Compensatie datalek

Ik ben het met je eens, Odido heeft verzaakt persoonlijke data die ze "nodig" hebben dermate veilig te stellen dat criminele dit nu in handen hebben. Hiervoor dient odido zelfstandig een flinke compensatie op los te laten.

Ik denk zelf dat als odido er niets mee doet er wel een rechtzaak komt. Vanwege wanprestatie etc.

Misschien helpt deze website met meer informatie:
https://www.achmearechtsbijstand.nl/nieuws/odido-datalek-wat-betekent-dit-voor-jou 

Goedemorgen ​@sollitdude en ​@Rodr, een datalek geeft geen automatisch recht op compensatie. Onze inspanningen zijn er momenteel op gericht om juist te voorkomen dat klanten op enige manier schade zouden ondervinden als gevolg van dit incident. We hebben klanten proactief geïnformeerd zodat zij extra alert kunnen zijn op eventueel verdachte signalen. Dit is in lijn met het advies van het Centraal Meldpunt Identiteitsfraude (CMI) van de Rijksoverheid. Wees voorzichtig met partijen die advies geven dat afwijkt van wat het CMI adviseert.

Nou ik ben er in ieder geval geheel klaar mee dat bedrijven routinematig al je data bewaren. Waar hebben jullie mijn volledige geboortedatum voor nodig? De vraag ouder of jonger dan 18 is een ja/nee vraag. En waarom bewaren jullie mijn volledige adres op tijden dat er niets naar mij gestuurd hoeft te worden? Blijkbaar gaat er pas voldoende aandacht aan privacy besteed worden als het meer pijn doet, dus moet dit veel geld gaan kosten, anders leren jullie het niet. Kom maar op met die rechtszaak.

Ik denk dat er wel degelijk compensatie mogelijk is. Odido heeft de plicht om voor iedere getroffen klant tijdig duidelijkheid te geven welke klantdata er precies is gehacked en dit doet zij niet, ook niet op herhaalde navraag in mijn geval. Hiermee maakt Odido het onmogelijk om voor mij als gedupeerde klant tijdig risico beperkende maatregelen te treffen en is er op deze grond dus zeker een mogelijkheid tot compensatie ontstaan. Eea is ook verder te verwerken in een klacht bij de Autoriteit Persoonsgegevens (AP). De AP is hier hier heel helder over. Uiteraard kan er uit het nog op te starten onderzoek naar de hack en eventuele verwijtbaarheid aan de kant van Odido ook een rechtsgrond ontstaan voor compensatie van de getroffen klanten, maar dit zal wat tijd vergen denk ik.

​@nvhees We willen benadrukken dat er geen kopieën en/of scans van ID’s onderdeel zijn van het datalek. Dit hebben we eerder in onze communicatie ook aangegeven.

We willen je er ook op wijzen dat het Centraal Meldpunt Identiteitsfraude ook heeft benadrukt dat niet automatisch sprake is van identiteitsfraude of dat met de gestolen gegevens identiteitsfraude kan worden gepleegd als deze gegevens onderdeel zijn van een datalek. Je vindt het advies van het CMI hier: https://www.rvig.nl/nieuws/12-02-2026-datalek-odido-veroorzaakt-ongerustheid-cmi-geeft-advies

Om fraude te voorkomen bij het bij het afsluiten van een mobiel abonnement controleren we altijd je identiteit en registreren we daarom het nummer van je identiteitsbewijs. Zo weten we zeker dat jij degene bent die het abonnement afsluit en kunnen we aantonen dat jij het was. Op deze manier voorkomen we ook dat contracten, abonnementen of

telefoontoestellen bij de verkeerde persoon terechtkomen. Wanneer je een toestelkrediet hebt afgesloten bij Odido Finance, is Odido wettelijk verplicht je identiteit te controleren. Het nummer van het identiteitsbewijs waarmee je je hebt geïdentificeerd, moeten wij vastleggen en bewaren tot 5 jaar na afloop van je toestelkrediet.

