dat er alles gedaan moet worden aan het opsporen van gelden. Enkele jaren terug heeft volgens mij de universiteit van Maastricht uiteindelijk hieraan verdiend doordat de bitcoins teruggevonden werden en toen een veel hogere waarde hadden dan op het moment dat het gekocht moest worden. Op zich ook een verdienmodel, maar beter zou zijn dat dat niet nodig is!

[Claude]

Dat "verdienen" was maar betrekkelijk, gezien het aantal uren dat men daaraan heeft moeten besteden plus de inhuur van specialisten. Het saldo was negatief.

[T-men]

Even realistisch... is deze hack nou echt zoveel anders dan het zoveelste lek met persoonsgegevens ? Ja, het is een mooie complete set en er staat veel in. Maar je moet er in de praktijk tóch al vanuit gaan dat je gegevens gelekt zijn.

Goed wachtwoorden management, voorzichtig met klikken op links en hopen dat de helpdesk van je bank, je verzekeraar en je webshop e.d. op hun hoede zijn voor Identiteitsdiefstal... dat moest al. Dat veranderd hier niet door.

Deep fakes met A.I. in handen van criminelen en liegende politici zijn m.i. een veel grotere bedreiging.

Dat ik straks geloof dat die videocall waarin mijn vrouw belt dat ze een ongeluk heeft gehad en geld nodig heeft echt is. Of die presentatrice waarvan het hoofd op een porno-model is geplakt. Dát is iets waar ik bang voor ben. Of een Trump die beweert dat (vul maar in) wat in werkelijkheid 'een alternatieve waarheid' is. Van dát soort zaken komt de grote ellende.

[Reactie gewijzigd door T-men op 2 maart 2026 11:34]

[readefries]

Helemaal met je eens. Het probleem is hoe we als maatschapij data clasifiseren en hoe we zaken hiermee kunnen afsluiten. De afgelopen tijd zijn er verschillende lekken geweest, waardoor je misschien moet vaststellen dat: een BSN, bankrekeningnummer, ID-nummers, etc. publiek zijn en zullen we die ook als zodanig moeten behanelen. Dus hiermee geen zaken meer aanschaffen of contracten meer mee kunnen aankopen tenzij aangetoont is dat jij het echt bent.

Je kan wel proberen de werkelijkheid aan te passen, maar de papierenwerkelijkheid dat deze data privé is is (al een hele tijd) niet meer het geval :)

[Aganim]

Ik zie niet in hoe je niet kunt helpen de wereld veiliger te maken én die ene keer dat er echt gevaarlijke data dreigt te lekken, dit tegen proberen te gaan.

Omdat het zinloze actie is. Er is geen enkele garantie dat die data, al dan niet over een aantal jaar, niet toch doorverkocht wordt. Daarnaast: als een onbevoegde toegang heeft gehad tot gevoelige gegevens zal je, ook wanneer deze nu niet worden gepubliceerd, toch moeten handelen alsof die gegevens op straat liggen. Je weet immers de intenties van deze club niet en je weet niet of zij het wel veilig hebben opgeslagen.

Die gegevens zijn gecompromitteerd en blijven gecompromitteerd. Dit soort tuig belonen voor hun daden stimuleert ze alleen maar meer.

[Alex3]

Het is ook zinloos omdat Odido het best zelf kan en zou moeten betalen in plaats van anderen, afgezien van het feit dat betalen sowieso slecht is.

[SgtElPotato]

Er zijn genoeg manieren om het geld te laten 'verdwijnen', Monero iemand??

Daarnaast is het maar weer gebleken dat deze groep totaal niet te vertrouwen is. Dus maar goed dat er niet betaald is :)

[Skit3000]

Als er wel was betaald en de gegevens nog even achter de hand werden gehouden door deze groep om later opnieuw Odido af te persen of wat dan ook, was er in ieder geval meer tijd om te proberen deze criminelen te vinden.

Niet betalen van losgeld werkt pas als niemand het meer doet.

[SgtElPotato]

Nah, ik ben daar totaal niet van overtuigd. Deze groep is al jaren bezig en nog steeds niet gepakt. De kans dat dit wel zou gebeuren als er niet betaald was is klein.

We moeten ergens beginnen. En het lijkt er ook op dat deze groep erg gefrustreerd is gezien hun laatste bericht dus in mijn ogen plan geslaagd.

[kodak]

Je stelt geen duidelijke grenzen. Wat je daarmee aanhangt is willekeurige wetteloosheid en criminaliteit prima vinden maar zolang het je zelf maar uit komt. Dat is typisch wetteloos gedrag. Daar is weinig ethisch aan en heeft eerder de bedoeling om criminaliteit aan te moedigen en in stand te houden. Het argument dat er misschien iets wettigs uit kan komen heeft duidelijk niet de bedoeling daar echt op uit te zijn maar om het selectieve wetteloze denkbeeld suggestief goed proberen te praten.

[PWR.]

Je hebt volgens de autoriteit persoonsgegevens de plicht om bij een breach zoveel mogelijk schade te beperken. Dit had kunnen gebeuren door te betalen.

Odido heeft er voor gekozen om oud klant gegevens met gevoelige data te bewaren. Je kan jezelf de vraag stellen wat de meerwaarde voor Odido hier is geweest en of dit niet onnodige risico's met zich heeft meegebracht.

Daarnaast is de afkoopsom van 1 miljoen euro een zakelijke aftrekpost. Als je dit verdeeld over het aantal klanten, 6,5 miljoen ( dus 15 cent per klant) is de vraag heel reëel of Odido wel aan de vereisten van de AP heeft voldaan om zoveel mogelijk de schade te beperken.

Hierbij speelt natuurlijk ook mee wie de hackers zijn en wat hun reputatie is met betrekking tot het verwijderen van de data.

Dus vragen die hier naar voren komen zijn wat deed Odido met deze data om mee te beginnen? en hebben ze "zo veel mogelijk" gedaan. Allemaal vragen die beantwoord moeten worden nu we weten meer weten hoe dit loopt.

[magician2000]

En wat nu, wanneer deze criminelen deze 'crowdfunding' anders heeft opgevat? In de zin van: 'dit kunnen we gebruiken om nu extra duidelijk te maken dat er door een gehackt bedrijf aan ons betaald moet worden'?


Met andere woorden, meevarende op al deze media aandacht, steken ze nu naar iedereen een grote dikke middelvinger op! Een keiharde 'waarschuwing' naar bedrijven die gehackt worden. 'Jullie betalen ons, of de mensen keren zicht tegen jullie'.


Dat lijkt het spel dat hier gespeeld wordt, met dank dus aan die 'ethische' hacker. Tussen quotes, aangezien ik hier niets ethisch aan kan ontdekken. Gegevens zijn ondertussen zo vaak (al dan niet ontdekt en / of bekendgemaakt) gelekt, dat ik - en vele anderen met mij - geen enkele illussie hebben dat dit niet het geval is met mijn gegevens. Als ik zie wat voor soort spam er binnenkomt af en toe, dan is me al heel duidelijk dat er al diverse gegevens gelekt zijn van mij. Al dan niet door data verzamelaars.


Dat 'lijntje' zul je echt de eigenlijke criminelen niet mee gaan achterhalen zonder heel erg veel tijd en moeite. Dat weten de meeste van dit soort criminelen namelijk zelf ook.

[avlt]

Wat ik bij deze hele actie niet snap is dat er zoveel data gestolen kon worden. Er moeten toch alle toeters en bellen afgaan als iemand de gegevens van miljoenen klanten gaat downloaden?

[The-Source]

Ja en daar heeft Odido ruimschoots gefaald.
Daarnaast dus gecombineerd met retentie van data van oud klanten.
Als een klantenservice medewerker gemiddeld 20 klanten per uur afhandelt dan zou er toch al iets moeten gaan rinkelen / automatisch geblokkeerd worden als dat 40 data request worden.
Laat staan 6 Miljoen records. Als je dus per dag 160 records op vraagd (8x 20) dan zou het 37500 dagen werk zijn om als 1 account al die records onder normaal werktempo op te vragen. (In jaren is dat ruim 100 jaar)

[uiltje]

Ja minimale access interdaad. Maar ik denk dat je er nog verbaasd over zal zijn hoe vaak dit niet in de architectuur plaatjes terugkomt. Heel veel software borduurt nog voort op oude database paradigma's waarin dit soort interacties sowieso niet wordt geregistreerd. In dat geval wordt het ook lastig om het te detecteren (zonder dure detectie softwarepakket zoals een SIEM die op applicatie-niveau dreigingen weet te detecteren + reactievermogen).

