Door Mark van der Kruit en Redactie Tweakers

De Odido-hack, Nintendo-reparaties en Duitse verboden - Tweakers Podcast #414

19-02-2026 • 06:00

33

Deze week praten Wout Funnekotter, Jurian Ubachs en Imre Himmelbauer over het datalek bij Odido, repareren van een Nintendo 3DS, het verkoopverbod op ASUS- en Acer-systemen in Duitsland en de donkere wolk die boven de componentenmarkt hangt.

0:00 Intro
0:20 Opening
1:37 .post
12:31 De Steam Deck wordt nu ook geraakt
23:45 Imre brengt zijn 3DS weer tot leven
33:59 ASUS en Acer zijn verboden in Duitsland
40:48 Het Odido-datalek
1:03:35 Sneakpeek

Reacties (33)

Sorteer op:

Weergave:

Is het niet zo dat je alleen incasso kan doen als je bij de bank als bedrijf moet registreren en aan bepaalde eisen moet voldoen?
Misschien, maar het is in ieder geval zonder toestemming van de rekeninghouder mogelijk, en dat vind ik heel raar.


Een jaar of vijf geleden veranderde mijn tandarts van betaalmethode, van achteraf een factuur betalen, tot automatisch afschrijven. Je voelt hem al aankomen, zonder dat ik toestemming had gegeven werd er bij mij wat afgeschreven. Ik heb daar toen een behoorlijk groot punt van gemaakt, ook nog excuses gehad, maar het is (of in ieder geval: was, vijf jaar terug) gewoon mogelijk om geld af te schrijven zonder dat de rekeninghouder daar vooraf toestemming voor heeft gegeven. En een tijdelijk nepbedrijfje is zo opgericht natuurlijk, desnoods op naam van een katvanger.
maar het is (of in ieder geval: was, vijf jaar terug) gewoon mogelijk om geld af te schrijven zonder dat de rekeninghouder daar vooraf toestemming voor heeft gegeven.
Daarom heb je (als consument) ook 13 maand de tijd om een onterechte betaling te storneren.
Dat dit voor banken soms een kostenpost kan meebrengen is goedkoper voor ze, dan vooraf te controleren of een machtiging aanwezig is. Verder hoop ik dat er algoritmes zijn die er op toezien dat een "slapend account" ineens enorm veel geld gaat afschrijven van willekeurige rekeningen.
Dat storneren is echt een farce. Ja, je kunt het geld terugboeken, maar dan schrijven ze het een maand later opnieuw af. Tegen slechtwillende bedrijven is een bank niet opgewassen. Zelf meegemaakt in mijn studententijd: een gehuurde wasmachine waarvan het contract zou worden overgenomen door een huisgenoot, die dat dan vervolgens niet regelt. Ik kon hemel en aarde bewegen, maar het bleef afgeschreven worden. Uiteindelijk maar gestorneerd, maar de maand later werd gewoon dubbel afgeboekt.
Uiteindelijk maar gestorneerd, maar de maand later werd gewoon dubbel afgeboekt.
Daarom kun je incassanten blokkeren. In je bank app, of on-line. Sowieso wel verstandig om eens te kijken wie er allemaal nog gemachtigd zijn.
Ja, je mag bij vermoeden van fraude lang wachten een om incasso terug te boeken.


Maar wat ik hoop dat ontwikkeld wordt is dit:


Als men zich moet identificeren voor een aankoop van een dienst of degelijks moet men OP DAT MOMENT zich identificeren. Als die identiteit is vast gesteld, waarom moeten die gegevens bewaard worden? Vervangen door een soort DigiD verificatie systeem waar de identiteit wordt vastgesteld zodat de gegevens niet bij elke Willy Billy webshop of telco op de servers blijft staan en door nitwits beheerd wordt? Er moet toch iets nieuws worden ontwikkeld als DigiD in Amerikaanse handen komt🤣😂😭🤣
Ik heb eens gehad dat er opeens ANWB lidmaatschap (straat tarief) werd afgeschreven.

