Odido staat nog steeds achter besluit om ShinyHunters niet te betalen

Odido's ceo Søren Abildgaard staat nog steeds achter het besluit om hackersgroep ShinyHunters niet te betalen voor de omvangrijke hack, eerder dit jaar. Abildgaard zegt dat je 'criminelen niet moet belonen' en dat betalen ervoor kan zorgen dat andere Nederlandse bedrijven doelwit worden.

Dit nieuws in het kort

• Odido besloot eerder dit jaar hackersgroep ShinyHunters niet te betalen om ze 'niet te belonen'
• Bij de hack werden gegevens gestolen van 6,5 miljoen Odido- en Ben-klanten
• De provider geeft klanten geen compensatie 'omdat dat niets oplost'

"Ik ben ervan overtuigd dat je criminele organisaties niet moet belonen voor illegale activiteiten", zegt ceo Abildgaard in video's die Odido op dinsdag heeft geüpload. "Het betalen van losgeld kan er bovendien voor zorgen dat ook andere Nederlandse bedrijven doelwit worden. Op basis van duidelijke richtlijnen van de autoriteiten hebben we daarom besloten geen losgeld te betalen."

Odido zei net na de hack in februari al niet te onderhandelen met de criminelen. ShinyHunters publiceerde daarom alle gestolen gegevens van de 6,5 miljoen Odido-klanten. Het gaat om persoonsgegevens zoals adres-, telefoon- en e-mailgegevens, maar ook informatie zoals of klanten onder bewind waren. Er waren ook ruim 5 miljoen identiteitsbewijzen zoals rijbewijzen en paspoorten gedeeld.

'Schijnzekerheid'

In een interview met NU.nl geeft chief commercial officer Tisha van Lammeren daarnaast aan dat er angst was voor 'schijnzekerheid', omdat de hackers na het betalen alsnog de gegevens hadden kunnen lekken. In het interview hint ze er ook naar dat 'werknemers, bestuurders en hun kinderen' werden bedreigd. "Ik zeg dat niet om sympathie te wekken, want klanten hebben er weinig aan, maar het geeft aan dat criminelen bereid zijn om ver te gaan."

Van Lammeren zegt verder dat er op 5 en 6 februari pogingen werden gedaan om gegevens te stelen via een Odido-medewerker en zo toegang tot de systemen te krijgen. "Degene die belde deed zich voor als een IT-helpdeskmedewerker en klonk heel professioneel." De eerste poging werd 'vrij snel gezien en toen snel dichtgezet'. Het bedrijf zegt medewerkers daarna ook te hebben gewaarschuwd.

"Een dag later was er weer een poging. We merkten niet meteen dat er gegevens waren gestolen. Daar kwamen we op 7 februari achter, toen de eerste chantagemail van ShinyHunters binnenkwam." Van Lammeren geeft geen verdere details over hoe de hackers binnenkwamen.

Odido ontdekte de hack dus op 7 februari, maar informeerde klanten pas vanaf 12 februari. "De stilteperiode was lastig voor klanten", erkent Van Lammeren. "Zij hadden meer tussentijdse updates verwacht, meer dan alleen een website." De topvrouw noemt dat een les.

Compensatie 'lost niets op'

In het interview gaat Van Lammeren ook in op het gebrek aan compensatie voor klanten. Ze zegt dat ze zich voor kan stellen 'dat klanten daar niet blij mee zijn', maar zegt ook dat als een klant 'geen aantoonbare schade heeft ondervonden', er geen compensatie is. "Als we jou nu 10 euro geven, lost dat niets op. Het belangrijkste is dat we nog beter bestand zijn tegen toekomstige, geavanceerde aanvallen en dat onze klanten de tools aangereikt krijgen om zich ertegen te beschermen."

Odido heeft klanten wel twee jaar F-Secure-tools aangeboden, waarbij ze onder meer phishingdetectie, een wachtwoordmanager en dataleknotificaties krijgen. Inmiddels loopt er ook een massaschadeclaimzaak tegen Odido vanwege het datalek. Hier hebben zich inmiddels ruim 350.000 gedupeerden bij aangesloten.

Odido-winkel. Bron: Pixelbizz/Getty Images

Reacties (258)

[Standeman]

Ik begin wel een scheiding te zien tussen wel of niet betalen.

Als je voornamelijk consumenten c.q. particuliere klanten hebt hoef je niet te betalen, want zoveel gaan er niet weg en de rechtszaken zijn bijna al kansloos. Kan je lekker principieel doen.

Als je veel grotere bedrijven met diepe zakken als klant hebt, betaal je wel. Want wanneer er enkele vertrekken is dat een aderlating of n ze hebben geen probleem om een paar ton te investeren in een rechtszaak. Principes zijn dan als sneeuw voor de zon vertrokken.

Ik denk ook dat schade voor bedrijven ook een stuk makkelijker aan te tonen is dan voor consumenten.

edit:
zpelfauten :x

[Reactie gewijzigd door Standeman op 13 mei 2026 10:07]

[ShadowWorrier]

Ik denk dat dat klopt.

Ik zie het niet betalen vanwege principes als een perfect gelegenheidsargument.

Ze wilde denk ik gewoon niet betalen omdat dit een betere business case voor ze leek (die ik persoonlijk betwijfel). Dan komt het niet betalen uit principe natuurlijk fantastisch uit

[Standeman]

En voor een bedrijf als Canvas is betalen juist wel logisch vanwege de business case.

En dat steekt wel met de principiële reacties hier. Bij bijde casussen zijn ze niet van belang.

[bzuidgeest]

principes zijn niet van belang? Ik denk dat die juist heel erg van belang zijn. Misdaad mag niet lonen. Als er door het lek problemen ontstaan dan hoort (liefst bij wet) het bedrijf dat gelekt heeft verantwoording te dragen. En wat mij betreft hoef je niet aan te tonen uit welke dataset het komt. Zat het in meerdere, dan betalen er maar meerdere schade aan de getroffen afnemer, zij het een consument of een bedrijf.

Het probleem is niet wel of niet betalen. Het probleem is dat er geen gevolgen vast staan voor bedrijven die een lek hebben. Een kleintje of een ongelukje kan iedereen gebeuren. Maar dat gigantische bedrijven zomaar wegkomen is niet goed.

[laurens0619]

Primair is de dader verantwoordelijk, shinyhunters, en moeten deze opgespoord en gestraft worden.

Dat dit lastig is zou niet de schuld naar de gehackte moeten verschuiven (odido). Tenzij deze grof nalatig is geweest, dan zou deze secundair ook gestraft moeten worden.

Het probleem is niet (alleen) dat bedrijven ermee wegkomen, het probleem is dat cybercriminelen ermee wegkomen

[Reactie gewijzigd door laurens0619 op 12 mei 2026 19:25]

[bzuidgeest]

De dader moet gestraft worden inderdaad. Maar hij mag ook niet beloond worden. Dus geen betalingen.

Maar wellicht kunnen we nalatig ook wel eens gaan definiëren. Backups, Encryptie, firewalls.... etc Laten we beginnen met eisen dat bedrijven die persoonsgegevens verwerken die op orde hebben. En dat niet hebben is nalatig. Volgens mij hebben we dat niet eens.

Daarnaast kan de gebruiker de dienst niet gebruiken zonder die gegevens. Dat maakt dat het bedrijf (in mijn hoofd) een zekere verantwoording voor het beheer en de veiligheid van die gegevens dient af te leggen aan de klant (bedrijf of consument). Als er is mis gaat hoef dat niet zozeer tot een straf te leiden alswel dat een bedrijf dat gehacked is zijn verantwoording moet pakken en zijn klanten bijvoorbeeld voor identiteitdiestal moet verzekeren voor 3-5 jaar. Je kan dat als een straf zien. Maar ik vind het meer gewoon eisen dat er ingezien word dat je bij lekken verantwoordelijk bent. En die verantwoording zal moeten tonen.

[twkr18526]

Enerzijds ben ik ermee eens dat de daders (shinyhunters) niet beloond mogen worden.

Anderzijds mag de Odido (T-Mobile) ook niet beloond worden met hun overtreding: ze hebben veel gegevens langer bewaard dan dat het mocht. Als ze die gegevens verwijderd hadden, had het niet gestolen kunnen worden.

Nu loopt Odido trots hun principes te verkondigen dat ze niet willen betalen. Ze zeggen niets over de principes om persoonsgegevens niet langer te bewaren dan nodig.

[bzuidgeest]

Die te lang bewaarde gegevens is minder dan een procent van het geheel en ook geen gegevens die ze niet mochten hebben oorspronkelijk. Het is gewoon een scriptje dat even niet gelopen heeft. Slordig, maar nauwelijks het belangrijkste issue met de hack.

[Waah]

Ik snap echt niet waarom ze mijn oude email, dat ik 6 jaar geleden gewijzigd heb, ook moesten bewaren al die tijd. Dat is niet "even" een scriptje dat niet heeft gelopen....

Als ik mijn email wijzig is er geen enkele reden om de oude te bewaren. Als gevolg heb ik nu spam in mijn persoonlijke email, waar ik dat niet had. Als Odido zich gewoon aan de regels had gehouden en mijn oude email niet onnodig had bewaard, dan had ik gewoon [e-mail] kunnen blokkeren en had ik er geen hinder van ondervonden. Nu heb ik dagelijks hinder van spam en phishing attempts.

[bzuidgeest]

Hoe krijg je spam op je nieuwe email als die naar je oude adres gaat dat je niet meer hebt. Beetje raar verhaal.

En iedereen heeft spam tegenwoordig, iemand die beweert van niet geloof ik gewoon niet. Je email is overal, niet alleen bij odido. De kans op spam is 100% helaas.

En niettemin is de oude data nog steeds minder dan een procent van het totaal.

[Waah]

Mijn nieuwe email is een catchall, waarbij ik de bedrijfsnaam als naam gebruik. Dus [e-mail]. alles komt binnen op hetzelfde adres, maar dan kun je bij een lek dus gemakkelijk alle email naar dat emailadres blokkeren en een andere instellen.

Echter dat heb ik 6 jaar geleden ingesteld. En had eerst dus het e-mailadres dat ik gebruik voor persoonlijke mails ingevuld. Maar die heeft Odido dus ook 6 jaar bewaard omdat.... Ze graag de wet overtreden door gegevens te lang te bewaren.

Mijn email is dus niet overal. Enkel bij de mensen aan wie ik het geef. Alle bedrijven krijgen hun eigen e-mailadres.... En zo weet ik dus ook direct of mijn email gelekt is. Want ik krijg enkel spam van bedrijven die mijn email hebben gelekt.

Ik ben was dus spamvrij. En eigenlijk in al die jaren heb ik maar 2 keer gehad dat ik een email moest blokkeren (beide crypto-gerelateerd, je verwacht het niet). De meeste spam komt omdat mensen zelf hun email overal invullen bij de meest schimmige sites of winacties. Als je dat niet doet zal het je verbazen dat je gewoon spamvrij kan leven.

