Skip to main content

Datalek bij Odido

Toon eerste reactie

103 reacties

rvk01
  • rvk01
  • February 13, 2026

 

Nee de fout zit bij de incompetentie van de klantenservice

Ja, hopelijk voor Odido een teken om het huidige call-center (met deeltijd-studentjes) eruit te gooien en te bouwen aan een klantenservice met bekwame mensen 😉

blijkt achteraf want die zijn zo achterlijk geweest om gegevens te lekken zoals o.a. wachtwoorden

Er zijn toch geen wachtwoorden gelekt?

 

 

eric
Super User
Forum|alt.badge.img+14
  • ericSuper User
  • Odido Superuser
  • February 13, 2026

Nee, in het klant CRM systeem worden geen paswoorden opgeslagen en Odido geeft ook aan dat er geen paswoorden zijn gestolen.

Welkom bij de klant-helpt-klant Community van Odido.
  • Anonymous
  • February 13, 2026

Ik ben in elk geval al blij, dat de directe oorzaak bekend is. Het lijkt niet zeker dat de hackers alle 6.2 miljoen records daadwerkelijk hebben kunnen downloaden. dat is vanaf het scherm op Salesforce nou niet zo eenvoudig (in elk Geval niet voor mij).

Ben benieuwd hoe men de root causes gaat identificeren en aanpakken. 

    • Anonymous
    • February 13, 2026

    Serieus, hoe denken jullie dit op te lossen?

    Er is mogelijk naam, adres, geboortedatum, IBAN en zelfs identificatiegegevens gelekt. Dat is geen klein incident. Met deze informatie kan gewoon identiteitsfraude worden gepleegd. En in de FAQ staat vooral vaag “criminelen hebben toegang gekregen”. Ja, dat snappen we. Maar hoe dan? En wat gaan jullie concreet doen behalve zeggen dat we zelf goed moeten opletten?

    Ik verwacht hier meer dan een standaardtekst en een link naar een pagina met algemene informatie.

    Welke compensatie krijgen klanten hiervoor? Wordt er bijvoorbeeld kosteloos identiteitsmonitoring aangeboden? Wordt eventuele schade vergoed zonder dat klanten eerst maanden moeten procederen?

    Dit is jullie beveiliging die heeft gefaald. Dan hoort daar ook verantwoordelijkheid bij.

    Odido is zwaar in overtreding. Ik ben ex-klant, al meer dan 3 jaar niet meer. Volgens de wet en jullie eigen privacy verklaring hadden jullie mijn gegevens moeten verwijderen.

    Het is verder ongelofelijk dat deze gegevens via scraping te benaderen waren door call centre medewerkers. Dit schend security design principes zoals ‘Principle of Least Privilege’, ‘Defense in Depth’ en ‘Segmentation’. Stelletje amateurs!!!

    rvk01
    • rvk01
    • February 13, 2026

    Odido is zwaar in overtreding. Ik ben ex-klant, al meer dan 3 jaar niet meer. Volgens de wet en jullie eigen privacy verklaring hadden jullie mijn gegevens moeten verwijderen.

    Wettelijk zijn ze verplicht om de factuurgegevens (en daar hoort iban ook bij) voor 7 jaar te bewaren voor de Belastingdienst.

    Het is verder ongelofelijk dat deze gegevens via scraping te benaderen waren door call centre medewerkers. 

    Dat is het zeker. En dan ook nog voor onbekwame medewerkers met weinig technische kennis. Dan was het eigenlijk wachten op een phishing attack.

    Ik ben overigens wel benieuwd. Bij mij als oud-klant staan de identiteitsbewijs gegevens niet bij de geraakte gegevens. Zijn er oud-klanten waar dit wel staat? (Misschien hebben ze die gegevens voor oud-klanten verwijderd of stonden ze niet op de te scrapen pagina.

     

    • AdrianJC73
    • is Prince of Content
    • February 13, 2026

     

    Nee de fout zit bij de incompetentie van de klantenservice

    Ja, hopelijk voor Odido een teken om het huidige call-center (met deeltijd-studentjes) eruit te gooien en te bouwen aan een klantenservice met bekwame mensen 😉

    blijkt achteraf want die zijn zo achterlijk geweest om gegevens te lekken zoals o.a. wachtwoorden

    Er zijn toch geen wachtwoorden gelekt?

