Door Anoniem: Meerdere dingen vallen me op aan het filmpje. 1. De verificatiecode die de medewerker invult wordt op een smartphone gegenereerd en op de nep-website van de aanvallers ingevuld. Dat is dus geen vorm van verificatie die voor een ander domein in de URL ook een andere code oplevert. Bij gebruik van een FIDO2-securitytoken dat de medewerker alleen maar had hoeven aanraken was deze aanval niet gelukt, bijvoorbeeld, dat voorziet daarin. 2. Een medewerker die daar zit om telkens een individuele klant te woord te staan heeft kennelijk rechten op het systeem waarmee een complete database met gegevens van miljoenen klanten benaderd kan worden. Hoort die medewerker niet alleen maar gegevens van individuele klanten stuk voor stuk op te mogen vragen? Hoort een callcenter-medewerker wel vanaf een andere plek dan het callcenter te kunnen inloggen? Het reconstructiefilmpje begint met de melding: "een medewerker van Odido heeft dienst op het callcenter". Dat suggereert dat die medewerker op andere momenten ...