Тревожная мега-утечка в Odido, вероятно, не сразу приведет к новому мошенничеству | Технология

De gelekte gegevens komen uit het klantcontactsysteem van Odido. Criminelen hebben mogelijk toegang gekregen tot namen, adressen, telefoonnummers, klantnummers, rekeningnummers en identiteitsgegevens. Wachtwoorden en kopieën van paspoorten zijn niet gelekt.

Odido waarschuwt klanten om extra alert te zijn op verdachte telefoontjes, sms’jes en mails. Veel meer kunnen klanten niet doen. Veel van de buitgemaakte gegevens zijn namelijk lastig aan te passen.

Cybersecurityexpert Daan Keuper van Defion noemt het lek zorgwekkend vanwege de omvang. Toch klinkt hij niet heel geschokt. “Er zijn de afgelopen jaren al veel datalekken geweest”, zegt hij. “Onze persoonsgegevens zijn daardoor bijna allemaal publieke gegevens geworden.” Voor de meeste mensen zal dit lek weinig extra merkbaar fraudegevaar opleveren, denkt Erik de Jong van cybersecuritybedrijf Tesorion.

De deskundigen willen het lek bij Odido overigens niet bagatelliseren. “Dat datalekken aan de lopende band gebeuren, wil niet zeggen dat dit minder erg is”, zegt De Jong. “Elk lek is er een te veel. Maar het is vaak niet terecht om mensen onnodig bang te maken.”

Volgens experts is waakzaamheid bij digitale communicatie inmiddels belangrijker dan het specifieke lek zelf. Uit ervaring weet De Jong dat datalekken bij een bedrijf niet meteen veel meer risico’s opleveren voor klanten. “Over het algemeen resulteert een datalek niet meteen in een golf aan fraudepogingen”, zegt hij.

Wat criminelen van plan zijn met de gegevens, is giswerk. Odido heeft bijvoorbeeld niet gedeeld of er bijvoorbeeld losgeld wordt geëist om de gestolen informatie te laten wissen.

Keuper geeft enkele tips om op de hoede te zijn voor fraudepogingen. “Als je een onverwachte factuur gemaild krijgt, verifieer deze dan”, zegt hij. “Bel niet zomaar het telefoonnummer in de mail, maar zoek het officiële nummer van de instantie zelf even op. Wat je ook kunt doen, is naar de officiële website van een organisatie of bedrijf gaan en daar inloggen op ‘Mijn omgeving’. Daar kun je vaak zien of dezelfde informatie wordt opgevraagd als in de mail.”

Daarnaast adviseert De Jong om altijd unieke wachtwoorden te gebruiken en tweestapsverificatie in te schakelen. “Alert zijn is het belangrijkst”, zegt hij. “Al moeten we bescheiden blijven. In de realiteit zijn we allemaal wel eens moe of druk en kan het iedereen overkomen er een keer in te trappen.”

Voor getroffen bedrijven ligt de focus ondertussen niet alleen op schadebeperking, maar ook op opsporing. Als een bedrijf of organisatie te maken krijgt met een datalek, is het verplicht om het lek te melden bij de Autoriteit Persoonsgegevens. Ook moeten klanten of burgers worden ingelicht. Cybersecuritybedrijven die worden ingehuurd om onderzoek te doen, adviseren de getroffen instanties vaak om aangifte te doen bij de politie.

“Dat gebeurt tegenwoordig vaker dan tien jaar geleden”, zegt De Jong. “Het is vervolgens aan de politie of er gevolg aan wordt gegeven en of er capaciteit voor is.”

Digitaal onderzoek is vaak veel lastiger dan onderzoek naar criminaliteit in de fysieke wereld. “Het kan soms jaren duren voordat je van verschillende zaken de puzzelstukjes bij elkaar hebt gelegd en kunt bepalen wie erachter zit”, zegt De Jong. “Dan heb je mazzel als een crimineel zich in Nederland bevindt, maar vaak is dat niet zo. Het wordt dan nog ingewikkelder om iemand op te sporen.”