Wat er precies is gelekt bij Odido
Als je klant bent bij Odido en je hoort over het datalek, vraag je je al snel af wat er met jouw gegevens kan gebeuren.
Het vervelende is: die data blijft niet netjes op een harde schijf liggen, criminelen gaan er actief mee aan de slag.
Ze koppelen de gelekte gegevens aan andere bronnen en zoeken zo gericht uit bij wie er echt wat te halen valt.
Bij de hack op Odido zijn grote hoeveelheden klantgegevens buitgemaakt.
Het gaat niet om je bankwachtwoorden, maar wel om persoonlijke gegevens die voor oplichters heel bruikbaar zijn.
Denk aan je naam, adres, geboortedatum, klantnummers, contactgegevens en soms info over je abonnement of aantal aansluitingen.
Op zichzelf lijkt dat misschien niet dramatisch, want je naam en adres staan op meer plekken.
Maar hier gaat het om een compleet pakket, direct gekoppeld aan een telecomabonnement en je telefoonnummer.
Dat maakt het voor criminelen veel makkelijker om zich geloofwaardig voor te doen als Odido of als een bedrijf dat met jouw nummer of adres te maken heeft.
De hackersgroep achter de aanval heeft delen van de buitgemaakte data online gezet.
Daardoor kan niet één bende ermee aan de haal gaan, maar kan elke handige oplichter de bestanden downloaden en hergebruiken.
Dat verspreidt het risico en zorgt ervoor dat misbruik nog jaren kan doorgaan, ook als het nieuws allang weer weggezakt is.
Hoe criminelen gelekte data combineren met andere hacks
Criminelen werken al lang niet meer met één los lijstje namen uit één datalek.
Ze bouwen grote verzamelbestanden met gegevens uit allerlei eerdere hacks, datalekken en openbare bronnen.
De Odido-data is voor hen gewoon weer een nieuw puzzelstukje dat ze in die grote bak met informatie kunnen schuiven.
Zo koppelen ze Odido-gegevens aan oude lekken van webwinkels, fora, bezorgdiensten of andere diensten waar je ooit een account had.
Als jouw e-mailadres, telefoonnummer en adres in meerdere lekken terugkomen, wordt het profiel dat ze van je hebben steeds completer.
Daar voegen ze openbare info aan toe, zoals Kamer van Koophandel, LinkedIn, Facebook of Instagram.
Met zoektools en scripts scannen ze zowel het internet als hun eigen gestolen databases.
Ze zoeken naar combinaties als eigen bedrijf, directeur, freelancer, luxe auto of net verhuisd.
Op basis daarvan maken ze lijstjes met mensen bij wie de kans op een geslaagde oplichting groter is.
De Odido-hack geeft ze daarbij een extra ingang: ze hebben direct een telefoonnummer, klantnummer en een geloofwaardig verhaal om je te bellen of te sms’en.
Met die combinatie kunnen ze veel overtuigender overkomen dan met een standaard phishingmail.
Waarom ze vooral willen weten of je geld hebt
Criminelen willen zo min mogelijk moeite doen voor zo veel mogelijk opbrengst.
Hun belangrijkste vraag is daarom: heb jij geld, of toegang tot geld, en ben je te sturen met angst of druk?
De gelekte Odido-data helpt ze om dat beter in te schatten zonder dat ze je ooit gezien hebben.
Heb je meerdere mobiele lijnen op je naam, zakelijke aansluitingen of dure abonnementen, dan kan dat een signaal zijn dat je meer te besteden hebt.
Koppelen ze die gegevens aan andere lekken waar bijvoorbeeld je functie, salarisindicatie of type auto in staat, dan wordt het beeld nog scherper.
Zo maken ze een soort ranglijst: wie is de moeite waard voor een uitgebreide, persoonlijke poging en wie niet.
Bij mensen met een hoger risicoprofiel zetten ze zwaardere middelen in.
Dan krijg je geen simpele phishingmail, maar bijvoorbeeld langdurige nepsupport, geloofwaardige brieven of een combinatie van e-mail, sms en telefoontjes.
Bij anderen proberen ze het met massa-aanvallen: duizenden standaardberichten in de hoop dat er een paar happen.
Het gaat dus niet alleen om of je rijk bent, maar ook om hoe makkelijk je te beïnvloeden lijkt.
Ben je ouder, heb je weinig online ervaring of lijk je snel in paniek te raken, dan ben je voor hen een aantrekkelijker doelwit.
