Lees net een mooie blogpost van de ethische hacker Sijmen Ruwhof die een crowdfund was gestart om Shinyhunters te betalen om niet meer gegevens te lekken.
Lang stuk tekst maar interesant met een aantal vraagtekens over de motieven en stappen die Odido heeft gezet.
Gezien alle zeer gevoelige klantdata die gelekt is en waar klanten nog jaren last van kunnen ondervinden, om nog maar te zwijgen over alle claims en boetes die Odido nu ongetwijfeld gaat krijgen is dat volmondig een JA. Garantie heb je nooit bij dit soort hackers, maar €500.000,- is een schijntje. Dit zal Odido echt pijn in de portemonnee doen, want veel klanten zijn het zat.
Betalen haalt niets uit. De data word dan echt niet vernietigd ofzo. Eenieder die dat geloofd heeft teveel sprookjes gelezen.
Gezien alle zeer gevoelige klantdata die gelekt is en waar klanten nog jaren last van kunnen ondervinden, om nog maar te zwijgen over alle claims en boetes die Odido nu ongetwijfeld gaat krijgen is dat volmondig een JA. Garantie heb je nooit bij dit soort hackers, maar €500.000,- is een schijntje. Dit zal Odido echt pijn in de portemonnee doen, want veel klanten zijn het zat.
En veel klanten zijn het over het algemeen met een paar jaar weer vergeten en komen toch weer terug want… “men kan veranderen toch?" en “die prijs vind ik toch eigenlijk wel beter dan die van {xyz}".
Het is niet dat ineens (meer dan) de helft van de medewerkers bij de politie gestopt is, nadat ze gedupeerd werden door het datalek. Het is niet dat winkels van Albert Heijn ineens gesloten zijn, wegens gebrek aan personeel omdat ze na het datalek (een tijdje terug) er gestopt zijn met werken.
Een heel groot deel van de maatschappij hanteert een bepaalde termijn alvorens ze een partij toch weer een (nieuwe) kans geven. En vaak wordt dat ook nog eens bepaald door de portemonnee.
Claims en boetes valt nog maar te bezien, het is afwachten op wat het Openbaar Ministerie en Autoriteit Persoonsgegevens oordelen. Misschien dat de omvang van dit lek een ander oordeel oplevert, maar over het algemeen zie je bar weinig boetes en claims ontstaan door datalekken.
Betalen haalt niets uit. De data word dan echt niet vernietigd ofzo. Eenieder die dat geloofd heeft teveel sprookjes gelezen.
Volgens mij is er meer bewijs dat ShinyHunters geen data gedeeld heeft nadat er betaald is, dan dat er bewijs is dat ze wel data gelekt hebben na betaling.
Vooral ShinyHunters hebben hun naam hoog te houden, het maakt ze compleet ongeloofwaardig als ze toch data delen nadat er betaald is. Had Odido betaald, was het misschien voorkomen dat data naar buiten zou komen, en anders? Was het toch geprobeerd! Nu kun je maar één ding concluderen… dat “Odido niet alles in het werk heeft gesteld om te voorkomen dat data zou worden geopenbaard".
Het is dan aan jouw als klant om voor eens en altijd een conclusie te trekken of je het daarmee eens bent en nu of in de toekomst je gegevens aan hen toevetrouwd. Ondanks dat de kans op een datalek bij een andere partij ook reëel is.
Duidelijk is dat Odido bij mij nu op de zwarte lijst staat.
Niet omdat ze gehackt zijn, kan de beste overkomen.
Niet omdat ze niet betaald hebben, ook al vind ik dat ze dat wel hadden moeten doen voor dat half miljoen en zo het maximale er uit hadden kunnen halen voor de klant die voorop staat, denk dat hun schade nu groter gaat worden.
Waarom wel, door de arogante houding van montjesmaat zaken vrijgeven, er te lang mee wachten en de getroffenen 1 mailtje sturen en zoek het maar uit en nergens verantwoording afleggen en komen er extra zaken naar buiten, we gaan het onderzoeken, ze konden dat allang weten en moeten dat hebben geweten.
