Grote bezorgdheid over datalek en onnodige opslag van identificatiegegevens

Geheel met je eens CowboyHenk!
Ik ben vandaag ook geinformeerd dat mijn informatie is gelekt, terwijl ik geen klant ben bij Odido, ook nooit ben geweest.  Wel in 2013 bij t-mobile en tot feb 2023 bij Tele2. 

Dat betekend dat behalve de dataminimalisatie ook iets goed mis is met de bewaartermijn.

AVG heeft geen bewaartermijn maar zelf geeft Odido aan een bewaartermijn voor de administratie te hanteren. Aangezien de meeste wettelijk verplichte bewaartermjnen 5 tot 7 jaar zijn, lijkt mij 2023 daar nog wel in te vallen.

Lekker chatgpt berichtje man.

op deze pagina staat toch gewoon wat er niet gelekt is?
https://www.odido.nl/veiligheid

daarboven staat de volgende zin:

De e-mail die we je sturen is leidend voor je persoonlijke situatie. Daarin staat precies wat voor je geldt.

Pff.   Echt, inclusief de formatting. 

Zullen we voor een serieus onderwerp, het geneuzel even achterwege laten?

Overstappen naar KPN? Zelfde ellende!

Serieus nu, mensen in deze post zijn serieus en oprecht bezorgd, ga nu niet een issue van KPN uit 2020 posten. ga iets in een andere threat doen.

​@Tommie van Odido

​@Teresa van Odido 

Naar aanleiding van het NOS journaal van 12-02-2026 20:00 uur het volgende:

In dit journaal werd verteld wat hackers met de gelekte informatie kunnen. Ze kunnen volgens het bericht contact met je opnemen namens een bedrijf en je vragen om bijvoorbeeld je e-mailadres, je telefoonnummer en de laatste cijfers van mijn ibannummer.

In een openbaar bericht op deze Odido community d.d. 12-02-1024 in de topic “Foutmelding op TV scherm” stond het volgende: 

Wil je jouw community profiel nog aanvullen met je postcode, huisnummer, geboortedatum en de laatste 4 cijfers van je IBAN? Voor de afronding van de verificatie, stuur ik je de extra vragen gelijk via een privébericht. Het antwoord op de vragen kan je invullen onder het kopje "Info voor moderator” in je community profiel. Laat je mij in dit topic weten wanneer je zover bent? Ik kijk dan gelijk met je mee! 

In het privebericht van de moderator stonden de volgende vragen: 

[Verborgen door moderator. We stellen deze vragen privé met een reden]

Dit komt aardig overeen met waarvoor wordt gewaarschuwd in het NOS journaal.

De gegevens heb ik vanmiddag ingevoerd maar na dit journaalbericht weer verwijderd. Hoe weet ik dat ik deze gegevens veilig kan invoeren in mijn profiel?

Gr, Wim

Hoi ​@Wim_A ,

Als je zelf naar de klantenservice belt zullen ze waarschijnlijk dezelfde verdiepende vragen stellen maar dan wordt het niet opgeslagen.  Bel dus even 0800-0092. 

Als ik gebeld zou worden door Odido, dan hoef ik me niet te identificeren. Degene die mij belt moet zich dan identificeren. Alleen als IK Odido bel moet ik me identificeren. Dus heel normaal dat degene die belt zich moet identificeren. NOOIT andersom. En als ze wel om gegevens vragen... dan kunnen ze de boom in, hang ik op. Zo moet iedereen dat doen. 

Ps. Ja. Degene die nu belt heeft jouw gegevens (uit de hack) en als ze die noemen zou jij dus kunnen denken dat het echt Odido is. Vandaar dat je kunt vragen wat het bedrag is op jouw laatste factuur. Een hacker weet dat niet en dan is dus de identificatie van de beller/hacker mislukt en gooi jij de lijn erop.

Ik zou sowieso niet weten waarom Odido mij zou bellen.

Voordat er meer mensen gaan reageren het volgende:

In een andere topic wordt er gewerkt aan het oplossen van een probleem. De moderator heeft mij netjes via het openbare scherm te woord gestaan en gevraagd om mijn profiel aan te vullen met mijn gegevens. hiervoor zou ik een privébericht ontvangen. Via een privébericht werd me door dezelfde moderator gevraagd een aantal dingen in te voeren in mijn profiel zodat ze me sneller kunnen helpen en eventueel direct met me kunnen meekijken. Op zich is daar niks vreemds aan maar….. puur omdat dat overeenkomt met de waarschuwing in het NOS journaal vraag ik voor de zekerheid of dit veilig is.

Ik heb dus zelf contact gezocht met de community.

Ja, omdat je zelf contact gezocht hebt is het logisch dat ze dit vragen. Sinds maandag hebben ze ook striktere identificatie regels (ID-check) zodat er meer vragen beantwoord moet worden dan alleen de profiel velden.

Ik vraag me nu overigens af of die strengere check niet juist een gevolg is van de hack 🤔 Nu vragen ze dus o.a. ook factuur bedrag (wat niet gehacked is). 

