Volgens de politie staat na onderzoek van een stemdeskundige vast dat de stem van een mens is en niet is gecreëerd met kunstmatige intelligentie. "De man praat keurig Nederlands en heeft een aantal opvallende klanken en kenmerken in zijn stem die hem misschien herkenbaar maken, zeker voor zijn familie, vrienden en bekenden", aldus een politiewoordvoerder. Wat volgens de politie opvalt, is dat de hacker specifiek Engelstalig IT-jargon gebruikt. "Mogelijk heeft hij zelf ervaring op zo'n werkplek of weet hij op een andere manier hoe het er op zo'n afdeling aan toe gaat", aldus de politie.

https://nos.nl/artikel/2630120-odido-hacker-te-horen-in-opsporing-verzocht-hij-ging-heel-gewiekst-te-werk

Wat ik niet helemaal snap is waarom de omgeving waar de "hacker" op heeft ingelogd bereikbaar was vanaf buiten de omgevingen waar deze in gebruikt wordt.

Het was Salesforce en dat is een Amerikaans software bedrijf in de cloud.

Dan nog: je kunt zon tenant/instance echt wel verder beveiligen zodat je niet zomaar bij die data kunt.

Meerdere dingen vallen me op aan het filmpje.

1. De verificatiecode die de medewerker invult wordt op een smartphone gegenereerd en op de nep-website van de aanvallers ingevuld. Dat is dus geen vorm van verificatie die voor een ander domein in de URL ook een andere code oplevert. Bij gebruik van een FIDO2-securitytoken dat de medewerker alleen maar had hoeven aanraken was deze aanval niet gelukt, bijvoorbeeld, dat voorziet daarin.

2. Een medewerker die daar zit om telkens een individuele klant te woord te staan heeft kennelijk rechten op het systeem waarmee een complete database met gegevens van miljoenen klanten benaderd kan worden. Hoort die medewerker niet alleen maar gegevens van individuele klanten stuk voor stuk op te mogen vragen? Hoort een callcenter-medewerker wel vanaf een andere plek dan het callcenter te kunnen inloggen? Het reconstructiefilmpje begint met de melding: "een medewerker van Odido heeft dienst op het callcenter". Dat suggereert dat die medewerker op andere momenten ook andere werkzaamheden heeft. Breng dat dan bijvoorbeeld onder in een afzonderlijke user.

3. Die medewerker vond het kennelijk heel normaal om zomaar rechtstreeks door een IT-medewerker benaderd te worden die instructies ging geven. Als dat inderdaad normaal is bij callcenter-diensten moet dat wellicht anders georganiseerd worden. Het helpt erg als mensen bij iets raars ook werkelijk opmerken dat het raar is. Maar dit kan ook eraan liggen dat iemand zo op behulpzaamheid is ingesteld dat dat de overhand heeft. Dat is een prima eigenschap voor een callcenter-medewerker of tijdens een callcenter-dienst, maar bescherm mensen dan tegen zich hun eigen sterke eigenschappen door te zorgen dat dingen waar die niet goed mee combineren domweg niet kunnen.

Hoe gewiekst de aanvaller ook was, dit zie ik ook als fouten van Odido (en niet van die medewerker!) die goed te voorkomen waren geweest.