Daarom is het belangrijk dat je je realiseert dat jouw gegevens in omloop kunnen zijn, ook als je zelf nooit iets geks hebt gedaan.
Typische trucs die je nu kunt verwachten
Als je gegevens in het Odido-lek zitten, kun je de komende tijd verschillende soorten pogingen voorbij zien komen.
De meest logische is het neptelefoontje van Odido of de zogenaamde fraudeafdeling.
Ze noemen je naam, klantnummer of adres om vertrouwen te winnen en doen alsof ze je helpen.
Een veelgebruikte truc is dat er een probleem zou zijn met je rekening, een openstaande betaling of een nieuw beveiligingssysteem.
Je zou dan een app moeten installeren, een betaalverzoek moeten voldoen of moeten inloggen via een link die ze sturen.
Omdat ze echte gegevens van je kunnen noemen, voelt het al snel alsof het klopt.
Daarnaast kun je sms’jes of mails krijgen die lijken op officiële berichten van Odido, je bank of een pakketdienst.
Bijvoorbeeld over een verificatie van je telefoonnummer, een nieuwe simkaart, een pakket dat vaststaat of een korting op je abonnement.
De link in dat bericht leidt dan naar een nagemaakte website waar je inlogt met je bankgegevens of andere gevoelige info.
Ook kunnen ze zich voordoen als webwinkel, energiebedrijf of overheidsinstantie, waarbij ze je adres en telefoonnummer gebruiken om geloofwaardig over te komen.
Het patroon is bijna altijd hetzelfde: er is zogenaamd een probleem of een kans, en jij moet snel iets doen.
Hoe minder tijd je neemt om na te denken, hoe groter hun kans op succes.
Hoe je jezelf herkent als doelwit
Je kunt nooit met zekerheid zien of jouw gegevens uit het Odido-lek worden misbruikt, maar er zijn wel signalen waar je op kunt letten.
Merk je ineens veel meer onbekende telefoontjes, zeker met een buitenlands nummer of met een vaag verhaal, dan is dat een eerste waarschuwing.
Ook een toename van sms’jes of e-mails over betalingen, pakketjes of inlogpogingen kan erop wijzen dat je op een lijst bent beland.
Let vooral op berichten die opvallend veel over jou lijken te weten.
Als iemand aan de telefoon je volledige naam, adres of klantgegevens noemt, voelt dat veilig, maar dat is precies de truc.
Vraag jezelf steeds af: heb ik hier zelf om gevraagd, en klopt het dat dit bedrijf mij nu belt of sms’t?
Een ander signaal is dat je berichten krijgt die net niet kloppen: een oud adres, een verkeerde aanhef of een rare combinatie van gegevens.
Dat kan betekenen dat iemand verschillende gelekte bestanden door elkaar gebruikt en niet alles up-to-date is.
Neem dat soort foutjes serieus en ga er niet automatisch vanuit dat het dan wel onschuldig zal zijn.
Zie je onbekende inlogmails, wachtwoordresets of meldingen van nieuwe apparaten op je accounts, dan moet er direct een alarmbel afgaan.
Ook als je bank ongebruikelijke transacties of inlogpogingen meldt, kun je er vanuit gaan dat jouw gegevens ergens rondzwerven.
Concrete stappen om schade te beperken
Je kunt het datalek zelf niet terugdraaien, maar je kunt wel zorgen dat criminelen minder kans hebben om er iets mee te doen.
Begin met alles wat direct met geld te maken heeft en werk daarna stap voor stap verder.
Zie het als een kleine onderhoudsbeurt voor je digitale leven.
Checklist voor je bank en betalingen
- Controleer je recente bij- en afschrijvingen in je bankapp en op je creditcard.
- Zet waar mogelijk tweestapsverificatie aan, bijvoorbeeld via een app in plaats van sms.
- Check of er onbekende betaalpassen, incasso’s of gekoppelde apparaten aan je rekening hangen.
- Pas je pincode nooit op verzoek van iemand aan de telefoon aan, hoe geloofwaardig het verhaal ook klinkt.
- Bel bij twijfel altijd zelf je bank via het nummer op de officiële website of in de app.
Checklist voor je accounts en apparaten
- Begin met je belangrijkste accounts: e-mail, Apple ID of Google-account, en je bank.
- Verander de wachtwoorden van die accounts in sterke, unieke wachtwoorden.