Het staat je overigens vrij om die gegevens weer uit je profiel te verwijderen na identificatie en antwoord en oplossing op je vraag.

Goedemorgen all, gezien de ernst van de situatie hoop ik dat mijn bericht niet bagatelliserend overkomt, het is allemaal al urgent genoeg. Het spijt me oprecht als ik niet de juiste bewoording kan vinden voor wat er momenteel speelt dus vergeef me alsjeblieft bij voorbaat voor de enigszins zakelijke ondertoon in dit bericht: dank! 

Een erg belangrijke nuance ten aanzien van de recente vraag om de “strengere” ID-check op deze community te doen: wij doen dit omdat er specifiek op gewezen is van hogerhand om dit uit te voeren ten bate van het beschermen van persoonsgegevens (hoe ironisch). Als een moderator (te herkennen aan “[voornaam moderator] van Odido” (bijvoorbeeld ​@Teresa van Odido) in een topic of in een privébericht aan jou vraagt om aanvullende persoonsgegevens te delen (bijvoorbeeld omdat je een informatieaanvraag doet en wilt weten waarom een factuurbedrag anders is), dan zou diegene zich altijd moeten kunnen identificeren aan de hand van een badge (zie screenshot onderaan bericht) én aan de hand van de naam en staat van dienst. Twijfel je aan de echtheid van een privébericht, de moderator in kwestie of lijkt iets überhaupt verdacht, trek dan onmiddellijk aan de bel en tag waar nodig andere moderators zodat wij de twijfel kunnen wegnemen en kunnen beoordelen of het om een echt verzoek vanuit Odido gaat. Even heel belangrijk: wij zullen NOOIT proactief bellen, sms’en of e-mailen en om willekeurige gegevens, of inlogpogingen vragen. Het kan natuurlijk voorkomen dat onze sales-afdeling jou een telefonisch aanbod doet en je proactief benadert wanneer het einde van jouw contract in zicht is om een voorstel te doen, dan wordt er hoogstwaarschijnlijk ook niet om een verificatie gevraagd aangezien Odido dan degene is die jou benadert - hooguit een check van je naam om te achterhalen of er met de juiste persoon gesproken wordt. Dit alles in acht nemende, is het nog steeds spijtig genoeg niet altijd mogelijk voor een gedupeerde om te achterhalen wanneer iets 100% echt is, en zeker niet zo snel dat de dreiging voorbij is. 

Ik zal nooit potentiële blaam bij slachtoffers van deze verschrikkelijke gebeurtenissen leggen en excuseer me als dit wellicht gedeeltelijk zo overkomt, dat is absoluut niet mijn intentie, maar in het geval er onverhoopt toch gegevens van jou gelekt zijn, tracht dan bij elke handeling van buitenaf: elk telefoontje, elke e-mail, elke sms, elk appje etc. nuchter en realistisch te oordelen zodat elke mogelijke dreiging meteen ontmanteld kan worden. Jammer genoeg (dit is de understatement van 2026, sorry) is dit bij ons niet gelukt en is daardoor een grote schare aan mensen slachtoffer geworden van een kansloos misdrijf. Wees ervan verzekerd dat Odido er alles aan doet om dit waar mogelijk te verhinderen, er zijn externe experts aangetrokken die de cyber defense strategieën opnieuw zullen beoordelen. 

Woorden schieten tekort om dit op een degelijke manier te verwoorden, maar we willen als mod-team het maximale kunnen doen om toekomstige pogingen tot cyberaanvallen te minimaliseren, voor zover het binnen onze mogelijkheden ligt. Dat was in een notendop de hoofdreden voor het vergroten van onze ID-check. 

Heb je hier vragen of suggesties voor? Schroom dan niet om deze met ons te delen en bespreekbaar te maken. Ondanks het feit dat wij maar een niche-platform zijn in een grote organisatie, willen ook wij elke dag meer leren zodat jullie maximaal beveiligd zijn. Ook onze digitale veiligheidsprotocollen worden onder de loep genomen en waar mogelijk en nodig nog beter aangescherpt. 

Ik wil verder iedereen die hier op enigerlei wijze bij betrokken is op het hart drukken dat jij hier niets aan kunt doen en dat het nu aan ons is om het nooit meer te laten gebeuren, dat is mosterd na een vreselijke maaltijd, maar moet gezegd worden. 

Sterkte en succes! 

 

Beste Odido,

Ik heb ook de mail ontvangen.
Wat ik graag zou willen weten; kan er concreter met mij worden gedeeld *welke* gegevens er mogelijk zijn gelekt. Ik zie nu alleen bv. dat er ‘telefoonnummer’ staat en ‘paspoort of rijbewijsnummer’. 

Gaat het hier dan om het telefoonnummer wat in mijn account staat óf het telefoonnummer wat gekoppeld is aan een mobiel abonnement wat ik afneem? Dit zijn nl. 2 verschillenden nummers, of zijn ze allebei gelekt? Dan wil ik dat ook graag weten.