Mits er überhaupt al een goed programma van eisen of ontwerp overlegt kan worden in deze wereld van agile development. Ik heb het nu al een paar keer meegemaakt dat er van een overkoepelend design helemaal geen sprake meer is; alles zit in een soort wiki omgeving en als buitenstaander (e.g. een security consultant zoals ik) is er geen vat op te krijgen - ik heb letterlijk meegemaakt dat de documentatie eigenlijk niet te verkrijgen was zonder externe toegang tot de systemen.

[YopY]

Niet alleen dat, maar de aanname is dat alles achter een medewerker-login wel beveiligd is. Maar niet dus, en dit is een van de vele security checklist dingen die men bij het opzetten en instellen van een systeem rekening mee moet houden.

[uiltje]

Idd, onderdeel van least privilege principle. Geen toegang tot gegevens behalve als het echt nodig is. Wel tricky want bijvoorbeeld zoekopdrachten moeten ook door het systeem heen kunnen gaan.

[wooha]

Voor 10% tot 30% opslag op hun Salesforce kosten en een investering van tijd had Odido dat met Salesforce Shield kunnen doen.

Er is zelfs nog een, wat mij betreft kleine, kans dat ze dat hebben gedaan. Het is me nog steeds niet duidelijk of het via screenscraping is gedaan of via phishing van een medewerker waarvoor geen alarm af zou zijn gegaan. Ik heb de gelekte data/velden niet gezien. De omvang van de lijst velden die ik op Tweakers langs heb zien komen geeft mij de indruk dat het een export is, maar het is me niet duidelijk of dat de gelekte lijst is of een soort interne lijst van Odido.

Salesforce heeft allerlei waarschuwingen gegeven over phishing campagnes en bescherming daartegen. Odido lijkt die deels of geheel gemist of genegeerd te hebben.

edit:
links toegevoegd

[Reactie gewijzigd door wooha op 2 maart 2026 16:48]

[kever678]

Het feit dat Salesforce dat als addon verkoopt terwijl er tientallen (zo niet honderden) bedrijven (en hun klanten) op deze manier schade oplopen zegt veel over hun bedrijfsvoering.

[bzuidgeest]

Waarom? Voor wat ik begrijp hadden ze de credentials van een beheerder te pakken. Laat zeggen dat die database onderhoud of diagnose moet kunnen doen bij queryproblemen.... Dan moet hij database toegang hebben. En een backup maken op zo een moment is niet vreemd.

Een groot deel van ICT draait uiteindelijk op vertrouwen. Op vertrouwen in je medewerkers. Ergens kan er iemand bij het "root" password. Als je die persoon niet kan vertrouwen of de persoon die gebruik monitord dan heb je gewoon pech. Niets is 100% waterdicht te maken. Je kan een hack alleen onwaarschijnlijk maken.,

[StefanJanssen]

Bij een bedrijf waar ik heb gewerkt waar we paspoort gegevens verwerkte, had je altijd 2 mensen met 2FA login nodig om bij de rauwe data te kunnen komen. Query analyses werden nooit op de daadwerkelijke data uitgevoerd maar op geanonimiseerde gegevens.

Zeker bij een bedrijf ter grootte van Odido, zou het niet zo moeten zijn dat een enkel individu zonder controle alle informatie kan inzien.

[bzuidgeest]

Query analyses werden nooit op de daadwerkelijke data uitgevoerd maar op geanonimiseerde gegevens.

Soms als het probleem in specifieke data zit dan treed het niet op in de geanonimiseerde data dus heb je niets aan een analyse daarop. Tuurlijk tests en specificaties zouden dat niet mogelijk moeten maken. Maar ze noemen het niet voor niets Bugs en Errors.

had je altijd 2 mensen met 2FA login nodig om bij de rauwe data te kunnen komen.

Maar ook daarmee geld: Dat maakt het alleen moeilijker niet onmogelijk. Het betekend gewoon 1 corrupte persoon mee nodig. Als de beloning groot genoeg is krijgen de criminelen veel voor elkaar.

Ik snap dat het op een zeker punt onwaarschijnlijk word. Maar onwaarschijnlijk is iets heel anders dan onmogelijk. En daarom vind ik het de bewering van een aantal mensen hier dat dit 100% voorkomen had kunnen worden onzin.

[Hawkysoft]

Ik snap je punt, maar nee. Ethisch impliceert niet dat hij/zij dit kan/mag doen. Heb je toch een ander soort persoon/groep voor nodig.

[Genosha]

Nee. Een telecom bedrijf met een omzet van 2,5 miljard euro moet meer investeren in veiligheid en duidelijke communicatie leveren naar klanten als er een hack plaatsvind. Odido heeft in beide gevallen gefaald.

[wiseger]

Klopt. Ik heb tot op heden als oud-klant van Odido nog altijd geen bericht gehad terwijl mijn gegevens wel in de gelekte dataset staan. Odido faalt nog altijd in het voorlichten van de slachtoffers.

[bzuidgeest]

Als je oud klant bent. Is het email adres in die oude set er nog wel een die je gebruikt? Want als ze niets recents hebben kunnen ze je ook niet mailen. (de informatie vanuit odido is verder wel verschrikkelijk summier) Ik moest op tweakers lezen dat je een f secure abbo kon afsluiten op hun kosten

[wiseger]

Ik ben een paar maanden geleden vertrokken bij Odido. Van Odido heb ik niets gehoord terwijl mijn e-mailadres nog altijd hetzelfde is.

Volgens TrosRadar kan ik via de site datagelekt.nl controleren of mijn gegevens onderdeel van de hack zijn. Die site laat me weten dat dit inderdaad zo is.

Voor de actuele crisis: Datagelekt.nl

Deze website is specifiek ingericht voor het recente datalek bij Odido. Je kunt hier gericht controleren of je e-mailadres, maar ook je IBAN, BSN, adres of telefoonnummer zijn buitgemaakt door deze hackers.

[bzuidgeest]

Die site of have i been powned en andere. Alleen de politie had de dataset nog niet toegevoegd aan hun db de laatste keer dat ik keek.

Maar goed dan heb ik ook geen verklaring. Ik heb de mail wel gehad, maar dat was dan ook het enige en het laatste. Het is summier. Maar ergens is het niet ongewoon dan een organisatie pas communiceert als ze alles duidelijk hebben om ruis te voorkomen. Het is niet fijn maar je ziet het vaker als het OM of de politie betrokken is.

[bzuidgeest]

Omzet is niet hetzelfde als winst. En met social engineering maken ze gebruik van het vertrouwen van mensen en mensen blijven mensen.

[Genosha]

Omzet van 2.3 miljard euro, 780 miljoen winst in 2024. Cijfers voor 2025 zullen weinig verschillen. Geld genoeg voor investering in veiligheid, genoeg om een duidelijke communicatie boodschap te (laten) schrijven over welke gegevens allemaal zijn buitgemaakt. Odido heeft een grote blunder begaan en boet hier helaas (nog) niet voor.

[bzuidgeest]

Het is zeker een blunder, maar een blunder is niet noodzakelijk strafbaar onder de wet. Hoe groot die ook is. Alleen als het OM of een privacy authoriteit kan bewijzen dat ze zich niet aan de wet hielden gebeurd er echt iets. Anders gebeurd er niets. Kan je alleen bij de overheid aanmoedigen strengere wetten hiervoor te maken, met meer gevolgen.

[BezurK]

Exact. Hoe vervelend ik het ook vond dat mijn gegevens gepubliceerd zouden gaan worden was ik het écht pertitent eens met Odido om niet te gaan betalen. Ik vind het zelfs onethisch om wél te betalen. Met criminelen doe je gewoon geen zaken, punt.

[NLblabla]

Voordat je anderen probeert te vertellen wat zij moeten doen, kun je beter eerst naar jezelf kijken. Hij heeft tenminste iets geprobeerd te doen. De volgende keer doet hij wellicht niets meer, om het 'gezeur' van alle 'toetsenbordhelden' te voorkomen.

[Olympus user]

Iedereen mag zijn mening hebben lijkt mij.
Ik vind het verkeerd om criminelen te faciliteren. Als er al betaald zou moeten worden dan door Odido en door de aandeelhouders, niet door klanten of goedbedoelende mensen.

[StefanJanssen]

De volgende keer doet hij wellicht niets meer

Dat zou geweldig zijn :D

[Dark Angel 58]

Inderdaad, de ethische hackers moeten de criminele hackers opsporen en ze vernietigen. Dus eerst adressen en locaties vinden en data aan politie doorgeven zodat ze met brute force de locaties binnenstormen.

