Gestolen Odido-data gebruikt op sociale media en websites

Als je klant bent bij Odido, is de kans groot dat je je nu afvraagt wat er met je gegevens gebeurt. De gestolen data staan niet meer alleen op het darkweb, maar duiken ook op op sociale media en gewone websites. Dat voelt al snel alsof je geen grip meer hebt op je eigen gegevens.

Toch kun je wel degelijk een paar dingen doen om de schade te beperken. Het helpt als je snapt wat er rondgaat, wat mag en wat niet, en hoe je jezelf zo goed mogelijk beschermt. Zie het als opruimen na een inbraak: je kunt het niet terugdraaien, maar je kunt wel zorgen dat het niet nog erger wordt.

Wat er met de gestolen Odido-data gebeurt

De gegevens van ruim zes miljoen Nederlanders uit de Odido-hack zijn volledig gelekt en beland op het darkweb. Het gaat niet alleen om namen en adressen, maar ook om dingen als geboortedata, klantnummers, paspoortnummers en soms bankgegevens. Dat is precies het soort informatie waar criminelen iets mee kunnen.

Je ziet nu dat delen van die data doorsijpelen naar het gewone internet. Op sociale media worden lijstjes en grafieken gedeeld die zouden zijn gebaseerd op de Odido-set. Ook zijn er websites gemaakt waar je zelf kunt checken of je in de gelekte gegevens voorkomt.

Het probleem is dat hoe vaker die data worden gekopieerd en gedeeld, hoe lastiger het wordt om de schade te beperken. Elke nieuwe kopie is een nieuw risico. Denk aan identiteitsfraude, maar ook aan doxing: dat iemand je gegevens online zet om je bang te maken of onder druk te zetten.

Zelf in die data gaan neuzen, ook uit nieuwsgierigheid, maakt de situatie voor slachtoffers alleen maar erger. Je vergroot de kans dat gegevens verder verspreid raken of op plekken belanden waar ze nooit meer weggaan. Het is dus beter om er zo min mogelijk mee in aanraking te komen, ook al ben je benieuwd of je ertussen staat.

Waarom het gebruiken en verspreiden van de data strafbaar kan zijn

De gestolen Odido-data zijn verkregen door een misdrijf. Juridisch valt het verspreiden of gebruiken van zulke gegevens al snel onder heling. Dat betekent dat je je schuldig kunt maken aan een strafbaar feit, ook als je zelf niet hebt gehackt.

Toch ligt het niet helemaal zwart-wit. In de wet is een uitzondering voor situaties waarin iemand te goeder trouw handelt in het algemeen belang. Denk aan serieuze onderzoeksjournalistiek of wetenschappelijk onderzoek, met duidelijke afspraken, beveiligde systemen en zo min mogelijk herkenbare gegevens.

Maar die grens is voor gewone gebruikers lastig te zien. Als jij bijvoorbeeld een dataset downloadt om er zelf mee te gaan spelen, of grafiekjes maakt en die op X of Instagram zet, dan val je vrijwel zeker buiten die uitzondering. Dan kun je je niet verschuilen achter het argument dat je het voor onderzoek doet.

Het Openbaar Ministerie richt zich vooral op de criminelen achter de hack, maar sluit niet uit dat ook gebruikers worden aangepakt. Zeker als er sprake is van misbruik, zoals iemand doelbewust zwartmaken, oplichten of onder druk zetten met gelekte gegevens. De straf kan variëren van een boete tot maximaal een jaar gevangenisstraf.

Hoe je veilig kunt checken of jouw gegevens gelekt zijn

Je eerste reflex is waarschijnlijk: ik wil weten of ik ertussen sta. Dat is logisch. Alleen is zelf op zoek gaan naar de ruwe dataset op het darkweb of via vage websites geen goed idee.

Je komt dan in aanraking met gestolen materiaal en je weet nooit wat je ondertussen nog meer binnenhaalt. Denk aan virussen, afpersingspogingen of sites die jouw gegevens weer misbruiken. Bovendien help je zo mee aan het in stand houden van dat circuit.

Er zijn gelukkig veiligere manieren. Zo is er een website gemaakt door een ict’er, Joost Schuttelaar, waar je kunt checken of je gegevens in de Odido-set voorkomen. Hij werkt met versleutelde varianten van gegevens, zoals e-mailadressen en telefoonnummers, zodat jouw echte gegevens niet als leesbare tekst op zijn site staan.

Daardoor staat er geen directe kopie van persoonsgegevens op zijn site, terwijl jij wel kunt testen of je geraakt bent. Een IT-jurist noemt de aanpak technisch veilig, maar wijst er ook op dat de bron nog steeds gestolen is. Juridisch blijft het dus een grijs gebied, ook al is de bedoeling goed.

De meest veilige en duidelijke optie is de controlepagina van de politie. Daar kun je checken of je in de Odido-dataset voorkomt, zonder dat je in de buurt komt van de gestolen bestanden zelf. Gebruik bij voorkeur dit soort officiële kanalen en vermijd onbekende sites die beloven dat je alles kunt inzien.