Voor zover ik kan inzien en herinneren heb ik nooit een paspoort of ID kaart gebruikt als ID, maar wel een rijbewijs. Maar ik wil graag zeker weten wat er nou (mogelijk) gelekt is, zodat ik zelf kan beslissen welke van deze zaken ik actie op moet/kan ondernemen.

Ik kan me voorstellen dat vele andere dit ook duidelijker willen hebben dan zoals nu , een generieke mail te ontvangen, ik verwacht dan ook geen antwoord in een DM of hier, maar zou graag zien dat dit intern wordt besproken en doorgegeven zodat dit aan de individuele klanten wordt gecommuniceerd als aanvullende mail/informatie over deze hack.

Alvast bedankt voor jullie tijd en inspanning in dezen!

100% terechte vragen, zodra je bent aangesloten is de ID verificatie voltooid. Deze data kan dus weg en ook de toegang ertoe of bewaartermijnen mogen ze wel verdomd goed ingeregeld hebben..

Ik vrees alleen dat deze data gewoon ergens onder de klantgegevens in het dossier zat en vanaf de laagste lijnen beschikbaar was of is zonder extra verificatie. Maar dat kunnen ze prima aantonen denk ik zo..

​@Teresa van Odido 

Bedankt voor de heldere uitleg wat betreft de strengere id-check. Ondanks de uitleg heb ik hier toch een naar gevoel bij. Security sites adviseren altijd om zo min mogelijk gegevens door te geven bij het maken van een account. Juist vanwege de kans op een hack. Er wordt nu gevraagd om bijvoorbeeld het laatste bedrag van mijn factuur in te voeren. Mocht in de toekomst weer een hack plaats vinden (waar ik niet vanuit ga) dan kunnen criminelen dit ook gebruiken waardoor het nog onveiliger wordt. Het lijkt me daarom beter om deze gegevens niet in mijn profiel te zetten. Een medewerker van Odido kan me er altijd op vragen via telefoon of chat. Mocht je deze gegevens echt nodig hebben dan kan ik ze via een privebericht sturen met het verzoek dit NIÉT in mijn profiel te zetten.

gr, Wim

Ik ontving geen e-mail maar wel een SMS-bericht. 

Waar is de makkelijk toegankelijke informatie naar aanleiding van deze enorme blunder? De meeste mensen hebben dit uit het nieuws moeten vernemen. Als je dan vervolgens informatie zoekt kun je het niet via een makkelijke weg vinden; de website opent met Podiumprijzen, niets over deze zaak. En in de app staat ook geen informatie.

Ik verwacht dat een bedrijf er direct voor zorgt dat informatie over een ernstig voorval als dit - dat alle klanten direct raakt - zonder omwegen toegankelijk maakt. Het lijkt wel of ze het nu proberen te verbergen.... Dat verbergen hebben jullie al te lang gedaan. Dit verdiend een duidelijk podium en jullie verdienen verre van een prijs. 🫣 

Je kunt de gegevens in je profiel (ook de prive gegevens) weer verwijderen nadat een moderator dat gebruikt heeft ter identificatie en oplossing. Wanneer het weer nodig is kun je het weer (tijdelijk) terug zetten (heb ik ook gedaan).

Ik hoop dat als je nu contact op neemt met Odido dat er extra vragen gesteld worden om te controleren of je het bent wie je zegt dat je bent.

jammer dat het gebeurt is, maar in deze technologische tijd niet meer weg te denken dat het gebeurt.

​@Jason van Odido ​@Teresa van Odido ​@Tommie van Odido 

De eerste signalen van de hack werden afgelopen weekend zichtbaar. Na onderzoek heet Odido direct de Autoriteit Persoonsgegevens geïnformeerd. Ook heeft Odido dit kenbaar gemaakt aan de NOS. Nadat bekend werd welke gegevens er waarschijnlijk zijn buitgemaakt heeft Odido besloten om alle klanten hiervan in kennis te stellen via e-mail. Degene waarvan de e-mail onbekend is krijgen een sms. Ook heeft Odido een duidelijke pagina op de website gemaakt met duidelijke uitleg en wat je als klant kan doen. https://www.odido.nl/veiligheid 

@Bellerd Je schreef dat je verwacht dat een bedrijf die dit overkomt direct informatie beschikbaar maakt. Naar mijn mening heeft Odido zeer snel en adequaat gehandeld. Het heeft slechts 4 dagen geduurd (door het onderzoek) voordat het via de snelste weg (het NOS journaal) bekend werd gemaakt. Ook de e-mail die ik heb ontvangen was zeer duidelijk met daarbij een link naar bovengenoemde pagina, die ook in jouw sms staat vermeld. 

Het is wel erg makkelijk om te zeggen dat Odido een “blunder” heeft begaan maar helaas worden er dagelijks heel veel gegevens gestolen bij diverse bedrijven. Het is technisch gezien erg moeilijk om criminelen altijd een stap vóór te zijn.

In tegenstelling tot jouw mening vind ik dat Odido zeer snel heeft gehandeld en zeker niet heeft geprobeerd dit te verbergen.

Laten we ons bij de feiten houden en niet gaan speculeren of direct Odido hiervan “de schuld” te geven.

Wim