BSN nummer gelekt

Als je een huidige zakelijke klant hebt zul je vast wel je nieuwe BTW-id doorgegeven hebben. Alleen oude BTW-nummers van voor 2020 bevatte BSN nummer voor eenmanszaken.

Heb je zelf je BSN nummer aan Odido gegeven?

Ik kan bij ‘mijn instellingen’ nog op mijn facturen zien welk BTW nummer Odido van mijn bedrijf heeft. Ik ben oud T-Mobile klant. Mijn huidige abonnement is gestart november 2023. Ik denk dus mijn huidige BTW nummer (zonder BSN). Maar ik wil het graag zeker weten? Van Odido horen welk BTW nummer zij in hun database hebben? Bij het aangaan van mijn huidige contract (T-Mobile) heb ik wel o.a. mijn huidige rijbewijsnummer verstrekt. 

Dan be je hier op de community in ieder geval op de verkeerde plek. Zelfs de moderators zullen deze informatie niet uitgeven (ze kunnen sowieso momenteel helemaal niets).

Als je graag wilt weten welke gegevens Odido heeft kun je het beste een “Aanvraag inzage persoonsgegevens” doen. Voor een inzage verzoek kun je naar de volgende pagina.

https://www.odido.nl/privacy

Helemaal onderin staat een kopje “Hoe kan ik mijn persoonsgegevens bekijken?”.
Daaronder staat een PDF die je in kunt vullen (“Aanvraagformulier inzage persoonsgegevens”). Daarin staat ook een e-mail en adres waar je dat formulier naartoe kunt sturen. Je krijgt dan alle gegevens die Odido over jou heeft.

Wegens belastingwet is verplicht facturen 7 jaren te bewaren, op de factuur van zakelijke klanten is weer BTW nummer verplicht. Dus je kan aannemen dat op facturen 2018-2020 jouw BTW id met BSN staat. Maar Odido houdt aan hun bewering, dat factuurgegevens niet gelekt zijn. Ik houd deze bewering voor niet geloofwaardig. Ze weten helemaal niet, tot welke gegevens op welke manier de hackers toegang hadden. Er zijn meer dan 200 velden in de gelekte database, dus het is niet aan te nemen dat dit via front-end gelekt is.

Hoe kom je daarbij? Alleen als de BTW verlegt wordt (naar buitenland, EU) is een BTW-nummer van de klant verplicht op de factuur. Anders is alleen naam en adres voldoende.

Ik weet 100% zeker dat er BTW nummers in de dataset zitten. Of dit ook daadwerkelijk nummers van eenmanszaken zijn is aan het nummer niet te zien. Odido had WEL moeten vertellen dat de BTW nummers ook gelekt waren (dat hebben ze nagelaten). Dan is het aan de klant om zelf te bepalen of dat ook het BSN nummer bevatte (want dat kan Odido niet zien).

Gedaan. Bedankt voor de tip.

BTW nummers  van zakelijke klanten zijn te zien, maar alleen van eenmanszaken zijn ze gelijk BSN (voor 2020)

In de gelekte daten zijn volgende

• VAT_Statement__c → BTW-overzicht
• VAT_On_Invoice__c → BTW op factuur

• Tax_ID__c → BTW ID-nummer

De __c laat het vermoeden, dat de hack via Saleforce omgeving verliep.

https://developer.salesforce.com/docs/atlas.en-us.object_reference.meta/object_reference/sforce_api_objects_custom_object__c.htm

Ik heb er geen begrip voor dat supergevoelige data zoals je ID, rijbewijs of paspoortnummer niet in een separate extra beveiligde database bewaard worden. Dat de rest (naam, IBAN, BTW etc). te hacken is, is tot daar en toe. Maar als hackers aanvullend ook nog je ID, rijbewijs of paspoortnummer hebben, laat staan je BSN, dan is identiteitsfraude kinderspel. Geeft je te denken waarom in hemelsnaam je hele doopsel gelicht moet worden voor een simpel telefoonabonnement? Ik heb de bestedingslimiet op de gekoppelde IBAN vandaag al flink teruggeschroefd. Ik wil ook mijn rijbewijs tussentijds vernieuwen (rijbewijsnummer staat in mijn T-Mobile contract). De kosten daarvoor wil ik via de komende Odido facturen zien gecompenseerd. Lijkt mij vrij redelijk.  