     

     

    Jawel, er is dus nu nieuws dat de hackers zijn binnengekomen in de systemen omdat ze zich voordeden als de interne IT club van O(pruto) en zo de wachtwoorden hebben achterhaald van mensen die op de servicedesk zaten en via die weg de handel hebben kunnen hacked

    • Anonymous
    • February 13, 2026

    Ik ben oud klant en dit was gelekt:

     

    Om welke informatie gaat het?
    Onderzoek tot nu toe laat zien dat de gelekte informatie mogelijk het volgende bevat van de bij ons geregistreerde contactpersonen (niet eindgebruikers): 
     
    • Je volledige naam 
    • Je klantnummer 
    • Je adres en woonplaats 
    • Je telefoonnummer 
    • Je e-mailadres 
    • Je IBAN (rekeningnummer) 
    • Je geboortedatum 
    • Identificatiegegevens: nummer en geldigheid van je paspoort of rijbewijs
    rvk01
    • rvk01
    • February 13, 2026

    Ik ben oud klant en dit was gelekt:

    Mogelijk gelekt 😉

    Dan zal er wel een andere reden zijn dat bij mij geen id bewijs stond. Ik kan me overigens ook niet herinneren dat ik die ooit heb moeten geven. O, en nu ik kijk, zie ik ook dat er gewoon mijn voornaam staat en niet mijn voorletters (die anders zijn dan van mijn voornaam). Dus mogelijk is id niet altijd verplicht geweest.

    • Anonymous
    • February 13, 2026

    Ik ben oud klant en dit was gelekt:

    Mogelijk gelekt 😉

    Dan zal er wel een andere reden zijn dat bij mij geen id bewijs stond. Ik kan me overigens ook niet herinneren dat ik die ooit heb moeten geven. O, en nu ik kijk, zie ik ook dat er gewoon mijn voornaam staat en niet mijn voorletters (die anders zijn dan van mijn voornaam). Dus mogelijk is id niet altijd verplicht geweest.

    Ok, mogelijk gelekt… In mijn email stonden mijn naam, voorletters en achternaam helemaal niet. Begon met ‘

    Hallo, 
    Je ontvangt deze e-mail omdat we je uit voorzorg willen waarschuwen voor mogelijke risico’s als gevolg van een cyberaanval bij Odido, die ook jou als oud-klant raakt. We betreuren deze situatie enorm en werken samen met externe cyberbeveiligingsexperts om hierop adequaat te reageren. Weet dat we ons inzetten om alle nodige ondersteuning te bieden. In dit bericht lees je wat er is gebeurd, om welke gegevens het gaat, wat je zelf kunt doen om jezelf te beschermen en wat Odido doet’
    rvk01
    • rvk01
    • February 13, 2026

    Ok, mogelijk gelekt… In mijn email stonden mijn naam, voorletters en achternaam helemaal niet. Begon met ‘

    Ik bedoelde in Mijn Odido en in de oorspronkelijke orderbevestiging. Nergens staan mijn officiële voorletters dus ik denk niet dat ik ergens mijn id bewijs heb doorgegeven. Misschien is (of was) dat alleen bij mobiel nodig.

      • DON PAPAis een King Poster
      • is een King Poster
      • February 14, 2026

      Wel geinig om te lezen dat Odido ons nu precies weet te vertellen waar wij nu met ze alle op moeten letten om de boel veilig te houden. Hadden ze er maar zogoed over nagedacht toen ze de eigen boel gingen beveiligen. Maarja Odido heeft "oprecht" sorry gezegd en een web pagina met tips online gezet, dus we kunnen weer verder...

      • uiterlixis een King Poster
      • is een King Poster
      • February 14, 2026

      Excuses van Søren Abildgaard was ook wel op z’n plaats geweest. Een simpel “wij betreuren” is wel heel erg mager wanneer je het grootste datalek in de Nederlandse geschiedenis op je naam hebt geschreven.

      het grootste datalek in de Nederlandse geschiedenis op je naam hebt geschreven.

      Dan zijn ze toch ergens de beste in.🤪🤪

       

      Maar blijft vreemd, al een jaar of 6 geen klant meer en toch bericht, en daar staat in dat ze je gegevens na 2 jaar wissen.😳😳

      Odido, laat maar, voor mij nooit meer.
        rvk01
        • rvk01
        • February 14, 2026

        Maar blijft vreemd, al een jaar of 6 geen klant meer en toch bericht, en daar staat in dat ze je gegevens na 2 jaar wissen.😳😳

        Ze hebben dit in de privacy statement staan.

        https://assets.odido.nl/x/d737544207/privacy-statement.pdf

        Voor de Belastingdienst zijn wij verplicht factuurgegevens maximaal 7 jaar na einde van het abonnement/contract te bewaren.

        Van de Belastingdienst site zelf..

        Ondernemers zijn wettelijk verplicht hun administratie, inclusief facturen en bankafschriften, 7 jaar te bewaren voor de Belastingdienst. Deze termijn start zodra de gegevens niet meer actueel zijn.

        Ik ben benieuwd of er hier iemand is die al meer dan 7 jaar geen klant meer is en toch een mail heeft gekregen (dus dat ze het echt na 7 jaar verwijderen).

        Forum|alt.badge.img+2
        • ccnl
        • February 14, 2026

        Ik ben benieuwd of er hier iemand is die al meer dan 7 jaar geen klant meer is en toch een mail heeft gekregen (dus dat ze het echt na 7 jaar verwijderen).

        Wegens belastingwet moeten factuurgegeven (facturen) 7 jaren lang bewaard worden, maar in de factuur staan alleen NAW, klantnummer en de laatste 3 cijfers van IBAN. Email adressen hebben ze dus sowieso na 2 jaren illegaal opgeslagen.

          Marciano van Odido
          Moderator
          Forum|alt.badge.img+9

          Hallo allemaal, ik zie vanuit meerdere klanten veel dezelfde vragen terugkomen. Ik beantwoord ze graag allemaal hieronder. Sorry als ik bepaalde vragen heb gemist, maar ik hoop dat jullie met onderstaande informatie meer duidelijkheid hebben. 

          Kan ik per direct opzeggen?

          Nee. Uiteraard begrijpen we dat er zorgen zijn als gevolg van het datalek maar dit geeft geen opzegrecht. Er is geen sprake van een wijziging van voorwaarden.

           

          Wat doet Odido om nieuwe incidenten in de toekomst te voorkomen?

          We nemen dit incident zeer serieus. Direct nadat we het datalek hebben ontdekt hebben we:

          1. De ongeautoriseerde toegang tot het klantcontactsysteem geblokkeerd.
          2. Aanvullende beveiligingsmaatregelen getroffen.
          3. De monitoring van ongebruikelijke activiteiten verder opgeschaald.
          4. Bewustzijn van medewerkers verhoogd over de werkwijze cybercriminelen (phishing).

           

          Mail niet ontvangen?

          We zullen alle klanten die betrokken zijn persoonlijk een email sturen. De afzender van deze mail is info@mail.odido.nl. Dit kan tot 48 uur duren. Klanten waar we geen emailadres van hebben zullen we een sms sturen.

          Niet alle klanten zijn geraakt, we sturen dus alleen informatie aan klanten die geraakt zijn.

          Heb je geen email ontvangen van info@mail.odido.nl of SMS? Check je spam folder voor de zekerheid. Zit daar ook niets in, ga er dan vanuit dat je niet bent geraakt.

           

          Schadevergoeding?

          Een datalek geeft geen automatisch recht op compensatie. Onze inspanningen zijn er momenteel op gericht om juist te voorkomen dat klanten op enige manier schade zouden ondervinden als gevolg van dit incident. We hebben klanten proactief geïnformeerd zodat zij extra alert kunnen zijn op eventueel verdachte signalen. Dit is in lijn met het advies van het Centraal Meldpunt Identiteitsfraude (CMI) van de Rijksoverheid. Wees voorzichtig met partijen die advies geven dat afwijkt van wat het CMI adviseert.

