Door: Patrick Jordens
Wat is er gebeurd?
Odido meldt dat cybercriminelen toegang kregen tot een klantcontactsysteem en daaruit klantdata hebben gedownload; per klant kan het gaan om NAW-gegevens, geboortedatum, IBAN en identificatiegegevens (paspoort- of rijbewijsnummer plus geldigheidsdatum).
Volgens NOS kwamen de daders binnen via accounts van klantenservicemedewerkers (phishing) en haalden zij daarna gegevens geautomatiseerd uit het systeem; mogelijk speelde een uitbestede klantcontactketen en een extern platform een rol, maar Odido bevestigt die details niet publiek.
De kern is ongemakkelijk en tegelijk leerzaam: ketenbeveiliging faalt zelden door één ontbrekend document, vaker door te brede toegang, zwakke detectie en te weinig continue sturing op leveranciers en uitbesteed werk.
Wat is bevestigd?
Op de eigen informatiepagina schrijft Odido dat in het weekend van 7 en 8 februari 2026 de eerste signalen van een datalek binnenkwamen en dat direct onderzoek is gestart met interne en externe cyberbeveiligingsexperts. Odido geeft aan dat, voor zover op dat moment bekend, de gelekte data niet online is gepubliceerd, maar dat publicatie of misbruik later niet kan worden uitgesloten. NOS en NU.nl berichten dat het om 6,2 miljoen accounts gaat; daarbij wordt ook genoemd dat klanten van dochtermerk Ben geraakt zijn en klanten van Simpel niet.
Onderstaande tijdlijn vat samen wat er publiek is vastgelegd (incident), wat er publiek is gecommuniceerd (disclosure) en welke governance-mijlpaal eraan komt (Cyber-beveiligingswet, beoogd).
Aanvalsvector en supply-chain-element volgens Nederlandse bronnen
Odido zelf houdt het op hoofdlijnen: criminelen kregen toegang tot het klantcontactsysteem en hebben vervolgens “op onbevoegde wijze” klantdata gedownload. Er wordt geen leverancier, platformnaam of concrete aanvalstechniek genoemd.
NOS beschrijft, op basis van bronnen, een route die sterk leunt op de keten rond customer service: aanvallers zouden inloggegevens via phishing hebben buitgemaakt, medewerkers daarna telefonisch hebben benaderd (zich voordoend als ICT-afdeling) en zo een extra beveiligingsstap hebben laten goedkeuren. Daarna zouden meerdere accounts zijn misbruikt om data geautomatiseerd op te slaan.
Daar zit het supply-chain-aspect niet per se in een “software-update met backdoor”, maar in mensen en toegang: wie werkt er op jouw proces, met welke rechten, op welk platform, en hoe strak monitor je die toegang. NOS noemt expliciet dat het mogelijk om buitenlandse callcenters ging en dat er is ingelogd op Salesforce, waarna scraping is gebruikt om klantgegevens te bemachtigen. Dat blijft gebaseerd op bronnen; Odido zegt tegen NOS niet te willen reageren op die bevindingen.
RTL Z voegt nog een andere mogelijke leverancier toe: bronnen zouden wijzen naar Netcracker als betrokken partij, maar ook daarbij geldt dat de manier waarop toegang is verkregen “nog niet bekend” zou zijn en dat Netcracker niet inhoudelijk wil reageren op vragen.
Welke gegevens zijn gelekt, en welke niet?
Odido beschrijft dat de gelekte dataset per klant verschilt, maar mogelijk bevat: naam, contactgegevens (NAW en telefoonnummer), geboortedatum, klantnummer, e-mailadres, IBAN en identificatiegegevens (documentnummer en geldigheid). Odido stelt ook expliciet wat niet betrokken is: wachtwoorden van Mijn Odido, belgegevens, locatiegegevens, factuurgegevens en scans van identiteitsbewijzen.
Die combinatie van IBAN plus identificatienummers maakt dit lek extra gevoelig: het vergroot de kans op overtuigende fraude, omdat criminelen zich geloofwaardig kunnen voordoen als provider, bank of andere bekende partij. NOS wijst daar eveneens op en benadrukt dat het nog onduidelijk is van hoeveel mensen de data daadwerkelijk is buitgemaakt, ondanks het grote aantal accounts in het systeem.
