Via de publieke website te zien of iemand wel/niet Odido klant is?

​@TheJackal2021  En wat zie je als je op je 🛜 verbinding klik?

Hoogstwaarschijnlijk al je buren!  Ziggo, KPN. Odido! 
Mijn buren hebben allebei Ziggo 😎 en ik Odido! 
Bovendien kom er helemaal niet achter of je buren Odido hebben de zoekopdracht herkent dat nummer niet en verwijst je naar de community voor hulp. 
Maar dan nog! Wat is daar mis mee? Je kan er niets mee. 
De lek is erg maar ga a.u.b. geen spijkers op laagwater zoeken. 

Of het belangrijk is of niet, toch heb je een mogelijke vorm van phissing te pakken omdat je adres en huisnummer hebt, met Wifi scannen heb je er een heleboel die de namen prijsgeven maar niet achter welke deur die zich bevind.

Sorry maar dat is dus feitelijk onjuist. Mijn buren hebben dus Odido omdat ik bij hen ook de melding krijg 'dat er geen storing is’.. je kan dus vanaf rusland of waar dan ook checken of iemand op een NL adres Odido heeft of niet. Als ik op mijn wifi icoontje klik zie ik allerlei namen maar geen Odido, KPN, of Ziggo, omdat in mijn buurt de mensen zo verstandig zijn en hun wifi SSID renamen of hiden. En dan nog, ook al zie ik een wifi netwerk van de buren, wat is de relevantie met de PC check? Als ik van iedereen het Wifi SSID wil weten moet ik in een busje door heel NL rijden.. deze PC check kan gewoon vanaf je PC van waar dan ook en het gaat wmb niemand op internet aan dat ik bij Odido zit. Makkelijk om gewoon de melding te veranderen in ‘in deze postcode is geen storing bekend’ of er nou wel of niet iemand op dat adres Odido heeft.

Tja, het houdt ergens wel op natuurlijk.

Ik kan zien welke krant bij de buren in de bus gegooid wordt, en welk merk auto hij heeft, ik zie buren en andere mensen met e-mailadres ...@ziggo of @kpnmail.nl . Zie de risico’s daarvan niet echt. 

Het is echt makkelijker om op het darkweb onze gegevens straks op te zoeken en dan ook mailadres, telefoonnummer, bankrekeningnummer er direct bij te krijgen.

Ben het helemaal eens met ​@TheJackal2021 er is in mijn ogen ook totaal geen meerwaarde om via de verschillende meldingen te laten zien of iemand wel of geen klant is. Maar misschien kan een Odido medewerker vertellen waarom ze dit doen?

Sorry, maar als je het niet begrijpt zou het misschien beter zijn om niet te reageren.

​@TheJackal2021 merkt hier een uitstekend punt op, namelijk dat de publieke website van Odido gegevens deelt over wie er klant zijn zonder toestemming van die klanten. Dit is een entry voor mensen om doelwit te worden van phishing en andere social engineering aanvallen, omdat de ‘aanvallers’ nu dus weten dat je Odido hebt en ze zich, bijvoorbeeld, voor kunnen doen als Odido medewerker. Het datalek hier boven op maakt het alleen maar erger.

Dit soort situaties zijn ook de reden waarom bij veel websites en tools de wachtwoord vergeten functionaliteit is aangepast om niet meer onderscheidt te maken tussen bestaande en niet bestaande accounts.

Als ze de 6.2 miljoen accounts hebben is dit natuurlijk peanuts en nutteloos (want ze weten toch al wie klant is).

Maar het is inderdaad behoorlijk slordig en zeker, op zichzelf staand, al een groot probleem te noemen. Dit is zeker iets dat ze op moeten pakken (en geeft dus het zoveelste amateuristische probleem aan).

Nee want er zitten ook mensen tussen die geen klant meer zijn bij Odido, en via de site kunnen ze dat nu zeer eenvoudig controleren. 

Wat voor zin maakt het om te weten dat iemand bij Odido internet heeft? Men kan ook gewoon gokken dat iemand KPN of Ziggo heeft, deze gok heeft een trefferquote groter dan 33%

Hoi Cristien,

Enorm slechte reactie van jou als Superuser binnen Odido, je zou beter moeten weten.

