Wel of geen wachtwoorden gelekt?

Dat weet ik, maar de hackers hebben ook al aangegeven, dat ze niet alle data naar buiten hebben gebracht. Dus ook die info geeft nog geen 100% zekerheid wat er nu daadwerkelijk allemaal gelekt is. 

Ik vind het gewoon heel vreemd, dat Odido aangeeft zeer nouw samen te werken met de politie, maar ze wel allebei heel iets anders zeggen over de wachtwoorden.

Ze weten het gewoon niet wat de hackers allemaal buitgemaakt hebben. Wat is daar vreemd aan?

Als ze wachtwoorden hebben, dan zijn die als het goed is versleuteld. Maar ook daarvan kan men dan niet voor 100% garanderen dat de hackers daar niets mee kunnen. 

Op deze pagina staat weer niets over wachtwoorden:
https://www.politie.nl/nieuws/2026/maart/2/checkjehack-aangevuld-met-odido.html

Overigens zegt Odido dit over de wachtwoorden… dus misschien dat de politie daardoor op het verkeerde been gezet is:

Er zijn geruchten dat toch ook wachtwoorden van klanten zijn gelekt. Klopt dat?
Nee, dit is onjuist. We willen benadrukken dat er geen wachtwoorden van Mijn Odido of andere inlogsystemen zijn gelekt. De wachtwoorden die klanten gebruiken om in te loggen zijn versleuteld opgeslagen en zijn nooit toegankelijk geweest. Je Mijn Odido is veilig.

Wat er wél is gelekt, is een veld uit het klantcontactsysteem met de naam “password_c”. Ondanks deze naam gaat het niet om een wachtwoord, maar om een zogenoemd challenge word of codewoord. Dit werd gebruikt als extra controlevraag wanneer een klant telefonisch contact opnam. Dit codewoord geeft geen toegang tot accounts, diensten of persoonlijke gegevens en staat volledig los van de systemen waarin klanten inloggen.

Voor een beperkte groep klanten stond zo’n extra codewoord geregistreerd. Zodra we hoorden dat deze codewoorden in het lek voorkwamen, is de telefonische verificatie op basis van deze codewoorden direct stopgezet.

Overigens stellen ze ook dit op hun veiligheid pagina...

Echte e-mails van Odido over dit onderwerp komen uitsluitend van info@mail.odido.nl.

Terwijl een afzender gewoon door een verzender op te geven is. Dus ik kan iedereen een mailtje sturen met afzender info@mail.odido.nl. Toch raar dat ze gewoon niet stellen dat je afzender ook niet moet vertrouwen !!!!

Ik heb net deze mail (2x) ontvangen op mailadressen die uitsluitend bekend zijn bij Odido:

Beste klant,

Via deze e-mail willen wij u informeren over een datalek dat heeft plaatsgevonden bij Odido. Helaas zijn uw persoonlijke gegevens, zoals uw naam, adres, telefoonnummer, geboortedatum, bankrekeningnummer, mogelijk buitgemaakt door onbevoegden. Heel erg kut, maar niks aan te doen.

Al jullie gegevens zijn blootgesteld op Darkweb, BreachedForums en verschillende mirror websites. Dit is natuurlijk allemaal de schuld van Odido, omdat zij niet paar centjes per klant konden betalen.

Éen van de sites hiervan is: https://hierstaatdaneenwebadres 

Met vriendelijke groet,

Het afzenderadres is niet odido, dus het heeft er alle schijn van dat dit naar aanleiding van het datalek is. De link (die ik hier dus heb aangepast) is gepersonaliseerd, niet op geklikt uiteraard maar let dus op voor dit soort mails!

Van Odido had ik overigens geen bericht gehad dat mijn gegevens gelekt zijn, maar de gebruikte mailadressen zijn echt uitsluitend bij Odido bekend

Ik zie overigens net dat het mailtje wat ik gisteren ontvangen heb van “Herinnering: Odido informeert je over een Cyberaanval” met de compensatieregeling (duidelijk phishing) naar een info adres gestuurd is wat 100% zeker niet bij Odido bekend was. Die mail was ook niet gepersonaliseerd met naam dus dit was denk ik gewoon een algemene phishing poging zonder zelfs gebruik te maken van de Odido data.

Ik heb net een mail van mezelf gehad op een ander e-mail adres van mezelf, waaruit blijkt dat de wachtwoorden ook zijn buitgemaakt. In de mail die ik (nog) niet heb geopend stond welke informatie ze precies van me hadden of claimen te hebben en ze deden mij een éénmalig aanbod. 

Dit is natuurlijk duidelijk phishing.

Er zijn geen wachtwoorden buitgemaakt in de hack (in ieder geval niet wat bekend is). De politie heeft dit later ook toegegeven.

Vooralsnog gaat men er van uit dat er geen wachtwoorden zijn gelekt van accounts, maar wel “wachtwoorden” die klanten beschermen tegen ongeoorloofd wijzigen van hun diensten.

Maar er kwamen wel steeds meerdere zaken naar boven die eerst ontkent werden, dus laten we het onderzoek afwachten of de journalisten die nog weer wat vinden.

Dit is overigens de tekst die ik kan lezen zonder de mail te openen:

RE: Your phone ignores existance. I want to make you an offer you can refuse but only once. Here’s what I have: your complete personal inforMation, full naMe, date of birth, hoMe address, your social security number, and driver’s license details.

Wat ik niet begrijp is dat die van mijn account is gestuurd, maar niet in mijn verzonden e-mails staat. 

