Ik las laatst een artikel op NU.nl, dat e-mailadressen maanden later nog steeds actief worden misbruikt. Inmiddels weten al veel over we wat we van deze datalek kunnen leren. Maar het zette mij wel aan het denken: hebben bedrijven sinds het Odido-datalek hun cybersecurity inmiddels op orde?
De data-crime zindert na
Het datalek bij Odido was geen incident dat eindigde op het moment dat de database werd gestolen. Uit onderzoek van ethisch hacker Rick Verdoes (Hackify), gepubliceerd door NU.nl, blijkt dat de gestolen e-mailadressen maanden later nog steeds actief worden misbruikt. Tussen februari en juli werden in twee onderzochte mailboxen 61 phishingmails ontvangen, afkomstig uit ongeveer 30 verschillende phishingcampagnes.
De meeste campagnes zijn relatief eenvoudig. Criminelen gebruiken vooral de gelekte e-mailadressen en versturen grootschalige phishingmails uit naam van bekende organisaties zoals banken, bezorgdiensten en overheidsinstanties. Slechts één campagne maakte specifiek misbruik van de naam van Odido door slachtoffers schadelijke software te laten installeren.
Volgens Verdoes gebruiken criminelen waarschijnlijk alleen de eenvoudig bruikbare e-mailadressen uit de complete dataset. De volledige database bevat veel meer persoonsgegevens, maar die zijn complexer te verwerken. Daardoor kiezen aanvallers voor de snelste route: massale phishingcampagnes.
De belangrijkste vraag
Hebben bedrijven sinds het Odido-datalek hun cybersecurity inmiddels op orde?
Het korte antwoord is: nee, daar is op dit moment geen bewijs voor. Sterker nog: beschikbare informatie wijst erop dat organisaties nog altijd kwetsbaar zijn.
Daar zijn meerdere redenen voor.
1. Het misbruik van het datalek duurt maanden voort
Het NU.nl-onderzoek laat zien dat gestolen gegevens niet één keer worden gebruikt, maar gedurende langere tijd blijven circuleren onder verschillende criminele groepen. Een datalek is daarmee geen eenmalig incident maar het begin van een langdurige veiligheidsdreiging.
2. Toezichthouders onderzoeken nog steeds of Odido voldoende beveiligd was
Dat toezichthouders nog onderzoeken uitvoeren, laat zien dat nog niet is vastgesteld dat de beveiliging voldeed aan de wettelijke eisen.
De Rijksinspectie Digitale Infrastructuur (RDI), de Autoriteit Persoonsgegevens (AP) en later ook de ACM onderzoeken onder andere:
- of de beveiliging van de systemen voldeed aan de wettelijke eisen;
- of telecomaanbieders voldoende invulling hebben gegeven aan hun zorgplicht;
- of persoonsgegevens langer zijn bewaard dan noodzakelijk.
3. De aanval maakte gebruik van menselijke kwetsbaarheid
Odido heeft zelf bekendgemaakt dat de aanvallers binnenkwamen via een geavanceerde vorm van voice phishing (vishing). Medewerkers werden overtuigd om toegang te verlenen nadat criminelen zich voordeden als interne IT-medewerkers.
Juist deze aanvalsmethode stond al geruime tijd op de radar van beveiligingsspecialisten. De Amerikaanse FBI waarschuwde in 2025 expliciet voor cybercriminelen die helpdesks, IT-afdelingen en medewerkers benaderen via telefoon, sms of e-mail om inloggegevens of toegangscodes te verkrijgen. Volgens de FBI richten deze aanvallen zich steeds vaker op organisaties die gebruikmaken van cloudplatformen en identiteitsdiensten, waarbij menselijke manipulatie belangrijker is dan het misbruiken van technische kwetsbaarheden.
Ook Salesforce, het platform waarvan Odido gebruikmaakte en waar de aanvallers uiteindelijk toegang toe kregen, publiceerde in januari al een waarschuwing over identiteitscompromittering. Daarin beschreef het bedrijf hoe aanvallers via social engineering medewerkers kunnen misleiden om toegang te verlenen tot bedrijfsomgevingen. Salesforce benadrukte daarbij dat traditionele beveiligingsmaatregelen niet voldoende zijn wanneer identiteiten of accounts worden overgenomen.
Dat maakt het Odido-incident extra relevant voor de bredere discussie over cybersecurity. Het laat zien dat organisaties tegenwoordig niet alleen moeten investeren in technische beveiliging, maar vooral ook in identiteitsbeheer, toegangscontrole, verificatieprocessen en bewustwording van medewerkers. Wanneer zowel leveranciers als opsporingsdiensten vooraf waarschuwen voor een specifieke aanvalsvorm en deze vervolgens succesvol wordt toegepast, is dat een signaal dat veel organisaties nog steeds moeite hebben om bekende risico's effectief te beheersen.
4. Organisaties investeren wel, maar het effect moet nog blijken
Na de aanval kondigde Odido aanvullende beveiligingsmaatregelen aan, waaronder extra investeringen in organisatorische beveiliging, verbeterde verificatie van communicatie en aanvullende bescherming voor klanten.
Dat zijn belangrijke stappen, maar ze betekenen niet automatisch dat de beveiliging nu voldoende is. Juist daarom lopen de onderzoeken van toezichthouders nog.
Wat kunnen we hier van leren?
Het Odido-incident laat zien dat cybersecurity geen project is dat je kunt afronden. Veel organisaties richten zich vooral op preventie, terwijl de gevolgen van een datalek vaak nog maanden of zelfs jaren doorwerken.
Belangrijke lessen zijn:
- menselijke fouten blijven een belangrijk aanvalspunt;
- gestolen gegevens blijven langdurig in omloop;
- e-mailadressen alleen zijn vaak al voldoende voor effectieve phishing;
- organisaties moeten voorbereid zijn op de periode ná een datalek, niet alleen op het voorkomen ervan;
- beveiliging vraagt om een combinatie van techniek, processen, monitoring en voortdurende bewustwording.
Conclusie
Het antwoord op de vraag "Hebben bedrijven sinds het Odido-datalek hun cybersecurity op orde?" is op basis van de beschikbare informatie nee.
Niet omdat bedrijven niets doen (veel organisaties investeren juist meer in beveiliging), maar omdat de praktijk laat zien dat:
- de buitgemaakte gegevens maanden later nog steeds worden misbruikt;
- toezichthouders nog onderzoeken of de beveiliging wel aan de wettelijke normen voldeed;
- menselijke factoren nog steeds een van de grootste risico's vormen;
- een datalek langdurige gevolgen heeft die niet verdwijnen zodra de aanval is gestopt.
Het Odido-datalek laat daarmee zien dat cybersecurity geen eindbestemming is, maar een continu proces waarin technologie, mensen en organisatie voortdurend moeten worden verbeterd.
