Bunq lijkt Odido-slachtoffers gericht te benaderen met antifraudemails

Bunq benadert klanten die een abonnement op Odido hebben met tips over hoe ze veilig kunnen blijven na het datalek van vorige maand. Het is niet duidelijk op basis van welke gegevens de bank dat doet, maar het lijkt erop dat de bank weet wie klant is bij Odido of Ben.

Dat blijkt uit tips die Tweakers heeft ontvangen van users. Ook op het Tweakers-forum staan zulke berichten. Bunq stuurde in februari een e-mail naar klanten, toen bleek dat provider Odido gehackt werd. Bij die hack werden ook IBAN-gegevens buitgemaakt, die inmiddels ook door de aanvallers online zijn gezet.

Bunq stuurt de klanten nu een algemene waarschuwing. Die gaat niet specifiek over hun rekeningen of eventuele gestolen gegevens. "Je account is veilig", schrijft bunq. De bank waarschuwt dat oplichters gerichte phishingaanvallen kunnen uitvoeren door zich als bunq-werknemers voor te doen. De bank geeft het standaardadvies dat klanten moeten opletten en dat de bank nooit telefonisch vraagt om persoonlijke informatie of om betalingen uit te voeren.

Het is niet duidelijk op basis van welke informatie bunq de waarschuwing stuurt, maar het lijkt erop dat de bank dat gericht doet naar Odido- en Ben-klanten en de kans is daarmee groot dat dat gebeurt op basis van transactiegegevens. Het is ook niet bekend wie de waarschuwing allemaal heeft gekregen; sommige bunq-klanten zeggen helemaal niets te hebben ontvangen.

De bank wil niet zeggen op basis waarvan het de mails verstuurt en houdt het bij een algemene verklaring. "Voor bunq staat veiligheid voorop. We communiceren daarom altijd in geval van potentieel gevaar om mensen te informeren en ze te laten weten hoe ze veilig blijven", zegt een woordvoerder van bunq tegen Tweakers.

Andere Nederlandse banken zeggen expliciet dat ze klanten niet benaderen op basis van hun transactiegegevens. Woordvoerders van ING, ABN AMRO en de Rabobank zeggen dat die banken dat niet doen.

Tip de redactie

Dit nieuws is geschreven op basis van berichten op het forum. Er gebeurt veel op GoT dat we nooit allemaal zelf kunnen spotten. Zie jij ook nieuwswaardige berichten op het forum? Tip het ons dan!

Lees hier meer over hoe Tweakers omgaat met tips van lezers.

Reacties (82)

[bas-r]

Wat is nou de suggestie die hier gewekt wordt? Dat Bunq de gegevens van zijn klanten misbruikt om ze te waarschuwen voor hacks, als marketinguiting?
@TijsZonderH Misschien goed om hier explicieter over te zijn wat je wel weet en wat niet? Waarom ĺijkt het er op dat de bank transactiegegevens gebruikt' voor deze mailing?

[Reactie gewijzigd door bas-r op 5 maart 2026 12:15]

[TijsZonderH]

Laat ik het zo zeggen: ik heb die hypothese voorgelegd aan bunq omdat ik niet wist wat een alternatief zou kunnen zijn. Ik wilde weten: klopt dit, en als dit niet klopt, wat is dan wél hoe het zit? De verklaring die ze on the record gaven staat in het artikel.

[DjoeC]

Ik zou denken dat ze de dataset hebben binnengehaald en de IBAN nummers en/of emailadressen en/of telefoonnummers hebben vergeleken. Dan heb je de transactiegegevens niet nodig.

[fre0n]

Dat is strafbaar, het is te hopen dat ze dit niet gedaan hebben

[DjoeC]

Ik ben heel erg benieuwd hoeveel strafzaken hierover succesvol voor de rechter gebracht gaan worden Mijn vermoeden is dat dit de NUL gaat benaderen.

[david-v]

Dat hangt er maar net van af. Er is nog zoiets als algemeen belang. Hier staat het een en ander uitgekegd Nee, je mag de gestolen Odido-gegevens niet downloaden, ook niet voor jezelf - Achtergrond - Tweakers

[loki504]

Maar Bunq hoeft mensen niet actief te benaderen voor hun dienstverlening. En mocht dat wel zo zijn dan zouden ze eerst naar andere manieren moeten kijken. Dus is er 0 reden voor Bunq om die gegevens te verwerken van miljoenen mensen.

