Het is niet de eerste keer dat Telecombedrijf Odido onder vuur ligt om zijn digitale veiligheid. In oktober vorig jaar kreeg Odido een boete van 1,5 miljoen euro opgelegd door de Rijksinspectie Digitale Infrastructuur (RDI), nadat was vastgesteld dat de beveiliging van het wettelijk aftapsysteem — het systeem waarmee politie en inlichtingendiensten communicatie kunnen onderscheppen — op meerdere essentiële punten tekortschoot.

Groot datalek met gevoelige persoonsgegevens

De recente commotie ontstond nadat bekend werd dat persoonsgegevens van circa 6,2 miljoen accounts zijn buitgemaakt. Het gaat om uiterst gevoelige informatie, waaronder volledige namen, telefoonnummers, woonadressen en bankrekeningnummers. In een aanzienlijk aantal gevallen zijn ook identiteitsdocumentnummers gelekt, zoals paspoort- of ID-kaartnummers.

Juist die combinatie van gegevens maakt het incident bijzonder ernstig. Volgens ethisch hacker Sijmen Ruwhof vergroot de volledigheid van de dataset het risico op identiteitsfraude aanzienlijk. Met een naam die aantoonbaar overeenkomt met een officieel identiteitsdocument en gekoppeld is aan een bankrekeningnummer, kunnen kwaadwillenden bijvoorbeeld proberen automatische incasso’s af te sluiten of andere financiële verplichtingen op naam van slachtoffers aan te gaan. In criminele circuits vertegenwoordigen zulke complete datasets een hoge marktwaarde, omdat de kans op succesvolle fraude groter is wanneer gegevens onderling consistent en controleerbaar zijn.

Volgens Ruwhof wijst de hack op structurele zwaktes in de beveiligingsarchitectuur. Moderne IT-omgevingen horen te beschikken over detectie- en responssystemen die ongebruikelijke activiteiten signaleren, zoals grote dataverplaatsingen, afwijkende inlogpatronen of verdachte toegangspogingen. Als een aanvaller langdurig toegang kan krijgen tot gevoelige databases zonder tijdige detectie, duidt dat op tekortschietende monitoring, segmentatie of toegangscontrole.

Eerdere tekortkomingen bij wettelijk aftapsysteem

De eerdere boete van de RDI betrof het systeem waarmee opsporingsdiensten op grond van wettelijke bevoegdheden telecommunicatie kunnen aftappen. Aan zulke systemen worden uitzonderlijk strenge eisen gesteld. Niet alleen moet technisch worden voorkomen dat onbevoegden toegang krijgen, ook moeten procedures en personele screening op orde zijn.

Uit toezichtonderzoek over de jaren 2021 en 2022 bleek dat Odido op meerdere fronten niet voldeed aan de wettelijke verplichtingen. Zo ontbrak een formeel en gedocumenteerd beveiligingsplan waarin expliciet stond beschreven hoe het aftapsysteem werd beschermd tegen interne en externe dreigingen — een wettelijke basisvereiste. Daarnaast waren beveiligingsmaatregelen rond toegangsbeheer onvoldoende uitgewerkt.

Ook op personeelsniveau bleken tekortkomingen. Een deel van de medewerkers had geen ondertekende geheimhoudingsverklaring, en bij sommigen ontbrak een geldige Verklaring Omtrent het Gedrag (VOG). In sommige gevallen hadden medewerkers toegang tot afgetapte communicatiegegevens terwijl dat niet noodzakelijk was voor hun functie. Dat druist in tegen het zogeheten “least privilege”-principe, waarbij medewerkers uitsluitend toegang mogen hebben tot gegevens die zij strikt nodig hebben voor hun werkzaamheden.

De RDI kwalificeerde deze situatie als ernstig en legde een bestuurlijke boete op. Odido moest corrigerende maatregelen nemen en het systeem herstructureren. Volgens de toezichthouder zijn de noodzakelijke aanpassingen inmiddels doorgevoerd, maar het recente datalek roept vragen op over de bredere beveiligingscultuur binnen het bedrijf.

Geopolitieke risico’s en statelijke dreigingen

De incidenten raken aan een bredere discussie over de veiligheid van vitale telecominfrastructuur, zeker in een periode van toenemende geopolitieke spanningen. Cybersecurity-expert Ronald Prins, medeoprichter van Fox-IT en tegenwoordig verbonden aan Hunt & Hackett, waarschuwt al langer voor infiltratie van telecomproviders door statelijke actoren.

Internationaal zijn meerdere voorbeelden bekend waarbij buitenlandse inlichtingendiensten langdurig toegang kregen tot telecomnetwerken. Het doel daarvan varieert: het verzamelen van metadata (wie belt met wie), het monitoren van politieke dissidenten, economische spionage of het opbouwen van strategische databases met persoonsgegevens die later gebruikt kunnen worden voor chantage, beïnvloeding of profilering.