Wanneer de verdachten gearresteerd worden en tijdens verhoor zoals verwacht slaan ze volledig dicht. Stuur ze meteen naar de mijnen waar ze lekker dwangarbeid mogen uitvoeren, stenen kapotslaan Een maand lang en reken maar dan gaan ze wel sneller praten

[Olympus user]

Of gewoon hun gaan laten gaan.

[kuurtjes]

Misschien is hij wel deel van de Shinyhunters

[Pokemoneuro]

Ik neem aan dat het verstandiger is om dat door de politie te laten doen, nietwaar?

[Olympus user]

Die zijn er helaas niet voldoende voor in staat.

[jimzz]

Hacken? Ik zou eerder zeggen opsporen en ergens in een zeecontainer op Rotterdam vastzetten met weinig eten, precies hoe ze dat zelf ook zouden doen.

Iedere dag beetje martelen, zonder enig vooruitzicht op verbetering. Dat soort mensen mogen van mij gewoon flink mishandeld worden zonder pardon. Maar nee zulke mensen worden dan ontoerekeningsvatbaar verklaard door net zo'n eikels van advocaten en doktoren/verplegers/onderzoekers. Komen dan weg met een weekje schoffelen in het gemeente plantsoen.

Nee schending van die persoon zijn privacy, onzin. Zo iemand heeft onze privacy geschonden, en ik vind dat zulke mensen hun recht op privacy daarmee gewoon verspeeld hebben.

[matthijs1929]

Het bedrag kwam neer op 12.5 cent per klant van odido. Dit niet betalen is een belachelijke keuze. Zelfs al zouden ze dit gewoon doorrekenen.

Odido moet gewoon betalen. Als we dit van ze zouden eisen/afdwingen dan zouden bedrijven vanzelf betere veiligheid ontwikkelen om het betalen van losgeld te voorkomen. Je opmerking draagt echt helemaal niks bij nergens aan.

[AMDLegion]

Reken maar dat Odido betaald had als het om data ging wat hun kon schaden.

Ze schuilen nu achter het onnozele narratief dat betalen betekent dat hackers nog meer gaan hacken.

Het is nu de informatie van klanten wat op straat ligt, zal Odido naast wat imagoschade niet boeien.

Als het data was waar ze wel om gaven hadden ze direct betaald en naar niemand geluisterd die zei dat je hackers niet mag betalen.

Maar blijf ze lekker verdedigen, ga je gang

[TwiekertBOB]

Dit is wel erg kort door de bocht.

Ook door het niet te betalen zullen ze grote schade hebben, mogelijk zelfs meer dan wanneer ze hadden betaald.

Imagoschade betekent klantverlies, maar ook in de toekomst minder klanten.

[AMDLegion]

Nee, imagoschade is nu groter dan als ze betaald hadden.

Shinyhunters staat bekend als een groep die de data niet lekt zodra er betaald is.

Nu zegt Odido eigenlijk dat de data van 6 miljoen klanten niet 1 miljoen euro waard is. Dit gaat niet om het niet supporten van hackers, dit gaat om geld besparen.

Moment dat dit omgekeerd was en niet de klant de dupe was maar Odido zelf dan hadden ze direct betaald.

[m.z]

Daarom, nu ga ik ook effe kort door de bocht denken: misschien mag overheid eens bezighouden met berekening van kosten van schade die slachtoffers mogelijk kan lijden vs dit bedrag betaald zou zijn geweest.

Nee, politie kan wel roepen “niks betalen”, maar zelf hebben ze nog niet eens de fractie van de capaciteit om mogelijke slachtoffers bij te staan, beter gezegd de aangiftes wel eens aannemen.

Off-topic: Zelfs het OM seponeert zaken, omdat ze “niks” kunnen doen. Er worden strafbare feiten gepleegd tegen ambtenaren, maar wordt door OM niet behandeld omdat de pleger geen vaste woon/verblijf heeft.

Effe serieus, hoe dan ook Odido is gewoon fout bezig geweest en laat dit effe een staartje krijgen. Gegevens zo lang bewaren, zegt ook wat over controle en handhaving hierop.

[TwiekertBOB]

Als we op die manier gaan denken dan kun je als Odido klant ook de bedrijven aanklagen die wel hebben deze criminelen hebben betaald.

Omdat ze daardoor het idee hadden dat ze hier meer geld mee konden verdienen, hebben ze nu ook Odido gehacked.

Het is net als met terroristen: Daar onderhandel je niet mee, want dan blijven ze mensen ontvoeren etc.

[aap]

Het is net als met terroristen: Daar onderhandel je niet mee, want dan blijven ze mensen ontvoeren etc.

Ik denk dat het tegenvalt hoe veel er wel met terroristen onderhandeld wordt.

[BezurK]

Er is anders best het e.e.a. aan het licht gekomen wat ook zeer schadelijk voor Odido bleek te zijn. Als eerste het verwerken (voorhanden hebben) van gegevens van mensen die al lange tijd geen klant meer zijn. Hier hebben ze echt geen verwerkingsgrond voor, en daar gaat de AP echt nog wel wat van vinden.

[escalate]

Ik ben blij dat Odido niet betaald heeft puur om de reden dat Nederlandse bedrijven dan niet als makkelijk doelwit bekent staan. Moderne hacker groeperingen handelen bijna hetzelfde als bedrijven met indicaties van makkelijke doelwitten etc.

Ik verdedig Odido niet hierin, zij hebben de hack dusdanig schadelijk gemaakt door niet de juiste bewaartermijnen te hanteren voor de data die zij hebben van hun klanten. Maar zij zijn niet degene die in braken, chanteren of andere illegale praktijken uitvoeren voor maximale schade...

[AMDLegion]

Dit ga je houden of je nou wel of niet betaald.

hackers blijven hacken al is het om prestige

En naast prestige kan je ook hacken voor; eigen gebruik/misbruik van gewonnen data, verkopen van de data aan de hoogste bieder of in opdracht van iemand om imagoschade aan te brengen bij een bedrijf.

En nogmaals, Odido betaald niet omdat het ze geld kost voor data die henzelf niet schaad.

[Reactie gewijzigd door AMDLegion op 2 maart 2026 11:19]

[escalate]

Natuurlijk schaad het dit Odido... reputatie schade is een ding.|

Prestige ding mag zo zijn, maar wel met consequenties en niet alleen maar geld binnen harken... misdaad mag niet lonen...

Hackers gonna hack is iets wat je kunt roepen, maar het feit is wel dat als je ze er niet voor betaald het minder zal zijn dan wanneer het een inkomsten bron kan zijn. Op BNR is er een podcast te vinden over Noord Koreaanse hackers. Misschien nuttig om die eens te beluisteren om wat meer inzicht te krijgen in wat voor prikkels er bij bepaalde Hackers groepen er zijn en hoe die functioneren.

[moonlander]

Ik ben benieuwd hoe jij in die situatie zou staan als het jou overkomt. Jij betaald dan gewoon? En dan zien ze, oh dat is een makkelijk slachtoffer die kunnen we nog wel een keer pakken.. Maar dan wel 10x zo hard. Betaald toch wel.

[DrPoncho]

Voor zover ik weet is dat praktisch nog nooit gebeurd, '10x zo hard pakken' nadat een hack plaatsvond.

[AMDLegion]

Mijn beveiliging is overkill voor mijn risico profiel. Als ik dan gehackt word dan zal ik informatie inwinnen of de gestolen data mij of mijn klanten benadeeld en dan zal ik een redelijk bedrag betalen mits de partij betrouwbaar is.

shinyhunters is een respected hacker groep en 1 miljoen is een redelijk bedrag, zelfs 10 miljoen was redelijk in deze situatie

Odido heeft gewoon steken laten vallen en wil vervolgens niet losgeld betalen waardoor al onze info nu op straat ligt

[911GT2]

Geen enkel bedrag was redelijk in deze situatie. Geen miljoen, geen tien miljoen. Maar ook geen enkele euro.

Je handelt gewoon niet met criminelen. Punt.

[xxs]

Waar ligt de grens? Wat als ze je kind gegijzeld hebben, ben je dan nog zo stellig

[911GT2]

Ja. Want gijzelen hangt ook af van hetzelfde succes… als er niet betaald wordt is de businesscase niet de moeite. Hoe hard het ook klinkt.

[mbbs1024]

Dat is natuurlijk zeer makkelijk gezegd als er je niets is overkomen en je veilig achter je toetsenbord over een hypothetische zaak zit te oordelen, en aan anderen even gaat zeggen wat ze in zo een geval moeten doen.

[simon1980]

Dit is echt een rare vergelijking. Data, hoeveel ook, is nooit even veel waard als een mensenleven. Wie nooit wil dat er data gelekt wordt moet nu van internet af.

