Klantgegevens jaren bewaard, privacywaakhond stelt vragen aan Odido
De vragen van de toezichthouder richten zich uitsluitend op het mogelijk te lang bewaren van gegevens en niet op de dataroof zelf. De AP heeft niet bekendgemaakt wanneer Odido moet reageren en welke vervolgstappen eventueel worden overwogen.
De AP schrijft op de eigen website dat er in de Algemene verordening gegevensbescherming (AVG) geen concrete bewaartermijn voor persoonsgegevens staat. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren, maar 'het mag niet langer dan noodzakelijk is'.
Geen losgeld
De cybercriminele groep ShinyHunters zit achter de hack op Odido en de diefstal van gegevens van miljoenen klanten. Het gaat onder meer om namen, adressen, bankrekeningnummers, paspoortgegevens en ook burgerservicenummers. Dat ontdekte RTL Nieuws vandaag.
Odido-datalek erger dan gemeld, ook burgerservicenummers gelekt
Op het darkweb wordt Odido onder druk gezet om meer dan een miljoen euro aan losgeld te betalen. Het bedrijf heeft laten weten daar niet op in te gaan. "Op advies van toonaangevende cybersecurityadviseurs en relevante overheidsinstanties heeft Odido besloten niet met deze criminelen te onderhandelen en zich niet te laten chanteren", aldus het bedrijf in een verklaring.
Daarom heeft de hackersgroep een deel van de buitgemaakte klantgegevens op het darkweb gepubliceerd. Het gaat om een eerste deel, later volgt mogelijk meer.
Te lang opgeslagen
Odido liet vorige week weten zelf te onderzoeken of oude klantgegevens mogelijk te lang zijn bewaard. Het bedrijf zegt vragen te hebben ontvangen van mensen die aangeven al jaren geen klant meer te zijn, maar toch een e-mail kregen met de mededeling dat hun persoonsgegevens mogelijk zijn buitgemaakt.
Politie
De politie probeert zoveel mogelijk te voorkomen dat de gestolen klantgegevens van Odido verder worden verspreid. Volgens Stan Duijf, als hoofd Operatiën verantwoordelijk voor de aanpak van cybercrime, is het al gelukt om diverse servers offline te halen die de hackers gebruikten voor het opslaan of verspreiden van data. Hoeveel van de miljoenen gestolen gegevens inmiddels toch in foute handen zijn gekomen, kan Duijf niet aangeven. "De gestolen data staat op het normale internet, op een Russische server. Die krijgt de politie niet offline", zegt techjournalist Daniël Verlaan.
OM start strafrechtelijk onderzoek naar grote cyberaanval bij Odido
Duijf stelt dat de politie zich de komende tijd blijft inspannen om verspreiding te voorkomen. Daarbij wordt ook uitgezocht om welke gegevens het precies gaat. De politie heeft een opsporingsteam op de zaak gezet. Dat betekent dat zich gemiddeld ongeveer dertig mensen met de zaak bezighouden. Odido deed eerder zelf aangifte. Wanneer de politie weer nieuwe informatie kan delen, durft Duijf niet te zeggen.
In deze video vertelt techjournalist Daniël Verlaan over het Odido-lek:
