Het verbaasd me niks dat dit bewust is gedaan om meer geld te kunnen verdienen

oh haha die amateurs van Odido en zeker weten Søren. Ik ben woest omdat ik hier altijd scherp op ben en ze mij telefonisch bij het afsluiten van het contract benadrukt hadden dat ze geen gegevens onnodig opslaan. Blijkt een leugen te zijn geweest.

Wat is onnodig opslaan, dat is nog een discussie waard.

Belangrijkste vraag van mij, Hoe is het in godsnaam mogelijk dat een hack op dit lage niveau in een organisatie zo groot kan zijn met zoveel persoonlijke gegevens waar die laag niets mee van doen heeft en ook niet nodig heeft om hun werk te doen.

En dan de tweede, hoe is het mogelijk dat hackers zolang onopgemerkt dat kunnen inzien, binnenhalen zonder dat dat opgemerkt werd, 6.2 miljoen klanten de dupe, dat is bijna 30% van de Nederlandse bevolking.

Nou dat dus, vooral dat het lage niveau bijna al mijn privé gegevens kon inzien ook…. 

Odido kan nog net het record van KPN met 4,5 miljoenen breken. Maar van KPN horen we niet, niet van media (tweakers.net), ook geen ontkenning zijdens KPN. Me val het op, dat over iedere storing van Odido veelvoudig op tweakers.net geschreven werd, maar gelijke gevallen van KPN niet.

https://www.brinztech.com/breach-alerts/brinztech-alert-alleged-database-of-kpn-dutch-telecom-is-on-sale-4-5-million-records/

Ik ken alleen de hack van 2012 bij KPN, welke periode gaat deze over?

Als KPN het voorval niet meld of niet opmerkt is het idd niet goed, maar ga niet zomaar uit van een site uit Dubai die ik niet ken.

En er staat dat de hackers claimen de info te hebben.

Het hoeft niet perse van een hack komen. Kan ook van de bestand van Experian komen, KPN stopte eerst in 2024 de doorverkoop van klantgegevens.

Bij Odido voorval zeggen alle: "wachten tot de daten te koop aangeboden worden, dan weten we precies hoeveel en welke daten gelekt zijn”. De daten van KPN-klanten zijn al te koop aangeboden...

Er word data te koop aangeboden, alleen weet je niet of dit klopt, 1 vermelding op een site uit Dubai, nergens anders iets over te vinden.

Heb je de mail ook ontvangen? Heb je hierin ook de zin zien staan "Op basis van het onderzoek denken we dat jouw gegevens mogelijk zijn geraakt. ”

Daarmee is niet gezegd dat er dus daadwerkelijk toegang is geweest tot je gegevens. Ja er zijn klantgegevens buitgemaakt maar het exacte aantal is nog onbekend en er is nog niet met volle zekerheid gezegd dat je als klant daadwerkelijk de dupe bent van dit lek.

In een kort tijdsbestek is het niet te doen om meer dan 6 miljoen entries handmatig over te typen.  Men had namelijk geen toegang tot de back-end maar de front-end waar medewerkers gebruik van maken. Dat maakt het al (te samen met de gebruikte rate limiter) aanzienlijk moeilijker om werkelijk alle gegevens buit te maken.

En dat baseer je op een bericht op een website van een security bedrijf, die het bericht begint met "A threat actor on a known cybercrime forum is advertising the alleged sale of a massive database belonging to KPN, the largest telecommunications company in the Netherlands” afsluit met "Secure Your Business with Brinztech — Global Cybersecurity Solutions Brinztech protects organizations worldwide from evolving cyber threats. Whether you’re a startup or a global enterprise, our expert solutions keep your digital assets safe and your operations running smoothly.” 

Waarbij geen enkele bron de betreffende claim/bewering hardmaakt. Als er daadwerkelijk een forumpost ergens zou zijn opgedoken met een database met zo'n grote omvang, dan had dit allang en breed in de media verschenen. \

Data wordt sowieso wel verkocht, het stikt in dat circuit van datasets met gegevens afkomstig van datalekken. Datalekken gebeuren bijna wekelijks, de één groter dan de ander… dat men er weinig over verneemt komt vaak door de omvang van een organisatie.

Op datalekt.nl is hierover e.e.a. terug te vinden maar ook op de websites van Autoriteit Persoonsgegevens en Tweakers.net komen nog wel eens meldingen voorbij.

Jij gaat er vanuit dat ze dat met de hand overtypen 😁 Een screenshot is uiteraard snel gemaakt. Een screen video is nog sneller. Maar goed... dan nog moeten ze 6,2 miljoen op hun scherm gekregen hebben en dat zal ook niet zo snel gaan (gezien de logheid van die systemen) 😉 en dan kunnen ze daarna offline alles rustig overtypen. We horen over een jaartje wel hoe het daarmee is (hoewel je daar natuurlijk ook weer ocr voor hebt).

Nee, overtypen? Nee, ga ik zeker niet van uit 🤣 En dan nog, hoe ontwijk je die ratelimiter? Een medewerker kan maar een x-aantal verzoeken per x-tijd uitvoeren alvorens deze tegen de limiet aan loopt en weer een tijdje moet wachten voordat deze verder kan gaan.