Vrij redelijk inderdaad dat je de kosten terug wilt zien, maar zolang je geen aantoonbare schade hebt ondervonden zal Odido vrijwillig de geste moeten doen.

Rijbewijs en ID vernieuwen van iedere klant, is volgens hun 6.2 miljoen getroffen personen, dat is meer dan het losgeld wat shinyhunters vroeg en daar wilden ze zich ook niet aan branden iom “experts” die dit afrade om te onderhandelen.

Dus ik denk dat Odido geen cent over heeft voor de klant buiten de mooie woorden, de klant zijn veiligheid staat voorop.

Als men op rechtszaken laat aankomen, gaat men niet winnen. Ten eersten moet men bewijzen dat men schaden leed door de fouten van Odido. Ten tweede moet men bewijzen dat geleden schaden was veroorzaakt door Odido lek, en dit is het risicovolle punt. Als OM/Rechtsbank/Politie geen bewijzen  (geconfisqueerd servers) hebben, hoe bewijst men dat zijn daten in de database zijn? Door de database zelfs illegaal te downloaden? Dit is een strafbare feit (men download niet alleen zijn gegevens maar ook gegevens van andere gebruikers). Hoe bewijst men dat de database authentiek (niet door hem zelfs gemanipulieerd) is?  En dan nog bewijzen dat een fraudeur, de schaden toonbaar veroorzaakt, de database van Odido gebruikte.

Ik vrees dat er voor één ieder die klant is (geweest) bij Odido, maar één ding mogelijk is en dat is het uiteindelijke rapport afwachten van Autoriteit Persoonsgegevens en het Openbaar Ministerie.

Als naar voren komt dat deze datalek te wijten is aan het negeren van minimaal één waarschuwing vanuit de leverancier, dan is deze hele datalek mogelijk verwijtbaar. Als dit ook als zodanig wordt geconcludeerd, dan zou je als consument ‘misschien’ een poot hebben om op te staan.

De vraag is dan alleen, stel dat Odido overgaat tot het vergoeden van identiteitsdocumenten, wat denk je er als klant mee te bereiken? Een nieuw identiteitsdocument en daarmee dus nieuw documentnummer en nieuwe vervaldatum, maakt gegevens van het oude identiteitsdocument niet ineens onbruikbaar. Het maakt het mogelijk dat je bijvoorbeeld bij een eventuele verkeerscontrole heel wat uit te leggen hebt dat je in het bezit bent van een ingetrokken identiteitsdocument, maar bij andere checks voorkomt het niet dat het document als ongeldig wordt gezien, een microkrediet, betalen in termijnen of achteraf betalen kan nog steeds… zelfs al heb je dat nieuwe identiteitsdocument.

De vraag is dus vooral, wil je echt een vergoeding voor de aanschaf van een nieuw identiteitsdocument, wetende dat het alleen maar is voor een stukje schijnveiligheid waarmee je eigenlijk helemaal niets bereikt?

De softwareleverancier had makkelijk praten, wie zegt dat de Odido-database niet zelfs bij Saleforce gestolen was? Totaal waren 1,5 miljarden daten van 750 bedrijven buitgemaakt bij Saleforce. 

Klopt ​@ccnl  En daardoor werden ze op dat lek geatendeerd en hebben ze hun klanten gewaarschuwd zodat het hun ook niet zou overkomen, als dan de gewaarschuwde er niks mee doet is dat wel een beetje dom en meer verwijtbaar dat een gekent lek ondanks waarschuwingen niet word gedicht.

Dus in deze is Odido meer schuldig door hun kennis van het probleem.

Toen in oktober 2025 was al bekend dat van 750 bedrijven de gegevens buitgemaakt waren. De hackers maakten paar prominente namen bekend, maar de lijst kan ook Odido bevatten. Alleen gegevens van een klant, de na oktober 2025 voor eerste mal klant bij Odido ook gelekt zouden worden, bewijst dat Odido database na oktober 2025 buit gemaakt was.

Als je de waarschuwing goed leest, kan Saleforce in een keer voor alle bedrijven betalen, en niemand meer hoeft te betalen. Anders zouden voor ieder bedrijf losgeldeis openbaar gemaakt, en hun gegevens eens voor eens gelekt, tenzij de bedrijven zelfs betalen

En voelt het goed om Odido uit de wind te proberen te houden met je waanzinnige zandstrooi techniek, ben je toevalig medewerker.