Niets is helemaal waterdicht te krijgen dus als je op internet zit dan is je data nooit veilig. Iets anders is of je dan ook echt moet gaan betalen als odido, dat zou ik niet doen want voor zoiets als data ga je niet onderhandelen. De situatie zou wat mij betreft veranderen als er serieus mensenlevens op het spel staan, bijvoorbeeld als er letterlijk medewerkers en/of klanten van Odido onder schot gehouden worden,maar dat is niet het geval.

Mensen moeten gewoon sowieso opletten als je op internet zit want is het niet odido waar je gegevens gelekt zijn dan is het wel ergens anders.

Wat er wel moet gebeuren is dat de overheid wetten maakt die het makkelijker maken voor slachtoffers van identiteitsfraude om te bewijzen dat het om fraude gaat zodat ze beter beschermd zijn wanneer bijvoorbeeld iemand iets bij de overheid regelt via gestolen gegevens zoals paspoortgegevens of bsn's.

[Reactie gewijzigd door simon1980 op 2 maart 2026 14:04]

[xxs]

Ik reageerde op zijn uitspraak;

Je handelt gewoon niet met criminelen. Punt.

Dus waar ligt zijn grens en dat is beantwoord.

[MikeyMan]

Als je kind gegijzeld is, kun je onderhandelen over losgeld voor het terugkrijgen van het kind.

Totaal onvergelijkbaar.
Je bent nu aan het onderhandelen over het terugkrijgen van een kopie van een foto van je kind.

[StefanJanssen]

Als mijn kind gegijzeld wordt en ze dreigen mijn kind los te laten in een publieke ruimte als ik niet betaal dan zeg ik inderdaad ik ga niet betalen.

[911GT2]

Je impliceert dat Odido crimineel is? Dat is nogal een bewering…

[AMDLegion]

Zeker weten. Ze hebben data retentie regels overtreden ( sommige ex klanten van 10+ jaar geleden zitten zelfs bij het lek )

[911GT2]

Een overtreding maakt je nog geen crimineel. Dat zou betekenen dat iedereen die te hard rijdt crimineel is. Gelukkig is dat niet het geval.

[AMDLegion]

juridisch heb je gelijk. Maar het is erger dan de meeste criminele vergrijpen.

[911GT2]

Volgens mij overdrijf je een beetje. Het is maar wat data. Waar je nauwelijks iets mee kan.

[Llopigat]

Ze schuilen nu achter het onnozele narratief dat betalen betekent dat hackers nog meer gaan hacken.

Dit is ook het algemene standpunt van de cybersecurity gemeenschap en de meeste overheden dus zo raar vind ik dat niet.

Het had nooit moeten gebeuren maar dat ze niet betaald hebben vind ik wel terecht.

Het wordt wel tijd dat Odido mag gaan opdraaien voor alle gelopen schade, dat wel (wat ongetwijfeld een hoop meer gaat kosten dan dat miljoen). Of op zijn minst een boete krijgen van het AP. Ik vond ook hun reactie van "ach zo'n drama is het niet hoor" erg teleurstellend.

[Reactie gewijzigd door Llopigat op 2 maart 2026 11:23]

[aldieaccounts]

Er is echt nul reden om dit soort losgeld te betalen. De data is al weg. Als je betaalt wordt hij daarna doodleuk alsnog verkocht/gelekt. Denk je nou echt dat die hackers eerlijk alles wissen na betaling ;-P

[AMDLegion]

Doe maar research naar de groep, ze hebben een enorm goede track record

[aldieaccounts]

Afgezien van het hacken en stelen van data en dan ransom vragen bedoel je? :-D

[ernstoud]

Vraag me eigenlijk af of hij, als er wel genoeg geld gekomen was en de hackers welwillend waren om het van hem te ontvangen, aangeklaagd zou kunnen worden voor het financieren van een criminele organisatie.

[m_snel]

Lijkt me sterk, je kan gewoon een verzekering afsluiten, en die betalen ook gewoon als dat voordeliger is dan de eventuele nevenschade die ze moeten vergoeden.

[ernstoud]

Ja, maar dan ben je partij en “slachtoffer” in een conflict. Dat was deze ethische hacker niet.

[sijmen-ruwhof]

Een geraadpleegde advocaat zei dat ik namens de slachtoffers inzamel, en dan is het legaal.

[kodak]

Je toont nergens aan het namens slachtoffers te doen voor je begon. Je was kennelijk uit de blog geen vertegenwoordiger met een duidelijk mandaat van de groep slachtoffers. Je lijkt de publiciteit te zijn gaan zoeken voor je persoonlijke doelen, in de hoop dat slachtoffers te verleiden je daarin te volgen. Een van die persoonlijke doelen was de schuld bij Odido leggen in plaats van bij de criminelen, waar je zelfs mee begint als argument op je blog. De ander om slachtoffers (mede met dat specifieke schuld wijzen) aan te moedigen en verleiden criminelen te financieren. Met suggestief hoop wekken dat ze daarmee ook maar enige controle over de criminelen hebben. Dat is precies wat deze criminelen ook doen: doelwitten de schuld geven en crimineel gedrag goed praten om feitelijk vooral het eigen belangen te dienen. Ander belang, zoals recht en ethiek zijn bijzaak tot onbelangrijk. Waar voor jou nog bij komt dat je oa persoonlijke slachtoffers lokt. Je richt je daarmee op zwakkeren in de samenleving in de hoop dat die zich laten verleiden ook nog de criminaliteit waar ze al slachtoffer van zijn te financieren. Omdat jij persoonlijke belangen hebt en een mening dat criminelen financieren belangrijker is dan of het de slachtoffers werkelijk helpt. Ook omdat het poging tot financiering is waar die criminelen niet om vragen. Ik lees niet dat de criminelen ook maar enige opmerking gemaakt hebben je als onderhandelaar of betaler te accepteren of zelfs naar de persoonlijke slachtoffers te willen luisteren alsof ze die controle willen geven. Dat maakt je argumenten suggestieve hoop en inspelen op de zwakke positie van de slachtoffers om ze voor jou gedachtengoed te winnen dat criminaliteit financieren maar redelijk is. Daar komt nog bij dat die pagina die als doel heeft anderen inclusief slachtoffers te verleiden criminaliteit te financieren geen enkele poging doet om te voorkomen dat je misbruik van een zwakkere positie maakt. Er staat geen enkele waarschuwing dat je suggestie dat financieren niet zomaar op gaat, laat staan dat het mensen en slachtoffers verder in de problemen kan brengen. Je toetst nergens of je ze met valse hoop aan het verleiden bent of dat ze uit vrije wil jou eerst gevraagd hebben objectief een mening te geven. Ook geen woord welke verantwoordelijkheid jij neemt als je slachtoffers maakt. Het ontbreekt op zoveel punten aan besef aan, of poging tot, ethiek en werkelijk voor slachtoffers schade willen verminderen dat stellen dat je een advocaat hebt gevonden met een verdediging dat je slachtoffers zou vertegenwoordigen eerder een zwak excuus is om jezelf te achteraf hopen te verdedigen. Menen goede intenties te hebben hoort vooraf te blijken. Ik lees het niet terug. Een eventueel argument dat anderen dan maar de eerdere mediaaandacht zouden moeten volgen ben ik alvast maar even voor: dat is een vorm van afschuiven van verantwoordelijkheid dat anderen maar meer moeite moeten doen objectiviteit te zoeken.

[ernstoud]

Een creatief initiatief. Mijn respect hoor.

Wel met wat juridische voetangels volgens mij. Zou een mooie testcase met jurisprudentie geweest zijn.

[Azenomei]

Misschien zelfs erger, dat de bank zijn rekening(en) blokkeert vanwege het financieren van criminele/terroristische organisaties afwachtende een onderzoek. Dan zit je opeens wel heel erg in de problemen met een hopelijk goed bedoelde actie.

[StefanJanssen]

Ik heb hier aangifte voor gedaan bij de politie, want ik dacht hetzelfde. Nu denk ik dat ze, als ze er al een zaak van zouden maken, het nu laten vallen omdat het niet is doorgegaan.

[pegagus]

Is even zijn blog gelezen, maar wat ik totaal mis, is het ethische deel. In het verlengde ligt de maffiapraktijk van betalen voor "bescherming". Niet betalen leidt er toe dat je bedrijf in de fik wordt gestoken, je familie wordt bedreigd, et cetera. Waar is nu die ethische beschouwing, anders dan op korte termijn hopen dat je de schade beperkt?