[david-v]

Ik zeg niet dat bunq iets gedaan heeft of niet, maar of het downloaden van deze gegevens strafbaar is of niet.

[kodak]

Als commercieel bedrijf heb je er niet zomaar een algemeen belang bij om ongevraagd miljoenen persoonsgegevens, laat staan die crimineel zijn verkregen, te verwerken. Hier gaat nog extra bij op dat er niet spontaan een belang na een lek kan zijn. Een bank weet als geen ander dat er al ruim een kwart eeuw dagelijks veel persoonlijke gegevens illegaal verwerkt met het doel op phishing. Als er voor een te verwachten extra of groot datalek dan geen behoefte is om van klanten te weten bij welk bedrijf ze nog meer klant zijn dan kan die er ook niet zomaar over een enorme mix van bekende en onbekende personen zijn als dat zich wel voor doet. Dat is opportunistisch een excuus zoeken om de wettelijke bescherming willekeurige personen niet te respecteren.

[SPee]

Dit begeeft zich op een grijs gebied. Want een bank is wel verplicht om hun klanten te beschermen en krijgt problemen als ze dat niet doen. Hierdoor zou de bank kunnen beargumenteren dat die dataset hiervoor gebruiken, nodig is.

[Trackerfire]

Ik ben al klant bij bunq sinds het begin en heb (nog) niet deze mail gehad. Dus lijkt meer écht algemeen dan specifiek toegespitst op degenen waarvan de gegevens gelekt zijn. En ja, ook mijn gegevens zijn gelekt.

[Heedless]

Maar is ook je Bunq rekeningnummer gelekt? Dat is hier misschien de vraag.

[swhnld]

Je kunt ook het telecom register gebruiken, welke 06 reeksen bij welke provider horen.

[White Feather]

Ooit van nummerbehoud gehoord?

Aan het telefoonnummer kun je dus eventueel alleen zien welke provider het heeft uitgegeven, that’s it.

[asing]

Sommigen in die dataset waren al jaren geen klant meer. Als je de dataset en de transactie gegevens niet kunt, wilt of mag gebruiken dan is er nog altijd het lijstje met incassos waaraan je kan zien wie odido klant is.

[Biggg]

Welk telefoonnummer bij welke provider zit kan je wat mij betreft beschouwen als openbare informatie. Daar hoef je iig echt niet de gestolen dataset van Odido op het darkweb voor te downloaden.

Telco's wisselen dit ook onderling uit via de infrastructuur van COIN.

Op de website van de ACM kan je van ieder nummer opzoeken bij welke telco deze zit.

https://www.acm.nl/nl/telefoonnummers-zoeken

Dus als Bunq de telefoonnummers van hun klanten weet, dan weten ze in principe ook bij welke provider ze zitten. Of het netjes is, dat is een tweede, maar illegaal lijkt me dat niet.

[TijsZonderH]

Niemand zei iets over de gestolen dataset.

[HenkEisDS]

In Azure ACS kun je gewoon een lookup doen op een telefoonnummer. Kost je 5 cent geloof ik, maar dan krijg je gewoon de provider terug. Dus het hoeft niet vanuit de dataset te komen. Verder kunnen ze natuurlijk gewoon de IP adressen koppelen/resolven naar een provider.

[knakworst]

Bunq mag toch een filtertje maken van alle klanten waarbij recent geld is gestuurd naar Odido, en dan een mailtje sturen met een active waarschuwing? Kan me niet voorstellen dat dat tegen de privacy richtlijn is.

Edit:

Beetje bijgeleerd met AI.

Als het:
- een gerechtvaardigd veiligheidsdoel dient
- noodzakelijk en proportioneel is
- waarschuwing concreet en klantgericht is

Dan mag het.

Dit staat ook nog eens specifiek in het privacy statement van Bunq vermeld.