Als het over een weekend ongeautoriseerde toegang gaat, kan het aantal gegevens dat buitgemaakt is nog wel eens aanzienlijk laag uitvallen op die 6 miljoen entries.

Het betreft een forum in Dark Web. Hebben journalisten toegang tot dit forum? Het is niet voor niets de hele dataset aangeboden, het aanbod geldt meer voor de gedupeerde bedrijf (of zijn verzekering) dan voor andere criminele. Als betaald wordt, duiken de daten nergens meer op. Dan is de kans voor brede media om erover te berichten niet meer aanwezig.

Ik vraag me echt af wat ik nu met mijn F-Secure moet doen. Mijn gegevens zijn al gehackt en liggen, tenzij Odido betaalt, straks op straat. Dan helpt geen F-Secure mij om dit te voorkomen.

Ik dacht dat Odido eerlijk was tegen zijn klanten, maar blijkbaar ligt er een bedrag op tafel voor de gestolen data. Als dit niet voor donderdag is voldaan, ligt alles op straat. En niet 6 miljoen, maar 8 miljoen gegevens, volgens de media. Bedrijven betalen meestal niet, dus we moeten ons schrap zetten en extra goed opletten. Wat doet Odido? Alleen maar zeggen dat je extra moet opletten.

Misschien een idee aan Odido: betaal het bedrag niet en zorg dat getroffen klanten gratis een nieuw ID en rijbewijs kunnen ophalen bij het gemeentehuis. Dit lost mijn zorgen niet helemaal op, maar het is een begin. Dan doe je iets voor je klanten. Eerlijk gezegd begin ik me toch wel zorgen te maken.

Hi Teresa,
Aangezien zojuist de eerste batch aan data is gepubliceerd, 2 vragen:
1) checken jullie op het darkweb de gepubliceerde gegevens van jullie klanten, en informeren betrokkenen?
2) kunnen jullie die /veilgheid pagina updaten, daar staat nl nog altijd dat er niks is gepubliceerd?

Ah ik zie dat Odido de /veiligheid pagina nu wel hebben geupdate (zonder nieuw tijd vermelding): gewoon de vragen die gingen over publicatie verwijderem. 
Heerlijk struisvogelen: “Als je iets niet kunt zien, is het er gewoon niet”…

En zet er ook meteen even bij dat er wel BSN nummers zijn gelekt van sommige klanten

https://www.rtl.nl/nieuws/binnenland/artikel/5572041/odido-datalek-burgerservicenummers-bsn

Hier nog wat info wat er gelekt is

https://gathering.tweakers.net/forum/list_message/84732834#84732834

https://www.rtl.nl/nieuws/binnenland/artikel/5572041/odido-datalek-burgerservicenummers-bsn

Het gaat om tientallen BSN's van zakelijke klanten die als zzp'er in het systeem staan. Omdat een aantal jaar geleden de btw-nummers van zelfstandigen bsn's bevatten, zijn ook hun bsn's gelekt. 

En Odido op hun https://www.odido.nl/veiligheid

Voor zakelijke klanten zijn de gegevens van eindgebruikers niet gelekt.

Er staan echter wel gewoon bedrijven (ook gemarkeerd als bedrijf) in de dataset met BTW nummers. Dus het probleem is inderdaad iets groter dan Odido doet voorkomen. Dan staat er misschien niet de medewerker bij maar wel alle andere bedrijfsgegevens… en als je in het commentaar veld kijkt 🤡

Dus wat ik elders al schreef, welke lijken komen er nog meer uit de kast.

Niet echt een beste beurt voor Odido die de “klant” centraal zet in dit lek.

Maar dat zal wel ironisch bedoeld zijn, zo van jullie zijn het slachtoffer dus jullie probleem.

Hackers zetten eerste batch met gestolen Odido-data online - update 2

De ransomwarebende Shinyhunters heeft gegevens van Odido-klanten online gezet. Het gaat om een relatief beperkte batch, die desondanks 9GB aan data bevat, met 1 miljoen records van klanten. De groep zegt dat Odido niet heeft onderhandeld.

Op de darkwebsite van Shinyhunters is inmiddels een eerste batch te downloaden met records van klanten van de provider, die eerder deze maand werd gehackt. "Odido heeft de verkeerde keuze gemaakt, op iedere mogelijke manier", zeggen de criminelen. "We hebben jullie de kans gegeven dit stil en binnen een paar dagen op te lossen, maar in plaats daarvan kozen jullie ervoor om te vertragen."

De bende heeft een beperkte batch online gezet. Het gaat om een txt-bestand van 9,34GB dat gecomprimeerd is naar 264MB. Dat bestand bevat 1 miljoen records. Dat is slechts een fractie van de gegevens die zijn gestolen; Shinyhunters heeft het zelf over in totaal 21 miljoen records. Voortaan publiceert de groep dagelijks 1 miljoen nieuwe records, tenzij Odido betaalt, zeggen de hackers.