- Zet tweestapsverificatie aan voor je mail, cloudopslag, sociale media en belangrijke webwinkels.
- Controleer op je telefoon en laptop welke apps toegang hebben tot je gegevens en verwijder wat je niet meer gebruikt.
- Installeer updates voor je telefoon, laptop en apps, zodat bekende beveiligingslekken zijn gedicht.
Neem hier rustig even de tijd voor, bijvoorbeeld een avondje op de bank met je laptop erbij.
Het is niet leuk om te doen, maar het scheelt je een hoop gedoe als er ooit echt iets misgaat.
Omgaan met verdachte telefoontjes, sms en e-mail
De meeste pogingen beginnen met contact: een belletje, sms of mail.
Als je daar anders mee omgaat, haal je al een groot deel van de angel eruit.
Je hoeft geen expert te zijn, een paar simpele regels helpen al veel.
Bij telefoontjes geldt: vertrouw nooit blind op wie er aan de andere kant van de lijn zegt te zijn.
Zegt iemand dat hij van Odido, je bank of de politie is, hang dan gerust op en bel zelf het officiële nummer dat je kent.
Een echte medewerker zal dat geen probleem vinden, een oplichter haakt dan af.
Laat je niet opjagen met verhalen over direct blokkeren, boetes of aangiftes.
Alles wat echt belangrijk is, kan ook over een uur nog geregeld worden.
Dat geldt ook voor sms en e-mail: klik niet zomaar op links, zeker niet als het over geld, inloggen of verificatie gaat.
Typ liever zelf het webadres in je browser of gebruik de officiële app van je bank of provider.
Twijfel je, maak een screenshot en vraag iemand in je omgeving even mee te kijken.
Je kunt ook de klantenservice van het bedrijf bellen en vragen of het bericht echt van hen komt.
Wat dit zegt over hoe we met data omgaan
De Odido-hack laat vooral zien hoe kwetsbaar je bent als grote bedrijven enorme hoeveelheden data verzamelen en jarenlang bewaren.
Je hebt vaak weinig keuze: je wilt een telefoonabonnement, dus je levert je gegevens in.
Toch kun je wel kritischer worden op welke info je daarnaast nog meer deelt en met wie.
Bij elk nieuw account kun je jezelf afvragen: is het echt nodig dat ik hier mijn geboortedatum, adres of telefoonnummer achterlaat?
Vaak kun je met minder gegevens ook prima gebruikmaken van een dienst.
Hoe minder er over je opgeslagen wordt, hoe minder er kan lekken als er iets misgaat.
Ook kun je slimmer omgaan met het hergebruiken van gegevens.
Gebruik bijvoorbeeld niet overal hetzelfde e-mailadres en zeker niet overal hetzelfde wachtwoord.
Zo maak je het lastiger om verschillende lekken aan elkaar te koppelen en een compleet profiel van je te bouwen.
Een wachtwoordmanager kan je helpen om dit vol te houden zonder alles te hoeven onthouden.
Dat voelt misschien overdreven, maar het maakt het criminelen echt een stuk moeilijker.
Extra manieren om jezelf beter te beschermen
Naast de basisdingen kun je nog een stap verder gaan als je het goed wilt aanpakken.
Dat hoeft niet ingewikkeld te zijn, als je het maar rustig en stap voor stap doet.
Zie het als een paar simpele gewoontes die je jezelf aanleert.
Je kunt gebruikmaken van diensten die je waarschuwen als je e-mailadres in een bekend datalek opduikt.
Dat geeft geen volledig beeld, maar het laat wel zien of jouw gegevens vaker zijn buitgemaakt.
Zie je daar je gegevens terug, verander dan meteen de wachtwoorden die je daar gebruikte en kijk of je die niet ook op andere plekken hebt hergebruikt.
Let ook op wat je zelf online zet.
Foto’s van je rijbewijs, boardingpass of contracten lijken onschuldig in een story, maar bevatten vaak meer info dan je denkt.
Met stukjes data uit sociale media en gelekte bestanden kunnen criminelen een verrassend compleet beeld van je bouwen.
Tot slot kun je af en toe een korte eigen check doen.
Google je naam in combinatie met je woonplaats of bedrijf en kijk wat er allemaal opduikt.
Alles wat je daar ziet, kan een crimineel in principe ook zien, dus hoe minder persoonlijke details, hoe beter.