Volgens mij heeft Odido zelf bekend gemaakt dat 7 en 8 februari 2026 er ongeautoriseerde toegang is geweest iin hun salesforce systeem en daarmee de gegevens van 6.2 miljoen klanten zijn buitgemaakt, dus bij hun zelf, heeft dus niets met die hack bij salesforce zelf te maken.

Nee, ik ben de directeur afdeling cyber security van Odido

Toen hadden ze ontdekt, maar niemand zei sinds wanneer …

Dan was het eind vorig jaar al naar buiten gebracht en niet maanden later. Ik ben nog nooit een berichtgeving tegengekomen waarin een hackersgroep/hackerscollectief maanden na dato iets communiceren. Daarvoor zijn ze te serieus en te trots!

Daarnaast schieten ze zichzelf ermee in de voeten omdat, als zei het kunnen, dan kan een ander dit ook wat betekent dat ze zelf geen slachtoffers meer kunnen afpersen.

Moet ik de Engelse tekst voor jouw vertalen?

Salesforce, Inc

Neem contact met ons op om te onderhandelen over dit losgeld, anders worden al uw klantgegevens gelekt. Als we tot een oplossing komen, zullen alle individuele afpersingen tegen uw klanten worden ingetrokken. Niemand anders hoeft ons te betalen als u betaalt, Salesforce, Inc.

Dus als Saleforce het totale losgeld zou betalen, hoef geen klant van Saleforce (o.a. Odido) zelfs te betalen.

Hoeveel maanden zou het duren als 5 klanten (bedrijven) per dag individueel afgeperst wordt? Voor 750 bedrijven zou het 5 maanden zijn.

En toen zou salesforce niet tegen Odido en die andere 749 bedrijven hebben gezegt, jullie data zit er bij en dan gaat Odidi op 7 en 8 februari het jaar er op zelf achterkomen dat ze via hun medewerkers in de systemen zitten.

Lekker zo doorgaan ​@ccnl Probeer de afleid technieken nog maar eens, ik geloof er niks van, dan komt er vanzelf boven water dat men het onder de pet heeft geprobeerd te houden en waren ze nog meer de klos dan nu.

Ja, dat doen ze op 28 januari 2026

Saleforce reageert precies zoals andere bedrijven (ook Odido). "Ons interesseeren de kwetsbaarheden van onze klanten geen r€€t. Als we toegeven dat de fouten bij ons liegen, kost ons te veel geld"

Je gelooft er niks van, maar ieder woord van journalisten ...

Dus samengevat, Salesforce is gehackt in oktober 2025, daarna waarschuwen ze hun klanten herhaaldelijk voor de methode die gebruikt is maar zeggen er niet bij dat Odido er ook bij zit, ze brengen tussendoor een beveiligings Update uit, op 28 januari melden ze Odido, jullie zitten er ook bij, wij hebben niet betaald want we geven net als jullie geen r**t om onze klanten, dus zoek het uit.

Daarna wachte Odido nog tot 9 februari om de beursgang af te blazen en te melden bij het AP dat er een datalek was met waarschijnlijk 6.2 miljoen slachtoffers.

Logisch verhaal, moet je een boek over schrijven of verfilmen, past bij Fictie, zal een bestseller worden.🤗

Je kan vooraf bestellen, handsigned

ShinyHunters bevestigd net dat de Odido database op Saleforce-platvorm opgeslagen was.

Lastig hoor, hoeveel krijg je betaald van Odido, of wil je een sticker.

We moeten Odido geloven dat het 7 en 8 februari is ontdekt, dat toen de toegang is afgesloten en de beveiliging is aangescherp, en nu zeg jij, nee joh, Odido lulde maar wat, het is al ruim 3.5 maand daarvoor gebeurt en ze hebben het verzwegen omdat ze dachten dat het wel over zou waaien.

OM lees je mee, hang ze aan de hoogste boom, ontneem ze de vergunningen en pek met veren voor de medewerkers en verantwoordelijke die dit probeerden te verzwijgen en moedwillig 6.2 miljoen mensen in gevaar hebben gebracht op phissing of oplichting.

En ja Odido gebruikt saleforce, staat nergens dat dat niet zo is.

🤣🤣🤣🤣