Meldingen van een (potentieel) datalek behoren via de klantenservice aan de functionaris gegevensbescherming te worden gemeld, en deze kan (via een communitymanager, niet klantexpert of superuser) hierop terug reageren.

Datalekken, en zeker na deze recente hijack bij Odido, moet je NOOIT downplayen.

Je reactie hier is dus ongepast en het zou je sieren als je je niet zo neerbuigend zou gedragen tegenover klanten die dit melden.

​@ccnl 

Dat je kan zien of er op een bepaald adres Odido actief is of niet boeit inderdaad niet zoveel. Wat wel boeit is dat dit aan criminelen wel weer een stukje extra informatie geeft als ze dit combineren met andere data.

Stel, ik bezit die lijst met gelekte gegevens. Dan kan ik vanuit die lijst die postcodes en huisnummers gaan scrapen op bovengenoemde url. Met de waardes die ik daaruit terugkrijg kan ik de lijst weer een stuk actueler/beter maken. Zo kan ik bijvoorbeeld te weten komen wie nog steeds klant zijn en wie niet. Dit bij benadering natuurlijk, het kan ook zo zijn dat er iemand anders op een adres is komen te wonen en tevens Odido heeft maar dat terzijde.

Lang verhaal kort, ogenschijnlijk onbelangrijke data kan in combinatie met andere data ineens veel meer opleveren.

EDIT:

Voorbeeld, een postcode is vrij ruim. Een los huisnummer al helemaal. Maar als je die twee gegevens combineert heb je een woonadres. Dat is wat ik eigenlijk bedoel.

Die vraag kan ik ook omdraaien, vertel jij mij nu is wat voor zin het heeft dat Odido via die pagina precies laat zien of iemand wel of geen klant is, wat is daar nu de meerwaarde aan om die gegevens op straat te leggen? Iedereen kan toch gewoon hetzelfde antwoord krijgen (wel of geen storing), ik zie totaal de meerwaarde niet hoe het nu is ingesteld, dus vertel het mij maar?

De gelekte gegevens bij Odido zijn meer van klanten met mobielen abonnementen dan van thuisinternet. Nu succes met controleren van 6 miljoenen (oud)klanten wie nu een actieve thuisinternet van Odido heeft. Ik hoop dat je voor 2027 nog zal klaar zijn met het scrapen.

En waar heb je deze info vandaan als ik vragen mag?

https://www.telecompaper.com/press-release/odido-passeert-grens-van-1-miljoen-breedbandklanten-dankzij-klikklaar--1540177

Odido telde aan eind van het eerste kwartaal van 2025 1,05 miljoen consumentenbreedbandlijnen

https://www.bnr.nl/nieuws/economie/10564638/odido-kan-ruim-een-miljard-euro-ophalen-met-beursgang

Het telecombedrijf heeft ongeveer 8 miljoen klanten.

Nu mijn aanname dat de verhouding van (oud)klanten ongeveer dezelfde is als 1/8, is het aantal gelekte thuis (oud)abonnees 775000. Mijn aanname dat ieder tweede niet meer bij Odido zit, maakt 400000 actieve klanten. Nu kan je berekenen hoe lang je gebruikt om van 6,2 miljoenen (oud)klanten deze 400000 actieve klanten te vinden.

Nog even de 2 hoofdissues wat mij betreft ;

• het heeft geen toegevoegde waarde voor een storingscontrole op een postcode (gebied) om onderscheid te maken per individueel huis adres, dus zorg gewoon voor 1 melding als er geen storing in een gebied is zonder hier meteen inkijk te geven in iemand zijn wel / niet klant zijn. 
• het geeft aan dat er een koppeling is tussen de publiek toegankelijke website van Odido met een onderliggende dataset waarin opgezocht kan worden of iemand klant is bij Odido of niet, dit is onnodig en geeft maar weer aan dat de beveiliging van Odido een gatenkaas is, zou met een iets andere call ook andere informatie kunnen worden opgevraagd?

Edit: Wat ​@Marty_J dus ook meldt, nu kan de dataset die al op straat ligt nog worden aangevuld met een extra veldje; op dit moment ook nog klant; ja/nee.