[Reactie gewijzigd door knakworst op 5 maart 2026 13:06]

[hiostu]

Nee, de suggestie is dat Bunq de gelekte data van Odido heeft gebruikt om te kijken welke van de klanten met een Bunq account in die set zitten en dus ook klant waren bij Odido/Ben. Om specifiek deze mensen aan te schrijven in een communicatie.

[thomas1907]

Waar? Tweakers schijft dat het lijkt dat bunq transactiegegevens gebruikt

maar het lijkt erop dat de bank dat gericht doet naar Odido- en Ben-klanten en de kans is daarmee groot dat dat gebeurt op basis van transactiegegevens

[GerritGekke]

Misschien hebben ze wel alle adressen door de haveibeenpowned tool gehaald.

[torretje2012]

gezien ze dan hun eigen emaildatabase uitlekken naar haveibeenpwned lijkt mij dat heel onwaarschijnlijk

[Blizz]

Als je gelooft dat alles gehasht wordt en de e-mail niet gelekt wordt, dan is dat dit niet het geval.

Het kan prima zijn dat ze intern dit soort checks runnen, al kan het nu ook op incidentele basis zijn ingezet.

Maar dat ze zoiets niet hebben toegeven, gecombineerd met hun barre imago als klantonvriendelijk bedrijf, doet wel vermoeden dat het allereerst niet een regelmatige check is en dat ze misschien het lek hebben gedownload. Maar goed, dat is helemaal niet nodig en HIBP heeft alles al toegevoegd, dus dat zou onnodig zijn.

[Reactie gewijzigd door Blizz op 5 maart 2026 12:42]

[gitaarwerk]

Apple doet hetzelfde met dat de aangemelde gebruiker bekend is in 'het register'. Je kan dit overigens heel netjes doen, of heel niet netjes. Je kan zonder metingen of logging prima dit heel secuur/privacy minded oppakken, zoals jij stelt hier. De vraag is of ze dit natuurlijk doen. Ik weet niet of ik het zelf erg zou vinden. Omdat er al zoveel bekend is, ben ik soms zelf het overzicht kwijt.

[StefandeGroot]

Nee, uitgesloten. Ik kreeg al mail van Bunq voordat de batch met gegevens waren vrij gegeven.

Bovendien zou Bunq dan gaan grasduinen door illegaal verkregen gegevens en zijn ze dus strafbaar.

[locke960]

Beide is niet nodig. Ik ga er vanuit dat banken, en dus Bunq ook, alle sessies van klanten loggen, inclusief het IP adres van de klant. Althans, dat is wat ik zou doen.

IP adressen kun je vrij eenvoudig aan een ISP koppelen.

Het lijkt me een goed idee voor beveiliging en fraude preventie (waarom deed deze klant 10 minuten geleden een transactie vanuit Odido NL en nu vanuit China?) en forensische analyse later, bij disputen en fraude gevallen.

[TheMak]

Dat kan natuurlijk technisch gezien. Je moet dan wel opgeschreven hebben dat je dit doet en waarom. Dat waarom deel moet voldoende generiek cq vaag om een hack bij een ander bedrijf daaronder te laten vallen.

[ZwolschBalletje]

In 2019 is de PSD2 betaalrichtlijn ingegaan, waarmee externe partijen (en dus niet alleen de bank zelf) inzicht kunnen krijgen in de transacties van een klant. Het artikel op Tweakers daarover gaf aan dat dit nieuwe diensten mogelijk moet maken die de banken nu nog niet bieden:

Ook kunnen ze bestedingspatronen analyseren en op basis daarvan inzichten en adviezen geven.

Als externe partijen dat (met jouw toestemming) mogen doen, dan zou het best logisch zijn dat banken dat als onderdeel van hun overeenkomst met jou ook al mogen/moeten doen. Ook ik krijg aan het eind van het jaar van mijn bank een jaaroverzicht waarin staat hoeveel ik heb uitgeven aan comfort food op het station, en dat weten ze echt alleen doordat ze mijn transacties hebben geanalyseerd.

Dus nee, dit lijkt me geen schimmig gebied maar een invulling van Bunq van haar zorgplicht, hooguit op basis van een bevoegdheid waarvan we niet allemaal scherp hadden dat banken die hebben.