[Reactie gewijzigd door pegagus op 2 maart 2026 11:44]

[Oon]

Persoonlijk gewin. Dit soort acties doe je alleen om bijv. je blog te promoten, niet omdat je je daadwerkelijk druk maakt over de klanten van deze specifieke hack.

[Wickedmen030]

Anderzijds. Wat als een van ons gegijzeld wordt door criminelen. Ze vragen de staat om een miljoen euro te betalen voor onze vrijheid of ze zullen (dodelijk) geweld gebruiken. Moet de staat het dan maar negeren en ons aan ons lot overlaten? Het zijn ten slotte wel criminelen die het geld vragen.

[DiaZ_1986]

Naar mijn mening zou dat inderdaad genegeerd moeten worden.

Wat weerhoud diezelfde criminelen er dan van om iedere dag een ander te ontvoeren en dus iedere dag weer een miljoen te eisen? Wat als 10 verschillende groepen 10 mensen per dag gaan ontvoeren, moet de staat dan maar even 10 miljoen per dag betalen?

Wat als ze dan ineens van 1 miljoen naar 2 miljoen, of 100 miljoen gaan?

Wil je dat er dan "afspraken" gemaakt worden als: als je deze maand niemand ontvoerd krijg je 20 miljoen van de staat? Maffia praktijken, betaal voor bescherming anders breken we je benen.

[Kyle]

Ik vraag me af of je er nog zo over denkt als je zelf ontvoerd wordt of 1 van je dierbaren bijv. kind of broer.

[DiaZ_1986]

Ja, want ik heb geen miljoen tot mijn beschikking en ik ga er vanuit dat de staat dit nooit zal betalen.

Tuurlijk zou het, in een utopie kunnen gebeuren, en zou het super fijn zijn dat je in een land zou wonen wat gewoon even een paar miljard achter de hand houd om iedereen iedere dag opnieuw uit te kunnen kopen. Immers zou je het dan niet kunnen verkopen dat er voor de ene persoon wel losgeld wordt betaald maar voor de andere niet, toch?

Dan moet je dat ook voor iedereen en altijd kunnen doen. Je hebt neem ik aan wel door dat dit financieel gewoon niet haalbaar is, hoe lullig, gemeen of moeilijk dat ook is.

Wat is jou oplossing daarvoor? Als je vindt dat dat losgeld gewoon betaald moet worden, door wie en hoe?
(in het geval van de ontvoering met losgeld van 1 miljoen)

[squareware]

Er zit een verschil tussen de fysieke wereld en data.

Data kan gekopieerd worden en later altijd nog iets anders mee worden gedaan. Zeggen dat je het verwijderd hebt, kan de betalende partij nooit 100% weten.

Bij een gijzeling of gestolen objecten, dan kan je wel zeker zijn als betalendepartij dat zodra het object, dier of persoon terug komt, het ook echt zo is.

[kodak]

Je argument dat het altijd erger kan is niet relevant. De discussie is dat criminelen persoonlijke gegevens hebben en iemand de zich voordoet als ethisch hacker anderen aanspoort om afpersers te betalen en daarvoor geen ethische en wettige onderbouwing geeft.

[Wickedmen030]

Volgens mij is het idee dat andere criminelen niet ervandoor gaan met BSN, geboortedatum's, ID's, adressen etc. Als er betaalt wordt.

[GRerink]

Het was op zich een nobel idee. Maar geld inzamelen om een criminele organisatie te betalen vindt ik persoonlijk wat onethisch en misschien wel strafbaar omdat je dit zou kunnen scharen onder het financieren van een criminele organisatie.

Er zou beter meer geld naar het opsporen van deze criminelen kunnen gaan. Het gaat deze criminele organisatie niet om te laten zien dat een bedrijf gehack kan worden maar ordinair om geld waarbij het niet boeit of en hoeveel mensen er de dupe van worden. Ga gewoon werken voor je geld!

[roelboel]

Wat is er precies nobel aan het belonen van afpersers, nu in en in de toekomst?

[xoniq]

Er zou beter meer geld naar het opsporen van deze criminelen kunnen gaan.

Zou een bodemloze put zijn lijkt mij. Aangezien zulke criminelen vaak voorbij de Russische grens zitten. Nou dan heb je ze opgespoort in Rusland, en dan? Putin ziet je aan komen.

[Electr0n]

Losgeld betalen moet je eigenlijk niet doen, want stel je doet het wel dan moet je als nog maar geloven op hun blauwe ogen dat ze het alsnog niet via de zwarte markt het verkoopt. Daarnaast denk ik dat we Odido ook maar eens moeten aanklagen en onderzoek moeten gaan starten. AVG/GDPR is sowieso overtreden en als je hoort wat voor gegevens ze hadden van hun klanten en voormalige klanten dan vraag ik mezelf echt af wat ze hadden. Eigenlijk moeten we de hackers in deze dan weer bedanken, want waarom al deze gegevens? Ze willen graag dat we digitale persoontjes worden, maar dan moeten we wel beschermd worden in deze.

[m_snel]

Los van dat je niet weet of ze betrouwbaar zijn, zit je natuurlijk met het probleem dat je deur opzet voor nieuwe slachtoffer.

Als niemand betaalde dan bestond deze vorm van afpersing niet eens .

[Pablo]

Goh.... wie had dat verwacht.

@sijmen-ruwhof, heeft op deze manier lekker de media aandacht gekregen waar die op gehoopt had.
Gestelde vragen op Tweakers, verwees hij heel tactics door naar zijn eigen pagina, of naar embeded youtube linkjes op zijn eigen site.
Dus extra traffic naar zijn site en meer naamsbekendheid.

Wat mij betreft is voor deze "etichse hacker" en "Security specialist" zijn geloofwaardigheid geheel verdwenen en hoeft Tweakers niks meer te publiceren waar dit persoon aan is gelinkt

[StefanJanssen]

De term "ethisch" hacker is in mijn ogen ook niet van toepassing in dit geval.

Hoe etisch is het om in een blogpost te zeggen "Kijk is welke media erover schrijft" maar media waar je grotendeels negatieve reacties ziet (bv. Tweakers) niet opnemen in deze lijst.
Hoe etisch is het om criminelen te betalen in de hoop dat ze netjes omgaan met de gegevens?

Als je het mij vraagt is dit een consument die zijn gegevens niet gepubliceerd wilde hebben, en zijn titel als "etisch hacker" hiervoor misbruikt heeft.

[Toppe]

Toppe zijn epistel

En het lijkt er op dat hij probeert te redden wat er te redden valt als je dit leest.

Het is onduidelijk waarom Odido niet betaalt

Mij wel want het staat er letterlijk boven "Op advies van toonaangevende cybersecurityadviseurs en relevante overheidsinstanties, zoals de politie, heeft Odido besloten niet te onderhandelen met deze criminelen en zich niet door hen te laten chanteren."

Dat roept vragen op hoe “toonaangevend” de security-experts zijn die Odido inhuurt.

Mogelijk zijn deze experts ook niet goed op de hoogte van de mate van betrouwbaarheid van ShinyHunters en is daarom geadviseerd om niet te betalen.

De kosten die Odido maakt zullen vele malen meer zijn dan de losgeld eis van €500.000. Directe kosten zullen gemaakt worden met het dichten van het lek en adviseurs e.d. en indirecte kosten gaan gemaakt worden achter de schermen. De AP/ACM zal hier ook nog wat vinden met mogelijk een boete tot gevolg.

Daarbij maakt het in mijn ogen weinig uit hoe betrouwbaar een bepaalde partij is. Uiteindelijk draait alles om geld zoals velen al zeggen, de data ís gejat en bijvoorbeeld het doorverkopen van alle email adressen of telefoonnummer kan al voldoende opleveren.

Als elk slachtoffer uit dit lek maar 4 cent overmaakt (€250.000 / 6,2 miljoen slachtoffers volgens Odido), dan wordt het lekken gestopt!

Hoe "Ethisch" ben je als je vraagt of Odido klanten geld willen betalen om te voorkomen dat hún data gelekt wordt:

Ze zijn daarnaast onvoldoende geïnformeerd door Odido over welke data precies de hackers allemaal in handen hebben en wat daar de impact precies van is op de rest van hun leven.

Mogelijk omdat Odido ook nog niet alle (relevante) informatie heeft of bewust even de kaarten tegen de borst houdt.

Aan hen is niet gevraagd of zij vinden dat afpersgeld betaald moet worden

Vervolgens de opmerking dat "ons" (Odido klanten) niet gevraagd is of er betaald moet worden of niet. Afgezien van de technische uitdagingen om dit uberhaupth voor elkaar te krijgen was er toch ook een deadline. Wat ga je tegen de bewuste groep zeggen? "We willen graag 4 weken uitstel want dan kunnen we eerst even stemmen?"

