In het kort:

Odido werd in februari slachtoffer van een geavanceerde cyberaanval waarbij criminelen zich voordeden als IT-medewerkers.

• Hackersgroep ShinyHunters stal gegevens van 6,39 miljoen klanten nadat criminelen op 5 en 6 februari belden en zich voordeden als IT-helpdeskmedewerkers.
• De eerste poging werd gestopt, maar een dag later slaagden criminelen alsnog via een medewerker toegang te krijgen.
• Odido weigerde losgeld te betalen op advies van Justitie en cybersecurityexperts, waarna de data op het darkweb verscheen.

Het grote plaatje:

De aanpak van Odido roept vragen op over communicatie naar klanten en de balans tussen werkbaarheid en dataveiligheid. Van Lammeren erkent dat tussentijdse updates beter hadden gekund: "Misschien hadden we elke twee weken een update per mail kunnen sturen." Cybersecuritydeskundigen vragen zich af of betere monitoring mogelijk was geweest, zoals waarschuwingen bij het raadplegen van veel accounts.

De onderste regel:

Odido compenseert klanten niet, tenzij er aantoonbare schade is. "Als we jou nu 10 euro geven, lost dat niets op", aldus Van Lammeren. Ruim 350.000 gedupeerden sloten zich aan bij een massaclaim, terwijl de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur onderzoeken zijn gestart naar de bewaartermijnen.