En dat oude data minder dan een procent is, wie heeft ons dat verteld? Odido? want die zijn zo betrouwbaar gebleken?

Bedrijven mogen geen persoonsgegevens bewaren tenzij nodig voor dienstverlening of voor boekhoudkundige redenen. Beide is niet van toepassing. Ze zijn dus gewoon in overtreden van de wet.

Ik hoef geen compensatie. Dat helpt toch niet. Vote with your wallet. Maar dat ze nu als argument komen dat de persoon die iets illegaal doet de foute persoon is.... Terwijl ze zelf net zo goed illegaal bezig zijn geweest is gewoon hypocriet.

[Reactie gewijzigd door Waah op 13 mei 2026 09:02]

[bzuidgeest]

Blijkbaar zijn ze niet in overtreding van de wet. Ik heb niets gezien van de autoriteiten die daar over gaan dat dit zegt. Voor jou gevoel is het zo, maar dat is geen wet. Het enige dat ze overtreden hebben is hun eigen bewaar beleid. En als oud of bestaande klant mogen ze gegevens van jou hebben, oud of nieuw.

Maar gezien je email beleid ben je wellicht een van de weinige die schade kan aantonen. Start en rechtszaak of zo. Doe aangifte.

[Reactie gewijzigd door bzuidgeest op 13 mei 2026 09:08]

[Waah]

Het is wel een wet, dat is onderdeel van de AVG wetgeving. Dat er geen onderzoek gedaan wordt wil niet zeggen dat ze niet in overtreding zijn.

Je lijkt uit te gaan van een perfect functionerend politiek systeem en rechtssysteem. Maar de partijen die dit moeten controleren en uitzoeken zijn zwaar onderbezet. De reden dat er geen onderzoek loopt zal eerder in dat straatje liggen. Of het onderzoek loopt en ze wachten af wat Odido allemaal doet en zegt. En dan zijn dit soort uitspraken een mooi bewijs van handelen.

Dat jij niet weet dat dit onder de AVG valt betekent niet dat er geen wet is ;-)

[bzuidgeest]

Ze zijn pas in overtreding nadat een rechter wat gezegd heeft. Tot die tijd zijn ze een verdachte.

En iedereen roept overal maar avg bij als ze hun zin niet krijgen. Als jij het zo goed weet, artikel van de wet die ze overtreden erbij zetten. Of is dit de zoveelste emotionele reactie? Meer de wens op overtreding dan een feit.

De Autoriteit is zwaar onderbezet, dat is waar. Maar dan kunnen ze nog steeds er wat van zeggen, ze kunnen ook hun prio op zo een grote zaak zetten. Zover ik weet is daar geen enkel teken van. Wellicht komt dat nog. Maar wellicht ook niet. Tot die tijd is een wetsovertreding niet bewezen, want als dat makkelijk was, dan had de Autoriteit die kans al lang aangegrepen om zijn nut te bewijzen.

[Waah]

Als ik 180 rij ben ik ook gewoon in overtreding van de wet. Ongeacht of ik bestraft word. Maar als dat je redenatie is, is verder gesprek ook zinloos

[bzuidgeest]

Je bent in overtreding, maar de boete komt pas als die overtreding word vastgesteld door de politie. Hij komt niet omdat jij het wil. Als je gaat onderscheid niet kan maken dan is dit gesprek inderdaad zinloos. Elke verkeersboete komt met een vaststelling en bewijsmateriaal. Als dat er niet is krijg je ook geen boete, geen veroordeling.

[sundrak]

Het belang zou aan de kant moeten staan van hun klanten (de consument).

Ze weten dat het bijna onmogelijk is om ze te traceren en te vervolgen. En ze weten als ik niet betaal dat er persoonlijke gegevens van hun klanten de zwarte markt opgaat.

Dan lijkt mij de keuzen snel gemaakt, je neemt de L en betaal de hackers, want dat is in belang van hun klanten.

Dure les geleerd, maar je klanten zijn er niet de dupe van.

Maar ze steken hun middel vinger naar hun klanten, omdat ze het hun geld gaat kosten. en zij lijken schijt te hebben dat het potentieel hun klanten slachtoffer kunnen worden, omdat de persoonlijk info nu op straat ligt.

[bzuidgeest]

Ik vind het in het belang van de klanten dat ze niet betalen en ik ben een klant.

Misdaad mag niet lonen en het meeste is elders al eens gelekt voor de meeste mensen.

[sundrak]

Dus het belang is dat je info in handen komt van andere criminelen, dat is wat je in weze zegt.

Je kan er van alles kwa principes tegen aan gooien, maar het resultaat blijft het zelfde. En dat zou IMHO lijdend moeten zijn. Je neemt de klap om je klanten te beschermen tegen mogelijke andere criminele activiteiten.

Je kiest uit 2 opties. Je damt de schade zoveel mogelijk in bij de klanten door middel van betaling. Of je handel uit eigen belang, want geld is belangrijker dan je klanten, zij mogen dealen met de gevolgen ervan.

Omdat er eerdere gelekte info op straat is gekomen, vind je dit prima. Normaliseer je deze activiteit.

Waarom niet advoceren dat elk bedrijf, de klanten gegevens vrij stellen? Je lijkt het prima te vinden toch?

Ik hoop dat je ziet dat je redenering buitengewoon, bijzonder is.

[bzuidgeest]

Je neemt een hele negatieve, kortzichtige interpretatie van wat ik stel. Als je betaald moedig je de criminelen aan. En dat is niet in het belang van de klant. De enige manier om de klant zijn belang te dienen is dat je zorgt dat de criminelen niets verdienen aan hun werk. Want dan is er minder reden om het nog een keer te doen.

Van andere criminelen krijgen ze niets in vergelijking met een bedrijf als odido. De gegevens zijn in de meeste gevallen namelijk niets dat niet al beschikbaar was.

En welke garantie heb je dat de gegevens werkelijk vernietigd zijn? Niet gewoon doorverkocht worden? De dieven op hun woord geloven? Wat een farce.

Die data is gestolen en blijft gelekt, niets veranderd dat meer.

Jij bent wat mij betreft de persoon die data diefstal normaliseert door het lonend te maken. Dat mag jij krom vinden, maar dat is wat ik vind. Waar gaat het nou om, mijn naam en email address? Die geef je op honderden plekken weg. Dat ik odido internet afneem? Ook geen geheim. Een is? Die kan gewisseld worden. Niets waarvoor ik vind dat dieven betaald moeten worden.

Blijf jij lekker criminelen betalen zodat dieven mensen hun gegevens blijven stelen. Want dat is jou bijzondere, buitengewone redenatie toch? Dat zie je toch wel?

[sundrak]

"Bij het Odido datalek zijn onder andere de volgende gegevens mogelijk buitgemaakt:

• Namen
• Adressen
• IBAN-rekeningnummers
• Identiteitsgegevens

Dit zijn geen onschuldige gegevens. Integendeel, het gaat om informatie die criminelen kunnen combineren om slachtoffers geloofwaardig te benaderen." bron: https://digiwijzer.nl/odido-datalek/

Is wel meer dan een email adresje

De criminelen ontmoedig je niet in deze situatie, en dat weet jij ook. Internet staat vol met gelijkmatige hacks.

[bzuidgeest]

Het internet staat vol met die hacks omdat het loont. Instructure heeft ze ook weer betaald. Dus tuurlijk zie je meer en meer hacks.

Als het niet betaald word neemt het vanzelf af. Of werk jij voor niets? Criminelen werken niet voor niets. Dat weet ik wel zeker.

Wat betreft die gegevens. Dat is spul dat al bij vele bedrijven is uitgelekt. En ook zonder dat, trappen al genoeg mensen in scams. Dit maakt het zeker niet beter. Maar criminelen betalen maakt het nog veel erger. Je kan niet geloven dat de gegevens werkelijk vernietigd zijn. Het zijn criminelen, die liegen van nature.

En zelfs als de groep zich aan zijn woord houd, groepen splitsen en vallen uit elkaar, dieven stelen van elkaar. Grote kans dat een lid en kopie achter houd voor later. Je kan dieven niet vertrouwen.

[HDoc]

Helemaal mee eens. En ik vind het ook goed, dat Odido niet heeft betaald. Het betalen van "losgeld" zou wettelijk verboden moeten worden, dat lijkt me de enige manier om dit type cybercriminaliteit tegen te gaan. Immers, in de boeken moet een bedrag dat aan "losgeld" wordt betaald worden verantwoord en je accountant kan wel handig zijn, er zijn grenzen aan. Bovendien is de hele discussie over al dan niet losgeld betalen dan ook weg.

[laurens0619]

Is denk ik niet haalbaar. Dan moet je alle bedrijven wereldwijd meekrijgen dat ze dit niet gaan doen.
Daarbij, de data is nog steeds geld waard maar het zal alleen een andere business case voor ze worden.

Samengevat denk ik dus niet haalbaar en als het al haalbaar zou zijn., het lost het probleem niet op.

[hans-martijn]

Dus als jij jouw voordeur open laat staan omdat het kopen van een slot geld kost, is de diefstal van jouw spullen de schuld van de dieven en treft jou geen blaam?

[laurens0619]

Primair is de dief strafbaar ja voor het inbreken ook al heb ik geen goed slot.

Dat ik geen goed slot heb zou ik ik nalatig vinden en zoals ik schreef zouden bedrijven secundair ook gestraft moeten worden indien ze grof nalatig zijn geweest.

of vind jij het ok als iemand jouw fiets steelt als jij hem niet (goed genoeg) op slot hebt gezet? Dan gaat de dief vrijuit?

[Reactie gewijzigd door laurens0619 op 12 mei 2026 20:12]

[hans-martijn]

Nee, maar je zou wel begrijpen dat ik ‘m terug koop voor €50. Vervolgens gaat iedereen die weet dat ik mijn fiets niet op slot heb gezet mij uitlachen dat ik dat niet gedaan heb, en hoef ik mijzelf niet te presenteren als slachtoffer.

Sterker nog: als ik jouw fiets niet op slot zet als ik ‘m mag gebruiken, en hij wordt gestolen, dan verwacht je een schadevergoeding. Niet een zielig verhaal dat de daders zo gemeen zijn, en dat ik principieel niks doe om hem terug te krijgen.

[Cobiwan]

De vergelijking met een fiets gaat niet op. De fiets heb je terug als je geld betaalt. De data is helemaal niet bij je weggenomen en de data kan gekopieerd worden. Betalen geeft 0 garantie dat het niet gelekt wordt of al gelekt is.

[hans-martijn]

En toch geeft het een kans, die je niet hebt als je niet betaalt. Hier heb je het over gegevens van 6,5 miljoen mensen, waarbij sommige gegevens gewoon niet op straat mogen liggen, van bijvoorbeeld mensen die ondergedoken moeten zitten omdat ze bedreigd worden, privé-adressen van politici, privé-adressen van politie, etc.