De politie doet geen uitspraak in hun nieuwsartikel of zij onderzocht hebben of ShinyHunters zijn afspraken nakomt dat als betaald wordt, gegevens niet verder lekken. Ze houden het algemeen door te zeggen “we weten vanuit onderzoek”, wat waarschijnlijk onderzoek is naar allerlei hackersgroepen die zich met ransomware bezighouden.

De politie heeft in eerste instantie een opsporingstaak en die moeten zich niet bezig houden of iemand zich wel of niet aan een afspraak houdt. Je kan naast iemand met een gebiedsverbod óók geen hele dag politie zetten om te krijgen "Of iemand een afspraak nakomt".

Politie geeft blijkbaar nooit maatwerkadvies of je wel of niet moet betalen

De politie heeft daar de capaciteit niet voor. Daarom zullen ze altijd zeggen: Wij adviseren niet te betalenn.

Het betalen (of niet betalen) is volgens mij niet verboden en het kost de politie onnodige capaciteit als ze zich daarmee moeten gaan bemoeien. Er wordt een voorbeeld aangehaald van Universiteit Maastricht en die hebben zélf een rekensom gemaakt en besloten te gaan betalen.

quote: AP

“Het betalen van losgeld is geen oplossing of beveiligingsmaatregel. Het geeft namelijk geen zekerheid dat gelekte persoonsgegevens niet alsnog worden doorverkocht of gepubliceerd. Bovendien houdt het criminaliteit in stand. Daarom is niet betalen de norm.”

Enige juiste antwoord als het mij gevraagd zou worden.

“Het dringende advies vanuit het Kabinet blijft om geen losgeld te betalen na een ransomware-aanval, aangezien dit het crimineel verdienmodel in stand houdt. De politie stelt vast dat een relevant deel van het door slachtoffers betaalde losgeld rechtstreeks wordt geïnvesteerd in nieuwe aanvalsinfrastructuren. Ik heb begrip voor de moeilijke positie waarin slachtoffers van ransomware zich soms bevinden. Een algemeen verbod op het betalen van losgeld kan leiden tot minder losgeldbetalingen, maar kan ook grote nadelige effecten hebben. Op dit moment is er geen voornemen om losgeldbetalingen wettelijk te verbieden.”

Exact dit. Je houdt het dus in stand door ze te voorzien van nieuw kapitaal.

Het afpersverdienmodel van ShinyHunters wordt een beetje ondermijnd als Odido geen afpersgeld gaat betalen. Er zijn genoeg andere bedrijven die hoogstwaarschijnlijk wel afpersgeld hebben betaald nadat ShinyHunters ze gehackt heeft, zoals Ticketmaster (2024) en Pornhub (2025). Van die bedrijven heeft ShinyHunters de buitgemaakte gegevens nooit op internet gezet.

Dat weet je niet. De dataset zoals deze geexpoteerd is mogelijk niet maar dat betekend niet dat delen van de data mogelijk los verkocht zijn. Feit blijft: De data is al gesloten.

Dat betekent echter niet dat bedrijven dan niet meer gehackt gaan worden om grote hoeveelheden persoonsgegevens te bemachtigen. Dat zal nog steeds doorgaan. In plaats van bedrijven daarmee af te persen, zullen criminelen de buitgemaakte gegevens verkopen aan andere criminelen die fors betalen voor zo’n gigantische dataset. Deze modus operandi hanteerde ShinyHunters eerder, maar nadat de groep erachter kwam dat meer geld te verdienen was met bedrijven afpersen, is de groep van verdienmodel en modus operandi veranderd.

Het is net vraag en aanbod: Als je 3 keer aan de zelfde Tweaker heb verkocht dan heb je er een 4de keer al veel meer vertrouwen in en dus raak je de data echt wel kwijt.

Er is een grote kans dat buitgemaakte data niet verder meer lekt als eenmaal betaald is. ShinyHunters heeft er het grootste belang bij dat hun reputatie in stand gehouden wordt als betrouwbare partij, zodat hun volgende slachtoffers óók afpersgeld gaan betalen. ShinyHunters staat bekend als een groep die zich aan gemaakte afspraken houdt dat als afpersgeld betaald wordt, buitgemaakte data niet verder lekt.

Nooit aangetoond, wie zegt dat het niet los verkocht wordt?

De politie geeft aan dat “betalingsinformatie van grote waarde is voor het opsporingsonderzoek”. Dat geeft een belangrijk aanknopingspunt, waardoor de criminelen achter ShinyHunters mogelijk opgepakt kunnen worden waardoor toekomstige hacks voorkomen kunnen worden.

Hacks worden veelal via het anonieme Tor-netwerk uitgevoerd, wat opsporing zeer lastig maakt.

Betaalinformatie via crypto biedt opeens een tweede spoor waar onderzoek naar verricht kan worden.

We hebben hier niet te maken met een handige buurjongen die wat truukjes kan. We hebben het over professionals die ruim te tijd nemen om dit soort hacks te kunnen uitvoeren. Die laten zich niet zomaar pakken.

Inzage welke beveiligingslekken gebruikt zijn
Als aanvullende service, leggen hackersgroepen vaak precies uit hoe ze een bedrijf gehackt hebben als er eenmaal betaald is.

Links of rechtsom wordt dat toch wel duidelijk, daar hoef je niet voor te betalen.

Laten zien richting klanten dat elke kans is benut om verdere datalekkage te voorkomen
Zekerheid heb je nooit, maar als betaald wordt naar een enigzins betrouwbare hackersgroep, laat je aan je klanten zien dat je er alles aan gedaan hebt om te voorkomen dat na een hack de buitgemaakte data op internet gezet wordt.

Steek dat geld liever in een ISO 27001 certificaat.

Een relevant deel van door slachtoffers betaald afpersgeld wordt rechtstreeks geïnvesteerd in nieuwe aanvalsinfrastructuren en het financieren van de volgende hack.

Klopt. Daarmee maak je een partij alleen maar sterker en professioneler.

Je kunt er niet vanuit gaan dat de criminelen buitgemaakte data altijd van hun computers verwijderen na betaling. Met als gevolg dat:

Het woordje "altijd" kan je net zo goed weg laten want je kan er nooit vanuit gaan. Hoe goed hun bedoeling ook is.

Reputatie-technisch gezien is het niet handig om publiek te melden dat afpersgeld betaald is. Veel mensen hebben hier namelijk een heel sterke negatieve mening over. Daarom doet bijna geen enkel bedrijf publiekelijk mededelingen dat afpersgeld betaald is. Als niemand het weet, dan kan je ook niet veroordeeld worden in de publieke opinie dat je criminelen geld gegeven hebt.

1. Cencora (Farmacie) 2024 $75 Miljoen
2. CNA Financial (Verzekering) 2021 $40 Miljoen
3. CDK Global (Software/Auto) 2024 $25 Miljoen
4. Change Healthcare (Zorg) 2024 $22 Miljoen
5. JBS Foods (Vleesindustrie) 2021 $11 Miljoen
6. Colonial Pipeline (Energie) 2021 $4,4 Miljoen
7. Travelex (Valuta) 2020 $2,3 Miljoe
8. Universiteit Maastricht (Onderwijs) 2019 €200.000
9. Garmin (Technologie) 2020 $10
10. Riviera Beach (Stad in VS) 2019 $600.000

Totaal: €170.000.000

Als een nieuwe criminele hacker(sgroep) voor het eerst een hack uitvoert en (persoons)gegevens van een bedrijf kopieert, dan kan het proberen om dat bedrijf daarmee af te persen. Security-experts die zo’n bedrijf adviseren, zullen dan waarschijnlijk de voorkeur geven aan niet betalen, want de hacker(sgroep) heeft nog geen enkele verifieerbare reputatie dat die zijn afspraken nakomen.

Een hackersgroep met een betrouwbare reputatie is er alles aan gelegen om die reputatie zo goed mogelijk te beschermen. Alleen dan zullen toekomstige slachtoffers eerder bereid zijn afpersgeld te betalen, want dan kan een slachtoffer ervan op aan dat data niet meer verder zal worden gelekt.

Change Healthcare: Betaald én gelekt
Cencora: Betaald én gelekt
Colonial Pipeline: Betaald én (deels)gelekt
Travelex: Betaald én (deels)gelekt
JBS Foods: Betaald én (deels)gelekt

Of te wel: 50% kans dat het lukt.

