Alle Odido-data staat nu op Have I Been Pwned: check direct of jij erbij zit

Alle gestolen klantdata van Odido staat nu online. De bekende datalekdatabase Have I Been Pwned heeft de volledige dataset opgenomen, wat betekent dat je nu zelf kunt controleren of jouw e-mailadres in het lek voorkomt. Ga naar haveibeenpwned.com, voer je e-mailadres in en je weet het binnen tien seconden.

Oud-klanten ook in het lek

Een nieuwe en zorgwekkende ontwikkeling: niet alleen huidige Odido-klanten zijn getroffen. Mensen die vijf of zelfs tien jaar geleden zijn overgestapt naar een andere provider hebben ook mails ontvangen dat hun gegevens zijn buitgemaakt. Odido zegt in zijn eigen privacyverklaring dat data maximaal twee jaar na beëindiging van het contract wordt bewaard. Die belofte is niet nagekomen.

De Autoriteit Persoonsgegevens volgt de zaak en heeft aangegeven dat elk bedrijf zich aan zijn eigen privacyverklaring moet houden. Odido onderzoekt nog hoe het mogelijk is dat data van ex-klanten nog steeds in het systeem zat.

Wat er in de dataset zit

De dataset bevat namen, adressen, telefoonnummers, e-mailadressen, IBAN-bankrekeningnummers, geboortedatums en in sommige gevallen paspoortnummers en rijbewijsgegevens. Dat geldt voor zowel particulieren als zakelijke klanten. ShinyHunters, de hackersgroep achter de aanval, heeft na het verstrijken van de deadline van 26 februari alles stapsgewijs gepubliceerd op het dark web.

Wat je nu moet doen

• Controleer je e-mailadres via haveibeenpwned.com.
• Verander je wachtwoorden van alle accounts die aan dat e-mailadres zijn gekoppeld, met prioriteit voor je bankapp, e-mail en gamingplatformen.
• Zet tweestapsverificatie om van sms naar een authenticator-app zoals Google Authenticator of Authy. Sms is niet meer veilig genoeg als je telefoonnummer gelekt is.
• Houd je bankrekening de komende weken extra goed in de gaten en meld verdachte afschrijvingen direct bij je bank.

Als je actieve Odido-klant bent, kun je via Odido zelf aanspraak maken op 24 maanden gratis F-Secure, een digitaal beveiligingspakket. Dat is geen oplossing voor wat al gelekt is, maar het helpt je beter beveiligen voor de toekomst.

Kamerdebat en vervolgstappen

In de Tweede Kamer is het Odido-datalek besproken in het kader van een breder debat over digitalisering en DigiD-beveiliging. Meerdere partijen roepen op tot strengere eisen voor dataminimalisatie: bedrijven moeten stoppen met het bewaren van gegevens die ze niet meer nodig hebben. De Autoriteit Persoonsgegevens heeft aangegeven de bewaartermijnkwestie actief te onderzoeken. Als blijkt dat Odido de AVG heeft overtreden, kunnen er flinke boetes volgen.