[latka]

Terwijl bunq ook gewoon kan zien welke afschijvingen er naar odido/ben gaan vanuit bunq backend. Beide is overigens discutabel.

[bas-r]

Volgens mij is dat niet wat er staat. Er wordt expliciet de indruk gewekt dat Bunq zijn eigen transactiegegevens van klanten zou misbruiken voor deze mailing. Maar zonder bewijs is dit toch een knap staaltje geroddel.

Het is niet duidelijk op basis van welke informatie bunq de waarschuwing stuurt, maar het lijkt erop dat de bank dat gericht doet naar Odido- en Ben-klanten en de kans is daarmee groot dat dat gebeurt op basis van transactiegegevens.

[Sanderluc]

Ik heb de e-mail waar dit over gaat al op 12 februari ontvangen, dus het lijkt mij niet logisch dat Bunq de gelekte data van Odido heeft kunnen gebruiken hiervoor...

[J1ngleJ4ngle]

Hoeft toch niet eens. Bunq kan zien dat iemand transacties heeft naar Odido en dus een abonnement.

[dasiro]

beide zijn kwalijk te noemen:

• het gebruiken van betaalgegevens is legaal en iets wat payment-providers (dus ook banken) zichzelf vaak toelaten via het aanbieden van "slimme" features zoals insights.
• het gebruik van data uit het lek is illegaal

[Menesis]

Dat haal ik er uit ja. Maar zonder bewijs zijn dit hooguit rumours..

[TijsZonderH]

Als het al rumours zouden zijn, heeft bunq die in ieder geval niet ontkracht terwijl ze daar wel echt de kans voor hadden.

[Andros]

Zoiets lees ik er ook in. Dit is nogal een privacy mijnenveld en iets zegt me dat dit een AVG probleempje op kan leveren. Al jaren zijn er ideeën om mensen aan te manen gezonden te leven als ze frequent geld uitgeven in de McDonald's en zien we mogelijkheden om die gegevens weer met je zorgverzekeraar te delen. Nu gaat een bank zich bemoeien met uitgaven van een klant, dit voelt heel erg niet goed.

[koboy]

Ik zie het iets anders: Bunq "waarschuwt" Odido en Ben klanten zodat als een klant opgelicht wordt ze kunnen roepen: "we hebben gewaarschuwd, eigen schuld!" In plaats van echte anti-fraude maatregelen te implementeren en zaken op een volwassen manier af te handelen zoals andere banken dat wel doen.

[beerse]

Mijn eerste gedachte was ook dat bunq de gelekte data gebruikt zou hebben. Maar bunq heeft dat niet nodig als je betalingen aan odido via bunq loopt. Bunq ziet wie aan odido betaalt en kan daarbij gericht informeren en/of waarschuwen. Of ze dat mogen op basis van bank en/of avg regelgeving weet ik niet.

Naar mijn idee is het vanuit de avg niet gewenst dat bunq dit zou doen. Maar als bank zou bunq wel bepaalde informatie plicht hebben naar haar eigen klanten. Nu ik er over nadenk is het wel te verdedigen dat bunq deze rechtstreekse benadering pleegt. Laat de juristen en zo er maar een oordeel over vellen.

[TijsZonderH]

Ik ga het zo zeggen: ik publiceer niet zomaar zonder dit te weten. Dat bunq het niet on the record bevestigt mag je oppakken zoals je wil.

[stuiterveer]

Lijkt me op een juridisch mijnenveld voor Bunq, nietwaar? Als je geen Odido-klant bent/was lijk je geen mail te krijgen, dus dan betekent dat dat ze ergens een dataset vandaan hebben. Ik weet oprecht niet of dit via haveibeenpwned kan worden gedaan, dus het enige alternatief lijkt me de Odido dataset zelf. Als dit het geval is hebben ze dus willens en wetens privegegevens over Bunq-klanten en niet-Bunq-klanten gedownload.

Ze hadden beter een bulk mail kunnen doen naar iedere klant van ze in plaats van de huidige tactiek. Want nu heb ik weer net dat beetje minder vertrouwen in Bunq.

[Aardedraadje]

Volgens mij is het vrij simpel. Bunq is een bank. Bunq weet dus waar je geld heen gaat. Je betaalt Odido vanaf je bank. Als Odido tussen je afschriften staat, zou het maar zo kunnen zijn dat het daarop gebaseerd is.