​@AjAjB 

We zullen alle klanten die betrokken zijn persoonlijk een email sturen. De afzender van deze mail is info@mail.odido.nl. Dit kan tot 48 uur duren. Klanten waar we geen emailadres van hebben zullen we een sms sturen. Niet alle klanten zijn geraakt, we sturen dus alleen informatie aan klanten die geraakt zijn. Heb je geen email ontvangen van info@mail.odido.nl of SMS? Check je spam folder voor de zekerheid. Zit daar ook niets in, ga er dan vanuit dat je niet bent geraakt.

De e-mail die we je sturen is leidend voor je persoonlijke situatie. Daarin staat precies wat voor je geldt.

De betrokken informatie omvat mogelijk:

· Volledige naam

· Adres en woonplaats

· Mobiele nummer

· Klantnummer

· E-mailadres

· IBAN (rekeningnummer)

· Geboortedatum

· Identificatiegegevens (paspoort- of rijbewijsnummer en geldigheid)

Om welke informatie gaat het niet?

De betrokken informatie omvat NIET:

· Wachtwoorden van 'Mijn Odido'

· Belgegevens (wie je hebt gebeld, wanneer)

· Locatiegegevens

· Factuurgegevens

· Scans van identiteitsbewijzen

​@Anouk van Odido , die 48 uur zijn al effe om, of begint die elke dag opnieuw, de Hack en de bekendmaking is al even geleden, mijn mail stamt van 13-02, dat is 3x 48 uur geleden.😱😱

Dat is geen antwoord op mijn punt. Mijn punt is dat bedrijven op moeten houden met routinematig data van klanten bewaren. Ik ben veel langer dan 5 jaar klant. Waarom hadden jullie nu, op dit moment, mijn volledige geboortedatum in opslag? Mijn modem is jaren geleden naar mijn adres gestuurd. Waarom hadden jullie nu, op dit moment, mijn adres in opslag? 

Je bent nog klant, dus dan de gegevens hebben vind ik normaal, alleen de ID nummers moeten niet bij de klantenservice inzichtelijk zijn, net als het volledige Iban, xxxxxxxz1234 moet voldoende zijn voor verificatie.

Ze moeten natuurlijk wel bij  jou uitkomen als er wat mis is met jou verbinding of iets wil wijzigen.

Ik vraag me echt af wat ik nu met mijn F-Secure moet doen. Mijn gegevens zijn al gehackt en liggen, tenzij Odido betaalt, straks op straat. Dan helpt geen F-Secure mij om dit te voorkomen.

Ik dacht dat Odido eerlijk was tegen zijn klanten, maar blijkbaar ligt er een bedrag op tafel voor de gestolen data. Als dit niet voor donderdag is voldaan, ligt alles op straat. En niet 6 miljoen, maar 8 miljoen gegevens, volgens de media. Bedrijven betalen meestal niet, dus we moeten ons schrap zetten en extra goed opletten. Wat doet Odido? Alleen maar zeggen dat je extra moet opletten.

Misschien een idee aan Odido: betaal het bedrag niet en zorg dat getroffen klanten gratis een nieuw ID en rijbewijs kunnen ophalen bij het gemeentehuis. Dit lost mijn zorgen niet helemaal op, maar het is een begin. Dan doe je iets voor je klanten. Eerlijk gezegd begin ik me toch wel zorgen te maken.

[Het is niet de bedoeling om dezelfde reactie in meerdere topics te plakken]

Ik denk dat Odido aansprakelijk moet worden gesteld. Met name omdat ze de mogelijkheid voor correctie niet gebruiken. Ze hadden publicatie van gegevens nog kunnen voorkomen en dat niet gedaan. Winst boven klanten.

[Website verwijderd door moderator]

Top dat je speciaal hier een account aanmaakt en gelijk je eigen site effe promoot ​@roelfrenkema, zo zijn er meerdere die nu een slaatje uit het Odido schandaal willen slaan.😱😱😱

Ten eerste lees ik weer aannames,

Odido gaat niet betalen,

de onderhandelingen zijn stukgelopen,

dus jij zat erbij?

