Onderwerp: Verantwoordelijkheid nemen voor vermijdbare fouten
Beste community-leden en Odido-directie,
Met stijgende verbazing heb ik kennisgenomen van de details rondom het recente datalek bij Odido. Hoewel de communicatie vanuit Odido probeert de nadruk te leggen op de "geavanceerde" aard van de aanval, wijzen alle feiten op een pijnlijke realiteit: dit had voorkomen, of in ieder geval tot een minimum beperkt kunnen worden, als Odido de basisprincipes van cybersecurity en haar wettelijke zorgplicht serieus had genomen.
De zorgplicht verwaarloosd
Als telecomprovider beheert Odido gevoelige persoonsgegevens van miljoenen Nederlanders. Volgens de AVG en de Telecommunicatiewet rust er op een dergelijke organisatie een zware zorgplicht om passende technische en organisatorische maatregelen te nemen. Het feit dat een simpele phishingmail — wat Odido inmiddels zelf heeft toegegeven — direct leidde tot toegang tot klantgegevens, toont aan dat deze beveiliging fundamenteel tekortschoot.
Het minimaliseren van de impact van een dergelijke menselijke fout had op twee manieren gemoeten:
Multi-Factor Authentication (MFA): In een tijd waarin MFA de absolute standaard is, is het onbegrijpelijk dat een phishingmail voldoende was om toegang te krijgen tot systemen. Met een goede MFA-implementatie blijft een gestolen wachtwoord waardeloos voor een hacker.
Netwerksegmentatie: Een phishing-aanval op één medewerker mag nooit leiden tot toegang tot de volledige database. Door het ontbreken van strikte netwerksegmentatie (het opdelen van het netwerk in veilige zones) konden de aanvallers zich eenvoudig 'zijwaarts' door het systeem bewegen naar de meest gevoelige data.
Conclusie: Het lek is niet alleen het resultaat van een 'slimme hacker', maar vooral van het feit dat Odido de voordeur op een kier heeft laten staan door basale beveiligingsstandaarden te negeren.
Gebrekkige informatievoorziening en 'compensatie'
De informatievoorziening naar de gedupeerden is tot op de dag van vandaag bar slecht te noemen. We worden als klanten in het ongewisse gelaten over de exacte omvang van de blootgestelde data en de mogelijke langetermijngevolgen.
Daarnaast is de huidige geboden compensatie een lachertje. Een kleine tegemoetkoming staat in geen enkele verhouding tot de inbreuk op de privacy en de jarenlange risico's op identiteitsfraude die wij als klanten nu lopen. Privacy is geen bijzaak die je afkoopt met een symbolisch gebaar; het is een grondrecht dat Odido had moeten beschermen.
Wat ik (wij) verwacht(en)
Ik(Wij), de klant(en), verwachten niet alleen excuses, maar volledige transparantie:
Wanneer worden MFA en netwerksegmentatie bedrijfsbreed en sluitend geïmplementeerd?
Waarom werd de zorgplicht in dit geval genegeerd?
Wanneer komt er een compensatieplan dat recht doet aan de ernst van deze inbreuk? Dus niet dat goedkope Fsecure pakketje dat jullie op licentie aanbieden..
Ik hoop dat Odido deze kritiek niet ziet als ruis, maar als een dringende oproep om de veiligheid van haar klanten eindelijk bovenaan de agenda te zetten.
Met vriendelijke groet,
[Moderator update 21-08-2026] Per 30 augustus kan je niet meer kosteloos het digitale veiligheidspakket van F-Secure activeren. Lees meer info op: https://www.odido.nl/veiligheid/f-secure]