En omdat ze zich niet aan hun eigen voorwaarden houden, ik ben er wel achter dat mobiel wel de gegevens heeft gewist, het is de afdeling Thuis die dat niet heeft gedaan, daar ben ik achter omdat de mobiel een ander E,-Mail adres had, en deze komt niet voor.
Ik heb een nieuw huis gekocht, wilde Odido een nieuwe kans geven, stond eerste op het lijstje, maar de eer gaat nu naar VodafoneZiggo, leukste aanbieding en goede combi voordeel, en een hele goede TV app.
En ja, die kunnen ook gehackt worden, ik zal nooit veilig zijn, gaat er alleen om hoe ze het oplossen, en Odido heeft in al die jaren nog niks geleerd, de toffe peer uithangen, maar de klant keihard laten vallen.
Waarom wel, door de arogante houding van montjesmaat zaken vrijgeven, er te lang mee wachten en de getroffenen 1 mailtje sturen en zoek het maar uit en nergens verantwoording afleggen en komen er extra zaken naar buiten, we gaan het onderzoeken, ze konden dat allang weten en moeten dat hebben geweten.
Noem eens minstens één “zeer grote zaak” waarbij een bedrijf of instantie binnen korte tijd alle relevante informatie waarom klanten, patiënten, cliënten, werknemers, partners, sponsors, distributeurs geïnformeerd werden?
Ik ken in alle jaren dat ik actief ben op internet geen enkel bedrijf die al zo snel met alle informatie zou komen, hoeveel informatie er ook bekend is.
Waarom denk je? Om de diverse onderzoeken die momenteel lopen niet te beïnvloeden!
Je hoort wel eens vaker, “hangende het onderzoek kunnen wij geen verdere uitspraken doen”, dat heeft een reden. Een reden om eventuele juridische vervolging (de rechtsgang) te beïnvloeden.
Dat ze bij jouw op de zwarte lijst staan is je eigen keus, daar kan niemand iets aan doen. Maar hangende de diverse onderzoeken kunnen en zullen ze gewoonweg niet naar buiten treden. Misschien komt er met de tijd als er meer bekend is nog wel een persbericht uit, misschien wachten ze tot het Openbaar Ministerie en/of Autoriteit Persoonsgegevens naar buiten treed met hun bevindingen.
Maar lopende de onderzoeken laten ze alleen het hoognodige weten en komen ze misschien later pas met duidelijke antwoorden - ook waarom bijvoorbeeld gegevens van mensen die al meer dan 2 jaar geen klant meer zijn. Who knows! Ik heb net als anderen ook de nodige vragen, vragen neerleggen doe ik niet want zolang de diverse onderzoeken lopen zal een antwoord toch uitblijven.
Betalen haalt niets uit. De data word dan echt niet vernietigd ofzo. Eenieder die dat geloofd heeft teveel sprookjes gelezen.
De betreffende hackersgroep heeft dus ver bij alle eerderen hacks wel degelijk daad bij woord gevoegd als bedrijven betaalde.
Daarnaast is voor mij het punt is niet of betalen zin heeft. Het punt is dat die data nooit in die positie had mogen komen. Door het ontbreken van basale beveiliging (geen Multi-Factor Authenticatie, geen datasegmentatie) heeft Odido de wet overtreden (Artikel 32 AVG). De Autoriteit Persoonsgegevens stelt duidelijk dat een bedrijf 'passende technische maatregelen' moet nemen. Een systeem dat omvalt door één phishing-mailtje is per definitie niet passend.
Betalen haalt niets uit. De data word dan echt niet vernietigd ofzo. Eenieder die dat geloofd heeft teveel sprookjes gelezen.
De betreffende hackersgroep heeft dus ver bij alle eerderen hacks wel degelijk daad bij woord gevoegd als bedrijven betaalde.
Dat kan niemand weten. Als ze die data stiekem aan iemand anders verkopen komt niemand daar achter. En misschien hebben ze het nog niet gedaan. Maar ze kunnen het altijd nog doen in de toekomst.