Volgens Prins staan met name Chinese actoren erom bekend grootschalig data te verzamelen met het idee dat die informatie op een later moment strategische waarde kan krijgen. Het systematisch in kaart brengen van contactnetwerken kan bijvoorbeeld inzicht geven in activisten, journalisten of zakelijke besluitvormers. Wanneer personen uit zulke netwerken naar bepaalde landen reizen, kan dat leiden tot extra controle of gerichte beïnvloeding.

Preventie versus detectie

De kern van het probleem ligt volgens deskundigen in het spanningsveld tussen preventie en detectie. Absolute veiligheid bestaat niet: IT-systemen zijn complex, voortdurend in ontwikkeling en afhankelijk van menselijke handelingen. Eén verkeerd geconfigureerde server, een niet-gepatcht systeem of een medewerker die op een phishinglink klikt, kan voldoende zijn voor een succesvolle aanval.

Prins benadrukt dat organisaties daarom niet uitsluitend moeten vertrouwen op preventieve maatregelen zoals firewalls en toegangsbeperkingen. Net zo belangrijk zijn geavanceerde detectiesystemen die afwijkend gedrag snel signaleren, evenals een volwassen responsorganisatie die onmiddellijk kan ingrijpen bij incidenten. In de financiële sector is onder druk van toezichthouders een cultuur ontstaan waarin instellingen zich periodiek laten testen via penetratietests en “red team”-oefeningen, om hun weerbaarheid continu te toetsen.

De recente gebeurtenissen bij Odido illustreren dat telecombedrijven — als beheerders van vitale infrastructuur en enorme hoeveelheden gevoelige data — onder een vergrootglas liggen. De combinatie van eerdere tekortkomingen bij het aftapsysteem en het grootschalige datalek legt bloot dat technische beveiliging, personele screening, governance en continue monitoring onlosmakelijk met elkaar verbonden zijn.

De centrale vraag die nu boven de markt hangt, is niet alleen hoe dit specifieke datalek heeft kunnen plaatsvinden, maar ook of de structurele beveiligingscultuur binnen vitale telecomorganisaties voldoende robuust is om zowel criminele hackers als statelijke actoren het hoofd te bieden.

Door: Drifter

Gelekte klantgegevens van Odido maandenlang misbruikt voor tientallen phishingcampagnes

De e-mailadressen die tijdens het grootschalige datalek bij telecomprovider Odido in februari werden buitgemaakt, blijken gedurende meerdere maanden actief te zijn misbruikt voor spam- en phishingcampagnes. Uit onderzoek blijkt dat cybercriminelen de gelekte gegevens op grote schaal inzetten om nietsvermoedende slachtoffers te benaderen met frauduleuze e-mails die afkomstig lijken van bekende bedrijven en organisaties.

In de periode tussen februari en juli werden in twee onderzochte mailboxen in totaal 61 phishingmails ontvangen die direct konden worden gekoppeld aan de gelekte e-mailadressen uit het datalek. Hoewel meerdere berichten onderdeel bleken te zijn van dezelfde campagne, konden onderzoekers uiteindelijk ongeveer dertig afzonderlijke phishingcampagnes identificeren. De bevindingen zijn onafhankelijk gecontroleerd en bevestigen dat de gelekte gegevens daadwerkelijk door criminelen worden misbruikt.

Datalek met miljoenen klantaccounts

Het datalek bij Odido behoort tot de grootste datalekken die Nederland de afgelopen jaren heeft gekend. Bij de cyberaanval kregen aanvallers toegang tot gegevens van ongeveer 6,2 miljoen klantaccounts.

De buitgemaakte informatie omvatte onder meer:

• e-mailadressen;
• volledige namen;
• woonadressen;
• telefoonnummers;
• geboortedata;
• klantnummers;
• bankrekeningnummers;
• gegevens van identiteitsdocumenten.

Volgens Odido zijn wachtwoorden niet buitgemaakt tijdens de aanval.

Hoewel de criminelen in theorie over een zeer uitgebreide hoeveelheid persoonsgegevens beschikken, blijkt uit het onderzoek dat zij voor de meeste phishingcampagnes slechts een beperkt deel van de gestolen informatie gebruiken.

Vooral e-mailadressen worden ingezet

Onderzoekers constateren dat vrijwel alle onderzochte phishingmails uitsluitend gebruikmaken van het gelekte e-mailadres van het slachtoffer. Andere persoonsgegevens uit de gestolen database worden nauwelijks verwerkt in de berichten.

Daardoor zijn de meeste phishingmails weinig persoonlijk en relatief eenvoudig opgesteld. Vaak bevatten ze algemene teksten die naar miljoenen ontvangers tegelijk kunnen worden verstuurd. De kwaliteit van de berichten is over het algemeen laag en de aanvallers lijken vooral te vertrouwen op grote aantallen verzonden e-mails in de hoop dat een klein percentage van de ontvangers alsnog op een link klikt of een betaling uitvoert.

Deze werkwijze staat bekend als een "hagelstrategie": criminelen richten zich niet op één specifiek slachtoffer, maar verspreiden massaal phishingberichten om zoveel mogelijk potentiële slachtoffers te bereiken.

