Op 5 en 6 februari 2026 werd Odido aangevallen door de cybercriminele groep ShinyHunters. Volgens de politie speelde een vorm van social engineering een belangrijke rol bij de aanval. Daarbij proberen aanvallers niet rechtstreeks een computersysteem te hacken, maar misleiden ze mensen om toegang te krijgen. Een Nederlandssprekende man belde de klantenservice van Odido en deed zich voor als collega van de IT-afdeling. Hij vertelde dat er een probleem moest worden opgelost en gebruikte daarbij specifiek ICT-jargon. Hierdoor kwam hij volgens de politie geloofwaardig over.
De medewerker werd naar een nagebouwde inlogpagina van Odido geleid en vulde daar een gebruikersnaam en wachtwoord in. Ook een aanvullende verificatiecode werd ingevoerd. Daarmee kregen de aanvallers toegang tot interne systemen. De criminelen kregen uiteindelijk gegevens van miljoenen mensen in handen. Odido meldt zelf dat ongeveer 6,39 miljoen personen door de aanval zijn geraakt.
De aanvallers eisten vervolgens losgeld. Odido besloot niet te betalen, waarna gegevens op het darkweb werden gepubliceerd. De dienstverlening van Odido, zoals mobiel bellen, internet en televisie, bleef volgens het bedrijf beschikbaar.
De politie maakte in juli al bekend dat er sterke aanwijzingen waren voor Nederlandse betrokkenheid. De verdachte kreeg de gelegenheid zichzelf te melden, maar deed dat niet. Daarom heeft de politie zijn stem nu openbaar gemaakt. Een stemdeskundige concludeerde dat het om een echte stem gaat en niet om een met AI gegenereerde stem. De politie hoopt dat mensen uit de omgeving van de verdachte hem herkennen. In onderstaande link is de stem te horen. Herkent u deze stem of heeft u meer informatie? Neem dan contact op met de Opsporingstiplijn (gratis) op 0800 6070 Of via Telegram-kanaal @Veiligmelden.
https://youtu.be/aI1bKMJQXAQ?is=oszmxvYFznqB9dEM
Waarom is dit relevant voor BIO2?
De aanval op Odido laat zien waarom informatiebeveiliging niet alleen een technische kwestie is. Een organisatie kan beschikken over technische beveiligingsmaatregelen en toch kwetsbaar zijn wanneer een aanvaller erin slaagt een medewerker te misleiden. Dat is direct relevant voor organisaties die werken volgens de Baseline Informatiebeveiliging Overheid (BIO2). Risicomanagement moet ook rekening houden met social engineering en phishing. Dat sluit direct aan bij control 6.3 bewustwording en training: alle medewerkers en relevante contractanten moeten regelmatig bewustwordingstraining ontvangen over informatiebeveiliging, afgestemd op hun rol.