           

          Meer dan 2 jaar geleden overgestapt?

          Odido hanteert in het systeem een termijn van 2 jaar nadat alle wederzijdse verplichtingen zijn afgehandeld. Had je na je overstap nog openstaande rekeningen, servicevragen die nog niet afgehandeld waren, dan is de 2 jaar gestart op het moment dat rekeningen betaald zijn en vragen afgehandeld waren.

           

          Waarom zijn legitimatiegegevens bewaard en mag dit?

          We willen benadrukken dat er geen kopieën en/of scans van ID’s onderdeel zijn van het datalek. Dit hebben we eerder in onze communicatie ook aangegeven.

          We willen je er ook op wijzen dat het Centraal Meldpunt Identiteitsfraude ook heeft benadrukt dat niet automatisch sprake is van identiteitsfraude of dat met de gestolen gegevens identiteitsfraude kan worden gepleegd als deze gegevens onderdeel zijn van een datalek. Je vindt het advies van het CMI hier: https://www.rvig.nl/nieuws/12-02-2026-datalek-odido-veroorzaakt-ongerustheid-cmi-geeft-advies

          Om fraude te voorkomen bij het bij het afsluiten van een mobiel abonnement controleren we altijd je identiteit en registreren we daarom het nummer van je identiteitsbewijs. Zo weten we zeker dat jij degene bent die het abonnement afsluit en kunnen we aantonen dat jij het was. Op deze manier voorkomen we ook dat contracten, abonnementen of

          telefoontoestellen bij de verkeerde persoon terechtkomen. Wanneer je een toestelkrediet hebt afgesloten bij Odido Finance, is Odido wettelijk verplicht je identiteit te controleren. Het nummer van het identiteitsbewijs waarmee je je hebt geïdentificeerd, moeten wij vastleggen en bewaren tot 5 jaar na afloop van je toestelkrediet.

           

          Tot slot wil ik jullie vragen onze speciale pagina te bezoeken, odido.nl/veiligheid. Hier delen we alle informatie over dit incident en je vindt daar het antwoord op veel gestelde vragen.

          Vind je antwoord in onze Wiki: https://community.odido.nl/knowledge-base
            • Anonymous
            • February 15, 2026

            Hallo allemaal, ik zie vanuit meerdere klanten veel dezelfde vragen terugkomen. Ik beantwoord ze graag allemaal hieronder. Sorry als ik bepaalde vragen heb gemist, maar ik hoop dat jullie met onderstaande informatie meer duidelijkheid hebben. 

            Kan ik per direct opzeggen?

            Nee. Uiteraard begrijpen we dat er zorgen zijn als gevolg van het datalek maar dit geeft geen opzegrecht. Er is geen sprake van een wijziging van voorwaarden.

             

            Wat doet Odido om nieuwe incidenten in de toekomst te voorkomen?

            We nemen dit incident zeer serieus. Direct nadat we het datalek hebben ontdekt hebben we:

            1. De ongeautoriseerde toegang tot het klantcontactsysteem geblokkeerd.
            2. Aanvullende beveiligingsmaatregelen getroffen.
            3. De monitoring van ongebruikelijke activiteiten verder opgeschaald.
            4. Bewustzijn van medewerkers verhoogd over de werkwijze cybercriminelen (phishing).

             

            Mail niet ontvangen?

            We zullen alle klanten die betrokken zijn persoonlijk een email sturen. De afzender van deze mail is info@mail.odido.nl. Dit kan tot 48 uur duren. Klanten waar we geen emailadres van hebben zullen we een sms sturen.

            Niet alle klanten zijn geraakt, we sturen dus alleen informatie aan klanten die geraakt zijn.

            Heb je geen email ontvangen van info@mail.odido.nl of SMS? Check je spam folder voor de zekerheid. Zit daar ook niets in, ga er dan vanuit dat je niet bent geraakt.

             

            Schadevergoeding?

