In het kort:

De aanvallers gebruikten een slimme combinatie van phishing en social engineering om beveiligingen te omzeilen.

• Criminelen stuurden phishing-mails naar klantenservicemedewerkers om wachtwoorden te stelen
• Daarna belden ze de medewerkers op en deden zich voor als ICT-afdeling om extra beveiligingsstappen te omzeilen
• Via deze methode kregen ze toegang tot accounts van meerdere medewerkers

Achter de schermen:

De hackers gebruikten geautomatiseerde software om klantdata uit Salesforce te scrapen nadat ze toegang hadden gekregen.

Het is onzeker hoeveel data daadwerkelijk is gestolen, omdat het downloaden van alle klantgegevens "echt heel lang duurt", aldus bronnen. Beveiligingsonderzoeker Sijmen Ruwhof bevestigt dat je daar "echt wel een aantal dagen voor nodig hebt". Mogelijk ging het om medewerkers van buitenlandse callcenters die Odido inhuurt.

Wat volgt:

Odido waarschuwt voorzorgshalber 6,2 miljoen huidige en voormalige klanten van mogelijke datalekken. Het bedrijf heeft het incident gemeld bij de Autoriteit Persoonsgegevens en informeert getroffen klanten binnen 48 uur. Ook klanten van dochterbedrijf Ben zijn mogelijk getroffen.