Odido werd eerder deze maand gehackt, maar heeft nog niet gezegd of het onderhandelt met de criminelen. Odido moest de afgelopen week nog rectificeren welke data er was gestolen. De NOS ontdekte dat er onder andere gevoelige data over klanten met problemen was buitgemaakt, waarvan de provider aanvankelijk zelf niets wist.

Odido bevestigt in een update dat het geen losgeld aan de hackers heeft betaald. "Op advies van toonaangevende cybersecurityadviseurs en relevante overheidsinstanties heeft Odido besloten niet te onderhandelen met deze criminelen en zich niet door hen te laten chanteren. We zetten ons onverminderd in om onze klanten en onze medewerkers op de best mogelijke manier te ondersteunen en te beschermen."

Update, 12.06 uur – Reactie van Odido toegevoegd.

Update, 17:38: De data bevat wél bsn's, bericht RTL Nieuws. Het zijn btw-nummers van zelfstandig ondernemers, die tot 2020 hetzelfde was als de bsn van een privépersoon. Het gaat in de data om enkele tientallen gevallen.
 

Odido heeft niet betaald.. Nu ligt alles op straat (of iig een groot deel).

ps. Seriously? Ondanks alles, staat er op https://www.odido.nl/veiligheid het volgende, dit is gewoon keihard reclame en nog meer geldtrekkerij:

Daarom bieden we je extra online bescherming. Je kan kosteloos het digitale veiligheidspakket van F-Secure activeren voor de duur van 24 maanden. Daarmee bescherm je je telefoon, tablet en computer extra tegen virussen, phishing en andere online dreigingen. Je activeert bij F-Secure het pakket met een vouchercode.
 

Johan XXX, Francoise XXX, Margreet XXX, Robert XXX, Martijn XXX, Tisha XXXXXX, Gero XXX en Søren XXX vinden het kennelijk niet erg als al hun gegevens straks in handen van criminelen komen.

Dat gaat namelijk onherroepelijk gebeuren, daar gaan 8 miljoen gedupeerden wel voor zorgen. 

Voor mij als ex-klant trouwens geen F-Secure, dat zal ik zelf aan moeten schaffen en voor mijn gemoedsrust zal ik nog veel meer kosten moeten maken.

Maar odido bespaart mooi 12,5 cent per gestolen klantdossier, dat zijn wij niet eens waard. 

[Het is niet nodig om medewerkers met voor- en achternaam op de community te benoemen]

Mijn gegevens zijn liggen nu op straat; ik heb geen mailtje ontvangen van Odido. Ik werd wel netjes door haveibeenpwnd.com op de hoogte gesteld. 
 

wel een beetje idioot dit:

-1 jullie slaat ID gegevens überhaupt op en dan ook nog onversleuteld. Waarom?

-2 er is nergens een alarm dat afgaat als een user account miljoenen klant gegevens uit de database trekt. Hoezo niet?

-3 waarom is er geen verificatie als iemand toegang tot gevoelige data wil?

-4 accounts die daar bij zouden moeten kunnen zouden beveiligd moeten zijn met een hardware token. 

het komt op mij over alsof er echt een stelletje amateurs bezig is met security bij jullie. En als klanten straks bijvoorbeeld auto’s op hun naam geregistreerd krijgen en daar de boetes van krijgen etc, of te maken krijgen met id fraude met alles wat er bij komt kijken, zijn jullie dan aansprakelijk wegens aantoonbaar nalatigheid?

In dit geval ga ik "mijn” auto ophalen, hem verkopen en van de opbrengst de boetes betalen. Behalve als met dit auto een misdrijf gepleegd was.

Gezien de verkregen gegevens denk ik dat ze gewoon fysiek toegang tot de database gehad hebben. Dus niet via een interface die kan controleren wie hoeveel data raadpleegt. Ook niet via scrapen zoals initieel werd gedacht. En toegang tot de database zelf is vaak einde verhaal wat betreft controle over monitoring.

Stond voor jou eigenlijk telefoonnummer in haveibeenpwnd?

Het mooie is nog dat ik net erachter ben gekomen dat in ieder geval mijn mail adres is gelekt in de recentelijke dataset. En ik heb tot op heden GEEN email van Odido mogen ontvangen tot op heden. 
Okay, ik ben sinds ergens vorig jaar geen klant meer, maar alsnog, wanneer ze je data nog bewaren ookal ben je geen klant meer, dan moeten ze je in dit geval op z’n minst ook contacteren….

Net als Lindavdende  heeft geschreven, ze hadden iedereen direct moeten informeren…   en het statement “ je krijgt een mail as je data onderdeel is van het lek” is dus ook BS, want ik heb niks ontvangen, en met mij zullen er vele andere zijn die mogelijk minder oplettend zijn.

Ik weet dus ook niet welke informatie gelekt is van mij, en heb dus geen idee wat voor een risico ik nu loop. Alleen mijn email adres kan ik mee leven. Maar persoonlijke informatie als BSN enzovoort….. dat zeker niet….

Iemand een idee hoe ik er achter kan komen wat er van mij gelekt is, zonder extra risico te lopen/nemen ?