Zojuist de kalmerende mail van Søren, CEO van Odido, ontvangen.
Zelden zoveel nietszeggende onzin gelezen. We krijgen de volgende toezeggingen:
- We blijven investeren in onze beveiliging, zodat onze systemen bestand blijven tegen steeds complexere cyberdreigingen.
- We blijven extra ondersteuning bieden aan klanten. Bijvoorbeeld met Check je gesprek, waarmee je makkelijk checkt of je echt contact hebt met Odido. En we bieden klanten kosteloos toegang tot de digitale beveiligingsdienst F‑Secure.
- We blijven investeren in onze aanpak voor databeveiliging en het bewaren van gegevens.
- We blijven open over wat we leren. In goede tijden én als het tegenzit. Want alleen zo kunnen we ons verbeteren en anderen helpen zich beter te beschermen tegen cybercriminaliteit.
Dit is allemaal zacht masseren en hopen dat het overwaait. Ze hebben niet voldoende geinvesteerd in beveiliging en zeker niet in training van de externe partij die als helpdesk voor Odido opereert (“if you pay peanuts you get monkeys” (zonder overigens de helpdesk hiermee meteen af te serveren, dat is niet de bedoeling)) was dit wel gebeurd dan was de dit probleem of veel sneller ondervangen dan wel voorkomen.
Twee hele basale gedragingen van Odido zijn de basis van de hele hack geweest :
- het overloos bewaren van veel te veel persoonlijke informatie ook als contracten al afgelopen zijn en klanten geen actieve klanten meer zijn.
- De rechten van helpdesk medewerkers niet goed afkaderen en ervoor zorgen dat er een demper op de hoeveelheid raadplegingen zit. Er is nergens een biologische helpdesk medewerker die meer als 200 calls op een dag af kan werken. 6.000.000 raadplegingen / reads in minder als een week in een management systeem onder een user account moet triggeren.
Dit moeten ze aanpakken, ons inlichten en de voortgang melden.
Alle zaken die hierboven beschreven staan zijn slap, niet doortasten en resultaat gericht genoeg. Het is voornamelijk de followup doorschuiven naar je klanten.
Check je gesprek → controleer en manage dit zelf Odido: bel je klant via de app. Jullie hebben die ingang en kunnen dat forceren. Wil een klant contact opnemen : maak een button met “bel me “. Nadat de klant er op drukt een melding met “U wordt gebeld door nummer 123456 met referentie ABC” Maar ja, dat kost geld, nadenken en vooral goed werken.
F-secure aanbieden : er zijn providers die dat standaard aanbieden, niet alleen nadat er een databreach is geweest.
Investeren in het bewaren van gegevens: juist niet doen. Minder budget voor bewaren betekend een beperking van je opslag en dwingt Odido tot het goed nadenken over wat echt belangrijk is om te bwaren en vooral hoe lang.
Sorry, maar dit is nadat 6.000.000+ data records en PII op straat zijn komen te liggen echt een labbekakkerige houding en vooral onvoldoende. Volgens alle herinneringen van het CJIB ben ik de grootse gemotoriseerde crimineel in Nederland en ik lijd schijnbaar aan acute dementie aangezien het ene na het ander incasso bureau mij attendeerd op allerlei betalingen die ik mij niet kan herinneren.
Maar Odido laat mij checken of ik door Odido gebeld wordt en ik mag F-secure gebruiken op kosten van Søren. To little, to late Søren.
En zal het bij andere providers anders zijn? Vast niet, ook die outsourcen het een na het ander en hebben nog nooit van retentie-policies gehoord (“want stel je voor dat we toch klant X nog een keer kunnen binnenhalen..") dus die hebben vast met geklemde kaken naar dit verhaal bij Odido zitten kijken en zich af te vragen wanneer zij aan de beurt zijn.