[mortal]

Maar dat mogen ze dus niet gebruiken. Wat is het volgende? Waarschuwen voor je gezondheid omdat je vaak pint bij Jamin?

[knakworst]

Het eerste mag dus wel. Op basis van het privacy statement mag bunq dat expliciet, mits het daadwerkelijk gaat om veiligheid en fraudepreventie en niet om commerciële doeleinden. Het laatste mag dus absoluut niet.

[stuiterveer]

Goed punt, daar had ik niet aan gedacht. Maar als dit gaat om data die ze als onderdeel van de Wwft "toch al" moeten verzamelen om verdachte transacties bij de FIU te melden, mogen ze dit dan ook gebruiken om mails zoals deze te versturen? Dit is namelijk iets heel anders dan het voldoen aan een wetgeving.

[Vokx]

Illegaal dataset downloaden? Die klant heeft dan ook een transactie naar Odido .. Dat lijkt me genoeg om ze.

[Reactie gewijzigd door Vokx op 5 maart 2026 12:06]

[Mog]

Ik heb een Bunq account en mijn gegevens zijn buit gemaakt bij de Odido hack, maar ik heb niets ontvangen van Bunq. Wel een mail van Knab een dag na de Odido hack:

Beste [...],

Je leest het regelmatig in het nieuws: grote organisaties die te maken krijgen met een datalek. Daarbij kunnen persoonsgegevens in verkeerde handen terechtkomen.

Criminelen gebruiken zulke informatie soms om zich geloofwaardig voor te doen als een bank of andere vertrouwde partij. Daarom delen we graag een paar belangrijke aandachtspunten om je bankzaken veilig te houden.

[..]

Samen zorgen we ervoor dat bankieren veilig blijft.

[Warri]

Ik ben KNAB klant en mijn gegevens zitten ook in de ODIDO hack, maar ik heb geen e-mail gehad van KNAB.

[eli_r]

Ik ben klant bij zowel Odido, Ben als Bunq en heb deze mail niet ontvangen. Ik gebruikt m'n Bunq bankrekening gewoon voor de betalingen aan deze twee partijen.

[ProxyDaily]

Gebruik je een ander emailadres voor Bunq dan voor Odido? Dat zou namelijk een indicatie zijn dat het dus niet op basis van transactiegegevens is gedaan maar op basis van gegevens in het lek (ofwel direct ofwel doormiddel van een derde partij als HaveIBeenPwned).

[Tweakwondo]

beetje dubbel gevoel hierbij want wanneer er problemen zijn met de bank ivm oplichting e.d dan laten ze van zichzelf niets weten maar wanneer er een chaos is rondom een ander partij weten ze ineens wel in actie te komen.
plus ik zou het absoluut niet fijn vinden als een bank mij gericht mails gaat sturen. nou weet ik ook wel dat elke bank transacties scant etc maar dit vind ik ook weer een beetje overkomen als wij kijken even mee wie odido heeft en gaan onze klanten een mail sturen.

de bank wil niet zeggen op basis waarvan het de mails verstuurt en houdt het bij een algemene verklaring. "Voor bunq staat veiligheid voorop.

hier krijg ik dus de kriebels van wanneer bunq fout is geven ze niet van thuis

[S-1-5-7]

Het is niet duidelijk op basis van welke informatie bunq de waarschuwing stuurt, maar het lijkt erop dat de bank dat gericht doet naar Odido- en Ben-klanten

Waarom lijkt dit er op? Wat zijn de aanwijzingen?

Ik kreeg overigens een soortgelijke mail van Toto een tijdje terug. Ik had zelf niet per se het vermoeden dat dit bericht gericht was verstuurd naar enkel de klanten waarvan hun gegevens bij Odido zijn gelekt

[dutchnltweaker]

De bank wil niet zeggen op basis waarvan het de mails verstuurt en houdt het bij een algemene verklaring. "Voor bunq staat veiligheid voorop. We communiceren daarom altijd in geval van potentieel gevaar om mensen te informeren en ze te laten weten hoe ze veilig blijven", zegt een woordvoerder van bunq tegen Tweakers.