Hackersgroepen zoals ShinyHunters hebben daarom er het grootste belang bij dat hun reputatie in stand gehouden wordt als betrouwbare partij om mee te onderhandelen. Dat betekent dat bedrijven die afpersgeld betalen, er op kunnen rekenen dat buitgemaakte (persoons)gegevens niet beschikbaar worden gemaakt voor iedereen om te downloaden. ShinyHunters is wereldwijd berucht en al zeker zes jaar actief. Zij staan bekend als een groep die zich aan gemaakte afspraken houdt. Dit geeft natuurlijk geen garanties dat afspraken in de toekomst nageleefd worden, maar het lijkt wel aannemelijk.

Zeer gespecialiseerde incident responders en cyber threat intelligence-experts hebben deze nichekennis over hackersgroepen in huis. Nederland kent slechts enkele experts die gespecialiseerd zijn in ShinyHunters. De afgelopen week heb ik zelf in nauw contact gestaan met zo’n expert, die de komende dagen een blogpost over de groep wil schrijven.

Zou jij je kind met een pedofiel vertrouwen?

Odido weigert te vertellen welke bedrijven en security-experts het bedrijf inhuurt om het incident onder controle te brengen. Daarnaast lijkt niets over het incident naar buiten gebracht te worden, behalve hetgeen in Odido’s ogen wettelijk gezien minimaal noodzakelijk is. Het is daarom onbekend waarom Odido’s security-experts geadviseerd hebben om niet te betalen.

Vergeljik het met de politie of het OM: Wij doen geen verdere mededelingen zolang het onderzoek nog loopt. Volkomen logisch.


Of te wel: Verplicht een jaarlijkse ISO 27001.

[Reactie gewijzigd door Toppe op 2 maart 2026 13:45]

[mphilipp]

Of te wel: 50% kans dat het lukt.

Hackersgroepen zoals ShinyHunters hebben daarom er het grootste belang bij dat hun reputatie in stand gehouden wordt als betrouwbare partij om mee te onderhandelen.

Allemaal leuk en aardig, en natuurlijk wil niemand onderhandelen met gijzelnemers of losgeld betalen. Maar er wordt wel degelijk vaak betaald. Ook bij ontvoeringen van personen. Het is namelijk erg makkelijk om van afstand te roepen dat je dat niet moet doen enzo, en dat is ook zo, maar ja...als Tante Truus is ontvoert en ze hebben haar pink al opgestuurd, wil je denk ik wel vlug betalen voordat je de rest van je Tante Truus in stukjes opgestuurd krijgt. Zo ook met die data. Ja, de kans is misschien 50%, maar 50 is nog altijd meer dan 0%.
En wat die reputatie betreft: zolang ZIJ de leverage hebben, heb jij helemaal niets om mee te schermen.

[beeldbuijs]

Als ik me goed herinner, kon de Universiteit van Maastricht niet meer bij de door hackers versleutelde administratie etc. Dat is een andere situatie dan Odido’s klantgegevens. Odido ligt nu niet stil vanwege een versleutelde administratie.

[Giga_]

Nou ik moet wel zeggen dat ik niet perse heel gecharmeerd ben van de communicatie van Odido. Ik heb als oud klant maar 1 mailtje gehad die, als je die een dag later las, alweer l oud was. Ze zouden zo nu en dan wel even een update kunnen doen hoor. Ik heb ook de vraag gesteld wat ze dan nog allemaal van me hebben. Nog 0 reactie op. Ook dat kan ik wel indenken maar mijn mailtje is van 15 februari…

[Reactie gewijzigd door Giga_ op 2 maart 2026 21:37]

[Bvdiggelen]

Ik heb al meerdere emails gestuurd naar Odido met de vraag welke gegevens van mij nu precies zijn gelekt. 0 reactie.....

[mjl]

Leuk ISO 27001 of 2 of whatever maar dat geeft geen garantie dat de cyber security op orde is, het bewijst alleen maar dat je kwaliteitsverlies systeem voldoet aan bepaalde security eisen. Uiteindelijk moet je ze ook naar behoren uitvoeren. Ik ben het er mee eens dat het een minimaal vereiste zou kunnen zijn, maar zonder certificaat zijn er genoeg bedrijven die het beter op orde hebben dan bedrijven met een ISO certificering.

[Toppe]

Zeker mee eens. Niemand geeft je de garantie maar het geeft wel aan dat, op papier, je je best doet om de informatie te beschermen.

Laten we niet vergeten dat deze hack vooral is ontstaan vanwege menselijke handelingen en niet zo zeer door falende IT systemen.

En nee, met een ISO 27001 had dit niet direct voorkomen kunnen worden. Dat had je wél kunnen voorkomen met een goeie onboarding en bijvoorbeeld halfjaarlijkse trainingen van een uur hoe je een (poging tot) hack kan herkennen.


Zie? PEBKAC

[Cambionn]

Dat had je wél kunnen voorkomen met een goeie onboarding en bijvoorbeeld halfjaarlijkse trainingen van een uur hoe je een (poging tot) hack kan herkennen.

DIt vind ik een lastige om te stellen. Niet omdat ik het in de kern met je oneens ben. Het had het kúnnen voorkomen, en juist daarom is awareness training belangrijk (hoewel we over de uitvoering kunnen discusseren). Maar het had het ook níét kunnen voorkomen. Niks is onhackbaar, ook geen mens. Geen hoeveelheid awareness noch kennis die dat veranderd. Je verkleint enkel de kans. Maar helemaal weghalen kan niet.

Pak net de juiste persoon op een moment dat hij er net ff niet bij is want stress uit priveleven of whatever en speel het ook nog leuk, en je kan goed raak hebben terwijl die persoon er normaliter nooit in was getrapt. En daar zijn dit soort partijen meesters in. Echt, het gebeurd de beste.

Voor hetzelfde geld doet Odido heel veel aan awareness, en wordt er heel veel wel afgevangen. Ik gok eigenlijk dat iig dat 2e deel zo is, als ik kijk wat wij op werk binnen krijgen en netjes afweren. Punt is, hoe het intern gaat daar weten we niet. Ik ook niet. Ik werk niet bij Odido. Dus voor hetzelfde geld is het wel super kut. Kan ook. Maar ik zie geen reden om bij elke hack daar meteen vanuit te gaan. Je raakt dan de nuance en complexiteit van infosec snel kwijt dan, en komt snel op onrealistische verwachtingen.

Ik heb, heel eerlijk, vooral veel medeleven met de medewerker die gesocial engineerd is. Zelfs al weet niemand publiekelijk wie hij is, het hebben van de wetenschap dat jij dit hebt veroorzaakt omdat je 1 keer een stomme fout maakte doet wat met je. Terwijl het in de praktijk iedereen had kunnen overkomen.

[Reactie gewijzigd door Cambionn op 2 maart 2026 17:26]

[PixelPionier]

Ik krijg toch de indruk dat van Rijbroek niet zo ethisch is als hij zelf beweerd. Ik denk dan ook dat hij er zelf een groter belang bij had dat er betaald zou worden anders dan zijn eigen data in die lek. Als ik de politie was dan zou ik bij hem beginnen met zoeken!

[Lisadr]

Is het niet iemand die de kans grijpt om zijn naamsbekendheid (personal brand) te verhogen? Stunt van hem heeft er wel voor gezorgd dat hij door verschillende media is geïnterviewd. Niet ethisch, puur zakelijk.

[PixelPionier]

Ik denk dat hij meer schade aan zijn eigen naam heeft aangericht dan wat anders. Op deze negatieve manier in het nieuws komen zet denk ik niet veel zoden aan de dijk. Het lijkt mij logischer dat hij ook in dat soort groepen zit en graag wil dat betalen de standaard wordt. Misschien zelfs wel banden met die shinyhunters gasten. Ik kan namelijk totaal geen andere reden bedenken. Waarom zou iemand dit businessmodel van criminelen lonend willen maken????

[Toppe]

Met het risico dat niemand hem meer serieus neemt. Er zijn ook andere ‘experts’ bij betrokken en die willen bewust niet met naam en toenaam genoemd worden.

Doorgaans betekend dat twee dingen:

1. De experts zijn er niet
2. De experts zien hier geen kans van slagen in en nemen de gok. Pakt het goed uit dan treden ze naar voren en anders blijven ze lekker anoniem. Rijnbroek kan het zich niet permitteren om de namen alsof bekend te maken, dan is het hele ethische stuk namelijk niets meer waard.

Eerlijk is eerlijk, als media partij (dus geen tweakers) denk je een volgende keer wel twee keer na voordat je de betreffende man uitnodigt in een studio.

[Reactie gewijzigd door Toppe op 2 maart 2026 13:28]

[MaDMaRTiGaN648]

Ik krijg toch de indruk dat je de grap over 'van Rijbroek' gemist hebt.