Wat maakt dat nu nog uit? De gegevens zijn gelekt. Massaal overstappen is het enige wat ze nu nog raakt. Het enige waar ze iets om geven is geld. Ik heb mijn mobiele abonnement al overgezet.
Dat kan niemand weten. Als ze die data stiekem aan iemand anders verkopen komt niemand daar achter. En misschien hebben ze het nog niet gedaan. Maar ze kunnen het altijd nog doen in de toekomst.
En dan nog zal het bij een aantal mensen nog steeds aan het licht komen omdat ze gebruik maken van “bijvoorbeeld” e-mail aliassen. Bij T-Mobile en Odido werd door ons verschillende e-mail adressen gebruikt die alleen te herleiden zijn naar T-Mobile en Odido. Bij ons zullen de nodige alarmbellen dus wel afgaan als hierop nu ineens een e-mail binnenkomt.
En Odido maar ook diverse andere organisaties zullen daarvan dan ook zeker op de hoogte worden gesteld. En ik vrees dat partijen die data misbruiken daar ook zeker van op de hoogte zijn. Dus stellen dat als er betaald zou zijn, gegevens als nog achteraf gegevens verkocht zouden worden en dat het dan niet zou opvallen klopt niet. Daarmee zou ShinyHunters zich dan als nog in de vingers hebben gesneden.
Wat maakt dat nu nog uit? De gegevens zijn gelekt. Massaal overstappen is het enige wat ze nu nog raakt. Het enige waar ze iets om geven is geld. Ik heb mijn mobiele abonnement al overgezet.
Maakt weinig uit, voor een groot deel van de mensen spreekt de portemonnee, service, kwaliteit, betrouwbaarheid van het netwerk.
Als de portomonee zou spreken stapt men masaal over na de contractperiode, een ander heeft wel weer een flitsende aanbieding met kortingen tot 50% voor een jaar op een tweejarig contract.
Je hebt nu een deel opstappers, bewust door de hack en de reactie van Odido.
En het grootste deel gaat voor gemakzucht, want we raken onze e-mail kwijt, moeten alles weer opnieuw aansluiten, lastig vervelend.
Alleen zullen ze nu ook minder nieuwe klanten gaan verwelkomen, dus klanten aantal zal wel afnemen, maar niet genoeg om ze om te laten vallen, gelukkig maar, of de schuldenlast moet te groot zijn die Apax en Warburg ze aangesmeerd heeft.
Betalen haalt niets uit. De data word dan echt niet vernietigd ofzo. Eenieder die dat geloofd heeft teveel sprookjes gelezen.
De betreffende hackersgroep heeft dus ver bij alle eerderen hacks wel degelijk daad bij woord gevoegd als bedrijven betaalde.
Dat kan niemand weten. Als ze die data stiekem aan iemand anders verkopen komt niemand daar achter. En misschien hebben ze het nog niet gedaan. Maar ze kunnen het altijd nog doen in de toekomst.
Het argument dat we 'niets kunnen weten' is een rookgordijn. Odido heeft toegegeven dat de hack ontstond door een simpele phishingmail. Dat is geen brute overmacht, dat is een falende beveiligingsstructuur.
Door vervolgens niet te onderhandelen terwijl de historie van deze groep leert dat betaling publieke verspreiding voorkomt, heeft Odido een bewuste gok genomen met jouw en mijn privégegevens. Ze hebben de kans op schade voor de klant van 10% (het risico op stiekem doorverkopen) naar 100% (publieke dump) gebracht. Dat is geen 'overmacht', dat is nalatigheid stapelen op nalatigheid om onder een schadeclaim uit te komen.
En weer een nieuwe vonds in de gegevens.
Je zal er maar in staan met je gegevens terwijl je op een geheim adres woont omdat je bedreigd word.
De ministers zal me een zorg zijn, zij willen toch niet dat er betaald word, is een officieel regerings standpunt.
Enter your E-mail address. We'll send you an e-mail with instructions to reset your password.