[Cobiwan]

Klopt en betalen van criminelen helpt daar 0 mee

[drvinnie]

Sterker nog. Ik moet mijn fiets bij jou stallen en jij doet geen slot op de deur. En iedereen Odido maar verdedigen.

Niet als reactie op jou, maar ik moet even kwijt hoe geschokt ik ben dat zelfs op Tweakers of all places de ernst van de situatie en de verantwoordelijkheid van Odido wordt weggewuifd door zoveel bezoekers.

[Goppster]

Roof jij een huis leeg alleen omdat een voordeur open staat en geef jij vervolgens de eigenaar de schuld?

[hans-martijn]

Nee, maar ik ga er niet vanuit dat anderen dat ook niet doen (een huis leegroven). Mijn principes zijn overduidelijk niet die van een ander.

[Reactie gewijzigd door hans-martijn op 12 mei 2026 21:11]

[lays]

Principes zijn wat mij betreft in dergelijke situaties niet van belang. Principes betalen de rekening niet. Dit is kiezen tussen kwaad en kwaad.

[bzuidgeest]

Er zijn gradaties van kwaad. Betalen aan dieven is een groter kwaad dan gelekte gegevens.

Gegevens die voor 9 van de 10 nederlanders toch al gelekt zijn. En ja, volgens de AP is er geen Nederlander meer te vinden waarvan geen gegevens zijn gelekt.

[Remzi1993]

Inderdaad, zie onderwijsinstellingen en het bedrijf achter Canvas. Dat begint mij ook op te vallen. Consumenten zijn dus de dupe.

[bzuidgeest]

Ik denk dat ze hoe dan ook niet moeten betalen of het nou een bedrijf betreft of een consument. Misdaad mag niet lonen. Dat mag wat mij betreft per wet worden geregeld. Inclusief wat mij betreft een verplichting om schade te vergoeden van het lek of voor de getroffen partij van een verzekering te voorzien voor zoveel jaar of hulp bij wat dan ook aanpassen en veranderen.

Er is geen data die betalen waard is in mijn opinie. Ik zou alleen willen denken over een uitzondering bij data-verlies, waar geen goede backup blijkt te zijn. Maar dan is het wat mij betreft betalen en het bedrijf straffen dat geen goede backups heeft. Twee voorbeelden en dan is het wel over met bezuinigen op dat soort dingen.

[ArmEagle]

Dan heb je de vorige artikelen denk ik niet goed gelezen. Daar werden voorbeelden genoemd van klanten met bewust geheime nummers, bijvoorbeeld vanwege stalkers.


Voor hun is het beschikbaar komen van deze gegevens een heel groot probleem. Mogelijk is verhuizen zelfs nodig. Dat kan vele duizenden euro's naast emotionele schade kosten.

Alleen daarom was het, relatief lage, bedrag betalen het al waard geweest.

[bzuidgeest]

Er zijn altijd uitzonderingen, maar dat is maar een handje vol. En ja heel erg vervelend voor die mensen. Maar als je het ap mag geloven is er geen Nederlander die niet ergens in een lek zit. Die gegevens zijn al lang gelekt ergens. Odido is niet de eerste en niet de laatste.

Dat maakt het geen goede zaak natuurlijk. Maar hoe groter bedrijven worden, hoe groter de kans op een misser. Ze hebben niet meer security problemen dan de rest, maar wel veel meer data. Data die ze van de overheid moeten hebben.

Het echte probleem is dat je blijkbaar met een bsn nog steeds iets kan zonder verdere verificatie, dat is belachelijk. Waarom is er niet gewoon een DigiD voor dat soort zaken, dan kunnen de gegevens bij de overheid blijven waar ze al zijn en de provider hoeft alleen een ja correct te krijgen.

Het begint een eindigt wat mij betreft bij een digibete overheid een volk dat het bij het kiezen onderaan de prio lijst zet. Anders hadden we dit al lang kunnen oplossen. En waren dit soort hacks er niet.

[Kevinp]

Ik sta echter wel achter het Odido beleid. Als je toch niet betaald moet je als Hacker ineens anders geld gaan verdienen. En dat is ook nog eens NOG een keer een misdaad.

De kans op pakken wordt groter. En niet betalen is op lange termijn de enige oplossing.

Plus het erg streng straffen van kopers, vooral verzekeringen die indirect mogelijk bij data willen komen.

[WillySis]

Het ligt eraan welke data bij zo'n hack gestolen is. Voor een bedrijf zijn naam, adres, telefoonnr, rekeningnummers en kvk nummer toch al gemakkelijk te vinden. Worden die gestolen, dan haalt iemand zijn schouders op en vergeet het weer. Als de complete geschiedenis van offertes, bestellingen en leveringen gestolen wordt zal men minder blij zijn.

Rechtszaak voor particulieren is vrij kansloos. Zeker met een massaclaim. Als individu die een grote schade kan aantonen (bijv. door identiteitsfraude) maak je meer kans.

[Linke-soep]

Precies, zeggen dat het niets oplost is ook onzin, shiny Hunters niet betalen ok, maar compensatie naar de klant iets anders. Dat kost wel wat op want ieder bedrijf dat de consequenties van hun fouten in de portemonnee voelt zal zich achter de oren krabben. Als particulier heb je niet de financiële middelen om zulke grote bedrijven ter verantwoording te roepen. Een werd eerlijk er zijn maar 2 echte alternatieven. Kpn en Ziggo.

[Reactie gewijzigd door Linke-soep op 12 mei 2026 20:49]

[WORPspeed]

Ik hoop dat dat klopt en dat hackers dit ook door zullen hebben. Dan weten ze dat als ze betaald willen worden moeten ze achter grote B2B bedrijven gaan ipv B2C bedrijven waar jan modaal de dupe van wordt en de hackers geen geld voor zien.

[Jaldea]

Criminele organisaties niet belonen is 1 ding, maar je klanten niet compenseren is een ander, en Odido doet beide niet, hierom ben ik er helemaal klaar mee, en enige optie die ik heb, is mn contract afkopen van 4 maanden, ze willen verder nergens voor compenseren of tegemoet komen dus ik ben zo snel mogelijk weg bij deze waardeloze partij.

[GeleKoplamp]

Alleen heeft Odido ook een flinke zakelijke klantenbase (zo’n beetje de complete overheid, grote energiebedrijven, etc.)

[Rogers]

Heeft de Autoriteit Persoonsgegevens nog geen onderzoek aangekondigd?

Wordt helemaal kapot gespamt sinds het lek. Email, rijbewijs, bankrekening, telefoonnummer, etc liggen op straat. Het is arrogant dat ze geen compensatie geven om minimaal een nieuw rijbewijs aan te schaffen.

Vind het ook erg dat mijn email en telefoonnummer die ik al 20+ jaar heb nu vervangen moeten worden als ik van de overlast en mogelijke fraude af wil komen.

[hhj]

Ja, dat is echt ongelofelijk: Odido lapt alle regels van de AVG aan haar laars, wist gevoelige persoonsgegevens niet, slaat gegevens op die ze helemaal niet mogen opslaan incl. medische gegevens en als ze dan door hun totaal gebrekkige beveiligiging gehackt worden komt er echt helemaal geen enkele reactie van de AP, want die zijn te druk met het dwarsbomen van handhaving en opsporing. En intussen komt Odido weg met deze totale hufterige arrogantie en een hoop suggestieve bewoording zoals dat ze persoonlijk bedreigd zouden zijn en dat het een principele zaak zou zijn.

Naar mijn idee is dit echt het slechtste van kapitalisme: een falende overheid zijnde Autoriteit Persoonsgegevens die zit te snurken want geen zin in de moeilijke gevallen en grote partijen aanpakken, het kabinet gaat ze niet aansporen (heeft uberhaupt al iemand van de regering hierop gereageerd, of heeft dit geen prioriteit?!?!!) en intussen halen de roofkapitalisten (investeringsfondsen APAX en Warburg Pincus) bakken met geld binnen door een amateuristische bedrijfsvoering gekoppeld aan juridische prietpraat om alle verantwoordleijkheid te onwijken. Wat een schijtbedrijf!

[Reactie gewijzigd door hhj op 13 mei 2026 08:43]

[Waah]

Ik verwacht op zijn minst een boete voor het overtreden van de AVG voor het te lang bewaren van persoonsgegevens.

Persoonlijk zou ik er ook voor zijn dat bedrijven geen kopieën van paspoorten/idkaarten mogen hebben met daarop gegevens die ze niet nodig hebben. De overheid raad aan om bepaalde gegevens af te dekken bij het versturen van je paspoort, maar als je dat doet wordt je vaak gedwongen een volledige kopie te sturen zonder deze afgedekte gegevens.

Als ze dat bewaren van die gegevens strafbaar maken zou dat een hoop gedoe schelen. Technisch zou dat allemaal niet eens heel ingewikkeld hoeven zijn. Want als een klant toch alles stuurt kun je dat zelf afdekken.

[Laar19]

Heeft de Autoriteit Persoonsgegevens nog geen onderzoek aangekondigd?

....

Dat hebben ze al 1,5 maand geleden gedaan:

Tweakers: nieuws: AP en RDI doen officieel onderzoek naar Odido-datalek

Persbericht: https://www.autoriteitpersoonsgegevens.nl/actueel/ap-en-rdi-starten-onderzoek-naar-odido

[Rogers]

Ah, klinkt wel alsof ze focussen op het bewaartermijn en minder op de lek zelf en onnodig data opslaan.

[turkeyhakan]

Dit nieuwsbericht wil ik jullie niet onthouden, voor zo ver dat nog niet bekend is: https://nos.nl/artikel/2614128-odido-ontdekte-pas-na-bericht-van-hackers-dat-klantgegevens-waren-gestolen

[hiostu]

Ik zie dat er op mijn specifieke email adressen voor odido en ben, echt ontzettend veel spam binnen kwam, heel erg gericht op de Nederlandse markt. Dus echt heel veel phising gerelateerd aan CJIB, Rabobank, Bunq, DHL, Douane, etc. En dat is dus alleen nog maar op drie specifieke email adressen. Ik ben benieuwd wat voor activiteiten er ook nog gaande zijn met andere gegevens.

Inmiddels filter ik alle emails naar deze adressen er weer uit, maar ik kan me voorstellen dat met deze hoeveelheid emails er vast wel potentiele slachtoffers zijn.

[Richardus27]

Ik krijg ook spam mails binnen, maar die worden wel allemaal opgevangen door het spamfilter (gmail)

Tot dusverre geen gerichte berichten die gebruik maken van eventuele gelekte gegevens en niks dat mijn inbox heeft bereikt. (Is eigenlijk allemaal ongerichte "klik snel hier anders gaat je pakket retour!" meuk.