            Een datalek geeft geen automatisch recht op compensatie. Onze inspanningen zijn er momenteel op gericht om juist te voorkomen dat klanten op enige manier schade zouden ondervinden als gevolg van dit incident. We hebben klanten proactief geïnformeerd zodat zij extra alert kunnen zijn op eventueel verdachte signalen. Dit is in lijn met het advies van het Centraal Meldpunt Identiteitsfraude (CMI) van de Rijksoverheid. Wees voorzichtig met partijen die advies geven dat afwijkt van wat het CMI adviseert.

             

            Meer dan 2 jaar geleden overgestapt?

            Odido hanteert in het systeem een termijn van 2 jaar nadat alle wederzijdse verplichtingen zijn afgehandeld. Had je na je overstap nog openstaande rekeningen, servicevragen die nog niet afgehandeld waren, dan is de 2 jaar gestart op het moment dat rekeningen betaald zijn en vragen afgehandeld waren.

             

            Waarom zijn legitimatiegegevens bewaard en mag dit?

            We willen benadrukken dat er geen kopieën en/of scans van ID’s onderdeel zijn van het datalek. Dit hebben we eerder in onze communicatie ook aangegeven.

            We willen je er ook op wijzen dat het Centraal Meldpunt Identiteitsfraude ook heeft benadrukt dat niet automatisch sprake is van identiteitsfraude of dat met de gestolen gegevens identiteitsfraude kan worden gepleegd als deze gegevens onderdeel zijn van een datalek. Je vindt het advies van het CMI hier: https://www.rvig.nl/nieuws/12-02-2026-datalek-odido-veroorzaakt-ongerustheid-cmi-geeft-advies

            Om fraude te voorkomen bij het bij het afsluiten van een mobiel abonnement controleren we altijd je identiteit en registreren we daarom het nummer van je identiteitsbewijs. Zo weten we zeker dat jij degene bent die het abonnement afsluit en kunnen we aantonen dat jij het was. Op deze manier voorkomen we ook dat contracten, abonnementen of

            telefoontoestellen bij de verkeerde persoon terechtkomen. Wanneer je een toestelkrediet hebt afgesloten bij Odido Finance, is Odido wettelijk verplicht je identiteit te controleren. Het nummer van het identiteitsbewijs waarmee je je hebt geïdentificeerd, moeten wij vastleggen en bewaren tot 5 jaar na afloop van je toestelkrediet.

             

            Tot slot wil ik jullie vragen onze speciale pagina te bezoeken, odido.nl/veiligheid. Hier delen we alle informatie over dit incident en je vindt daar het antwoord op veel gestelde vragen

             

            een lek geeft geen recht op vergoeding, maar jullie overduidelijke nalatigheid en het niet houden aan de gdpr is reden voor een rechtszaak 

            • GS078
            • February 15, 2026

             

            een lek geeft geen recht op vergoeding, maar jullie overduidelijke nalatigheid en het niet houden aan de gdpr is reden voor een rechtszaak 

            Dit lees ik op meerdere plekken hier op de community, maar ook in reacties op sociale media. Maar … in welke zin heeft Odido zich niet gehouden aan de GDPR vraag ik mij dan af.

             

            • Anonymous
            • February 15, 2026

             

            een lek geeft geen recht op vergoeding, maar jullie overduidelijke nalatigheid en het niet houden aan de gdpr is reden voor een rechtszaak op

            Dit lees ik op meerdere plekken hier op de community, maar ook in reacties op sociale media. Maar … in welke zin heeft Odido zich niet gehouden aan de GDPR vraag ik mij dan af.

             

            Zeker 3 overtredingen 1) bewaartermijn. (https://www.gdprregulation.eu/data-retention-requirements/) gevoelige gegevens van ex klanten zin  langer bewaard dan Odido in eigen privacy statement aangeeft (2 jaar) 2) geen data segregatie (alle klanten en ex klanten op 1 plek https://gdpr-text.com/nl/read/article-32/   3 geen data minimalisatie. (Alle gevoelige info bij elkaar) 

            Nou, succes dan met de rechtzaak, ik zal hem zeker volgen.