Er is meerdere keren betaald en daarbij is er gewoon niks bekend gemaakt dat er betaald is, ook dat er niet onderhandeld zou worden is gissen, is deze bekendmaking van de hackers niet een drukmiddel om het sneller te laten verlopen en een hogere uitkomst in absolute cijfers, dus dichter naar de 10 miljoen dan naar het 1 miljoen, of houd Odido woord en betalen en onderhandelen ze niet zoals ze zeggen.

En dan aansprakelijk stellen roepen, fijn prima plan, doen, maar ga jij 100% bewijzen dat als er misbruik word gemaakt van die gegevens dat het bij Odido vandaan komt, succes ermee, ik ga mijn handen er niet aan branden, schade zal voor mij meevallen, weinig gevens nog relevant, en als ik wel schade heb moeten ze het bond maken dat ik dat financieel niet kan dragen.

Ik verwacht eigenlijk maar 1 ding, een simpele oprechte “Sorry, er is wat mis gegaan en dat hadden we moeten voorkomen, jou gegevens hadden we niet meer in ons systeem moeten hebben.”

Overal worden fouten gemaakt, en fouten maken is goed, daar leer je van(hoop ik) ik hoop dat Odido hier ook van leert en hun woordvoerder of degene die hem aanstuurd vervangt voor iemand die wat opener is en eerlijker communiceerd.

Shinyhunters heeft het zelf aangegeven op hun site, dat ze Odido de kans willen geven te onderhandelen. Odido heeft hier geen gehoor aan gegeven.

Je hoeft er niet bij te zitten, het statement van Odido zegt (helaas) genoeg.

Shinyhunters is een groep die woord bij daad voegt, betaal je.. publiceren ze niets. Geef je geen gehoor en ga je er niet op in, gaan ze over tot publicatie. Zo staan er bijvoorbeeld ook datasets van een tweetal universiteiten online om maar iets te noemen.

Zo is er ook in zaken wel betaald ondanks stellige ontkenningen.

En aangezien er nu een klein deel openbaar is gemaakt ipv de complete set zegt mij dat ze of druk willen zetten of een koper voor de rest, de laatste strohalm.

Eerlijk, dit verhaal is ook niet best.

Tijs Hofmans: "Het is niet zeker of het OM de hack zelf onderzoekt, of Odido. Als het dat laatste zou zijn, zou dat erg opvallend zijn, maar ook de ernst van de situatie benadrukken. Datalekken zijn in de basis een zaak tussen een bedrijf en een klant; het bedrijf moet klanten zelf informeren en eventueel helpen met de gevolgen of compensatie. Als een klant schadevergoeding wil, moet dat via een civiele procedure worden afgehandeld. En als een bedrijf de Autoriteit Persoonsgegevens achter zich aan krijgt en bijvoorbeeld een boete krijgt, is dat bestuursrechtelijk.

Maar als het OM iets onderzoekt, is dat strafrechtelijk. Het OM zegt nu niks, maar het feit dat het onderzoek doet, suggereert dat het OM Odido mogelijk nalatig vindt, en potentieel crimineel strafbaar. Dat maakt zo'n onderzoek een serieuze zaak, waar overigens ook een serieuze bewijslast mee gemoeid gaat.

Het geeft ook aan hoe serieus de zorgen onder Nederlandse burgers zijn over het datalek. Datzelfde speelde bijvoorbeeld ook toen Clinical Diagnostics werd gehackt; ook dat was een serieuze zorg. Daar begon het OM toen ook een (nog steeds lopend) onderzoek naar."

Update, 15.48 uur – In het kader stond aanvankelijk dat het OM Odido onderzocht, maar dat is niet zeker. Dat is genuanceerder beschreven.

Daarnaast klinkt dit ook niet al te best (hier te lezen):
Gestolen Odido-klantgegevens blijken gevoeliger dan gedacht, Odido wist van niets

Ik snap best dat Odido niet alles in 1x prijs wilde geven maar er blijkt nu wel meer gehackt te zijn dan men eerst schreef. Wel jammer dat er zoveel problemen zijn nu. Mag toch hopen dat de hackers nu niet nog meer informatie gaat lekken.

