Februari 2026 vond een voor Nederlandse begrippen een ongekende op grote schaal cyberaanval op de klantdatabase van de Nederlandse telecomprovider Odido (voormalig T-Mobile en Tele2).
De aanval betrof een hack, waarbij werd ingebroken in de database die gegevens bevatte van 6,2 miljoen accounts bij Odido. Deze hack werd in het weekend van 7 en 8 februari 2026 ontdekt.Hack bij Odido, gegevens miljoenen klanten in handen van criminelen, NOS Nieuws, 12 februari 2026 De hackers hadden zich toegang verschaft tot zeer gevoelige klantgegevens.
Operandi Modus
Hackerscollectief ShinyHunters meldde zich kort na de ontdekking als uitvoerder van de hack. De groep bleek daarbij gebruik te hebben gemaakt van social engineering, waarbij een nep ict-medewerker zich had voorgedaan als ICT-medewerker van de helpdesk. De medewerkster van de klantenservice werd naar een externe website geleid door de nep ict-er aan de telefoon, hier diende de medewerkster van Odido haar inloggegevens in een nagemaakte omgeving van de normale inlogpagina voor medewerkers. Omdat de inlogpagina ook een telefoonnummer van de medewerkster nodig had om te verifieren (Multi Factor Authentication) heeft ze haar telefoonnummer code van zes cijfers ingetoetst in de nagebouwde omgeving. Hierdoor hadden de hackers een zogenaamde backdoor kunnen betreden en alle klantgegevens kunnen buitmaken.
De hackers hadden zich toegang verschaft tot klantgegevens, waaronder klantnummer, e-mailadres, rekeningnummer, volledige naam, adres en woonplaats, telefoonnummer, geboortedatum. Tevens de id-nummers en geldigheidsdatums van identiteitsbewijzen. Het BSN-nummer (burgerservicenummer) van de Nederlandse overheid werd eveneens bemachtigd door de hackers.
Afpersing door gegevens openbaar te maken
ShinyHunters dreigde de gestolen data openbaar te maken op het dark web als Odido geen losgeld van meer dan een miljoen euro zou betalen.Cybercriminelen dreigen met lekken data Odido: 'Laatste waarschuwing', RTL, 23 februari 2026 Odido weigerde in te gaan op deze eis, waarna de hackers op 26 februari 2026 overgingen tot het publiceren van een deel van de klantgegevens.Odido betaalt geen losgeld, criminelen publiceren deel gestolen klantgegevens, NOS Nieuws, 26 februari 2026Waarom Odido weigerde losgeld te betalen aan hackersgroep, NU.nl, 5 maart 2026
Strafrechtelijk onderzoek
Het Openbaar Ministerie begon een strafrechtelijk onderzoek naar aanleiding van de hack.Openbaar Ministerie start onderzoek naar hack Odido, ICT/Magazine, 25 februari 2026 De Rijksinspectie Digitale Infrastructuur (RDI) en de Autoriteit persoonsgegevens (AP) begonnen eveneens een officieel onderzoek en tekenden daartoe een samenwerkingsovereenkomst.AP en RDI officieel onderzoek naar Odido-datalek, Tweakers, 26 maart 2026Samenwerkingsovereenkomst Rijksinspectie Digitale Infrastructuur en Autoriteit Persoonsgegevens, oficielebekendmakingen.nl, 8 mei 2026
De stem van de nep ICT-medewerker is op dinsdag 08 september 2026 herkenbaar door de politie uitgezonden in het tv-programma Opsporing Verzocht. https://youtu.be/29IYdIfuCnc?si=DZjWEo9EIu0OMg9j
Impact op de slachtoffers
Consumers United in Court (CUIC), een particuliere stichting, begon een rechtszaak tegen Odido vanwege het in hun ogen onvoldoende waarborging van Odido inzake de beveiliging van klantgegevens.De Odido-zaak, CUIC. Geraadpleegd op 9 mei 2026
Externe links Webpagina van Odido met informatie over de cyberaanval
Categorie:Internetcriminaliteit Categorie:Gebeurtenis in 2026