Iemand langs de straat had mijn rekeningnummer opgegeven...

Heel gedoe gehad om het terug te krijgen, stoneren was niet mogelijk
Heel gedoe gehad om het terug te krijgen, stoneren was niet mogelijk
Waarom niet? Of ging de betaling niet via een automatische machtiging?
was te veel tijd overheen gegaan. Ik keek niet vaak op die rekening.
Daar had je 13 maand voor.
Geen idee, is zeker 15 jaar geleden
Misschien, maar het is in ieder geval zonder toestemming van de rekeninghouder mogelijk, en dat vind ik heel raar.
Inderdaad en, nóg raarder, zo een grapje kan vanuit heel Europa komen.

Gelukkig kan bij veel banken een goedkeuringslijst ingesteld worden voor de incasso's. Standaard alles weigeren geeft mij een stuk meer rust ten opzichte van de optie om achteraf te storneren als het kwaad al is geschied.

[Reactie gewijzigd door AnonymousGerbil op 19 februari 2026 14:33]

Hebben duitse laptops geen ander toetsenbord?

Ik meen me te herinneren dat ik ooit eens een duitse laptop heb gehad die ook heel goedkoop was en dat die Qwertz toetenbord had. Geen probleem alleen de y en de z zijn omgedraaid maar als je die geeft aan mensen die naar hun toetsenbord kijken dan raken ze in de war :)


Dus als je heel veel Asus en Acer laptops voor weinig kunt vinden met een Duitse/ Engelse versie van Windows 11 home check even of er wel een qwerty toetsenbord op zit :)

[Reactie gewijzigd door 4play op 19 februari 2026 08:18]

Klopt ja! Niet aan gedacht. Hebben ook allerlei speciale toetsen voor hun letters met umlaut. Als je de qwertylay-out uit je hoofd weet, is het geen probleem inderdaad. Maar ook veel leestekens zitten op een andere plek, dus die zou je dan ook uit je hoofd moeten weten. Voor mij liever een qwertytoetsenbord. :P
Je moet dan eigenlijk ook nog zeggen welke qwerty-layout ;) Waarschijnlijk zul je de VS Internationaal gewend zijn, maar als je dan een toetsenbord met NL-layout hebt zul je ook merken dat leestekens op andere plekken zitten.

Ik kom vaak genoeg mensen tegen die een nieuwe pc bij het instellen het toetsenbord op NL hebben gezet en dan maar klagen dat ze het @ niet kunnen typen. Tsja, dat zit in de NL-layout dan op de plek van de `.
In Nederland heben we inderdaad US International over het algemeen: US indeling maar met accenten optie en vertikale enter. Gewone US heeft horizontale enter en een grotere linkershift.

De oude Nederlandse toetsenborden met het paragraaf teken lijnksboven heb ik al jaaaren niet meer gezien. En gelukkig. Heb ik altijd zo'n gedrocht gevonden. Omdat we nooit een gangbaar eigen toetsenbord hadden zijn de meeste accenten uit de Nederlandse taal verdwenen en daar ben ik zelf erg blij mee. Helaas heb ik ze voor andere talen nog wel nodig.
Als ik nu terug ga naar mijn (fysieke) MSX2 ben ik ook altijd helemaal de weg kwijt op het toetsenbord, ik moet dan weer bewust kijken naar de toetsen waar ik ze vroeger (toen het mijn dagelijkse main machine was in eind 80's begin 90's) zonder kijken kon vinden.
Zijn ze gehacked? Nee niet helemaal. Er zijn wat medewerkers gesocialengineerd.
Dit vind ik dan weer jammer, want social engineering is gewoon een hacktechniek, en één die in de cybersecurity vaak onderbelicht is maar wel enorm vaak succesvol gebruikt wordt. Door te doen alsof het iets anders is, zet je het, wellicht onbewust en onbedoeld, buiten het infosec domein terwijl het er juist meer in zou moeten. Ik denk dat de Odido hack juist laat zien waarom.

