Gestolen data honderdduizenden Odido-klanten gepubliceerd op dark web

Dat blijkt uit onderzoek van RTL Nieuws, dat de gelekte dataset heeft geanalyseerd en geverifieerd. Shinyhunters zegt de komende zestien dagen nog veel meer gestolen gegevens van Odido-klanten naar buiten te brengen. 

Odido zegt zelf dat de privégegevens van 6,2 miljoen klanten zijn gestolen. Shinyhunters stelt dat het de privégegevens van meer dan 10 miljoen klanten en oud-klanten in bezit heeft. Daarvan is vandaag een eerste deel op het dark web verschenen. 

275.00 IBAN's

Het gaat onder meer om 275.000 IBAN's: gegevens die zeer gewild zijn bij criminelen voor allerlei vormen van fraude. Daarvan is een deel ook van oud-klanten die al jaren geen klant meer zijn. 

Odido wil niet op vragen van RTL Nieuws reageren zolang het onderzoek loopt. De Autoriteit Persoonsgegevens heeft Odido om opheldering gevraagd over het mogelijk te lang bewaren van gegevens.

Dit is er gepubliceerd

De gestolen gegevens bevatten informatie uit het klantensysteem van Odido. Het gaat om de gegevens van zo'n 430.000 personen en 290.000 bedrijven. In de gelekte data zijn onder andere te vinden:

• Volledige namen
• Woonadressen
• Telefoonnummers
• E-mailadressen
• IBAN's
• Aantekeningen van klantenservice
• Wie er aanmaningen of sommaties krijgt 

Zo valt te zien welke tienduizenden mensen hun rekeningen niet kunnen of willen betalen, soms ook met een reden erbij. Ook laten de data zien of iemand een BKR-registratie of een bewindvoerder heeft. In de aantekeningen valt onder andere te lezen wie er voor fraude is onderzocht of wie zich (fysiek) agressief tegen winkelpersoneel van Odido heeft gedragen. 

Ook de gegevens van zo'n 700 bedrijven die geen klant zijn, maar wel ooit zijn benaderd om dat te worden, zijn te vinden in de gelekte gegevens. In het lek zitten vooralsnog geen documentnummers van paspoorten, rijbewijzen en identiteitskaarten, maar de hackers hebben die gegevens van een onbekend aantal klanten wel in handen. Naar verwachting worden die de komende dagen dus alsnog gepubliceerd. 

Voor klanten van Odido is het op dit moment niet mogelijk om op een legale manier te checken of hun gegevens zijn gepubliceerd.

Odido gaat niet betalen

De groep achter de hack is Shinyhunters, meldde RTL Nieuws eerder deze week. De groep is zo'n zes jaar actief onder deze naam. Shinyhunters wil meer dan een miljoen euro aan losgeld in ruil voor het stoppen van het lekken van de data de komende zestien dagen.

Odido (tot 2023 T-Mobile, Tele2 en Tweak) zegt zelf niet van plan te zijn te betalen. "Op advies van toonaangevende cybersecurityadviseurs en relevante overheidsinstanties heeft Odido besloten niet te onderhandelen met deze criminelen en zich niet door hen te laten chanteren", schrijft de provider in een verklaring op hun website. 

"Daar hebben wij niks aan toe te voegen", reageren de hackers van Shinyhunters tegen RTL Nieuws. "Geniet van de dagelijkse datalekken de komende dagen! Elke dag zal er gevoeligere data verschijnen."

Weet jij meer over dit datalek of over de onderhandelingen tussen Odido en Shinyhunters? Tip de redactie: