Jeetje, je kunt het bijna ruiken, is dit één of andere propaganda van Odido nadat ze nieuwswebsites heeft betaald om beter over te komen in plaats van zichzelf verantwoordelijk te houden?
Dit was immers toch echt een standaard phishingtruuc die ook een gewone burger had kunnen overkomen.

Odido moet misschien de mond maar eens houden en voor de lol de prijzen verlagen. Ik ben niet vergeten hoe een tijdje terug Chinezen vrij toegang hadden tot hun servers.

Ik ben benieuwd wat ShinyHunters te zeggen hebben over Odido want ik ben het grotendeels eens met wat ze denken over onze politie.

Nou, zo gerafineerd is het toch niet... mijn god.

Feit is en blijft dat Odildo nog heel veel data had die het al lang niet meer had mogen hebben.
Daarnaast heb je je beveiliging nadrukkelijk niet op orde als 1 persoon die de mist in gaat dit kan veroorzaken.

Betere titel: "Opnames laten zien wat voor achterlijk bedrijf Odido is."

Als je een account van een support medewerker toegang geeft tot ALLE gegevens van ALLE klanten, ben je niet goed snik.

Het frame is nu dat alle blaam naar de hackers gaat en dat het "zo gewiekst"en "zo geraffineerd" is dat Odido er eigenlijk niks aan kan doen....

Als we er zo mee omgaan als maatschappij, dan zal dit nooit stoppen. Want dan is er nooit een prikkel voor organisaties om WEL een keer fatsoenlijk met data om te gaan: niet meer vragen dan nodig, niet meer opslaan dan nodig en niet langer dan nodig. Dat ging echt compleet mis bij die prutsers bij Odido.

Maar goed, geen kritische noot natuurlijk bij de "media". Het valt me nog mee dat ze de Russen nog niet de schuld gegeven hebben.

Ga eens aan de bak AP! En flikker die bestuurders van Odido de cel in of geef ze tonnen aan boete.

Ik herken het.
Ik ben net zo achterlijk als Odido of die juffrouw van Odido. Ik weet voor 99,99% zeker dat ik ook in het verhaaltje van Shiny Hunters getrapt zou zijn.
Ik prijs me rijk dat zij en andere boefjes mij nog niet gevonden hebben.

Het is gewoon een babbeltruuk met vrij slechte jargon. Totaal niet geraffineerd. Maar ik snap wel dat truus van de helpdesk ervoor valt. Die verwijt ik ook geen blaam.

Had dit voorkomen kunnen worden? Uhum, pAsSkEyS

Sorry Odido,

Maar dit is echt niet geraffineerd. Dit is een standaard social engineering truuk.

Dit toont alleen maar aan dat Odido de security awareness niet goed op orde heeft of niet uptodate, c.w. de kennis niet bij de medewerker aanwezig is.

Daarom zou ik wel eens willen weten:

1) zijn dit soort verplichte security awareness trainingen aanwezig. Inclusief presentatie, documentatie, website en test voor het personeel.
2) zo ja.. wordt deze situatie behandeld
3) zo nee waarom is er geen security awareness? Ligt dit aan de leiding mbt prioriteit stelling of uitvoerders?
4) wanneer er wel een training aanwezig is..wordt er dan ook getest( verplicht)
5) is er een handboek aanwezig en valt dit onder de bedrijfspolicy
6) welke protocollen worden er gehanteerd voor dit soort gesprekken?

Ik ben zelf jarenlang werkzaam geweest in deze branche en gaf zelf dit soort presentaties bij de grootste ict dienstverlener aan de overheid in Nederland.

Een support-medewerker heeft toegang nodig tot alle gegevens waar die support over kan geven, voor elke klant die contact op kan nemen om support te krijgen.

Wat hier niet klopt is dat zo'n medewerker kennelijk gegevens over alle klanten in een keer of snel achter elkaar door kan opvragen. Als een medewerker bij gegevens moet kunnen over de klant die die op dat moment aan de telefoon heeft dan heeft die alleen een vorm van toegang nodig waarmee per keer de gegevens van de juiste klant benaderd kunnen worden. Alles in een query opvragen moet die medewerker simpelweg niet kunnen. Batchgewijs alle postcode-huisnummercombinaties doorlopen om alle klanten te vinden moet ook niet kunnen, daar is een vorm van rate limiting of herkennen en blokkeren van ongebruikelijke toegangspatronen nodig. Blokkeren van parallelle logins, al helemaal vanaf verschillende locaties, lijkt me ook heel zinvol. En natuurlijk een vorm van 2FA gebruiken die bestand is tegen het gebruik van een nep-website door de aanvaller. Bij FIDO2 wordt de domeinnaam van een website, zoals de browser die ziet, in de challenge meegenomen zodat de response niet klopt als er zo'n nep-website tussen zit.