Je hoeft niet zo heel veel aanames te doen:

Er zijn zeg 3.3 miljoen glasvezelinternetaansluitingen in NL, Odido heeft er daar iets meer dan een miljoen van. Plus nog wat ADSL die feitelijk van KPN zijn.

De rest van de gelekte data zouden mobiele en ex-klanten zijn, dus het overgrote deel.

Informatie van de ACM (2025) 

https://www.acm.nl/nl/publicaties/acm-telecommonitor-eerste-kwartaal-2025

Probeer de feit niet de zien, dat de verhouding van thuisinternet klanten / totale klanten 1,05/8 is.

Nu de cijfers uit jouw bron

• De cijfers van alle uitgevraagde Telecompartijen geven: 3,18 miljoen glasvezelabonnementen, 3,18 miljoen kabelabonnementen en 1,47 miljoen koper abonnementen.
  Odido bezit 10 tot 15 procent van de markt
  Odido heeft dus tussen 0,78 - 1,17 miljoenen thuis abonnees
• In het eerste kwartaal van 2025 waren er 25 miljoen mobiele aansluitingen.
  KPN en Odido hadden het grootste marktaandeel onder mobiele telefonieaanbieders met beide 25 tot 30 procent.
  Odido heeft tussen 6,25 - 7,5 miljoenen mobiele klanten.

De cijfers van ACM klopt exact met cijfers uit telecompaper en financiële markt.

​@ccnl 

Je doet hier aannames welke nergens op gebaseerd zijn en daarnaast zijn aannames een slechte raadgever. Laten we het houden bij de feiten die in deze discussie op tafel liggen. Dat zijn:

• Er is data van 6.2 miljoen klanten gelekt.
• D.m.v. de storingspagina is het mogelijk te achterhalen of er wel/geen Odido aanwezig is op een adres.

Dit laatste punt kan, zoals eerder aangegeven, extra informatie geven. 

Overigens snap ik deze niet:

Ik hoop dat je voor 2027 nog zal klaar zijn met het scrapen.

Als ik ook maar 1 request per seconde doe dan ben ik in ‘echo "6200000 / 3600 / 24" | bc -l
71.75925925925925925925’ dagen klaar. Dat is nog geen drie maanden 😉

En je denkt dat Odido na 100 request jouw IP niet blokeert?

Als het goed is wel maar gezien ze al data van 6.2 miljoen klanten hebben laten lekken heb ik daar m’n twijfels over. Buiten dat, wat VM’s opspinnen met Terraform is ook geen rocket science. En dan houd ik het nog netjes. Criminelen gebruiken hier gewoon een botnetje voor.

Uitstekende vraag, denk jij dat odido dat doet? En eerlijk, het is voor mensne met verstand van zaken triviaal om regelmatig van IP te switchen hiervoor. Ik merk ook in jouw vorige comments dat je het heel erg aan het downplayen bent, wat echt niet terecht is. Lang verhaal kort, dit is de request die de website van odido maakt: 

Script verwijderd door moderator

Het heeft een beetje tweaking nodig (om de juiste response te krijgen en dit te parsen), maar dit kun je waarschijnlijk en met niet al te veel moeite in een script douwen die dit gaat scrapen aan de hand van openbare postcode lijsten

​@PixelJordy 

Script verwijderd door moderator

Zoiets? 😉

BTW, dit script werkt bewust niet maar geeft een aardig opweg.

Men spreekt over 'downloaden’ en niet scrapen. Bovendien weet men niet of 6,2 miljoenen wel kloppen. Er zijn op momenten 6,2 miljoenen klantengegevens kwetsbaar voor ongeoorloofde toegang, maar hoeveel feitelijk gedownloaded is, is nog niet vast te stellen.

Je kan met 100000 IP adressen tegelijk scrapen, maar dan gaat de alarmbel van Odido nog eerder dan bij 1 IP adres.

Waarom denk je dit? Wij kunnen natuurlijk alleen maar gissen, maar vergeet niet dat dit een publiek endpoint is; dit is gebouwd met de bedoeling dat deze door Jan en alleman benaderd kan worden. Waarom zouden er dan in eens allarmbellen afgaan als deze door diezelfde ‘Jan en alleman’ benaderd wordt?