Ik had trouwens ook al die zgn. mail van odido gehad die rvk01 ook had gehad en die wel geopend, want ik verwachte immers een dergelijke mail van odido. Daarin stond: 

Beste klant,

Via deze e-mail willen wij u informeren over een datalek dat heeft plaatsgevonden bij Odido. Helaas zijn uw persoonlijke gegevens, zoals uw naam, adres, telefoonnummer, geboortedatum, bankrekeningnummer, mogelijk buitgemaakt door onbevoegden. Heel erg kut, maar niks aan te doen.

Al jullie gegevens zijn blootgesteld op Darkweb, BreachedForums en verschillende mirror websites. Dit is natuurlijk allemaal de schuld van Odido, omdat zij niet paar centjes per klant konden betalen.

Éen van de sites hiervan is: en dan de naam van een site

Met vriendelijke groet,

Beide emails zijn vals, maar dat had jij al door natuurlijk. 

Volgens mij zij het echte e-mails maar dan met de intentie om bij jou wat binnen te halen.

En dit is nog maar het topje van de ijsberg, de niet zulke slimme zijn vlot van start gegaan, de echte pro op phissing gebied gaat zijn tijd even afwachten, als de gekte wat is geluwd gaan die los, nu let iedereen nog erg op, over een maandje of misschien twee gaat de wereld weer door als gisteren of is er een ander iets belangrijk, zoals nu Iran, daardoor missen we Afganistan/Pakistan maar eventjes.

Dus blijf allert, en nu zaken afdoen met met one liners is ook een beetje de mensen in slaap laten sukkelen, er komen veel echter uitziende aan die in nette bewoording zijn geschreven.

​@Bubbleblower , hij is niet vanaf jou account gestuurd, men laat het lijken dat het van een legitiem adres komt zodat spamfilters hem hopelijk doorlaten, beetje dom om jou eigen account te gebruiken ook al kijken de meesten er niet naar.

Vandaag de id-controle gedaan met FSecure, en daar komt Odido/ben naar voren met in totaal 3 rijbewijs nummers van mij. 1 is mijn huidige rijbewijs en de andere 2 zijn oude rijbewijs nummers. Maar dat houd wel in dat Odido mijn gegevens al meer dan 10 jaar heeft bewaard. 

Ik vermoed dat de gegevens van Thuis niet zijn verwijderd maar van mobiel wel, we hadden 3 abbo’s met verschillende gebruikte gegevens en alleen thuis is gelekt, de mobiele zitten er niet in.

Maar dat die 2 jaar is overschreden is duidelijk, ook al geeft men dat nog steeds niet toe, laatste antwoord was nog dat men na 2 jaar je uit de systemen zou verwijdert hebben tenzij er nog iets loopt, en dat dat niet zo is wil men nog steeds niet toegeven.

Maar ​@DON PAPA  hoezo heb jij 3x je rijbewijs doorgegeven, en heb jij C of D, want een rijbewijs is normaal 10 jaar geldig, zit je met 10 jaar wel erg op de randen, oude net niet verlopen, en nieuwe net doorgegeven.

Ja die 3x (misschien nog wel vaker) dat zal voor nieuwe abonnementen afsluiten zijn geweest in het verleden. Ik heb in het verleden verschillende T-Mobile en BEN abonnementen gehad, waar ik mijn rijbewijs moest geven voor id controle. En alleen mijn huidige rijbewijs is een C rijbewijs, die heb ik begin 2025 in laten gaan toen mijn B rijbewijs verlengt moest worden. Dat rijbewijs liep van 2015 tot 2025 en het rijbewijs daarvoor van 2005 tot 2015. Het oudste rijbewijs kan ik dus op zijn laatst in 2015 hebben moeten laten zien voor id controle, en dat is dus ruim 10 jaar geleden.

Net lees ik dat er ook nepmails van het CJIB in omloop zijn. Die had ik 14 maart al ontvangen, maar het was in dit geval zo duidelijk een nep mail dat ik dat hier niet heb gemeld. Dat blijkt met name uit alle taal- en andere fouten, de eerste zin luidt bij voorbeeld: 

“Na controle van uw administratief dossier hebben wij vastgesteld dat de betaling met betrekking tot een eerder geregistreerde overtreding nog niet in ons systeem is verwerkt”

Sinds kort krijg ik dus veel van dit soort mails, daarvoor nooit. De term “administratief dossier” blijkt in België gebruikt te worden door bewindvoerders, dus misschien komen de oplichters wel daar vandaan.

Hoe het ook zij, waar ik pas bang voor ben zijn mails waaraan ik niet overduidelijk kan zien dat ze nep zijn of die namens mij worden verstuurd, zoals eerder die van Odido en van mijzelf.

Ps. Voor wie de Nederlandse taal niet machtig is: het is bij voorbeeld “betaling van” en daarop zou dan het woord boete oid moeten volgen, een overtreding kun je niet betalen. Bovendien zeggen ze dat die nog niet in hun systeem is verwerkt, wat dan toch echt hun probleem zou zijn. 

Tja, las al op het forum dat er tegen een klant was gezegd dat dat zijn verantwoordelijkheid is als die er in trapt, dus dat zal voor iedereen gelden dan.

Eindelijk een onderzoek naar de bewaartermijn: https://nos.nl/artikel/2607912-onderzoek-naar-bewaartermijn-klantgegevens-odido-na-hack

Iets wat ik op dag 1 al wist, nu maar zien wat er uit komt en of ze het nu wel gaan wissen.

En natuurlijk welke sanctie er op staat, ook voor andere bedrijven om er alerter op te zijn.