En hoeveel lijken komen er nog meer uit de kast, op het darkweb staat ook dat er passwords in de set zitten, als dat ook nog een waar blijkt te zijn dat ze die ook hebben word het echt een probleem omdat men stellig ontkent.

Beste Odido

Met deze brief wil ik mijn zorgen en ongenoegen uiten naar aanleiding van het recente datalek bij uw organisatie, Odido.

Als klant van Odido ontvang ik graag volledige transparantie over de oorzaak van dit incident. Ik ben met name benieuwd welke technische aanvalsmethoden zijn gebruikt door de betrokken criminelen. Was er sprake van technieken zoals SQL-injection, path traversal, cross-site scripting (XSS), malware of andere vormen van ongeautoriseerde toegang? Daarnaast hoor ik graag of er aanwijzingen zijn dat onbevoegden mogelijk al langere tijd toegang hadden tot uw systemen, bijvoorbeeld via een rootkit of een andere verborgen methode.

Ik kan mij voorstellen hoe ingrijpend het is wanneer een organisatie een bericht ontvangt waarin wordt gesteld dat er data is buitgemaakt en dat publicatie volgt indien geen losgeld wordt betaald. Dat plaatst een bedrijf voor een zeer moeilijke beslissing: betalen of niet betalen.

Enerzijds wil men criminelen niet faciliteren of aanmoedigen. Anderzijds gaat het in dit geval om mogelijk miljoenen klantgegevens van mensen die hun persoonsgegevens in vertrouwen hebben verstrekt aan een telecomprovider die in de huidige maatschappij een essentiële rol vervult. Zonder internet en telecomdiensten is normaal functioneren in werk en privéleven nauwelijks mogelijk.

Wat mij daarbij opvalt, is dat vanuit opsporingsinstanties vaak wordt geadviseerd geen losgeld te betalen om criminelen niet te ondersteunen. Vanuit dat perspectief begrijp ik die redenering. Tegelijkertijd zie ik ook een andere kant. Cybercriminelen vragen doorgaans geen onrealistisch bedrag; zij kiezen juist een bedrag dat voor een groot bedrijf te dragen is, om de kans op betaling te vergroten. Zij werken met deadlines en duidelijke instructies.

Indien structureel blijkt dat organisaties na betaling alsnog hun data gepubliceerd zien worden, zal in de toekomst geen enkel bedrijf meer overwegen te betalen, omdat het vertrouwen ontbreekt dat publicatie wordt voorkomen. Voor criminelen zou betaling dan zijn waarde verliezen. Wanneer daarentegen in sommige gevallen betaling daadwerkelijk leidt tot het niet publiceren van gegevens, ontstaat er een perverse maar reële onderhandelingssituatie.

Ik besef dat dit een uiterst complexe en ethisch beladen afweging is. Toch blijft voor mij als klant de kernvraag: hoe is mijn data beschermd, en zijn alle mogelijke opties zorgvuldig afgewogen in het belang van de klanten?

Hoewel ik begrijp dat geen enkel systeem 100% veilig kan zijn, vind ik het zorgwekkend dat klanten nu zelf extra alert moeten zijn op identiteitsfraude, phishing, verdachte aankopen en misleidende telefoontjes. De verantwoordelijkheid om schade te beperken lijkt hiermee deels bij de klant te liggen, terwijl de oorzaak buiten hun invloedssfeer ligt.

Daarom ontvang ik graag een reactie op de volgende punten:

1. Op welke wijze hebben de criminelen toegang gekregen tot de systemen en data?

2. Welke specifieke beveiligingskwetsbaarheden zijn hierbij misbruikt?

3. Is er sprake geweest van langdurige, onopgemerkte aanwezigheid binnen uw netwerk?

4. Welke concrete maatregelen zijn inmiddels genomen om herhaling te voorkomen?

5. Is er een passende compensatie of tegemoetkoming voor getroffen klanten?

Ik stel een transparante en inhoudelijke reactie zeer op prijs.

