Gegevens van klanten gestolen bij cyberaanval op Odido

Dit meldt Odido in een verklaring op zijn website. Een woordvoerder meldt aan de NOS dat 6,2 miljoen klanten zijn getroffen. Bij de aanval zijn persoonsgegevens uit een door Odido gebruikt klantcontactsysteem uitgelekt. Het gaat om:

• Volledige naam
• Adres en woonplaats
• Mobiele nummer
• Klantnummer
• E-mailadres
• IBAN (rekeningnummer)
• Geboortedatum
• Identificatiegegevens (paspoort- of rijbewijsnummer en geldigheid)

De provider benadrukt dat wachtwoorden, belgegevens of factuurgegevens niet zijn gestolen. Ook locatiegegevens en scans van identiteitsbewijzen zijn niet gestolen.

'Maatregelen genomen en externe experts ingeschakeld'

"De ongeautoriseerde toegang tot het systeem is zo snel mogelijk beëindigd. Daarnaast heeft Odido externe cybersecurity-experts ingeschakeld om te ondersteunen bij het nemen van aanvullende beveiligingsmaatregelen als onderdeel van de respons op dit incident", schrijft Odido.

De gestolen informatie kan onder meer gebruikt worden voor phishingaanvallen op klanten van Odido. De provider roept klanten op alert te zijn bij het ontvangen van facturen of telefoontjes van onbekende nummers. Daarnaast moeten klanten alert zijn bij het openen van links in e-mails, sms'jes en appjes.

'Aantrekkelijk doelwit'

“Dit incident laat opnieuw zien dat klantcontactsysteem-omgevingen een aantrekkelijk doelwit zijn voor aanvallers", aldus Anouck Teiller, Deputy CEO bij HarfangLab. "Dit soort systemen bevatten geconsolideerde persoonsgegevens die voor cybercriminelen zeer waardevol zijn, zeker wanneer het gaat om combinatiegegevens zoals naam, adres, geboortedatum en identificatienummers. Zelfs wanneer er geen wachtwoorden of verkeersgegevens zijn buitgemaakt, blijft de impact potentieel groot. Voor aanvallers is dit type dataset voldoende om gerichte vervolgcampagnes op te zetten, bijvoorbeeld via phishing, smishing of telefonische social engineering", zegt Anouck Teiller, Deputy CEO bij endpoint securityspecialist HarfangLab.

“Met de combinatie van persoonsgegevens en financiële informatie zoals een IBAN wordt in feite de deur geopend naar vrijwel elke vorm van fraude. Denk aan identiteitsmisbruik, het aanvragen van diensten op naam van slachtoffers, overtuigende bankhelpdeskfraude of gerichte factuurfraude. Hoe completer het profiel, hoe geloofwaardiger de aanval. Organisaties moeten er daarom rekening mee houden dat een datalek zelden op zichzelf staat, maar vaak het startpunt is van een bredere fraudeketen. Voor consumenten betekent dit dat extra waakzaamheid de komende maanden essentieel is.”