[Schway]

Aluhoedje theorie: Sijmen is geassocieerd met Shinyhunters...

[Gustaaf437]

Met de meeste punten die je aanhaalt ben ik het eens, maar met je conclusie van een vereiste ISO 27001 ben ik het niet eens. Dat is een totale wassen neus. Zelf ook bij een bedrijf gewerkt waar dat certificaat is binnengeharkt, maar ik had niet het idee dat men er nu een veiligere werkwijze op nahield. Het staat mooi op je bedrijfswebsite en je kan er overheidscontracten mee binnenhalen, maar er is geen enkele garantie dat iedereen zich aan de regels houdt.

[Cambionn]

Nou dit. De ISO27001 is een mooi ding als men hem haalt om te bewijzen dat ze het goed doen, ipv zich door een audit heen te lullen om maar het papiertje te hebben. Het moet een natuurlijk resultaat zijn, niet een goal. Helaas genoeg bedrijven die dat laatste doen. Ik heb ze zelfs gezien die geen ISMS hebben. Hoe dan? Moet er niet aan denken om op zo'n plek te werken, maar het is echt op genoeg plekken bagger. Brrr...

[Toppe]

Het probleem zit hem dan niet in het bedrijf maar in de auditor.

Wij hebben ze ook op het werk en de één is heel fanatiek en wil dat alles op de punt en comma klopt. De ander is wat flexibeler met de regeltjes en leest ze zodat ze goed zijn voor de klant omdat ze bang zijn ze kwijt te raken.

Je hebt alles goed voor elkaar en krijgt je papiertje en zo niet dan krijg simpelweg geen certificaat of een afwijking afhankelijk van de ernst.

[Cambionn]

Je hebt alles goed voor elkaar en krijgt je papiertje en zo niet dan krijg simpelweg geen certificaat of een afwijking afhankelijk van de ernst.

Tja, zo zou het wel moeten zijn ja. Helaas is dat vaak niet zo. Ik ben het er mee eens dat het probleem daarvan bij de auditor ligt, die moeten het gewoon keihard afkeuren.

Tegelijkertijd vind ik ook wel wat van bedrijven die zich willens en weten door zo'n audit heen lullen terwijl zij ook wel weten dat ze de standaard niet halen. Maar dat zijn meer ethische bezwaren tegen die bedrijven dan dat ik hun de schuld geef van het nut of gebrek daaraan van de ISO27001.

[Toppe]

En dat zou je strafbaar moeten stellen. Zeker bij bedrijven die documentnummers e.d. van hun klanten bewaren.

Dit zou onder de WED (Wet op de economische delicten) moeten vallen. Keihard afstraffen die partijen.

[Reactie gewijzigd door Toppe op 2 maart 2026 14:16]

[beeldbuijs]

ShinyHunters staat bekend als een groep die zich aan gemaakte afspraken houdt dat als afpersgeld betaald wordt, buitgemaakte data niet verder lekt.

Hoe weet iemand überhaupt dat ie met de ‘echte’ ShinyHunters te maken heeft? Ik gok dat je ook niet even kunt afspreken voor een acquisitiegesprek.

[Bvdiggelen]

De kosten die Odido maakt zullen vele malen meer zijn dan de losgeld eis van €500.000. Directe kosten zullen gemaakt worden met het dichten van het lek en adviseurs e.d. en indirecte kosten gaan gemaakt worden achter de schermen

Er moeten sowieso kosten worden gemaakt om herhaling te voorkomen. Net als doorlopende kosten om je beveiliging op orde te houden.

Of je nu losgeld betaalt of niet....

[Cambionn]

Ik denk dat hij meer doelt op kosten die daar bovenop komen, zoals die van het BCP dat in werking wordt gestelt (denk aan extra werk dat moet worden, en elk uur werk is geld, samen met mogelijke 3e partijen die extra ingehuurt worden op dat werk op te vangen en casus-specifieke expertise te brengen, etc) samen met de kosten van dingen als reputatieschade. Dit gaan (potentiele) klanten namelijk niet snel vergeten.

[loki504]

Mijn gegevens liggen op straat en ik zou ook niet dat er werd betaald. Al kosten mijn gegevens maar 25 cent of een 1 euro dan nog zeg ik nee.... waarom? Niet om het geld dat kan ik gelukkig vandaag de dag prima missen. Maar ik wil niet dat er geld naar criminele gaat. En tuurlijk kan je daar niet aan ontkomen. Maar ik wil in ieder geval zo min mogelijk aan bijdragen! En dan heb ik liever dat ze die miljoen en waarschijnlijk meer besteden aan betere beveiliging.

[Verwijderd]

Maar is jou belang groter als het belang van 6.499999 anderen?

[loki504]

Nee maar dat zeg ik toch ook nergens? En wat verwacht je dan van die expert? Dat hij even die 6.499999 andere gaat ondervragen? En dat dan deelt met Odido zodat ze een beter beeld hebben?

[Verwijderd]

dat is de omgekeerde wereld. een verwerker heeft een wettelijke zorgplicht. je hoeft geen 6,5 miljoen mensen te ondervragen om te weten dat de integrale publicatie van hun persoonsgegevens schadelijk is.

de expert hoefde slechts een rekensom te maken: is de privacy van een klant meer waard dan de 15 cent per persoon die het losgeld kost? Door nee te adviseren heeft de expert het belang van de balans van Odido boven het fundamentele recht op gegevensbescherming van 6,5 miljoen burgers gesteld. dat is geen ethiek, dat is een civielrechtelijke fout.

[beeldbuijs]

Zelfs als de afpersers zich aan de afspraak houden, is het een slecht idee en een sterk staaltje kortetermijndenken. Ieder slachtoffer dat betaalt, helpt deze industrie in stand houden. Hoe meer ze hiermee verdienen, hoe meer bedrijven er afgeperst gaan worden.

[moonlander]

Heb je gelezen waar je nu op reageert? Je kan wel betalen maar dan komen die gegevens vaak alsnog op straat te liggen.. En als je betaald, dan zorg je er alleen maar voor dat die groep nog meer macht gaat krijgen.

[Verwijderd]

Ja ik heb het gelezen, maar dat die gegevens op straat belanden na betalen deel ik niet

Bij Shinyhunters is daar geen bewijs voor. De groep komt al jaren de belofte niet te publiceren na.

Bovendien doet dat niet ter zake, de rekensom 1 miljoen vs de gegevens van 6.5 miljoen klanten is voldoende om betalen als schadebeperking aan te merken

[jt81]

Het gaat lijkt mij niet om het geld, maar om het precedent.
Hacken moet niet lonen. Als er wordt betaald, dan blijft het lucratief.

[RSH]

Succes met het afdwingen van een “contract” met anonieme hacker(s). Dit nog los van het feit dat de enige garantie die je hebt is dat de data gelekt is, zoals door meerderen aangegeven is er geen enkele garantie dat de data toch niet gelekt is of wordt, direct of op een later tijdstip (wat ook al gebeurd is bij splitsen / beëindigen van activiteiten van een groep, en “iemand” een kopietje van de verkregen data alsnog / opnieuw te gelde maakte).

Daarnaast vermoed ik sterk dat wetgevers en wetgeving anders staan tegenover het aangaan van niet-afdwingbare overeenkomsten met anonieme partijen die illegale praktijken uitvoeren dan, bijvoorbeeld, met producenten van legale producten en diensten, maar dat is denk ik weer een andere discussie.

[Gemeni]

Dus je zegt dat je verplicht bent om geld te betalen bij chantage?

[Gemeni]

Je zegt dus feitelijk dat je juridisch verplicht bent om te betalen bij deze chantage aan criminelen.

Persoonlijk denk ik dat een rechter hier niet in meegaat. Je hebt een verplichting tot schadebeperking, niet tot meewerken bij chantage.

[bzuidgeest]

Ik was het niet eens met zijn redenatie. Maar ik heb grote waardering voor de goede bedoelingen. Dat afdoen als een shitshow vind ik triest. Hij durfde in ieder geval zijn nek uit te steken en dat is iets waar heel veel mensen hier wat van kunnen leren.

[Vincedf]

Beetje vreemd, ook al zouden ze op dat moment niet publiceren. De gegevens zijn nog steeds in handen van criminelen. Ga je daar echt geld voor betalen??

[Omnicron1]

Exact En is wel zo wijs.

Want dit doe me vermoeden dat er meer loos is in deze richting.
Lijkt op een wellicht goedbedoelde, maar zeer domme aktie. Kijk mij eens...

Schoenmaker blijf bij uw leest