In de thread onder het bericht waarin gemeld werd dat de politie het heel gewiekst noemde meldde iemand dat Odido Salesforce gebruikt voor dit systeem. Ik weet niet wat Salesforce wel en niet ondersteunt van wat ik noemde. Ik denk dat als je persoonsgegevens van miljoenen mensen beheert het domweg een keiharde eis moet zijn dat de registers stevig opengetrokken worden om dat ook te beschermen. Als dat met Salesforce niet kan dan voldoet dat niet aan een eis die je wat mij betreft moet stellen. Als Salesforce het wel kan dan moet je het ook toepassen.

De AVG eist dat een "passende beveiliging gewaarborgd is". Wat nou exact passend is wordt in het midden gelaten, simpelweg omdat een gedetailleerde uitwerking al achterhaald zou zijn als die gepubliceerd zou worden, ontwikkelingen daarin gaan domweg te snel om in wetgeving bij te kunnen houden. Aangezien het doel van de AVG is dat dit soort ongelukken voorkomen worden, zou ik zeggen dat een passende beveiliging dat ook daadwerkelijk moet voorkomen. Hoe meer gegevens in een keer te bemachtigen zijn hoe aantrekkelijker een doel wordt, en hoe hoger het beveiligingsniveau dat passend is. En precies om de reden dat de AVG vaag is in wat nou exact passend is, namelijk dat de ontwikkelingen te snel gaan om preciezer te zijn in een wet, maakt duidelijk dat als je persoonsgegevens onder je hoede hebt je de beveiliging actief moet meeontwikkelen met die ontwikkelingen. "Passend" is geen statisch gegeven. Ik heb bepaald niet de indruk dat alle organisaties met persoonsgegevens onder hun hoede dat door hebben en ook niet dat alle rechters die uitspraken in zaken hierover dat doorhebben. Het lijkt er veel te vaak op dat wat de rest in een branche doet als "passend" wordt gezien. Als iedereen dat als norm aanhoudt in plaats van wat nodig is weet je zeker dat zo'n hele branche heel snel achter gaat lopen.

Als met een simpele maatregel als FIDO2-tokens gebruiken deze aanval al was geblokkeerd, dan vind ik het niet passend om dat of iets dat net zo goed werkt na te laten. Als deze aanval was geblokkeerd door te blokkeren dat een medewerker snel achter elkaar alle gegevens op kan zuigen, dan vind ik het niet passend om dat na te laten. Als deze aanval was geblokkeerd met limieten op inloggen (parallel, locatie), dan vind ik het niet passend om dat na te laten. Het gaat hier niet om gegevens over een handjevol personen, het gaat over 6 miljoen personen; dat trekt aanvallers aan, inclusief geavanceerde aanvallers die er serieus werk van willen maken. Dan zijn halve maatregelen niet genoeg en dan is één maatregel niet genoeg, want niet alle aanvallen hoeven identiek aan deze te zijn. En het is goed mogelijk dat de maatregelen die nu genoeg zijn dat over een poosje niet meer zijn. Persoonsgegevens goed beveiligen, zeker als het er veel zijn, is geen kleinigheid.

Gezien AI dit prima kan uitwerken en ik geen zin heb in eindeloos dezelfde bezwaren te bestrijden( al nodig tegenwerpingen uit). Dit is geen oplossing, maar een voorstel.


Van data-hamsteren naar permissie-delegatie

De meeste sectoren slaan alles op. Eén hack = miljoen records weg. Odido is geen uitzondering, het is het systeem zelf.

