De cyberaanval op Odido vond begin februari plaats en behoort qua aantallen tot de grootste Nederlandse datalekken van de afgelopen jaren. Volgens Odido zijn uiteindelijk ongeveer 6,39 miljoen mensen getroffen, onder wie zowel huidige als voormalige klanten van Odido en klanten van Ben.
Beller deed zich voor als IT-medewerker
De aanvallers braken niet simpelweg met een ingewikkelde technische truc in op de systemen van Odido. Een belangrijk onderdeel van de aanval was juist het misleiden van een medewerker.
Een Nederlandssprekende man belde de klantenservice en deed zich voor als medewerker van de IT-afdeling van Odido. Hij vertelde dat er een probleem moest worden opgelost en wist de medewerker ervan te overtuigen handelingen uit te voeren waarmee de aanvallers toegang konden krijgen tot een intern systeem. De politie spreekt daarbij van phishing. Odido noemt de gebruikte methode zelf ook voice phishing, vaak afgekort tot vishing.
Vishing is eigenlijk phishing via de telefoon. In plaats van een nepmail of sms probeert een aanvaller je tijdens een gesprek te overtuigen iets te doen wat je normaal niet zou doen. Bijvoorbeeld een code doorgeven, ergens inloggen of een bepaalde website bezoeken. Criminelen proberen daarbij zo betrouwbaar mogelijk over te komen en kunnen kennis gebruiken van interne procedures, namen van afdelingen en technisch jargon. Dat lijkt ook bij Odido te zijn gebeurd.
Verdachte lijkt kennis van ict te hebben
De politie heeft een opname van het bewuste telefoongesprek en schakelde een stemdeskundige in om die te onderzoeken. Daarbij is volgens de politie vastgesteld dat het om een echte menselijke stem gaat en niet om een met kunstmatige intelligentie gegenereerde stem.
Dat laatste is tegenwoordig geen vanzelfsprekendheid meer. Met AI-technieken kunnen stemmen steeds overtuigender worden nagebootst. In dit geval denkt de politie echter dat de persoon op de opname daadwerkelijk zelf aan het woord is.
Volgens Thomas Aling van de Eenheid Landelijke Opsporing en Interventies spreekt de verdachte goed Nederlands, maar zitten er een aantal opvallende kenmerken in zijn uitspraak en stem. Daardoor zou de man mogelijk herkenbaar zijn voor mensen uit zijn omgeving.
Daarnaast lijkt de beller verstand te hebben van ict. Hij gebruikt volgens de politie specifiek Engelstalig vakjargon en weet daarmee bij de klantenservicemedewerker geloofwaardig over te komen. Het is daarom mogelijk dat de verdachte zelf ervaring heeft met ict of met het werken op een klantenservice of vergelijkbare afdeling.
Politie vermoedt Nederlandse betrokkenheid
Al in juli liet de politie weten sterke aanwijzingen te hebben dat Nederlanders betrokken zijn geweest bij de aanval. Het telefoongesprek met de klantenservice vormt één van de sporen in dat onderzoek.
De politie riep de beller destijds op zichzelf te melden en waarschuwde daarbij dat zijn stem anders mogelijk openbaar zou worden gemaakt. Omdat hij zich niet heeft gemeld, voert de politie dat voornemen nu uit.
De aanval zelf werd door Odido toegeschreven aan de cybercriminele groep ShinyHunters. Volgens het telecombedrijf vonden op 5 en 6 februari aanvallen plaats waarbij iemand zich tegenover medewerkers voordeed als lid van de eigen IT-afdeling.
Welke gegevens werden gestolen?
De aanvallers kregen toegang tot een klantcontactsysteem van Odido. Welke gegevens zijn buitgemaakt verschilt per persoon, maar het kan onder meer gaan om namen, adressen, mobiele telefoonnummers, e-mailadressen, klantnummers, IBAN-rekeningnummers, geboortedata, nationaliteit en gegevens van identiteitsdocumenten.
Volgens Odido zijn wachtwoorden voor Mijn Odido, belgegevens, locatiegegevens, factuurinformatie en scans van identiteitsbewijzen niet buitgemaakt.
Dat betekent overigens niet dat de gestolen informatie onschuldig is. Juist een combinatie van bijvoorbeeld naam, adres, telefoonnummer, geboortedatum en bankrekeningnummer kan worden gebruikt om nieuwe phishingaanvallen een stuk overtuigender te maken. De politie waarschuwde na de aanval dan ook om extra voorzichtig te zijn met onverwachte telefoontjes, e-mails en berichten waarin om persoonsgegevens wordt gevraagd.
Odido weigerde losgeld te betalen
Na de aanval probeerden de daders Odido af te persen. Het telecombedrijf besloot geen losgeld te betalen. De gestolen gegevens werden vervolgens door de hackers op het darkweb gepubliceerd.
Ook de politie adviseert organisaties in principe om geen losgeld te betalen. Betalen geeft namelijk geen garantie dat gestolen gegevens daadwerkelijk worden verwijderd. Bovendien verdienen cybercriminelen er geld mee waarmee nieuwe aanvallen kunnen worden uitgevoerd.
Stem maandagavond op televisie
Het fragment met de stem van de verdachte wordt maandag 7 september om 21.15 uur uitgezonden in Opsporing Verzocht op NPO 2. De politie hoopt vooral dat familieleden, vrienden, collega's of andere bekenden de stem herkennen.