[tszcheetah]

De e-mails lijken inderdaad nog niet zo gericht te zijn (of ze komen niet aan). SMS daarentegen wel: ik heb sinds de hack wel een phishing SMS gehad dat m'n betaalpas geblokkeerd zou worden tenzij ik actie ondernam, met mijn juiste bankrekeningnummer erin.

[WillySis]

Zo'n SMS heb ik ook wel eens gehad, maar zonder nummer van de bankpas (die gegevens had Odido ook helemaal niet) en van een bank waar ik nooit bij gezeten heb. Die SMS'jes worden vaak lukraak verzonden.

[moonlander]

Dat kan net zo goed een random geval geweest zijn. Hoeft echt niet van die back bij odido te komen.

[tszcheetah]

Dat kan net zo goed een random geval geweest zijn. Hoeft echt niet van die back bij odido te komen.

Dat kan, maar de timing en combinatie van telefoonnummer en bankrekeningnummer maakt het wel de meest waarschijnlijke bron. Die combi is naar mijn weten ook niet eerder uitgelekt.

[Reactie gewijzigd door tszcheetah op 12 mei 2026 19:43]

[vharten]

Ja inderdaad, ik had ook gerichte spam verwacht met bijv. mijn voornaam en adres erin, maar die is nog niet gekomen.

[Martinspire]

Het lijkt mij logisch dat je als beroepscrimineel niet meteen met de data gaat spelen, dat laat je even liggen tot men wat minder scherp is.

[RickvdT]

15 jaar mijn persoonlijke mail buitenschot kunnen houden van spam. Sinds de Odido lek erg veel van dit soort mails en recentelijk ook een eerste sms poging. Nogal zuur en wat het voor mij extra kwalijk maakt is dat ik al 3 jaar geen Tele2 klant meer was.

Je persoonlijke gegevens zijn voor eeuwig openbaar. Enige optie om prive gegevens weer prive te krijgen is door een nieuw telefoonnummer, bankrekening en mailadres. Wat mij betreft mag Odido gaan compenseren voor alle moeite en onkosten. Ze maken zich het er makkelijk vanaf door te stellen dat er geen schade is. Meer dan terecht dat er een rechtzaak komt.

[Tintel]

Die 3 jaar is het echt kwalijke punt - de maximale bewaar termijn is dus ruimschoots overschreden lijkt me.... dat is niet de schuld van de hackers.

[Dennism]

Zal er vermoed ik vanaf hangen wat voor gegevens het zijn en waarvoor ze nog bewaard werden. Volgens mij is bijvoorbeeld de termijn voor gegevens verzameld voor marketing doeleinden 2 jaar, echter contracten, data gebruikt om bijvoorbeeld facturen op te maken e.d. is dan volgens mij weer 7 jaar.

[jigalvh]

AVG/GDPR geeft geen specifieke bewaartermijn voor data. Er wordt wel gesteld dat persoonsgegevens zo kort mogelijk bewaard moeten worden.

Als andere wetten wel een bewaartermijn eisen dan geldt dat alleen voor die specifieke gegevens. Als de financiële administratie voor de belastingsdienst bijvoorbeeld 5, 7 of 10 jaar bewaard moet worden dan gaat dat alleen om die administratie. Het is dan niet nodig om de complete klantdata te bewaren en zeker is het niet nodig om dat te bewaren op een plek die door helpdeskmedewerkers in te zien is.

Odido roept zelf dat ze persoonsgegevens voor marketingdoeleinden twee jaar bewaren. Zonder vrijelijk gegeven toestemming van de betrokken personen zie ik geen grond in AVG/GDPR om dat zo lang (of überhaupt) te bewaren.

[GS3315]

Enige optie om prive gegevens weer prive te krijgen is door een nieuw telefoonnummer, bankrekening en mailadres.

Voor veel mensen zijn dat de enige dingen om hun privacy weer een beetje terug (in handen) te krijgen.

Voor een andere groep mensen blijft het daar niet bij, slachtoffers van stalkers, vechtscheiding etc. hebben een nog groter probleem. Veel van deze mensen voelt zich niet langer veilig en zoeken nu met spoed naar een nieuw onderkomen. Een onderkomen die in de huidige woningmarkt bar moeilijk te vinden is.

[IThom]

Ik heb inderdaad hetzelfde, heb één emailadres voor alle belangrijke zaken (huis/werkgever/bank/tefelefoon) en kreeg daar voor de hack letterlijk nooit spammails, nu staan er zo'n 50 mails in de spammap, die elke 30 dagen automatisch geleegd wordt. Ook op mijn telefoonnummer, die ik juist heel zelden uitgaf, wordt ik nu zo twee keer per week gebeld door spammers, scammers en callcenters.

Leuk dat ze zeggen dat er geen aantoonbare schade is, maar dat is mooi de bewijslast verplaatsen nadat je zelf niet aan je verantwoordelijk hebt voldaan. Slim ook, want de meeste mensen zullen spammails automatisch verwijderen en probeer dan later maar het verband aan te tonen met het moment van de hack, een soort zelfvervullende profetie.

[luchthaak]

Op de 2 specifieke mail adressen die ik voor zowel Ben als Odido heb gebruikt, heb ik in totaal 6 mails gehad (geen spam filter).

Niets specieker dan een pakket dat bij de douane ligt of een incasso.

[Metalfreak]

Ik vond het bijzonder opvallend dat ik de laatste tijd juist minder spam lijk te hebben, terwijl ik ook van Odido een bericht heb gekregen dat mijn gegevens bij de hack zaten. Nog steeds zie ik alleen wat generieke berichten die ik voorheen ook altijd al kreeg in mijn spambox.

[antonyv]

Ik kreeg ook spam van mijn "Bank" waar ik moest inoggen om een nieuw pas aan te vragen. Zag er redelijk gelikt uit.

En nog meer met alleen wat cijfers en links achter die cijfers. Ik gebruikte het emailadres alleen voor Odido dus het heeft zeker weten te maken met de hack.

Desondanks ben ik het er wel mee eens dat men van Odido niet toe geeft aan de hackers.

Niet dat ik Odido vrij pleit. Integendeel, van mij mogen ze flink gestraft worden door hun nalatigheid. (ook al betaal ik dat natuurlijk zelf weer via mijn abonnement, maar er mogen wat mij betreft wel wat verantwoordelijke koppen rollen daar).

Ik heb al jaren een abonnement en men had sowieso mijn belangrijkste gegevens niet hoeven te bewaren langer dan een jaar. Dus dat neem ik ze ook echt serieus kwalijk.

[Vuurvleugelhart]

Tip voor de (nabije) toekomst: https://simplelogin.io (tot en met tien aliassen gratis, zonder beperkingen).

[hiostu]

Gezien ik mijn eigen domein heb, zie ik niet direct noodzaak voor zo'n oplossing.

[moonlander]

Lijkt mij echt heel sterk dat dit door odido komt. Want ik krijg niet meer spam als daarvoor. Dan zou ik dus ook veel meer binnen moeten krijgen

[hiostu]

Het is 100% zeker door de odido hack, want het zijn email adressen die alleen bij odido en Ben zijn gebruikt. En dus nooit ergens anders zijn gebruikt. Ook krijg ik geen enkele spam binnen behalve op die specifieke emailadressen.

[Hecate]

Ik gebruik voor elke leverancier, webshop, winkel, etc een ander mailadres op mijn eigen domein (mail alias op 1 mailbox). Na de tweede spam mail op mijn odido alias heb ik die alias verwijderd.

[EricvL]

Mooi.

[supersnathan94]

Knap. Ik heb nog helemaal niks binnengekregen. Misschien toch je spamfilters even beter zetten?

Raar dat jij het wel hebt op drie adressen. Zit er nog wen bepaald patroon in?

[hiostu]

Alles was eruit gefilterd door mijn spam filter en stonden in de spam folder. Normaal is die echter vrijwel leeg. Nu de email adressen aangepast bij de providers en alle originele adressen gaan meteen naar prullenbak.

[elmuerte]

Exact dezelfde spam emails zie ik ook op andere email adressen binnenkomen. Dus ja, het email adres dat Odido had zit nu in de grote lijst van andere email adressen die gespammed worden.

[timmert26]

Het meest kwalijke vanuit Odido is gewoon de ronduit slechte communicatie over en naar de betrokken klanten. Het is voor de meeste mensen nog steeds compleet onduidelijk welke informatie er exact gelekt is.

Het minste wat Odido in dat stadium had kunnen doen, was naar alle klanten individueel communiceren welke gegevens er exact van hun gelekt zijn. Dan kun je je als klant ook het beste weren tegen kwaadaardige bedoelingen.

[mark777]

Dat en het feit dat de beveiliging gewoon heel slecht was. De reactie van Odido op de hack is nog beroerder. Ik heb wel begrip voor het feit dat ze niet betalen aan criminelen. Zou ik in hun geval ook niet doen.

[bovengemiddeld]

Ik vind eigenlijk dat ze gewoon hadden moeten betalen. Het is schandalig dat je als zó’n gigantisch bedrijf zo laks met data omgaat. Om te beginnen hadden ze überhaupt allerlei gegevens in Salesforce staan die daar allang niet meer hadden mogen staan: klantgegevens die langer bewaard werden dan hun eigen databeleid voorschrijft. En dan ook nog de inhoud daarvan;NAW-gegevens, BSN, telefoonnummers…

Dat hoeft echt niet allemaal bewaard te blijven. Leuk dat ze het nu gaan verbeteren, maar het is eigenlijk bizar dat dit vooraf niet al op orde was.  Daarnaast zijn ze ook nog eens door Salesforce gewaarschuwd voor hun matige beveiliging, waarna vervolgens die hele zooi aan het daglicht komt. En dan besluiten ze vervolgens níét te betalen, met als gevolg dat straks mogelijk al die data op straat ligt. Ik krijg ondertussen ook geen nieuw BSN, terwijl dat nu potentieel voor altijd ergens rondzwerft. En als er ooit iets gebeurt, mag ik vervolgens maar zien aan te tonen dat de schade door Odido komt, iets wat in de praktijk natuurlijk bijna niet te bewijzen is. Echt heel vreemd. 

Ik vind dat ze als enorme speler in de Nederlandse markt een bijna crimineel incompetent databeleid hebben gevoerd. Dan betaal je maar, al is het alleen in de hoop dat die hackers hun “reputatie” richting andere bedrijven hoog willen houden zodat ze in de toekomst vaker betaald krijgen. 

De schade van al die data die nu mogelijk op straat ligt is natuurlijk nauwelijks te overzien of goed te extrapoleren. Maar uiteindelijk komt dit wel gewoon door Odido. Wat mij betreft hadden ze er alles aan moeten doen om te voorkomen dat deze gegevens überhaupt openbaar zouden worden.

[mark777]

Als ze wel hadden betaald had je geen enkele garantie dat je gegevens wel veilig waren. Je hebt te maken met grote criminelen. Die kan je niet vertrouwen

[hans-martijn]

Ze hadden het nooit zover mogen laten komen, en daarna alles moeten doen om de schade te beperken. Nu hebben ze vooral geprobeerd hun financiële schade te beperken.