Overigens snap ik de initiele reactie van velen, maar zonder te weten wat er precies gebeurd is durf ik niet te zeggen dat voor de hack zelf aan zich Odido aansprakelijk gesteld zou moeten worden, of überhaupt hierop aangekeken worden. Het kan een superdomme actie van een support medewerker zijn die veel te veel rechten had, en dan zit het goed fout. Maar net zo goed een zeer goede targeted spearphising attack op iemand met een account met hoge rechten (als je een admin hebt, dan kan die overal bij of aanzetten dat die dat kan. Desnoods maak daarmee een onopvallend gebruikersaccount met te veel rechten, dan heb je tot de volgende interne check om alles binnen te halen), en dan is het een heel ander verhaal. Kan beide, en daarom is het een beetje vroeg om daar wat van te vinden. Niks is namelijk 100% veilig noch onhackbaar. Geen computer, geen persoon. Daarom ligt de grens ook op dat je je risico's in kaart moet brengen en redelijkerwijs moet mitigeren ipv altijd veilig stellen.

Dat persoonsgegevens niet tijdig weggegooit worden is daar in tegen een heel ander verhaal, net zoals dat er meer gegevens zijn bewaard dan nodig. Dat is zeer kwalijk, en schets geen positief beeld over hoe het bij Odido intern loopt. En dat moet je ze zeker kwalijk nemen.

Overigens mogen ze al enkel vragen wat nodig, en moet de rest optioneel zijn. Maar de AP heeft te weinig resources om te handhaven. Dat kun je wel nog strikter vast zetten, maar zonder meer budget voor AP denk ik dat dat weinig effect gaat hebben.

Betreft de andere topics:

Mijn TV-behang is overigens slechte TLC reality shows. Momenteel 90 Days The Other Way. Zo hersendood dat je wel wat anders moet doen want het is zelf niet genoeg om je hersenen bezig te houden _O- .

Betreft die "be like Jelle". Het was een grap, maar ik voel hier wel wat. Het valt mij op dat mensen tegenwoordig echt verwend zijn kwa performance en grafische kracht. 60fps is onspeelbaar (over 30 niet te beginnen), geen raytracing en 8K textures niet om aan te zien. En oh wee als je wat poligons ziet in de 3D modellen, dan is het net een PS2 spel. Nou wil ik echt niet doen alsof het niet tof is wat we tegenwoordig kunnen kwa games, dat is super tof! Maar het gaat me hier om de andere kant op: hoe snel iets als onspeelbaar en not-done wordt bestempelt. Ik denk dat wellicht wat realistischer worden in het gebied van daadwerkelijk onspeelbaar is tot wat nu vaak als "onspeelbaar" bestempelt wordt niet heel erg misstaat.

Overigens ben ik ook 100% voor betere optimalisatie, want daar valt ook echt een hoop te halen. Het is niet bedoeld als eenzijdige rant ofzo.

Linux voor geheugen is geen verschrikkelijk idee. Oblivion Remastered was daar wél bijv. stabiel sinds release doordat hij hier beter mee om gaat, zelfs op mijn 10 jaar oude PC met 16GB DDR4. Maar ik vrees dat ik het eens ben met jullie assessment dat er een kern van waarheid in zit, maar het waarschijnlijk niet zal lijden tot 2026: het jaar van Linux op de desktop. Maar he, als we het lang genoeg blijven roepen krijgen we ooit gelijk! Denk namelijk wel dat de tijd dat dat écht mainstream wordt ooit nog wel komt. Ooit...
Absoluut. Een social engineering hack is gewoon hacking. Ik zie het bij ons ook zeker niet onbelicht zijn. We besteden veel aandacht hieraan. Iedereen moet elk jaar een verplichte training doen en we sturen ook nep phishing mailtjes. Helaas van de Kevin Mitnick "Knowbe4" troep, die zijn amerikaans en gaan er vanuit dat iedereen zo dom als het achterend van een varken is. Voor Europa zou ik liever iets gehaaiders zien.

