In februari 2026 werd ons land opgeschrikt door een van de grootste datalekken in de Nederlandse geschiedenis. De criminele cybergroep ShinyHunters viel gericht telecomprovider Odido aan. Zo kregen ze toegang tot het interne klantensysteem. Uiteindelijk hebben ze miljoenen klantgegevens buitgemaakt en gepubliceerd. Het gaat om gevoelige data zoals adressen, telefoonnummers, bankgegevens en zelfs ID‑documentnummers.
Volgens analyses van onder andere Cybernews en RTL Nieuws zijn bij de aanval op Odido tussen de 6 en 6,5 miljoen personen en honderdduizenden bedrijven geraakt. Dit incident benadrukt een harde realiteit: moderne aanvallen beginnen zelden met een technische uitbuiting, ze beginnen bij mensen. ShinyHunters verkreeg toegang door medewerkers van Odido te misleiden en inlog- of ondersteuningsprocessen te misbruiken. De aanval op Odido is echt een wake‑up call voor het belang van sterke securityprocessen.
Wat er is gebeurd?
Onderzoekers melden dat de aanvallers door middel van phishingmethoden toegang verkregen en zo konden inloggen op het klantsysteem van Odido. De aanvallers eisten meer dan €1 miljoen, maar Odido besloot in overeenstemming met overheidsadvies niet te betalen. Daarop publiceerden de criminelen uiteindelijk de volledige dataset op het dark web. De gelekte informatie bestaat o.a. uit:
- Namen, adressen, geboortedata
- Telefoonnummers en e-mailadressen
- Bankrekeningnummers (IBAN)
- Documentnummers van paspoorten, rijbewijzen en verblijfsdocumenten
- Gevoelige interne notities van klantenservice
Deze info is een goudmijn voor identiteitsfraude, phishing en gerichte social engineering. Kwaadwillenden proberen mensen op een link te laten klikken via mails, sms’jes of WhatsApp-berichtjes waarin ze zich voordoen als de overheid, een bank of Odido.
MFA is niet genoeg
Het Cybersecuritybeeld Nederland benadrukt al jaren dat social engineering tot de belangrijkste aanvalsvectoren tegen Nederlandse organisaties behoort. Ze gebruiken verschillende methoden om toegang te verkrijgen tot single sign-on-accounts, cloudsystemen en Software as a Service-omgevingen. Zelfs multi-factor authenticatie (MFA) – waarbij je een tweede verificatiemethode toevoegt aan je gebruikersnaam en wachtwoord – is te omzeilen. Helpdeskmedewerkers verifiëren onvoldoende wie er belt, medewerkers staan onder tijdsdruk en processen zijn soepel ingericht om productiviteit te verhogen. Wanneer aanvallers specifieke informatie gebruiken uit eerdere lekken komen ze al snel een stuk vertrouwder over bij hun slachtoffers. Hierdoor kunnen criminelen de helpdesk overtuigen de MFA te resetten of een tijdelijke toegangstoken uit te delen door zich voor te doen als medewerker of bijvoorbeeld leverancier. Technische uitbuiting is dus niet meer nodig voor een succesvolle cyberaanval.
Wat betekent dit voor organisaties?
Elke organisatie – groot of klein – kan op een vergelijkbare wijze geraakt worden. De vraag is niet of iemand jouw medewerkers manipuleert, maar wanneer. Controleer vandaag nog de volgende zaken:
- Zijn er strenge verificatiestappen voor het resetten van MFA? Mogen resets alleen plaatsvinden na goedkeuring door een tweede partij?
- Kan de identiteit van een beller voldoende worden geverifieerd bij helpdeskverzoeken?
- Worden afwijkingen in de logging van SaaS-systemen realtime gesignaleerd? Is de toegang tot gevoelige systemen gemonitord?
- Wat zijn de regels voor dataminimalisatie en bewaartermijnen? Zoals we leren van Odido: te veel bewaren leidt tot een hoger risico.
- Ligt er voldoende focus op security-awareness, met name voor IT’ers en servicedesk? Zij zijn de voornaamste doelwitten voor social engineering, maar krijgen vaak minder training dan andere medewerkers.