Maar twee sectoren hebben al bewezen dat het anders kan:

PSD2 (banking) & FHIR (healthcare) werken met request-based architectuur:

[*] Bedrijf vraagt via API alleen wat ze nu nodig hebben
[*] Jij keurt het goed, ziet het gelogd, kunt het intrekken
[*] Hacker steelt API-key dash krijgt alleen huidig requests dash jij merkt het direct
[*] Oude data niet opgeslagen = kunnen niet gestolen worden


---

Waarom Dit de Aanvaller Verandert

Met Odido's model:
Hacker steelt API-key dash alles vanaf dag 1 weg dash miljoen records dash Darknet

Met PSD2/FHIR-model:
Hacker steelt API-key dash alleen huidig/toekomst bereik dash gebruiker ziet direct ongebruikelijke requests dash waarschijnlijk ontdekt

Zelfs onopgemerkt: ze kunnen niet jaren-oude gegevens stelen die niet meer opgeslagen zijn.

---

Hoe PSD2/FHIR Dit Oplost

PSD2 (Open Banking, sinds 2018 in EU):

[*] Bank vraagt niet alle transacties op, maar alleen "afgelopen 90 dagen"
[*] Jij keurt dit explicieit goed in je bankapp
[*] Elke request wordt gelogd en is voor jou zichtbaar
[*] Als API-key gestolen wordt: hacker kan alleen huidig/toekomstige requests doen, niet 10 jaar geschiedenis


FHIR (Healthcare, nu mandaat in USA):


[*] Ziekenhuis vraagt niet je hele dossier, alleen wat voor deze behandeling relevant is
[*] Jij ziet: "Cardioloog accessed allergieën dash ECG op 8 sept om 14:23"
[*] Direct ingetrokken als het raar is


---

Waarom doen telecom/e-commerce/SaaS dit niet?

Ze hoeven niet. PSD2 en FHIR bestaan omdat regulatie dit dwong.

---

Het Cruciale Onderdeel: Self-Hosting + Lage Drempel

GDPR geeft je dataportabiliteit; de logische volgende stap is zelf-hosting als optie. Maar je kunt users niet met bureaucratie overladen:

Optie 1: Self-hosted
Je data, je server. Bewijs is simpel: uptime >98%, TLS-certificaat, basis-audit-logging. Voldoe aan API Vx, registreer je instance, klaar. Geen papierwerk, geen jaarlijkse compliance-spelletjes.

Optie 2: Trusted Provider
Geen eigen server? Registreer je bij een geaccrediteerde provider (lage drempel, breed scala). Die voldoet aan standaarden, jij hebt controle. Zij besteden al het budget aan security, in plaats van het bijzaak te maken.

De Community-Effect

Dit creëert iets sterks: self-hosting experts bouwen hun eigen infra, maar helpen ook op de API-kant. Dezelfde mensen die hun data beveiligen, reviewen en verbeteren ook bedrijfsmatig de API-standaarden. Security through community, niet achter gesloten deuren.

Resultaat: sneller itereren, meer ogen op de code, betere security dan "vendor knows best."

---

Wat nu?

Wettelijke eis voor data-minimization by design. Standaard permission-APIs per sector. Lage drempel voor self-hosting (uptime + encryptie, klaar). Community-driven standaarden.

De technologie werkt. Alleen de politieke wil ontbreekt?

We (lees: organisaties) moeten ervan uitgaan dat 'hackers' geraffineerd en gewiekst zijn. We moeten ervan uitgaan dat de mens te misleiden is en dat het een keer gaat gebeuren. Waar organisaties voor moeten zorgen, is dat de impact daarvan nooit zo groot kan worden als nu bij Odido het geval was. Odido lijkt hiermee te willen zeggen: "Deze opponent was dusdanig sterk, het was een ongelijke strijd." En dat is je onkunde verhullen door de opponent de hemel in te prijzen. Het zou helpen als ze aangeven waar ze zelf steken hebben laten vallen (en dat is niet die specifieke medewerker) en hoe andere organisaties hiervan kunnen leren.

Dat kan het AP niet, die kunnen alleen het bedrijf beboeten, niet de bestuurders.
Max overigens of 2 of 4 procent van de jaaromzet 2025, afhankelijk waarvoor ze uiteindelijk de AVG geschonden hebben (security / data lek is 2%).

Onder de cyberbeveiligingswet kunnen bestuurders wel persoonlijk worden aangepakt, maar die is 15 augustus pas in werking getreden.
En in tegenstelling tot belasting wetgeving niet met terugwerkende kracht handhaafbaar.