Het probleem dat we nu hebben is dat medewerkers opgeleid worden om te denken dat phishing en social engineering altijd spelfouten bevatten, rare domeinnamen, je naam niet weten enz. Dat soort dingen pakt het laaghangend fruit maar niet de getargete aanvallen en die zijn nou juist veruit het gevaarlijkst.

Ik heb geen inside informatie maar dit gebeuren van Odido klinkt ook weer als een targeted aanval. Eigenlijk is dat altijd wel het geval zodra er 2FA bypass in het spel is. Dat is toch een heel ander verhaal dan wat driveby phishing. En AI maakt het hele gebeuren veel makkelijker momenteel omdat je van tevoren een agent kan maken die inspeelt op vragen van je doelwit enzo.

[Reactie gewijzigd door Llopigat op 19 februari 2026 09:48]

Er zit ook ergens een denkfout in dat je nu meer 'hackbaar' bent.

Als bedrijven niet meer mogen opslaan dan naam en emailadres, kunnen ze ook niet verifiëren dat jij het bent via extra vragen.
Iedereen moet elk jaar een verplichte training doen en we sturen ook nep phishing mailtjes. Helaas van de Kevin Mitnick "Knowbe4" troep, die zijn amerikaans en gaan er vanuit dat iedereen zo dom als het achterend van een varken is. Voor Europa zou ik liever iets gehaaiders zien.

Het probleem dat we nu hebben is dat medewerkers opgeleid worden om te denken dat phishing en social engineering altijd spelfouten bevatten, rare domeinnamen, je naam niet weten enz. Dat soort dingen pakt het laaghangend fruit maar niet de getargete aanvallen en die zijn nou juist veruit het gevaarlijkst.
Tja, ik zou zelfs zeggen dat dit niet genoeg is. Sterker nog, door het bij phising te houden maak je het kleiner dan het is. Wij zien op werk (waar ik in het security team zit) ook erg veel phising, van het vele laaghangend massagestuurde onzin tot meer targeted aanvallen. Maar ook buiten phising en dergelijke zien we een hoop gebeuren, tot aan die geopolitieke vijanden die proberen het bedrijf in te komen. Wij doen naast standaard filmpjes en phising tests daarom ook eigen tests en pogingen op allerlei manieren, en houden eigen awareness campagnes waar nodig.

Maar ook dan, met de beste trainingen, hou je het nooit 100% tegen. Daarom moet je ook vooraf al bedenken wat te doen als het wel mis gaat. Maarja, het is hier bij Odido ook onduidelijk in hoeverre dat goed geregeld was of niet. Het kan net zo goed zijn dat ze echt alles op orde hadden, en dit net die ene edge-case is die niet afgevangen was. Daar valt echt weinig van te zeggen met wat er nu publiek bekend is.

Als je het trouwens echt leuk over social engineering wil hebben, is Marcel van der Velde (van de Angry Nerds podcast) een leuke. Da's onze Nederlandse social engineering-expert. Die is ooit bij de Rijksoverheid naar binnen gelopen, en met 7 laptops vol staatsgeheimen naar buiten gestapt waarbij de beveiliging hem eruit hielp. Als audit waarvoor hij was ingehuurd natuurlijk. Maar hij verteld dat verhaal veel leuker dan ik ;). Mocht je hem ooit spreken, het verhaal van de persoon die zichzelf onhackbaar vond is ook leuk :P.
Sterker nog, door het bij phising te houden maak je het kleiner dan het is. Wij zien op werk (waar ik in het security team zit) ook erg veel phising, van het vele laaghangend massagestuurde onzin tot meer targeted aanvallen. Maar ook buiten phising en dergelijke zien we een hoop gebeuren, tot aan die geopolitieke vijanden die proberen het bedrijf in te komen. Wij doen naast standaard filmpjes en phising tests daarom ook eigen tests en pogingen op allerlei manieren, en houden eigen awareness campagnes waar nodig.
We houden het daar niet bij hoor. We hebben ook pentests, zelfs fysieke. Maar de gewone medewerker merkt daar niet zo heel veel van, behalve wat gedragsregels. Dat doen we meer met de security.
Ik had het over specifieke social-engineering gerelateerde zaken, dat dat veel breeder is dan phising ;). Ik mag toch hopen dat de security in het algemeen bij iedereen breder is.
Mooie videocast weer. Tv behang maak ik mij ook wel schuldig aan, vooral met dingen die ik al gezien heb, maar soms ook wel met nieuwe content.