[Cobiwan]

De schade wordt niet beperkt als je betaalt aan criminelen.

[hans-martijn]

En dat zeg jij in jouw grote wijsheid?

[Cobiwan]

Wat beperk je? Ze kunnen alles alsnog publiceren of sneaky verkopen?

[hans-martijn]

Ze kunnen het wel, maar doen ze dat ook? Tot nu toe hebben ze een goed track-record. Jij doet alsof het een vaststaand feit is dat de gegevens alsnog worden doorverkocht, zonder enig bewijs. Ik kan ook niet bewijzen dat het niet zo is, maar omgekeerd is door het niet betalen zeker dat data openbaar wordt.

[jibjqrkl]

Dat en het bewaren van gegevens die allang verwijderd hadden moeten zijn. Laten we die niet vergeten

[ArremeR]

Eens. Vraag me af waarom ze nu eindelijk 'ns met een statement komen na pak 'm beet 3 maand, beetje mosterd na de maaltijd. Wellicht kregen ze door dat dit reputatieschade veroorzaakt.

Lees net het mailtje van de CEO, waarbij het volgende me in het oog springt:

"Bijvoorbeeld met Check je gesprek, waarmee je makkelijk checkt of je echt contact hebt met Odido."

Lol, gaan ze dat nu intern ook doen?

[Reactie gewijzigd door ArremeR op 12 mei 2026 15:08]

[demianmonteverd]

Dat is een goede vraag voor journalisten die hem interviewen.

[GH45T]

Precies. En een compensatie voor mensen welke wél de ernst inzien van de situatie. Ik weet welke gegevens van mij in het lek zitten. Daar zit onder andere mijn rijbewijs bij. Nieuw is vervangen, al was het oude nog niet verlopen. Van mij gelukkig geen huisadres en mobiel nummer, wel e-mail adres maar dat vind ik niet zo erg door gebruik specifiek adres voor Odido.

Hoe dan ook, wij hadden Odido, abonnement is opgezegd en de deur uit. Niet dat ik verwacht dat bij concurrenten alles perfect is geregeld maar de afhandeling gaf mij maar één keuze, stemmen met de voeten.

[Mavex]

Volledig eens.

Dat de data gestolen is, had voor mijn gevoel bij elk bedrijf kunnen gebeuren (echter lees ik hier dat de beveiliging van Odido niet op orde was, maar kan dit nog niet officieel bevestigen). Daarbij deel ik de mening dat dergelijke organisaties niet betaald moeten worden.

Er kwam vanuit klanten kritiek dat Odido hen niet sneller en uitvoeriger op de hoogte bracht. Herkent u dat beeld?

"Vanaf 12 februari zijn we onze klanten gaan e-mailen. Maar ondertussen waren we ook bezig met een diep onderzoek naar miljoenen bestanden. We moesten uitzoeken wat er precies per klant gestolen was."

"De stilteperiode was lastig voor klanten. Zij hadden meer tussentijdse updates verwacht, meer dan alleen een website. Dat is een les: nog intensiever met klanten communiceren en het ook vertellen als we iets gewoon nog niet weten. Misschien hadden we elke twee weken een update per mail kunnen sturen."

De communicatie is ronduit belabberd, dat geven ze eindelijk zelf ook een beetje toe. Ik heb één mail gehad dat "mogelijk" data van mijn zou zijn buit gemaakt. De meeste informatie heb ik uit het nieuws gehad, en niet via Odido zelf, en dat neem ik ze kwalijk. Alsnog mis ik enige vorm van medeleven, ik zou juist meer communicatie verwachten met alle media-aandacht die het heeft gehad. Dit lees ik ook terug bij vele anderen.

[sjakie02]

ok, radicale mening: de overheid moet het verbieden om te betalen in dit soort afpersingsgevallen op straffe van een grote boete. Dan is geen enkel Nederlands bedrijf nog interessant om af te persen.

Juridisch onhaalbaar waarschijnlijk :-)

[Odie]

Op straffe van een boete? Ik ben nog sterker in mijn mening: op straffe van gevangenisstraf wegens mede faciliteren van criminele operaties. Je houdt létterlijk een criminele businesscase in stand.

[Gamebuster]

100% eens. Dit moet echt gestopt worden, en snel.

[Odie]

En in dat opzicht sta ik dus achter het besluit van Odido, ook al wist ik dat ook mijn gegevens daarmee op straat zouden komen.

Is Odido hier iets te verwijten? Mogelijk, kan ik niet beoordelen zonder alle feiten te kennen. Ben ik pissig dat ook mijn gegevens op straat zijn gekomen: natuurlijk. Maar niet betalen. Nooit...

[Gamebuster]

Ik zou het odido kwalijk nemen als ze wel hadden betaald. F die criminelen.

[Tintel]

Vergeet niet dat ze eigenlijk zelf niets kwijt zijn geraakt; de echte slachtoffers zijn dus hun klanten.
Als hun eigen systemen zouden vastzitten (dus pure ransom-ware) dan is opeens alles anders...

[Odie]

Het gaat om het principe: ga je criminelen betalen om schade te voorkomen. Principieel zeg ik: nooit.

[Tintel]

Tja - ik heb ooit ook auto-onderdelen 'teruggekocht' van een persoon die ze gekocht had van de dief.... niet fijn.... maar bewijzen dat het van mij was, is ondoenlijk en de nieuwprijs was een factor 10 hoger.....

Principes zijn moeilijk houdbaar in een kapitalistische wereld - ik wilde dat dit anders was...

[Odie]

Principes zijn goud waard.

[R_Zwart]

Wat denk je dat imagoschade kost? Misschien dat er niet direct klanten weglopen, maar nieuwe klanten zullen toch minder snel naar Odido gaan (totdat er zoiets gebeurt bij de anderen). En met een jaarlijkse churn van enkele procenten tikt dat op termijn best wel door.

[Tintel]

Die imago schade hebben ze toch in beide gevallen (als ze nu wel of niet betalen)?

Nu een beetje indruk willen maken dat "ze criminelen nooit zullen betalen om ellende voor onze klanten te voorkomen" is ook apart....

Het is niet eens echt hun data die is gestolen tenslotte.

[Fidesnl]

Maar dan ook gevangenisstraf voor de directeuren van bedrijven die een datalek hebben.

Regel je rotzooi of zorg dat het niet bereikbaar is via internet.

[R_Zwart]

Waarom alleen de directeuren en niet de IT-ers die hebben zitten slapen? Dat komt immers ook vaak genoeg voor. De directie weet in veel gevallen niets omdat ze niet geinformeerd worden.

[sstad]

Wat een onzin dat de IT-ers dan hebben liggen slapen. IT'ers werken binnen de kaders, budgetten en prioriteiten die van bovenaf worden opgelegd. Als er structureel te weinig budget is voor security, als patches worden uitgesteld omdat de business dat zo wil, of als de CISO wordt weggestemd in de boardroom, wie is er dan verantwoordelijk? De directie accepteert risico's namens de organisatie. Dat is precies waarom aansprakelijkheid op dat niveau thuishoort, niet bij de mensen die al jaren roepen dat het mis gaat maar geen gehoor krijgen.

[BiLLY_daKid]

Eens. Vanuit AVG omgekeerde bewijslast: per le of hack een boete van max 4%/20mln en laat maar aantonen dat ze alles hebben gedaan op het vlakbvan patchmanagement, trainingen, access control enz.

[loewie1984]

Ik ben het daar toch niet mee eens. Het is altijd een risico afweging en dan is het aan de organisatie zelf te bepalen wat men daar mee doet. En niet ieder cyberincident is een datalek moet je ook niet vergeten. Nu zijn datalekken wel de meest voorkomende cyberincidenten, waarbij data gekopieerd wordt. Mogelijk omdat dat het effectiefste is gebleken, maar er zijn ook ransomware/cryptolocker bendes actief, dus je kunt ze niet allemaal over een kam scheren.

Zo was er een casus van een schoolinstelling (universiteit) die betaald heeft, omdat 'alle' (gechargeerd) onderzoeksgegevens die onderzoekers verzameld hadden de prullenbak in konden als men niet tijdig hun onderzoeksresultaten kon opgeven vanwege de onbereikbaarheid van de servers. Dat zou studievertraging op hebben gelopen, onderzoeken die opnieuw gestart moesten worden, zij hadden uitgerekend dat de schade ettelijke tientallen miljoenen per week zou zijn, en de afkoopsom voor de decriptiesleutel was nog geen miljoen.

Ik weet het andere casus, ja je faciliteert nog steeds criminaliteit, je omgeving is 'dirty', maar dat viel voor deze organisatie in het niet bij het niet bij hun gegevens kunnen. En dus heeft men ondanks morele bezwaren betaald.

Nu zeg jij: dit had nooit gemogen en het bestuur moet de gevangenis in. Zo zwart wit kan het toch niet zijn.

En praktisch gezien de cellen in NL zijn overvol, laten we een hoofd RvB naast Bolle Jos op een kamertje zetten, ook dat zie ik niet gebeuren.

[Odie]

En ik ben het weer niet met jou eens. Er IS geen verschil: je beloont criminele activiteit. Wat jij nu doet is het afwegen of het verlies van privacy erger of minder erg is dan het verlies van onderzoeksresultaten of studieresultaten.

Mijn mening: het is allemaal k*t en onacceptabel en heeft vérregaande consequenties. Maar betalen om dan maar niet op de blaren te mogen zitten zou nóóit het antwoord moeten zijn. En. Iet legaal. En dus strafbaar.

[hans-martijn]

Wat doe je als jouw kind ontvoerd wordt? Niet betalen, want je bent principieel?

[Odie]

Ik heb geen kinderen. Maar dit soort extreme hypothetische scenario’s helpen de discussie niet echt verder. We hebben het hier over mensen die bewust gestolen goederen kopen en daarmee criminaliteit financieel in stand houden. Dat is iets totaal anders dan een ontvoering of erger.

[hans-martijn]

Overigens zei je hiervoor dat principes goud waard zijn, en gaf je aan dat je criminelen nooit mocht betalen. Met een iets extremer scenario laat ik zien dat sommige principes tot een bepaalde hoogte gelden, maar niet universeel altijd geldig zijn.

[Odie]

Keep trying whataboutism… ik stop ermee.

[hans-martijn]

Nee, je gaf zelf aan dat het om het principe van het betalen aan een criminele organisatie ging.

Ik snap dat je tegen het betalen van criminaliteit bent, maar het crimineel stellen van betalen na nalatigheid om het tegen te gaan vind ik erg heftig, zeker gezien de gegevens die ze gelekt hebben, zelf na waarschuwingen van hun leverancier. Liever zou ik dàt gedrag crimineel stellen.

[Odie]

Het een sluit het ander niet uit. En je legt me woorden in de mond. De discussie gaat hier specifiek over hackers die data stelen of systemen gijzelen.

