De cybercriminelen achter de aanval op telecomprovider Odido hebben de volledige buitgemaakte klantendatabase online gezet. Daarmee is de dreiging om de gegevens gefaseerd te publiceren losgelaten. Waarom de hackersgroep deze koerswijziging heeft ingezet, is onduidelijk.

Uit analyse van de NOS blijkt dat de dataset gegevens bevat van minimaal 6,5 miljoen personen en 600.000 bedrijven. In de gelekte bestanden staan meer dan vijf miljoen unieke nummers van identiteitsbewijzen, waaronder paspoorten, rijbewijzen en andere door de overheid uitgegeven documenten. Daarnaast zijn geboortedata, bankrekeningnummers, telefoonnummers en e-mailadressen openbaar gemaakt. In tienduizenden gevallen gaat het bovendien om gevoelige interne notities van de klantenservice, waarin onder meer informatie over fraude of persoonlijke omstandigheden is vastgelegd.

Losgeld

De verantwoordelijke groep, die opereert onder de naam ShinyHunters, brak begin februari in bij Odido. De aanvallers wisten toegang te krijgen door zich telefonisch voor te doen als interne ICT-medewerkers, waarna zij via de klantenservice toegang kregen tot het klantbeheersysteem. Eerder eisten de criminelen losgeld om publicatie te voorkomen. Dat bedrag zou zijn teruggebracht van circa één miljoen euro naar vijf ton. Odido besloot, mede op advies van politie en securityspecialisten, niet in te gaan op de eisen.

Aanzienlijke impact

Beveiligingsonderzoeker Troy Hunt heeft de gelekte e-mailadressen toegevoegd aan de datalekzoekmachine Have I Been Pwned, waar gedupeerden kunnen controleren of hun gegevens zijn getroffen. Ook de politie heeft aangekondigd slachtoffers via een speciale controlepagina te zullen informeren.
De impact van het datalek is aanzienlijk, mede door de aard en omvang van de gepubliceerde identiteitsgegevens. Experts waarschuwen voor verhoogde risico’s op identiteitsfraude en gerichte phishingaanvallen. Het incident onderstreept opnieuw hoe kwetsbaar organisaties zijn voor social engineering en hoe groot de gevolgen kunnen zijn wanneer toegangsprocedures tekortschieten.