Kan @arnoudwokke 's afwezigheid verklaard worden door het maken van een O O Dido song?

[Reactie gewijzigd door Bas-w op 19 februari 2026 07:23]

Dank , mooie podcast weer. Diablo heeft een HC mode net WOW classic HC modes heeft. Moet toegeven, ben net 67 jong geworden en hou van deze modus, je hele lijf gaat in de strijd bij een near dead.
Ben blij dat mijn hardware op orde is, gisteren een Synology prijs bekeken met 4x 20TB toshiba bekeken. 3 jaar geleden gekocht voor €1400,= en die gaat nu richting de €2600,= PW Alternate. Die had ik willen dubbelen i.v.m. big tech, maar dat is wel heel gortig.
Oh jah en een suffe KPN klant al 50 jaar. Wel korting akties binnen de club, maar honk vast. Die hack is wel heel fout, heel herkenbaar en probeer dit bij engineers bij mijn werkgever eruit te krijgen. Hoe dan!!!

[Reactie gewijzigd door BobJung op 19 februari 2026 08:04]

@WoutF dankjewel voor de rectificatie en excuses aanvaard :+
Was je nou al begonnen met kijken naar TheBurntPeanut of heb je het er te druk voor? Is wel echt een aanrader als je dagelijks hard wil lachen!
Jammer dat hier geen artikel over is, ik heb een hekel aan podcasts (ADHD, geen geduld voor filmpjes of audio).

Maar misschien kunnen jullie er met AI een artikel over laten aanmaken? Dat soor dingen is het best aardig in.

[Reactie gewijzigd door Llopigat op 19 februari 2026 09:51]

Ik kan er naast zitten.

Maar bij Odido verkopen ze telefoon abonnementen. En dan kun je ook ( denk ik) een telefoon op afbetalen. En misschien hebben ze dan een document nummer nodig van je id. Voor een BKR registratie. Kan ik mij voorstellen.
@WoutF @TradeMarkNL Ik zie nu opeens, nadat ik super in de war was dat er 0 reacties onder de .geek staan, dat we allemaal op een "Video -" post van de podcast zitten te praten. Staan er altijd 2 posts voor de podcast op de frontpage? Ik kan me niet heugen dat ik deze "Video -" ooit op mijn timeline gezien heb, maar mogelijk dat ik normaal ".video" eruit filter met custom CSS omdat ik geen video's wil kijken :+. Maar waarom is dit dan "Video -" ipv ".video"?

Anyway, is hier wat veranderd? Want 2 topics met reacties op hetzelfde lijkt me beetje vaag?
Duitse laptop voorraden verdelen over omliggende landen? Mag ik jullie eraan herinneren dat Duitsland een van de weinige landen is met een eigen AZERTY toetsenbord indeling.

Ik denk niet dat de gemiddelde Nederlandse consument die laptops zou kopen.
Ik denk dat je hier iets door elkaar haalt. De Fransen gebruiken AZERTY. De Duitsers hebben de QWERTZ-indeling.
Klopt, die haalde ik even door elkaar.

Echter, de essentie van mijn reactie blijft hetzelfde.

Om te kunnen reageren moet je ingelogd zijn