Andere vormen van criminaliteit erbij halen maakt de discussie vooral troebel. Dat is gewoon whataboutism.

[hans-martijn]

Natuurlijk had ik het fijn gevonden als er geen hackers waren geweest en alle data van Odido niet gestolen was. Helaas, de werkelijkheid is anders.

Ik ben één van de klanten van Odido wiens data is gestolen. Ze hebben mij tot op de dag van vandaag niet kunnen vertellen welke data is gestolen, en naar mijn mening hebben ze op geen enkele manier gepoogd om te voorkomen dat de data openbaar zou worden gemaakt. Niet voor de hack, en niet na de hack. Ze hadden €500.000 moeten betalen om ervoor te zorgen dat de hackers de data niet zouden vrijgeven. Zelfs als je niet gelooft dat ze dat werkelijk niet zouden doen, is dat geld peanuts voor een organisatie als Odido. Helaas kozen ze ervoor om uiterst principieel nee te zeggen, waardoor zeker was dat alle informatie van de klanten van Odido op straat zou komen te liggen. Gezien alleen hun crm gehackt was, was hun eigen informatie veilig. Gezien het voortraject en de reactie op de hack vind ik het gedrag van Odido erg laakbaar. Er is geen enkele moeite gedaan om onze (klanten) informatie goed te beveiligen ondanks alle waarschuwingen die ze gehad hebben.

Dat is de reden dat ik moeite heb met de principiële kwestie. Als je vooraf niks gedaan hebt om gevoelige persoonlijke informatie te beschermen, en het vervolgens fout gaat, verwacht ik dat je alles op alles zet om ervoor te zorgen dat deze informatie niet alsnog beschikbaar komt, en niet ineens principes hebt die dag voorkomen. Als ze dan toch principieel waren geweest, hadden ze de informatie vooraf al goed beschermd.

[Odie]

Mijn punt gaat niet over de fouten die Odido heeft gemaakt, maar over het feit dat betalen van afpersers juist de vergoelijking van de daad is die nodig is om het te doen.

[hans-martijn]

Ik snap waar jij vandaan komt, maar ik geloof niet dat ze zullen stoppen als je in Nederland het betalen van hackers strafbaar stelt. Ik vermoed dat dan ongeveer alles wat los en vast zit in dit land gehackt wordt, opdat die strafbaarstelling weer verdwijnt.

Vooralsnog is het op dit moment vaak goedkoper te onderhandelen om jouw data weer terug te krijgen dan failliet gaan of alles weer opnieuw op te bouwen. Bij Odido ging het niet om hun eigen data, dus was hun verlies niet groot. Daarom geloof ik ook niet dat dit een principiële keuze is geweest.

[Sylvia]

De laatste alinea in je antwoord “En praktisch gezien de cellen in NL zijn overvol….” ligt een stuk genuanceerder. https://www.trouw.nl/nieuws/kabinet-gaat-26-gevangenissen-sluiten~b9869156/ Dit beleid is vanaf 2013 ingezet… Dus ja, ze zijn overvol maar dat is bewust in de hand gewerkt en er lopen bewust criminelen gewoon vrij op straat. Misdaad loont tegenwoordig.

[sjakie02]

Nog beter inderdaad

[freaq]

Jup valt onder heling in mijn mening,

Je koopt een illegaal verkregen goed (je eigen data) maar daar is geen uitzondering voor in de wet

Dus imho is dat gewoon al verboden.

[Odie]

Ja die reflex had ik ook, maar het lijkt toch een significant verschil. Bij je fiets koop je een goed terug, bij hackers betaal je onder druk van afpersing en koop je de data niet terug. Je betaalt onder druk om de dreiging weg te nemen, je krijgt niet iets terug dat van jou was en wat je niet meer hebt. Maar dit is meer een vraag voor @Arnoud Engelfriet.

[freaq]

Goed dan is het heling van een service.

Bijv als ik jouw betaal om iemand af te persen

Geen goederen worden er overhandigd maar dat is ook alsnog strafbaar.

[Odie]

Ik denk daar dus anders over en dat beeld wordt versterkt door het feit dat er geen aangiftes tegen bestuurders worden gedaan en dat het OM geen partijen vervolgd.

[freaq]

Dat snap ik, maar ik ben dus van mening dat dit wel eens getoetst mag worden.

ik ken iig geen zaak welke dit heeft behandeld, en dit blijft dit soort gedrag aanmoedigen.

Als nederlandse bedrijven gewoon niet mogen betalen houden de aanvallen gewoon op. Gaan ze wel achter andere doelen aan.

ik ben ook niet naief en er zullen heus wel wat bedrijven dan illegaal betalen, maar het zou wss een hoop ellende schelen.

1x schade voorkomen maar daarmee 100x nieuwe schade uitlokken want rendabel is geen goede strategie.

Ik denk daar dus anders over en dat beeld wordt versterkt door het feit dat er geen aangiftes tegen bestuurders worden gedaan en dat het OM geen partijen vervolgd.

[Arnoud Engelfriet]

Als slachtoffer de dader geld geven om verder onheil af te wenden zou ik niet snel strafbaar willen noemen. Juridisch kom je vrijwel meteen uit bij noodweer (ik moest wel) of overmacht (ik werd gedwongen).

Bij een zakelijke partij die na rustig beraad besluit te betalen (of een verzekeraar die dat besluit) zou ik die noodtoestanden niet zien. En we weten ook dat het zeer zeker niet het beoogde doel haalt, want criminelen komen dan rustig een maand later nog een keer of verkopen het onder tafel aan anderen die er mensen mee gaan oplichten.

[Odie]

Dank. Ik kan je redernering over noodweer volgen als het snel en overhaast tot besluit komt. En inderdaad bij een case als Odido is daar dan zeker geen sprake van.

[Tintel]

Dat geldt allang voor het chantage model....

Je kan en mag geen slachtoffers gaan bestraffen voor de ellende waarin ze terecht zijn gekomen.
Enige uitzondering is als ze zelf (bewijsbaar) nalatig zijn geweest.

En dan: als ze gestolen gegevens niet op deze manier gebruiken, kunnen ze ook worden doorverkocht.... net zo erg voor de slachtoffers.

Het is niet (alleen) lucratief doordat de houder/eigenaar van de gegevens (soms) betaald; het is omdat grote diefstallen mogelijk zijn zonder fysiek risico.

De oplossing is: men moet minder persoonlijke gegevens bewaren maar dat is ook niet zo eenvoudig. Dat ligt weer aan 'wat noodzakelijk is' voor de desbetreffende dienst/producten.

[freaq]

Daar worden ze ook niet voor gestraft

Ze worden gestraft van het betalen aan een criminele organizatie

[R_Zwart]

Dus als het bedrijf van jouw werkgever wordt gehackt en die moet kiezen tussen betalen of failliet gaan, dan geef jij de voorkeur aan dat laatste? En nee, de groten als Odido redden het wel. Maar menig MKB-er redt het niet als er een echte hack wordt uitgevoerd.

[Odie]

Welk deel aan “nooit betalen, uit principe” was niet duidelijk? Ja aks dat een faillissement betekent dan is dat extreem k*t maar dat is helaas het gevolg. Toegeven is capituleren voor criminelen.

[demianmonteverd]

Minder interessant, maar men zal nog steeds gegevens stelen en verkopen. Maar het is zeker een idee dat men kan gaan onderzoeken.

[no_way_today]

Dan blijft de hack stil en gaan de daders escaleren met (fysieke) dreigementen. Net als bij ontvoeringen.

[phoenix2149]

Boetes is alleen slecht voor de consument, uiteindelijk betaald de consument de boete. Er moet een compensatie direct terugvloeien naar de consument ter compensatie.

We zien nu verschillende dingen gebeuren door de hack en kost ons tijd om dat weer te corrigeren. Bijvoorbeeld login verzoeken op email etc.

minstens 100 per gebruiker. Bedrijven moeten hun interne training en beveiliging serieus nemen.

Wordt tijd voor een gebruiker gecontrolleerde toegangs beveiliging met versleuteling. Niemand mag mijn gegevens inzien zonder dat ik met een bericht toestemming heb gegeven.

[Reactie gewijzigd door phoenix2149 op 12 mei 2026 15:46]

[stefanhendriks]

prima, maar dan moet er ook een dikke boete zijn voor partijen die gehackt worden?

[R_Zwart]

Dus in de praktijk kan ieder bedrijf een forse boete tegemoed zien. Die wordt dan vervolgens in het risicobudget dat iedere onderneming heeft opgenomen en alle prijzen gaan omhoog.

[stefanhendriks]

ja, grote kans. Hoe kunnen we anders organisaties bewegen zonder prijs-doorberekeningen aan de klant? Bestuur aansprakelijk kunnen stellen? Strafbaar maken? Zoiets denk ik dan?

[hans-martijn]

Klinkt als cbw, als die ooit wordt doorgevoerd (nis2 is de Europese basis), waarin management persoonlijk verantwoordelijk kan worden gesteld bij grove nalatigheid. Helaas is dat laatste vrij ingewikkeld te bewijzen.

[SunnieNL]

Ben ik het wel mee eens, maar er moet een clausule in staan dat er in overleg met de overheid, vanaf geweken kan worden. Bijvoorbeeld in gevallen dat niet betalen de samenlevening zwaar kan ontwrichten, bijvoorbeeld als systemen van een ziekenhuis versleuteld zijn en de backup niet te restoren valt.

De overheid moet dan wel aangeven waarom hiervoor gekozen is en dan gaat automatisch in mijn ogen ook de boete in van de cbw / avg voor het bedrijf.

[joldemans]

Niet om af te persen, wel om te hacken. De buitgemaakte data gaat namelijk ook voor grof geld over de toonbank. Zo zwart/wit van wettelijk gewoon verbieden te betalen gaat niet werken.

Probleem bij Odido vind ik hoe onverantwoordelijk er met gegevens van klanten van volgens mij 13 jaar terug wordt omgegaan. Als iets strafbaar zou moeten zijn, dan is het dat.

Hoe dan ook bevind je je als bedrijf op glad ijs. Als ik Odido was had ik betaald (1 miljoen is peanuts voor zo'n bedrijf) Het had hun 1. Een enorme reputatie schade gescheeld (herstellen hiervan is denk ik duurder dan het losgeld) 2. De kans dat de hackers zich aan hun woord houden en de gegevens niet openbaar maken, zij hebben er immers ook baat bij om zich aan hun woord te houden. Komt het toch online dan ga je als bedrijf evengoed even door het stof omdat je je IT-zaken niet goed op orde had, maar niet omdat je bewust de data van 6,5 miljoen klanten laat lekken.

[Finraziel]

Probleem is dat dat dan een reden is om het maar liever helemaal stil te houden en het lek helemaal niet te melden. Beetje hetzelfde idee als inbraak heel zwaar te gaan bestraffen met als gevolg dat een dief die betrapt wordt dan eerder degene die hem betrapt overhoop schiet want dan komt ie mogelijk nog weg zonder een getuige achter te laten en als hij voor inbraak gepakt wordt is zijn leven toch al geruïneerd dus dan maar beter doorpakken.