            Odido, laat maar, voor mij nooit meer.
            • GS078
            • February 15, 2026

            Zeker 3 overtredingen 1) bewaartermijn. (https://www.gdprregulation.eu/data-retention-requirements/) gevoelige gegevens van ex klanten zin  langer bewaard dan Odido in eigen privacy statement aangeeft (2 jaar) 2) geen data segregatie (alle klanten en ex klanten op 1 plek https://gdpr-text.com/nl/read/article-32/   3 geen data minimalisatie. (Alle gevoelige info bij elkaar) 


            Dan heb ik een tweetal mooie aanvullingen voor je

             

            Een gang naar de rechter? Nee, in tegendeel je zult jezelf eerst moeten wenden tot Odido en/of Autoriteit Persoonsgegevens, diezelfde autoriteit die middels audits de wijze die Odido hanteert meermaals heeft goedgekeurd. Maar dan nog, zul je het hen moeten melden.

            Wil je een compensatie of korting, daarover beslist een rechter veelal niet. Wil je een schadevergoeding, ook daarover beslist een rechter niet tenzij je bewijslast hebt waaruit op te maken valt dat je schade hebt geleden.

              • AdrianJC73
              • is Prince of Content
              • February 16, 2026

              Nee, in het klant CRM systeem worden geen paswoorden opgeslagen en Odido geeft ook aan dat er geen paswoorden zijn gestolen.

              Die wachtwoorden zijn wel het minst belangrijkste! Maar dat je hele hebben en houwen op straat ligt dat is veel erger. De frustratie is dat het Odido geen reet interesseert maar dat de klant nu continue over zijn schouder mag gaan kijken en alles moet gaan dubbel checken, maar ach wat maakt dat uit daar liggen ze bij Odido niet wakker van. En dan het debiele dat het met zoiets simpels als social enginering mis heeft kunnen gaan dat zegt voldoende over de bekwaamheid van die prutsers aan de klantenservice.
              En wat als je nu van Odido af wil, ja ik weet het bij een ander kan het ook gebeuren maar de laatste jaren (eigenlijk sinds de samenvoeging naar Odido) is het een drama bedrijf geworden.

               

              • Anonymous
              • February 16, 2026

              Zeker 3 overtredingen 1) bewaartermijn. (https://www.gdprregulation.eu/data-retention-requirements/) gevoelige gegevens van ex klanten zin  langer bewaard dan Odido in eigen privacy statement aangeeft (2 jaar) 2) geen data segregatie (alle klanten en ex klanten op 1 plek https://gdpr-text.com/nl/read/article-32/   3 geen data minimalisatie. (Alle gevoelige info bij elkaar) 


              Dan heb ik een tweetal mooie aanvullingen voor je

               

              Een gang naar de rechter? Nee, in tegendeel je zult jezelf eerst moeten wenden tot Odido en/of Autoriteit Persoonsgegevens, diezelfde autoriteit die middels audits de wijze die Odido hanteert meermaals heeft goedgekeurd. Maar dan nog, zul je het hen moeten melden.

              Wil je een compensatie of korting, daarover beslist een rechter veelal niet. Wil je een schadevergoeding, ook daarover beslist een rechter niet tenzij je bewijslast hebt waaruit op te maken valt dat je schade hebt geleden.

              Goed punt. Klacht bij Autoriteit Persoonsgegevens had ik al ingediend, met name op schending bewaartermijn. Zal Odido ook een aangetekende brief hierover sturen.

              Overigens ben ik minder op zoek naar schade vergoeding en meer op zoek naar ‘recht’. De drie overtredingen die ik zie zijn wat mij betreft volkomen onacceptabel in 2026 voor een groot bedrijf. Ik begrijp ook niet hoe een gebrek aan bewijs van uitvoering van de max bewaartermijn gemist is tijdens audits. (want als daar bewijs voor was gevraagd, dan waren er niet zoveel ex-klanten nog in het bestand)

                • gruis32
                • is een Top Poster
                • February 17, 2026

                Ik haat jullie om dit. HAAT! 

                Ik haat jullie om dit. HAAT! 

                Wie, ons medeslachtoffer of de medewerkers van Odido of het bedrijf Odido.

                 

                Zijn er een paar schuldig, met die Søren als opper schuldige, maarja, die was al afgekeurd met die streep door zijn naam.😱😱😁😁

                Odido, laat maar, voor mij nooit meer.
                ForumvoorwaardenAccessibility statement