Hackers publiceren Odido-klantgegevens op het dark web nadat losgeld is geëist

Hackers hebben gestolen persoonlijke en financiële informatie van honderdduizenden Odido-klanten op het dark web vrijgegeven, na een losgeldeis van ruim 1 miljoen euro. De cybercriminele groep Shinyhunters waarschuwde dat er de komende 16 dagen aanvullende gegevens zouden kunnen worden gepubliceerd als Odido niet betaalt. De inbreuk behoort tot de grootste die ooit in Nederland zijn gemeld en is aanleiding geweest voor een strafrechtelijk onderzoek.

Shinyhunters publiceerde een eerste dataset met informatie over ongeveer 680.000 personen, waaronder voormalige klanten die al jaren geen Odido-abonnement hadden, blijkt uit een analyse van RTL Nieuws. De NOS zei dat de gelekte bestanden ook gevoelige interne aantekeningen bevatten over financieel kwetsbare klanten.

Nadat de gegevens waren vrijgegeven, plaatsten de hackers een bericht op Odido met de mededeling: “Je weet ons te vinden. Ons aanbod geldt nog steeds, ook voor onderhandeling.” De groep had aanvankelijk ruim 1 miljoen euro geëist om het lekken van gegevens te stoppen en beweerde over informatie te beschikken over ruim 10 miljoen huidige en voormalige klanten.

Het gelekte materiaal omvat volledige namen, huisadressen, telefoonnummers, e-mailadressen en ongeveer 275.000 IBAN-bankrekeningnummers, die zeer waardevol zijn voor fraude. Het bevat ook aantekeningen van de klantenservice waaruit blijkt wie betalingsherinneringen of formele eisen heeft ontvangen, soms met uitleg, en of klanten een schuldregistratie hebben, een door de rechtbank aangestelde bewindvoerder hebben of zijn onderzocht wegens fraude. Sommige opmerkingen beschrijven klanten die zich agressief gedroegen tegenover Odido-winkelpersoneel.

De bestanden bevatten gegevens over ongeveer 680.000 personen en ongeveer 320.000 bedrijven. Hoewel het lek geen paspoort-, rijbewijs- of identiteitskaartnummers bevat, worden wel tienduizenden mensen geïdentificeerd die hun rekeningen niet konden of wilden betalen. De NOS meldde dat de gelekte bankbiljetten specifiek de aandacht vestigen op klanten met betalingsproblemen, informatie die als bijzonder gevoelig wordt beschouwd omdat deze personen mogelijk gevoeliger zijn voor aanbiedingen die snel geld beloven.

Cybersecurity-experts, aangehaald door Nederlandse media, waarschuwden dat het betalen van ransomware niet garandeert dat gestolen gegevens privé blijven. Ze merkten op dat zodra gegevens zijn verzameld, deze in andere lekken kunnen verschijnen, zelfs nadat een betaling is gedaan. Het Nederlandse Openbaar Ministerie is een strafrechtelijk onderzoek gestart naar de overtreding.

Eerder deze maand bevestigde Odido dat het te maken had gehad met een enorme cyberaanval, waarbij werd verklaard dat de gegevens van minstens 6,2 miljoen klanten waren gestolen. Getroffen klanten zijn per e-mail op de hoogte gesteld en geadviseerd om op verdachte berichten te letten.