In beide gevallen praat ik het niet goed hè, maar dat keihard straffen wat mensen vaak willen kan gewoon ook heel hard backfiren.

[dimocash]

Groot gelijk om criminelen niet te betalen.
Dagelijks zijn er hacks en dit verdienmodel moet gesloopt worden.

[Naafkap]

Het is een illusie te denken dat dit verdienmodel gesloopt kan worden. Deze stellingname komt het verdienmodel van Odido echter wel heel goed uit: namelijk niet betalen en de poen in eigen zak houden. Klant is gedupeerd en is ondergeschikt belang. Mooi weer spelen naar buiten.

[Reactie gewijzigd door Naafkap op 12 mei 2026 14:52]

[kakanox]

Ondanks dat ik zelf één van de gedupeerden ben geef ik Odido in dit standpunt helemaal gelijk.

Beter steken ze die miljoenen die ze in de zak gehouden hebben in het verbeteren van de beveiliging, en eventueel in voorlichting/compensatie van gedupeerden etcetera.

Losgeld betalen zorgt er niet voor dat je data ineens niet meer gelekt is. Criminelen kan je niet vertrouwen.

[Reactie gewijzigd door kakanox op 12 mei 2026 14:59]

[GS3315]

Beter steken ze die miljoenen die ze in de zak gehouden hebben in het verbeteren van de beveiliging, en eventueel in voorlichting/compensatie van gedupeerden etcetera.

De media niet gevolgd?

In een enorm aantal gevallen wordt er onderhandeld over het bedrag waardoor het van een paar miljoen soms heel laag eindigt. Door direct al te weigeren om te onderhandelen laat je als bedrijf precies zien waar je de consument hebt staan.

Criminele organisatie of niet, het is altijd goed om te kijken wat je voor elkaar kunt krijgen.

[m.z]

Geen persoonlijke aanval naar jou, maar ik ga Odido hierin niet verdedigen.

Beter steken ze die miljoenen die ze in de zak gehouden hebben in het verbeteren van de beveiliging, en eventueel in voorlichting/compensatie van gedupeerden etcetera.

Dan had ze dit ook eerder mogen doen. Dit is gewoon makkelijk achteraf praten vanuit Odido, terwijl er genoeg bewijs is dat genoeg data van oud klanten bewaard is gebleven en tegelijk roepen dat ze niks willen compenseren.

Odido moet gewoon verantwoordelijkheid nemen, iets wat zo hiervoor en tijdens deze lek amper hebben gedaan (oeps, wijze les voor volgende keer), maar wel mooie praatjes maken over geen losgeld/compensatie willen betalen.

Schijnveiligheid, dat ze zelf onverantwoordelijk met (verouderde) data omgaan, terwijl ze meermaals zijn op gewezen zijn. Opeens moeten mensen het doen met gratis beveiligingssoftware, terwijl deze ten eerste plaats niet het slachtoffer hoorde te zijn.

Grove aanname, maar ik denk dat ze hier niks uit zichzelf gaan doen, gezien de houding vanaf dat ze gehackt zijn tot nu toe.

[jigalvh]

Bij het betalen van losgeld ben je inderdaad niet 100% zeker ervan dat de dat niet gelekt wordt. Bij het niet betalen weet je aan de andere kant wel zeker dat het gelekt wordt.

Aan de andere kant is het verdienmodel van shinyhunters dat zij de data verwijderen na betaling. Als zij dit niet zouden doen is er überhaupt geen reden om losgeld te betalen; of je wel of niet betaald, de data wordt sowieso gelekt. Het is dus zaak voor shinyhunters om wat dat betreft betrouwbaar te zijn.

[Cobiwan]

En wie controleert dat het 'verwijderd' is? Echt de naïviteit hier...

[drvinnie]

Wat maakt dat je denkt dat ze geld in de beveiliging gaan steken 🤣 Klanten slikken dit gewoon. Ze waren nu ook gewaarschuwd. Het is een bende bij Odido (en veel andere zaken) en kennelijk vind iedereen het zielig om ze verantwoordelijk te houden.

[Ewietje]

Ze moeten zeker verantwoordelijk worden gehouden voor het alles wat fout is gegaan rondom die gegevens (het te lang vasthouden, de beveiliging niet op orde hebben en de communicatie achteraf naar klanten), maar losgeld betalen is daar geen onderdeel van. De gegevens liggen dan gewoon al in handen van een onbetrouwbare partij. Dan is het kwaad al geschied. Alles wat zij vervolgens met die gegevens doen is hùn verantwoordelijkheid, niet die van Odido.

Je kan Odido niet kwalijk nemen dat hackers gegevens doorverkopen of gebruiken voor phishing oid.

Je kan Odido wel kwalijk nemen dat ze de hackers de mogelijkheid hebben gegeven om dat te doen met de gegevens. Of ze losgeld wel of niet betalen heeft daar niks mee te maken

[Aldy]

Ik heb nog nergens gelezen dat iemand het zielig vindt voor Odido. Wat ik wel heb gelezen, zijn de voor en tegens, vaak ondersteund door argumenten, maar geen emotie dat iemand het zielig vindt.
Daarnaast vraag je je af hoe iemand erbij komt dat Odido het niet uitgegeven geld in beveiliging gaat steken. Deze vraag kun je natuurlijk ook omdraaien.
Verder neem ik aan dat je met zaken bedrijven bedoelt? Je gaat er namelijk aan voorbij dat het weliswaar mogelijk is om hacken 100% te voorkomen, maar dat er dan een onwerkbare situatie ontstaat. Elk bedrijf zal daarom een keuze moeten maken welk evenwicht tussen beveiliging en werkbaarheid.

[MadDogMcCree]

Maar het is evengoed een illusie dat bij betalen de data veilig is.

[Kalief]

Afpersers niet betalen is natuurlijk geen 'verdienmodel'.

[Tintel]

Dat is het bijzondere van dit verhaal; de gedupeerde is niet Odido - sterker nog - die heeft ook veel te veel gegevens te lang bewaard en is dus eigenlijk medeschuldige.

[supersnathan94]

De klant is hoe dan ook gedupeerd. Geld wel betalen geeft helemaal nul garantie dat die data niet alsnog naar buiten komt. Shinyhunters heeft al vaker wel indirect dingen alsnog gelekt.

Canvas heeft wel betaald. Ontzettend dom eigenlijk. Ik dacht eerst ook, gewoon doen, kun je weer verder, maar dat kun je echt niet doen als bedrijf.

[buglife]

Ik vind het alleen maar goed dat ze niet hebben betaald. En ik voel me ook niet gedupeerd als klant. Ik denk dat ik in totaal een uur bezig ben geweest met een nieuw paspoort, nieuw rekeningnummer, nieuw telefoonnummer en nieuwe mailadressen.

Ik hoop voornamelijk dat ze het uitgespaarde geld gaan steken in dataschoning en communicatie. Die laatste is mijn reden voor vertrek. De communicatie die er was, was minimaal en vooral op hunzelf gericht. Dit terwijl ze aantoonbaar de data veel te lang hebben bewaard, zelfs tegen hun eigen voorwaarden in. Dus ze hebben meer schuld dan dat ze in de communicatie hebben laten doorschemeren.

Bovendien zijn volgens Odido mijn gegevens nog steeds mogelijk gelekt. Bevestiging dat het daadwerkelijk is gelekt heb ik nog steeds niet van hun ontvangen.

[theduke1989]

ik snap neit waarom je zo een houding hebt. maar het zal nooit stoppen.

en wat moeten de gedupeerde hiermee? want het bedrijf betaald niet, data ligt op straat maar uiteindelijk betaald de klant meer en meer.

maar ja henkie zegt, ohnee je moet het ook niet nemen bij odido waar je alleen kan omdat er niks anders ligt.

we moeten gewoon meer betalen, data niet op de straat.

[Elorad]

Ja, want criminelen staan bekend om hun grote eergevoel en eerlijkheid. Je betaalt als bedrijf en vervolgens komen ze met nog een eis van zoveel miljoen, maar jij vindt dat wij als klanten dat maar moeten ophoesten? En nog een keer en nog een keer. Ik vind het prima dat ze niet hebben betaald, zou geen 1 bedrijf moeten doen, als niemand betaalt, houd het vanzelf op, de ransom eis dan hè, het stelen van gegevens gaat door, maar zonder vooruitzicht van makkelijk veel geld wordt het oninteressant. En ja, ik ben ook odido en ben klant

[GS3315]

Groot gelijk om criminelen niet te betalen.
Dagelijks zijn er hacks en dit verdienmodel moet gesloopt worden.

Je bent wel erg naïef als je denkt dat het alleen om een verdienmodel gaat.

Een hackersgroep als ShinyHunters zal te alle tijden continueren, zelfs als geen enkel bedrijf meer zal betalen. ShinyHunters draait om bekendheid, paniek zaaien, creëren van wantrouwen etc.

Als het echt puur om keiharde knaken zou zijn gegaan, dan zou een groep als ShinyHunters data niet als nog openbaar toegankelijk maken, maar het te koop aanbieden op het darkweb. En vooral met de datasets van Odido hadden ze een flinke goudmijn in handen.

[Tintel]

Blijft een grappige stelling natuurlijk. Of ze de gegevens nu terug verkopen aan de originele eigenaar (wat dus meer op chantage lijkt) of doorverkopen - het effect is het zelfde. Jouw gegevens zullen 'op straat' liggen...
Dit verdienmodel is dus: stelen en helen (doorverkopen). Dat omvat een nogal groot deel van criminaliteit - dus jouw voorstel is dan: zorgen dat criminelen niet verdienen aan stelen.... tja.... dat is een goed idee op zich maar absoluut niet nieuw en blijkbaar erg moeilijk uitvoerbaar.

[R_Zwart]

Als je moet kiezen tussen principes of failliet gaan dan zullen de meesten principes laten vallen.

[StarZ]

Juiste besluit maar volgens mij de verkeerde discussie. Hoe heeft het kunnen gebeuren? Ja, social engineering... Maar waarom kon die alles inzien? Waarom was de outdated data nog beschikbaar?

[Luchtbakker]

Juiste besluit maar volgens mij de verkeerde discussie. Hoe heeft het kunnen gebeuren? Ja, social engineering... Maar waarom kon die alles inzien? Waarom was de outdated data nog beschikbaar?

Op nu.nl had Odido een duidelijkere uitleg waarom een medewerker zoveel kan:

"Ik vind het niet zo gek dat er zoveel data bij elkaar staan. Weet je hoeveel gesprekken we elke dag voeren en wat daarvoor nodig is? We krijgen moeilijke vragen. Als je die mensen op een goede manier wil helpen, is die toegang tot gegevens noodzakelijk. Je kunt proberen cyberaanvallen af te vangen met protocollen en veel monitoring, maar het is altijd een balans: kun je je werk nog doen?"