Waarom alleen de e-mailadressen worden gebruikt

Volgens cybersecurityonderzoekers is hiervoor een logische verklaring.

Een bestand met miljoenen e-mailadressen is relatief klein, overzichtelijk en eenvoudig te gebruiken. Zulke lijsten kunnen gemakkelijk worden gedeeld, gekopieerd of verkocht op criminele marktplaatsen.

De volledige database uit het datalek is daarentegen aanzienlijk omvangrijker en bevat grote hoeveelheden ongestructureerde gegevens. Om die informatie automatisch aan elkaar te koppelen zijn meer technische kennis, tijd en geavanceerde software nodig.

Daardoor kiezen veel cybercriminelen er waarschijnlijk voor uitsluitend de e-mailadressen uit de dataset te gebruiken. Vermoed wordt dat deze lijsten inmiddels tussen verschillende criminele groepen worden verhandeld of onderling worden gedeeld, al is niet vastgesteld wie precies achter de campagnes zit of hoe vaak de gegevens inmiddels zijn doorverkocht.

Phishing uit naam van bekende organisaties

De onderzochte phishingcampagnes maakten misbruik van de naam van diverse bekende Nederlandse organisaties en bedrijven om vertrouwen te wekken bij ontvangers.

Onder meer werden e-mails verstuurd die afkomstig leken van:

• Odido;
• het Landelijk Energieloket;
• Infomedics;
• de Kamer van Koophandel;
• ABN AMRO;
• verschillende pakket- en koeriersdiensten.

De inhoud van deze berichten verschilde per campagne, maar had vrijwel steeds hetzelfde doel: ontvangers verleiden om op een link te klikken, persoonlijke gegevens in te vullen of een betaling uit te voeren.

Veel berichten verwezen naar een vermeende openstaande rekening, een pakketbezorging, een noodzakelijke verificatie of een andere urgente situatie waarbij snel handelen noodzakelijk zou zijn.

Gerichte malwarecampagne uit naam van Odido

Tussen de tientallen phishingcampagnes bevond zich één opvallend geavanceerdere aanval.

Bij deze campagne deden criminelen zich voor als medewerkers van Odido. In de e-mail werd beweerd dat een nieuwe versie van de Odido-app beschikbaar was en dat gebruikers deze zo snel mogelijk moesten installeren.

De meegestuurde link verwees echter niet naar een officiële applicatie, maar leidde slachtoffers naar software die schadelijk bleek voor mobiele telefoons.

In tegenstelling tot traditionele phishing, waarbij vooral wordt geprobeerd inloggegevens of betaalinformatie te stelen, had deze campagne als doel malware op smartphones te installeren.

Wanneer dergelijke schadelijke software succesvol wordt geïnstalleerd, kunnen aanvallers afhankelijk van het type malware onder meer:

• wachtwoorden onderscheppen;
• bankgegevens stelen;
• sms-berichten uitlezen;
• tweefactorauthenticatie onderscheppen;
• bestanden kopiëren;
• op afstand toegang verkrijgen tot het toestel.

Daardoor vormt dit type aanval een aanzienlijk groter risico dan een reguliere phishingmail.

Onderzoek loopt nog

Odido laat weten samen te werken met de Nederlandse autoriteiten en toezichthouders die onderzoek doen naar het datalek en de gevolgen daarvan. Vanwege het lopende onderzoek doet het bedrijf geen verdere inhoudelijke uitspraken.

Wel benadrukt de provider dat klanten sinds het incident worden gewaarschuwd voor verdachte e-mails, sms-berichten en andere vormen van digitale oplichting.

Volgens Odido komt phishing waarbij criminelen de naam van het bedrijf misbruiken al langer voor. Daarom kan niet met zekerheid worden vastgesteld dat iedere phishingmail die uit naam van Odido wordt verstuurd rechtstreeks verband houdt met het datalek. Desondanks laat het recente onderzoek zien dat de gelekte e-mailadressen inmiddels aantoonbaar worden ingezet bij een groot aantal phishingcampagnes.

Blijvend risico voor gedupeerde klanten

De bevindingen tonen aan dat de gevolgen van een groot datalek zich nog maanden of zelfs jaren kunnen uitstrekken nadat de oorspronkelijke cyberaanval heeft plaatsgevonden. Eenmaal uitgelekte persoonsgegevens verdwijnen vrijwel nooit meer van het internet en kunnen langdurig worden gebruikt voor uiteenlopende vormen van cybercriminaliteit.

Zelfs wanneer slechts een klein deel van de gestolen gegevens wordt ingezet, kunnen miljoenen mensen doelwit worden van phishing, identiteitsfraude, malwarecampagnes en andere vormen van digitale oplichting. Cybersecurity-experts adviseren getroffen klanten daarom extra alert te blijven op onverwachte e-mails, sms-berichten en telefoontjes waarin om persoonlijke gegevens, betalingen of het installeren van software wordt gevraagd. Het controleren van de afzender, het vermijden van verdachte links en het gebruik van tweefactorauthenticatie blijven belangrijke maatregelen om de kans op misbruik te verkleinen.

Door: Drifter