Onzekerheden die expliciet benoemd moeten worden
Er zijn nog te veel open eindjes om dit incident al netjes in een vakje te stoppen. Eén: de exacte technische root cause en de exacte “ketenroute” zijn niet publiek door Odido bevestigd. Twee: de omvang van de exfiltratie is onzeker. NOS citeert bronnen die zeggen dat het niet waarschijnlijk is dat alle klantdata is gedownload, maar het is ook niet uit te sluiten; dat hangt af van hoe lang de aanvallers binnen waren en of dit onopgemerkt bleef.
Drie: of er sprake is van afpersing, en wie de dader is, blijft publiek onduidelijk. Odido zegt niet of er druk of chantage is.
Deze onzekerheden zijn geen detail. Ze bepalen welke maatregelen je achteraf kunt toetsen: was er rate limiting, zijn exports gelogd, bestond er detectie op scraping, en hadden leveranciers- of callcenteraccounts “te veel” zicht op de hele klantpopulatie.
Waarom supply-chain security vaak statisch blijft
Het NCSC is hier ongewoon helder: leveranciersmanagement vraagt meer dan compliance, certificaten en vinklijsten. Het gaat om dialoog, relatiebeheer, en vooral om een continu proces dat “nooit af is”. Die boodschap raakt een pijnpunt. Veel organisaties varen op ISO-rapporten en periodieke audits. Het NCSC waarschuwt dat audits in diepgang verschillen en dat certificeringen je een beeld geven van het managementsysteem, niet automatisch van de feitelijke weerbaarheid.
Daarom benadrukt het NCSC ook monitoring van ketenrisico’s, met meetbare indicatoren (KRI’s) zoals patching-compliance of pentestresultaten. Zonder zulke signalen blijft “ketenbeveiliging” iets dat op papier klopt, tot iemand met een echte workflow en echte rechten wordt misleid.
Aanbevelingen voor governance en operatie
Als jij ketenrisico serieus wilt managen, moet je het kleiner en concreter maken: wie heeft toegang, tot welke data, via welke accounts, met welke detectie, en met welke gezamenlijke respons. De NCSC-aanpak is risicogestuurd (prioriteren) en cyclisch (blijven doorontwikkelen), met instrumenten zoals right to audit, right to pentest en right to red team. NIS2 zet dit om in verplichtingstaal: supply chain security hoort expliciet bij de minimale risicobeheersmaatregelen en organisaties moeten rekening houden met kwetsbaarheden en de kwaliteit van cybersecuritypraktijken van directe leveranciers.
TT3P-kader: zes bouwstenen voor ketenweerbaarheid
1) Inventariseren & classificeren (kritieke leveranciers)
2) Contract & assurance (eisen, auditrechten, bewijs)
3) Toegang & identiteit (least privilege, MFA, review)
4) Monitoring & telemetrie (detectie op misbruik en exports)
5) Testen & leren (red-team, pentests, lessons learned)
6) Samen incidenten managen (shared IR en herstelafspraken)
Twee korte vergelijkingen helpen om het perspectief scherp te houden. Bij de Kaseya-incidenten in 2021 adviseerde het Digital Trust Center organisaties om VSA-systemen uit te schakelen; het laat zien hoe één leverancier via beheerketens veel downstream-slachtoffers kan raken. En de SolarWinds-casus illustreert het “updatepad” als aanvalskanaal: kwaadwillenden infiltreerden software en verspreidden een achterdeur via een reguliere update, waardoor klanten onbewust een besmetting binnenhaalden.
NIS2, aansprakelijkheid en waarom bestuur dit niet kan delegeren
NIS2 vraagt expliciet om bestuurlijke betrokkenheid: management bodies moeten de cybersecurity-risicomanagementmaatregelen goedkeuren, toezicht houden op de implementatie en kunnen aansprakelijk worden gehouden voor overtredingen van die verplichtingen. De richtlijn koppelt daar ook sanctiedruk aan: bij inbreuken op onder meer de risicobeheersmaatregelen en meldplichten moeten lidstaten boetemaxima borgen van minimaal 10 miljoen euro of 2 procent van de wereldwijde omzet (essentieel) en 7 miljoen euro of 1,4 procent (belangrijk), afhankelijk van de categorie entiteit.
Voor Nederland geldt dat de Cyberbeveiligingswet, als NIS2-omzetting, naar verwachting in Q2 2026 in werking treedt, afhankelijk van behandeling in beide Kamers. Los daarvan blijven privacyverplichtingen staan: meldplicht datalekken (AVG) noemt een termijn van 72 uur richting de AP na constatering, en Odido zegt de toezichthouder te hebben geïnformeerd.