Het enige wat ik Odido verwijtbaar vind is dat er geen cap is op de hoeveelheid gegevens dat een medewerker per uur kan opvragen.

[Reactie gewijzigd door Luchtbakker op 12 mei 2026 15:18]

[Tukk]

Hoeveel gegevens moet een medewerker op 1 dag kunnen inzien? Honderden, duizenden records?
Er zijn er miljoenen gestolen, dat lijkt mij een designfout (zeg ik vanaf een afstandje, maar wel met verstand van zaken).

Als ik Odido mijn rekening betaal lost dat ook niets op, dat moet ik eens voorstellen bij de volgende rekening. Wat een argument zeg.

[Reactie gewijzigd door Tukk op 12 mei 2026 15:20]

[batjes]

Het is anders al een jaar of 10 vrij normaal om gegevenstoegang te beperken voor 1ste lijns / front offices. 15+ jaar geleden was het nog vrij normaal om onbeperkte toegang te krijgen tot gegevens.

Je hebt daarom bij de meeste bedrijven dus verschillende afdelingen. Klantenservice _kan_ heel veel niet dat een retentie wel kan.

Het opvragen van je gegevens is op genoeg klantenservices verplicht mocht je enige medewerking verwachten, want anders kan de medewerker niet eens bij de gegevens. Een jaar of 15 geleden was er al ophef nadat de NAW gegevens van veel BN-ers op straat kwam te liggen dankzij meerdere klantenservicemedewerkers.

[Tim_O]

Het enige wat ik Odido verwijtbaar vind is dat er geen cap is op de hoeveelheid gegevens dat een medewerker per uur kan opvragen.

Exact dit. Stel dat er 60 gesprekken per uur zijn, zet het limiet dan op ~200. Ik kan me niet voorstellen dat er van meer dan 200 klanten in een uur data inzichtelijk gemaakt moet worden.

[StarZ]

Dat geen gebruiker overal bij kan prima, maar er is geen enkele reden waarom een gebruiker bij meer dan 100 klanten epr uur moet kunnen. Dit is gewoon basis veiligheid

[X-ecutioner]

Had ik het wel dat de gelekte informatie afkomstig was uit Salesforce? Op dat moment heeft Odido zelf geen zicht op hoeveelheid informatie die er uit systemen wordt gehaald omdat die uit een cloud platform worden getrokken. Ik ken Salesforce niet goed genoeg maar hebben die niet de mogelijkheid een cap er in zitten?

Overigens zijn er dan nog good practices op gebied role based access control om te beperken dat 1 user account alles aan kan en het naleven van data retentie. Dat lijk me wel Odido aan te rekenen.

[hans-martijn]

Dat, dat daar geen controle op is en dat een medewerker niet weet dat hij niet door de it-afdeling gebeld zal worden met een verzoek om op een website in te loggen (en meer van deze awareness-zaken).

[Fox]

Hele basale maatregelen zoals rate limiting op gevoelige data was daar geen eens geïmplementeerd. Je hebt slachtoffer zijn van een aanval, of gewoon het resultaat van grove nalatigheid zoals dit geval. Elke medewerker kon in principe alle data eruit trekken als hij/zij dat zou willen, daar is geen eens een hack of social engineering voor nodig.

Hier moet eigenlijk gewoon een hele flinke boete (en verplichte schadevergoeding) op staan. Nu komt een bedrijf weg die gewoon de privacy-regulaties en minimale inspanning op beveiliging aan haar laars lapt.

[Reactie gewijzigd door Fox op 12 mei 2026 16:55]

[BytePhantomX]

Er zijn tal van ethische discussies over wel of niet betalen bij een dergelijke aanval. Maar bij al die discussies moet ik telkens denken aan bijvoorbeeld vrouwen die misschien net hun leven op orde hebben na last te hebben gehad van een stalker. En waarbij door zo'n lek mogelijk het hele drama weer opnieuw begint omdat je adres en je telefoonnummer weer op straat ligt. Je hele leven ligt weer overhoop op zo'n moment.

Heel fijn dat een CEO van Odido dan de ethische keuze maakt om niet te betalen, maar dat soort slachtoffers had je wel echt kunnen helpen door wel te betalen, of überhaupt je beveiliging op orde te hebben.

[RSilience]

Dit probleem zou al snel weer kunnen voorkomen met iedere webshop waar je wat besteld en later gehackt word. Je lost er niks mee op door te betalen omdat een half jaar later een ander bedrijf weer de sjaak is.

[BytePhantomX]

Deels mee eens, maar bij een webshop kun je nog een valse naam opgeven, of een apart nummer gebruiken. Gezien de legitimatieplicht bij een abonnement is dat een stuk lastiger.

[moonlander]

Als je zo omgaat met bedrijven dan hoop ik van harte ook dat ze je niet helpen mocht er wat zijn. Je geeft valse informatie op en dat mag volgens mij nooit het doel zijn.

[jbhc]

Waarom zou je een webshop je voornaam, complete achternaam of telefoonnummer geven?

[Reactie gewijzigd door jbhc op 12 mei 2026 15:15]

[Luchtbakker]

Waarom zou je een webshop je voornaam, complete achternaam of telefoonnummer geven?

Omdat een webshop verplicht is deze gegevens op te slaan conform de wetgeving.

[Dream_ON]

Zou daar toch wel graag een bron voor zien; ik kan me dat niet voorstellen. In een winkel hoef ik me ook niet te identificeren als ik een paar sokken koop. Dus het lijkt me beetje overtrokken..

AI zoektochtje maar:

Samengevat (helder geformuleerd)

• ✅ Webshops mógen gegevens opslaan als dat nodig is
• ✅ Ze moeten uitleggen waarom en hoe lang
• ❌ Ze zijn niet verplicht om jouw voornaam, volledige achternaam of telefoonnummer standaard te vragen
• ❗ Ze mogen juist alleen het minimum vragen dat nodig is

[Heroic_Nonsense]

Dat klopt niet.

Alleen transactie moeten worden opgeslagen ("op datum xx heb ik item yy verkocht voor bedrag zz en deze is betaald"). Aan wie, en contactgegevens van die persoon, zijn niet verplicht om op te slaan.

[Question Mark]

En welke wet zou dat moeten zijn dan? Ze moeten genoeg info hebben om de spullen te kunnen versturen (en als het bezorgen bij een ophaalpunt is, is zelfs verwerking van de adresgegevens niet zondermeer toegestaan). Voor-, achternaam en telefoonnummer zijn in het geheel niet noodzakelijk. Laat staan dat er een wet is die dit afdwingt.

https://edpb.europa.eu/si...ublic_consultation_nl.pdf

Voorbeeld 1:
Een betrokkene koopt goederen bij een online detailhandelaar. De betrokkene wil met zijn creditcard
betalen en wil dat de goederen op zijn thuisadres worden afgeleverd. Om aan de overeenkomst te
voldoen, moet de detailhandelaar de creditcardgegevens en het factuuradres van de betrokkene
verwerken voor betalingsdoeleinden en het thuisadres van de betrokkene voor de aflevering.
Dientengevolge is artikel 6, lid 1, onder b) van toepassing als de rechtsgrond voor de
verwerkingsactiviteiten.

Als de klant echter heeft gekozen voor verzending naar een ophaalpunt, dan is de verwerking van het
thuisadres van de betrokkene niet langer noodzakelijk voor de uitvoering van de koopovereenkomst.
Voor de eventuele verwerking van het adres van de betrokkene is in dit verband een andere
rechtsgrondslag noodzakelijk dan artikel 6, lid 1, onder b).

Persoongegevens mogen alleen maar verwerkt worden als daar een wettelijke grondslag voor is. En die gaat gelukkig uit van enkel verwerken wat nodig is.

[Reactie gewijzigd door Question Mark op 12 mei 2026 15:46]

[wooha]

Er staat:

Om aan de overeenkomst te voldoen, moet de detailhandelaar de creditcardgegevens en het factuuradres van de betrokkene verwerken voor betalingsdoeleinden...

Wat ik niet snap aan die quote is waarom gesteld wordt dat het factuuradres nodig is voor betalingsdoeleinden, dat bij een afhaalpunt het thuisadres niet noodzakelijk is en vervolgens wordt gesteld dat voor verwerking van "het adres" een andere grondslag nodig is. Wordt met dat laatste alleen het thuisadres bedoeld of was er al een andere grondslag voor het factuuradres?

Onder punt 44 van de PDF staat voorbeeld 4 waarin gegevens voor boekhouding en het bijhouden van facturen worden genoemd. Ik heb nog geen factuur zonder een factuuradres en persoonsnaam gezien, al worden die in het voorbeeld niet expliciet genoemd. Het voorbeeld stipt ook nog juridische vorderingen en wettelijke voorschriften aan.

Moet en mag een verkoper volstaan met een transactiebon tenzij de koper een factuur vraagt? De belastingdienst kent het onderscheid en stelt eisen aan een factuur.

[EvaluationCopy]

Misschien wel handig, als je het pakje moet ophalen bij het Postnl bestelpunt dat je ook kunt aantonen dat het jouw pakje is?

[jbhc]

Met mijn volledige naam en telefoon nummer?

Ze kunnen mijn initialen de eerste letters van mijn tussenvoegsels, mijn adres, mijn mail en mijn achternaam krijgen en dat vind ik al veel te veel. De rest hebben ze op zeker niet nodig en krijgen ze dus ook niet.

[Question Mark]

Dan heb je daar heb je een QR-code voor ontvangen. En het ID-bewijs wat sóms getoond moet worden is voor de registratie van het ophaalpunt, niet voor de verzendende partij. Je hoeft ook niet zelf je pakketjes op te halen, dat mag prima iemand anders doen.

[themuk128]

Voordat Odido gepakt werd door Shiny Hunters was het intern al bekend dat de boel daar zo lek als een mandje was maar meneer de CIO deed geen mallemoer. Ik hoop dat deze man snel daar niet meer werkt om het maar even netjes te zeggen. En meneer de CEO is bang dat het veel geld gaat kosten.... en terecht. Ik hoop dat er onderzoeken komen naar het te lang bewaren van allerlei privacygevoelige gegevens en slechte beveiliging een hele dikke boete gaat opleveren!!!

[Heroic_Nonsense]

Voordat Odido gepakt werd door Shiny Hunters was het intern al bekend dat de boel daar zo lek als een mandje was

Heb je een bron voor die stelling?

[themuk128]

pff, daar moet ik naar zoeken. Ik weet dat ze 3 weken voor de hack door Salesforce zijn gewaarschuwd voor een lek welke later is misbruikt.

[GS3315]

Als er een boete komt, betaalt de klant deze. Verantwoordelijken komen ermee weg!

Ik verwacht echter dat het AP het gewoon onder de grote mat schuift en het in de doofpot beland.