Het antwoord valt in principe eigenlijk wel te raden;

1. Dit is een klant helpt, klant forum.
2. Voor inhoudelijke vragen, klachten, kan je een brief sturen naar Odido.
3. Odido medewerkers doen via het forum geen verdere uitspraken en verwijzen één ieder door naar https://www.odido.nl/veiligheid
4. Lopende het onderzoek wordt geen verdere informatie vrijgegeven.
5. Op uw vragen kan geen antwoord worden gegeven met het oog op de beveiliging.

Het zou voor het eerst zijn als een bedrijf (van deze omvang) gedetailleerd informatie prijsgeeft over dit soort zaken. Maar ik vrees het ergste. 

Over de AVG gesproken, wat is bij SimOnly het gerechtvaardigd belang om van iedereen een kopie legitimatie te maken en de document gegevens op te slaan? Een Energiecontract kost in enkele maanden al meer dan de volledige looptijd van een SimOnly abonnement.

Waarom is het niet mogelijk te identificeren via iDin? Alle schadeverzekeraars waar ik de afgelopen jaren een verzekering heb afgesloten vonden dit voldoende omdat mijn bank mij reeds heeft geïdentificeerd.

En waarom heeft een klantenservice medewerker toegang nodig tot de gegevens van mijn legit bewijs? Toen ik hoorde dat deze gegevens gelekt waren ging ik er vanuit dat een senior manager de zwakste schakel was, niks bleek minder waar.

Ik ga er vanuit dat ODIDO een AVG boete krijgt van misschien wel €40 mio + omdat de autorisaties niet goed stonden.

Ik ben zeer tevreden over de kwaliteit van de diensten van ODIDO, zowel vast als mobiel. Maar de data honger wordt jullie ondergang.

Ik heb het hier specifiek over SimOnly en niet over consumptief krediet 

Een SimOnly abonnement zonder legitimatie afsluiten en continue 24/7 een maand lang 0900-nummers (het best de eigene 0900-diensten) bellen kost na een maand meer dan een middenklasse auto.

Ik heb tot op heden geen informatie gehad van Odido en ik weet dus tot op vandaag ook niet exact welke informatie is gestolen. Dit had Odido al lang moeten verstrekken. Nu ze dit niet gedaan heeft volgt er een ingebrekestelling en daaruit vloeit zeker een mogelijkheid tot compensatie, simpelweg omdat Odido verzaakt zich te houden aan de vastgelegde regels. Ik zal klaarblijkelijk moeten zoeken op internet om daar mijn eigen prive gegevens terug te vinden die nu deel voor deel worden gepubliceerd. Het leed is dan al geschiedt, dito voor de schade en stress/ongemak die dat voor de klanten met zich meebrengt. Een zeer slechte beurt van Odido, goed dat hier in bredere context door justitie onderzoek naar gedaan gaat worden.

Die standaard antwoorden zijn inmiddels achterhaald,  bsn nummers werden ook buitgemaakt.

https://youtu.be/zXyN1CVKENo?si=8D6Dy5UHoZ3QHyKb

Even goed lezen, het gaat niet om BSN nummers maar om BTW nummers waar BSN nummers in verwerkt zijn. 

Het gaat om tientallen BSN’s van zakelijke klanten die als zzp’er in het systeem staan. Omdat een aantal jaar geleden de btw-nummers van zelfstandigen bsn’s bevatten, zijn ook hun bsn’s gelekt. In 2018 heeft de belastingdienst dat gewijzigd.

Het is vandaag dit, en morgen wat anders. Odido lijkt te liegen zolang ze er mee weg komen, maar er komt steeds meer boven tafel. Een miljarden bedrijf dat ons klanten met een fooitje had kunnen beschermen en dat gewoon geweigerd heeft.

Het is elke dag wel wat hoor… Als je bijvoorbeeld te maken hebt gehad met Dienst Justitietiele inrichtingen (DJI) dan is vandaag ook een hack bekend geworden.