Als je het al niet op 't rijtje hebt waar welk zintuig voor dient, vrees ik dat in-zicht-elijke verbetering er voorlopig niet gaat komen! Of je moet het idee hebben dat je adhv het bekijken van 'geluids-opnames' (in nee, niet vlc, maar bv. audacity) kan bepalen dat het er heel geraffineerd aan toe is gegaan ; mijns inziens ben je dan nogal van het padje af ;)

Je hebt als bedrijf dus klaarblijkelijk nog nooit en te nimmer gehoord van phising (je personeel daar dus nooit op getraint), dat de éne medewerker denkt een andere medewerker aan de lijn te hebben; tja dat 'zie' je (-ook-!) niet hè, door de telefoon, en dan vanwege h e t - o - z o - h e r k e n b a r e - t a a l g e b r u i k - e r - v a n - u i t - g a a n dat dit wel een andere odido-medewerker moet zijn (van afdeling xyz in timboektoe)!
Veel succes met het aanpassen van jullie werkprocessen! Vanaf nu moet iedereen die je belt -dus ook collega's- zich eerst, net als klanten, identificeren om te bepalen dat ze ook zijn wie ze zeggen dat ze zijn! LOL ;)))

Het persteam van Odido is natuurlijk vol gedoken op de politie uitspraak dat het geraffineerd zou zijn, ja.
het enige wat Odido wil is dat mensen denken "oh, daar zou ik zelf ook in trappen, dat kan ik die meneer/mevrouw van Odido niet kwalijk nemen"...
de mensen met een beetje kennis van zaken die zullen doorhebben dat er vervolgens (of eerder) natuurlijk fout op fout is gemaakt wat betreft toegangsrechten, monitoring op exfiltratie, netwerksegmentatie, retentie-beleid en de uitvoering van alle processen die door een mannetje van KPMG waarschijnlijk jaar in jaar uit zijn goedgekeurd.

ik verwacht niet dat dit bij andere grote bedrijven overigens anders is, ik werk lang genoeg in de industrie om me daar geen illusies over te maken. wat ik wel hoop is dat dit een wijze les voor de telecom sector is, en dat Odido zich gaat ontpoppen tot een organisatie met veiligheid en betrouwbaarheid op plekken één en één.... de tijd zal het leren

Volgens BNR was de complete reactie van Shiny Hunters dit:

https://www.bnr.nl/nieuws/tech-innovatie/10609905/statement-shinyhunters-over-odido-hack-mogelijk-geschreven-door-nederlander


en hebben het over employees en members


Shiny Hunters hebben zich vernoemd naar Shiny Pokemon, volgens wikipedia. Kuch.

Ligt aan waar je bedrijf zich in focust. Zelf operation manager van hosting bedrijf, datacenter en kan je verzekeren dat we ons personeel hier wel actief op trainen. Urgentie wordt niet bepaald door de klant maar door de afdeling coordinator als de aanvraag afwijkt van enige SLA. Interne aanvragen moeten afgetekend gelogd worden door bovenliggende manager als dat wachttijd betreft dan is dat maar zo. Er is zelden sprake van echte urgentie veel vaker is het is slechte planning en dat is niet ons probleem. Urgentie betekend bij ons dat of er een actieve dreiging speelt of dat er crisis management gestart moet worden middels CERT. Daarbuiten kan ik de uitzondingeren op één hand tellen.

Medewerkers hebben enkel toegang tot klanten binnen hun verantwoordelijke groep en rechten staan op alleen lezen behalve voor notitie velden. Elke wijziging wordt gelogd als er ergens iets in systemen gewijzigd moet worden dan kan er intern een tijdelijk account worden beschikbaar gesteld. Engineers zijn de enige die wijziging rechten standaard hebben maar enkel tot hun cluster. Wijziging voor inlog kan telefonisch ook niet gedaan worden we maken een notitie en bellen zelf naar terug naar de reeds bekende Single Point of Contact van betreffende bedrijf. Externe hebben schriftelijke vrijwaring nodig en met een begin en einddatum vastgelegd.