Uh dat betekend dat de bank dus de transactie gegevens analyseert? Mooi gebaar, maar heel eerlijk zit ik niet te wachten op een bank die mijn transactie gegevens voor elk doeleinde kan gebruiken. Ik blijf het toch een enge bank vinden: nieuws: Bunq blijkt toch te dreigen met juridische stappen na Reddit-post ex-werknemer nieuws: FD: Bunq spoort klant achter anoniem Wikipedia-account op na kritiek - update

[Jay-v]

Dat doen alle banken, dat zijn ze zelfs verplicht om witwassen tegen te gaan. Het gaat er mijn inziens meer om voor welke doeleinden ze dat doen.

Mij zal je niet meer zien bij Bunq maar opzich vindt ik deze (uitzonderlijke) actie wel netjes.

[Tielenaar]

Ik niet. Dat ze je bankgegevens gebruiken om criminaliteit tegen te gaan is nodig vanuit de wet. Dit is gewoon ergens mee bemoeien waar ze niet voor zijn. Ik zou het zeer onprettig vinden als mijn bank dat doet. What's next? Reclame sturen op basis van je bankgegevens? Doe maar gewoon niet.

[knakworst]

Op basis van de WFT heeft de bank ook een zorgplicht tegenover haar klanten. Dat betekent dat Bunq moet waarschuwen bij concrete signalen en zich niet kan verschuilen achter “eigen verantwoordelijkheid klant” als risico’s evident zijn. Dus ja, ze kunnen passief afwachten. Maar als ze niets doen, er dan later fraude wordt gepleegd, klanten controleren te laat afschriften, kan bunq alle schade uitbetalen, want dan hebben ze niet voldaan aan hun inspanningsverplichting. Nu wel.

[arjankoole]

Dat doen ze sowieso, en zijn ze verplicht ivm fraude / witwas / etc

[jpfx]

Fraude, witwas, etc. Ja wettelijk.

Om die data op een andere wijze te gebruiken lijkt mij niet wenselijk. Ze hebben helemaal niets te maken met bij wij ik een telecom abbo heb, bij welke supermarkt ik winkel, of bij bol.com bestel, etc.

Daarmee overschrijden ze wat ze wettelijk dienen te doen, en schuurt het tegen privacy aan.

En mochten ze het doen door de dataset te downloaden en de gegevens daarvan tegen hun bestand te vergelijken (dat kan bijv. op basis van IBAN) zou op zich ook opmerkelijk zijn. Ze geven daarbij eigenlijk criminelen alleen maar MEER mogelijkheden om misbruik te maken, immers, een mail over het onderwerp kan dan OF van de bank zijn, OF van een crimineel zijn met het doel om nog meer info te achterhalen.

Juist door niet transparant te zijn over het hoe en waarom maakt mij zenuwachtig over of er wel op een toegestane wijze wordt gewerkt.

[blk]

Ik ben op de hoogte van andere banken die ook uitgezocht hebben welke klanten maandelijks geld overmaken naar Odido en voor deze klanten achter de schermen extra fraude detectie doen. Dit vind ik zelf een verstandige actie.

Het actief benaderen van klanten vind ik daarentegen weer wat twijfelachtig... simpelweg omdat er bij klanten vragen kunnen gaan ontstaan hoe bunq aan de gegevens komt (wel of niet uit de dataset, of puur op basis van transactiegedrag).

[Reactie gewijzigd door blk op 5 maart 2026 12:15]

[Warri]

Dit is voornamelijk een e-mail om zichzelf in te dekken. Hiermee proberen ze de volledige verantwoordelijkheid bij de gebruiker te leggen, om toekomstige schade niet te hoeven vergoeden.
Ze hebben immers gewaarschuwd.

[joostboot]

De ophef rond bunq is vaak terecht, maar in dit geval snap ik hem niet helemaal.

Het lijkt mij ergens toch wel logisch dat een bank onderzoekt of de integriteit van de rekening van haar klanten gewaarborgd is? Ik zou het zelfs als de verantwoordelijkheid van een bank omschrijven. En als je dat doet, dan is het toch ook logisch om daarover te communiceren?