Odido waarschuwt voor grootschalig datalek: mogelijk 6,2 miljoen klantgegevens buitgemaakt bij cyberaanval

Telecomprovider Odido heeft bekendgemaakt dat het slachtoffer is geworden van een cyberaanval waarbij persoonsgegevens van klanten zijn buitgemaakt. Het gaat om een beveiligingsincident dat plaatsvond in het weekend van 7 en 8 februari. Volgens het bedrijf hebben onbevoegden toegang gekregen tot een klantcontactsysteem en daaruit gegevens gedownload. Mogelijk betreft het een dataset met informatie van circa 6,2 miljoen klanten.

Onbevoegde toegang tot klantcontactsysteem

De aanval richtte zich specifiek op een systeem dat wordt gebruikt voor klantcontact en klantenservice. Cybercriminelen wisten toegang te verkrijgen tot dit systeem en hebben daar een bestand met klantgegevens gedownload. Odido benadrukt dat het incident beperkt bleef tot dit specifieke systeem en dat de operationele infrastructuur – waaronder netwerken voor mobiel, internet en televisie – niet is getroffen.

Volgens een woordvoerder kan het genoemde aantal van 6,2 miljoen records dubbeltellingen bevatten. Klanten die bijvoorbeeld zowel een mobiel als een vast abonnement hebben, kunnen meerdere keren in de dataset voorkomen. Het daadwerkelijke aantal unieke personen ligt daardoor mogelijk lager.

Welke gegevens zijn mogelijk uitgelekt?

De provider geeft aan dat verschillende soorten persoonsgegevens mogelijk onderdeel zijn van het gelekte bestand. Het gaat onder meer om:

• Volledige naam
• Adresgegevens
• Mobiel telefoonnummer
• Klantnummer
• E-mailadres
• IBAN-rekeningnummer
• Geboortedatum
• Identificatiegegevens, zoals paspoort- of rijbewijsnummer en informatie over de geldigheidsduur daarvan

Odido benadrukt dat er geen scans of kopieën van identiteitsbewijzen zijn buitgemaakt. Ook zijn er volgens het bedrijf geen wachtwoorden, belgegevens, locatiegegevens of factuurspecificaties betrokken bij het incident.

Hackers namen zelf contact op

De cybercriminelen hebben volgens Odido zelf laten weten dat zij over de gegevens beschikken. Na deze melding heeft het bedrijf direct maatregelen genomen om de onbevoegde toegang te beëindigen en verdere schade te beperken. Odido wil niet bevestigen of er sprake is geweest van een eis tot losgeld.

Klanten worden geïnformeerd

Klanten van wie gegevens mogelijk zijn betrokken bij het datalek worden individueel geïnformeerd via e-mail of sms. Vanwege het grote aantal betrokkenen kan het tot 48 uur duren voordat iedereen op de hoogte is gesteld.

Daarnaast adviseert Odido alle klanten om extra alert te zijn op phishingpogingen. Met name omdat gevoelige persoonsgegevens zoals IBAN-nummers en identificatiegegevens mogelijk in handen van criminelen zijn gekomen, bestaat het risico dat deze informatie wordt misbruikt voor gerichte fraude. Klanten wordt aangeraden voorzichtig te zijn met links in e-mails, sms-berichten en berichten via apps, en geen persoonlijke informatie te delen bij twijfel over de afzender.

Melding bij toezichthouder en extra beveiligingsmaatregelen

Het incident is gemeld bij de Autoriteit Persoonsgegevens, zoals wettelijk verplicht is bij ernstige datalekken. Odido geeft aan aanvullende beveiligingsmaatregelen te hebben getroffen om herhaling te voorkomen. Over de exacte aard van die maatregelen doet het bedrijf geen verdere mededelingen.

Hoewel de aanval aanzienlijke impact kan hebben vanwege de aard en omvang van de gelekte gegevens, benadrukt Odido dat klanten hun telecomdiensten – zoals bellen, internetten en televisie kijken – zonder risico kunnen blijven gebruiken. De kernsystemen van het netwerk zijn volgens het bedrijf niet aangetast. Het onderzoek naar de toedracht van de cyberaanval en de precieze omvang van het datalek loopt nog.

Door: Drifter