Stappenplan om gecontroleerd te checken

Als je wilt weten of jouw gegevens zijn gelekt, kun je het zo aanpakken:

1. Zoek de officiële controlepagina van de politie via de site van de politie of via een link van een betrouwbare nieuwsbron.
2. Controleer in de adresbalk of je echt op de site van de politie zit en of de verbinding beveiligd is.
3. Vul alleen de gegevens in die echt nodig zijn voor de check, niet meer.
4. Maak geen screenshots van de uitkomst en deel die niet op sociale media.
5. Noteer voor jezelf de uitkomst en gebruik die om te bepalen hoe alert je de komende tijd moet zijn.

Gevaar van misbruik: identiteitsfraude, doxing en misleidende statistieken

Met gegevens als adres, geboortedatum, paspoortnummer en bankinformatie kun je meer dan alleen spam versturen. Criminelen kunnen zich bijvoorbeeld voordoen als jou bij een bank of webwinkel. Of ze gebruiken de gegevens om extra informatie over je te verzamelen, tot ze genoeg hebben om een lening aan te vragen of een account over te nemen.

Daarnaast is er het risico op doxing. Dat is het bewust online zetten van iemands persoonsgegevens om diegene onder druk te zetten, te intimideren of zwart te maken. Zeker als je een zichtbaar beroep hebt of actief bent op sociale media, kan dat flink binnenkomen.

Een adres of telefoonnummer dat eenmaal rondgaat, krijg je niet makkelijk meer weg. Ook als je later accounts verwijdert, blijven kopieën vaak bestaan. Dat maakt het gevoel van onveiligheid groter, omdat je niet meer weet wie wat over jou heeft.

Er is ook een andere, minder zichtbare vorm van misbruik: mensen die met de dataset gaan spelen om er zogenaamd interessante conclusies uit te trekken. Op X gaan nu bijvoorbeeld statistieken rond die beweren een verband te laten zien tussen achternamen, afkomst, fraude en wanbetaling. Zulke grafiekjes leiden al snel tot racistische reacties en vooroordelen.

Daar komt nog bij dat wie de data door een AI-model haalt, die gegevens ook deelt met het bedrijf achter die AI. Dan liggen de gestolen gegevens ineens bij nog een partij. Dat is niet alleen onzorgvuldig, je verliest ook elk overzicht waar jouw gegevens allemaal rondzwerven.

Signalen dat je gegevens mogelijk worden misbruikt

Je kunt niet alles voorkomen, maar je kunt wel letten op signalen. Let vooral op dingen die net even anders zijn dan normaal. Denk aan:

• Brieven of mails over leningen, abonnementen of bestellingen die jij niet hebt aangevraagd.
• Onbekende afschrijvingen of kleine bedragen die testbetalingen kunnen zijn.
• Plots veel inlogmails of wachtwoordresets voor accounts die je zelf niet hebt gestart.
• Telefoontjes van zogenaamd je bank of overheid, waarbij ze al opvallend veel over je weten.

Zie je dit soort dingen, reageer dan snel. Hoe eerder je erbij bent, hoe makkelijker het is om schade te beperken.

Wanneer gebruik in het algemeen belang wel kan

Er zijn situaties waarin werken met gelekte data toch verdedigbaar is. Denk aan journalisten die misstanden willen aantonen, of onderzoekers die willen laten zien hoe groot de impact van zo’n hack is. Zij werken meestal onder strenge regels, met beveiligde systemen en duidelijke afspraken over wat wel en niet wordt gepubliceerd.

Een IT-jurist vergelijkt het met asbest of giftige grond. Je gaat dat niet zelf uit je tuin scheppen zonder bescherming en kennis. Daar heb je mensen voor die weten wat ze doen en die zich aan regels moeten houden.

Met gestolen data zou je eigenlijk net zo voorzichtig moeten zijn. Voor jou als gewone gebruiker betekent dit vooral: ga er niet zelf mee knutselen. Ook niet voor de grap of uit nieuwsgierigheid.

Laat het verwerken van zulke data over aan partijen die weten wat ze doen en die er ook op aangesproken kunnen worden als het misgaat. Twijfel je of iets in het algemeen belang is, dan is de kans groot dat het dat niet is. De vraag of iets echt onder die uitzondering valt, kan uiteindelijk alleen een rechter beantwoorden.

Wat jij nu praktisch kunt doen om jezelf te beschermen

Als je vermoedt dat jouw gegevens bij de Odido-hack zijn buitgemaakt, kun je een paar concrete stappen zetten. Begin met het controleren via een betrouwbare site, zoals de pagina van de politie. Zo weet je of je extra alert moet zijn.