Bij enige twijfel moet men de ticket doorzetten naar de coordinator die kan overleggen met OPSEC. Verder wordt alle verkeer gemonitored en getrottled. OPSEC heeft toestemming de boel intern geheel plat te leggen met verantwoording en briefing achteraf zolang de CISO maar is ingelicht als er redelijk vermoeden is van exfiltratie, serieuse dreiging. Als je niet kan vertrouwen op de beslissingen van je blue team dan kan je net zo goed geen SOC hebben. Lockdown protocol gaat dan van start en niemand binnen NOC en operations mag van zijn plek. In geval van nood hebben we voor elk systeem een spare klaar liggen, staan om te swappen als forensisch nodig is op enig onderdeel. Interne backups gaan in drievoud 1 on premise 2 naar partner DC's. Coldstorage kost geen drol alleen recovery time is a pain maar het idee is dat je het eigenlijk nooit nodig gaat hebben.

De paar false positives die je ooit in de lifetime van je organisatie hebt zijn zo miniem qua onderbreking en kosten vergeleken bij het niet acteren op vemoedens wat in de tonnen, miljoenen kan lopen. De CISO stelt bij eerste gelegenheid DPO op de hoogte. Dat is in onze 15+ jaar 1 keer gebeurd met zeer beperte impact.
En alles ondergaat om het half jaar een groot redteam , blueteam event met betrekking van twee security partners naast de reguliere quickscans.

Ik kan echt niet zeggen dat we iets bijzonders doen dit is toch echt wel standaard koek als je dealt met grote hoeveelheiden persoonsgegevens. Uiteraard hoe je het verder in detail indeelt en hoe je je draaiboeken ontwikkelt zal altijd verschillen.

Welkom in de echte wereld. Dat is bij veel KCC's zo. Soms moet je schakelen tussen klanten, je kunt het niet altijd beperken op alleen degene die je belt.

Mocht het om een salesforce gaan (waar Shiny Hunters nogal een voorliefde voor hun acties voor koesteren) dan heeft de afdeling automatisering iets uit te leggen, het is dicht te timmeren, maar of the shelve staat alles open. Dus een inside job bij Odido behoort ook nog tot de mogelijkheden.

ad 8:30 decentraal databeheer SSI, wordt al toegepast (zorg en bank) en door EU via eIDAS 2.0-regelgeving gepropageerd, en er is al eerder de vraag gesteld of gesuggereerd dat Shiny Hunters een groep is die komst van regelgeving wil accelereren, en burgers attenderen zodat ze op zoek gaan naar veilige plek voor hun data. Wel met financiele motieven, dat dan weer wel. Wat dan de vraag oproept of binnen- of buitenlandse statelijke actoren actief zijn binnen die groep. Waarbij je dat "statelijke actoren" ruim mag interpreteren, daar versta ik ook politiek gemotiveerde krachten onder.

Altijd weer die complot "denkers" .

Odido stond op het punt naar de beurs gebracht te worden.

Dan weet iedereen met ervaring bij een tent in de verkoop /overname/fusie stond - alles met "kosten" was afgeknepen zodat het qua cijfers er optimaal uitzag, en uitgesteld tot "moet de nieuwe eigenaar/directie beslissen" .

Odido ken ik niet van binnen , maar nagenoeg zeker dat dat een hele tijd met minimale resources gedraaid heeft, en dan is "defaults totdat het werkt" typisch wat je op allerlei installaties ziet, want de boel goed uitzoeken tot wat er 'minimaal' nodig is kost veel meer tijd en moeite. En die tijd is er niet voor de paar mensen die "alles" moeten doen.

Handel met voorkennis, is ook strafbaar. (Daarom kocht Musk Twitter, hij had het password van Bijleveld ook en zo zouden ze elkaar herkennen)

Waarom zou een automatiseerder geen persoonlijk gewin kunnen nastreven, of een overtuiging heben over hoe het wel moet, maar daar geen ruimte voor krijgen bij een opdrachtgever, en daarom zijn aandeel te koop zet?

De tendens om geen negatieve gedragingen en eigenschappen van mensen te mogen benoemen omdat ze speculatief zijn op op een dossier dat in het nieuws is, vind ik geen reden om dan maar meteen weer de uitgekauwde derogatieve term "complotdenker" er tegen aan te gooien. Als ieder mens heilig was en alleen nobele gedragingen vertoonde, dan was er geen politie nodig, geen odido hack, en geen topic en discussie hierover.

https://en.wikipedia.org/wiki/Occam%27s_razor (simpel)

https://en.wikipedia.org/wiki/Hanlon%27s_razor (malice / stupidity)