Daarna is het vooral zaak om het criminelen zo lastig mogelijk te maken. Je kunt niet voorkomen dat de gegevens al zijn gestolen, maar je kunt wel zorgen dat ze minder bruikbaar zijn. Zie het als extra sloten op de deur zetten als je weet dat er in de buurt is ingebroken.

• Versterk je wachtwoorden: gebruik voor belangrijke accounts unieke wachtwoorden en een wachtwoordmanager als je dat fijn vindt.
• Zet tweestapsverificatie aan: vooral bij je mail, bank, sociale media en accounts waar geld of identiteitsgegevens aan hangen.
• Houd je bankrekening in de gaten: check regelmatig je afschriften en stel meldingen in voor betalingen boven een bepaald bedrag.
• Let op phishing: klik niet zomaar op links in mails of sms’jes, ook niet als er gegevens in staan die kloppen.
• Update je apparaten: zorg dat je telefoon, laptop en apps up-to-date zijn, zodat bekende lekken zijn gedicht.

Overweeg om belangrijke documenten extra in de gaten te houden. Als je paspoortnummer is gelekt, kun je bij nieuwe reizen of aanvragen net wat alerter zijn. Zie je rare afschrijvingen op je rekening, neem dan direct contact op met je bank.

Wees ook voorzichtig met wat je zelf nog online zet. Als er al veel over jou rondgaat door de hack, is het fijn als je niet nog meer puzzelstukjes toevoegt via sociale media. Denk aan geboortedata, adressen of foto’s van documenten.

Checklist voor thuis: wat je vandaag al kunt regelen

Wil je het gewoon even goed aanpakken, loop dan deze lijst rustig door:

1. Check via de politie of je in de Odido-dataset voorkomt.
2. Controleer je belangrijkste mailadres en zet daar tweestapsverificatie op.
3. Loop je bankapp na en stel meldingen in voor betalingen en nieuwe incasso’s.
4. Verwijder oude documenten met gevoelige gegevens uit je mail en cloud als je ze niet meer nodig hebt.
5. Pas wachtwoorden aan van accounts die je ook bij Odido gebruikte.
6. Kijk je sociale media-profielen na en haal daar overbodige persoonlijke info weg.

Hoe je omgaat met angst, boosheid en wantrouwen na zo’n datalek

Een datalek zoals bij Odido raakt je niet alleen praktisch, maar ook mentaal. Het idee dat iemand met jouw paspoortnummer of adres rondloopt, voelt gewoon niet fijn. Je kunt je er machteloos of boos door voelen, zeker omdat je hier zelf niet om hebt gevraagd.

Het helpt om voor jezelf helder te hebben wat je wel kunt doen. Check of je geraakt bent, neem de basismaatregelen en houd je bank en belangrijke accounts extra in de gaten. Als je die stappen hebt gezet, hoef je niet elke dag alles opnieuw te controleren.

Praat erover als je er onrustig van wordt. Je bent echt niet de enige die hiermee te maken heeft, het gaat om miljoenen mensen. Door het te delen met vrienden, familie of collega’s merk je vaak dat anderen hetzelfde voelen en kun je elkaar praktische tips geven.

Blijf ook kritisch op wat je online leest over de hack. Niet elke grafiek of onthulling die rondgaat klopt. Baseer je vooral op informatie van betrouwbare partijen, zoals de politie, toezichthouders en serieuze nieuwsmedia.

Merk je dat je er echt slecht van slaapt of dat je continu bezig bent met wat er allemaal mis kan gaan, dan kun je ook even met je huisarts overleggen. Soms helpt het al als iemand met wat afstand met je meedenkt. Je hoeft dit niet in je eentje te dragen.

Hoe je je digitale huishouden op orde brengt

Zo’n groot datalek legt vaak pijnlijk bloot hoe rommelig ons digitale leven eigenlijk is. Overal accounts, overal gegevens, en vaak hergebruik je hetzelfde wachtwoord. Dat maakt je kwetsbaarder dan nodig is.

Zie dit als een aanleiding om je digitale huishouden op te ruimen. Net als een grote schoonmaak in huis, maar dan voor je online spullen. Je hoeft het niet in één dag te doen, als je maar ergens begint.

Begin met een lijstje van de belangrijkste diensten die je gebruikt: mail, bank, zorg, energie, webwinkels waar je vaak komt. Check per dienst of je wachtwoord sterk en uniek is en of tweestapsverificatie aan staat. Oude accounts die je niet meer gebruikt, kun je beter opzeggen of laten verwijderen.

Kijk ook naar wat je bewaart. Oude kopieën van paspoorten, loonstroken of contracten in je mail of cloud zijn handig, maar ook een risico. Als je ze niet meer nodig hebt, kun je ze beter weggooien of lokaal opslaan op een plek die niet standaard online staat.

Door dit stap voor stap te doen, maak je jezelf minder afhankelijk van hoe goed bedrijven hun beveiliging op orde hebben. Je hebt dat niet volledig in de hand, maar je kunt wel zorgen dat er minder te halen valt als er ergens iets misgaat.