Odido-datalek: 150 dagen en 61 phishingmails verder

Bij de cyberaanval op Odido in februari 2026 kwamen de gegevens van 6,2 miljoen accounts in handen van criminelen, volgens deskundigen een van de grootste datalekken ooit in Nederland. Sinds 1 maart staat de volledige buit op het dark web, waar iedereen die weet waar hij zoeken moet erbij kan.

Twee van onze collega’s zaten helaas in die dataset. Allebei gebruiken zij per dienst een uniek e-mailadres, en deze twee aliassen zijn alleen bij Odido en bij het overgenomen merk Tele2 achtergelaten. Elke phishingmail die er sindsdien op binnenkomt is daardoor herleidbaar tot dit ene datalek, en dat leverde inzichten op die de meeste slachtoffers nooit krijgen.

In de 150 dagen na de publicatie van de gestolen data kwamen er 61 phishingmails binnen, 32 op het Odido-adres en 29 op het Tele2-adres. In deze blogpost beschrijven wij onze aanpak en de cijfers die dat oplevert.

Het Odido-datalek

Op 5 en 6 februari 2026 was Odido doelwit van een cyberaanval door de criminele groep ShinyHunters, die via phishing op medewerkers en een telefoontje namens de IT-afdeling in het klantcontactsysteem kwam. Odido weigerde losgeld te betalen, waarna de groep een eerste deel publiceerde en op 1 maart de volledige dataset volgde.

Buitgemaakt zijn volledige naam, adres en woonplaats, telefoonnummer, klantnummer, e-mailadres, rekeningnummer, geboortedatum en nummers en geldigheidsdatum van identiteitsbewijzen zoals paspoort of rijbewijs, aldus de NOS. In het gehackte systeem stonden ook gegevens van klanten van Ben, dat onderdeel is van Odido. Voor klanten van Simpel geldt dat niet.

Unieke e-mailaliassen

Beide collega’s gebruiken een catch-all-domein. Voor elke organisatie waar zij een account aanmaken, gebruiken zij een nieuw adres volgens hetzelfde patroon: <organisatie>@<eigen maildomein>. Bij Odido is dus odido@<eigen maildomein> achtergelaten, en dat adres is nergens anders ingevuld.

Twee weken na de publicatie van de dataset lag deze Ledger-phishingmail er, om drie uur ’s nachts, gericht aan odido@.

Het unieke adres van de tweede collega is achtergelaten bij Tele2, dus tele2@<eigen maildomein>. Op 5 september 2023 gingen T-Mobile, Tele2 en Tweak verder onder de naam Odido. Ook dat adres is buitgemaakt en door ShinyHunters gepubliceerd nadat Odido weigerde te betalen.

De tijdlijn

Beide adressen kregen ongeveer evenveel post, 32 op het Odido-alias en 29 op dat van Tele2. Ook per week ontlopen ze elkaar weinig: in 11 van de 16 weken waarin er iets binnenkwam scheelde het hoogstens één bericht. Uitschieters zijn er wel. In de week van 22 juni kreeg het Odido-adres er zeven en het Tele2-adres maar één, terwijl begin april het Tele2-adres er vier kreeg en het andere niets.

Wat vooral opvalt is hoe snel het begon. Het eerste bericht kwam op 12 maart, elf dagen na de publicatie van de dataset, en drie dagen later lag er ook een op het tweede adres.

Daarnaast viel het ons op dat er na 3 juli ineens helemaal geen phishingmails meer binnenkwamen. Misschien dat de cybercriminelen ook met vakantie zijn gegaan?

Welke gegevens gebruikten ze?

Bij de hack ging het om veel meer dan e-mailadressen. RTL Nieuws analyseerde de gepubliceerde dataset en trof daarin 275.000 IBAN’s aan, naast aantekeningen van de klantenservice waaruit blijkt wie een aanmaning had gekregen en wie onder bewind stond.

We hadden verwacht dat de phishingmails dit soort informatie zouden gebruiken om legitiemer over te komen. Dat gebeurde vrijwel niet. Geen adres, geen IBAN, geen telefoonnummer. Tien berichten zetten het e-mailadres als aanhef bovenaan, letterlijk “Geachte odido@…”. De rest hield het op “Geachte heer/mevrouw” of begon zonder aanhef.

Eén bericht ging verder. Op 1 juli kwam er een ABN AMRO-imitatie binnen die opende met de aanhef, de voorletter en de achternaam van het slachtoffer.

Phishingmails per categorie

Uiteindelijk waren we ook benieuwd wat voor soort phishingmails we kregen. Daarom hebben we alle ontvangen berichten geclusterd in categorieën. Daarin komen vooral de usual suspects langs, zoals KVK-phishing, banken en pakketbezorgers.

Eén categorie viel extra op: phishing die zich voordeed als Odido. Opvallend genoeg kwam die alleen binnen op het Tele2-alias.

De afbeeldingen in deze phishingmail worden rechtstreeks van de echte servers van Odido gehaald. Het bericht zelf kwam van een zakelijk mailadres in Turkije. Onze aanname is dat dat account gecompromitteerd is en daarna is gebruikt om phishing mee te versturen.

De kwaliteit en het onderwerp van de berichten verschilden sterk. Het Nederlands was in de meeste gevallen wel prima in orde. Tegelijk zagen we in de teksten en de opmaak de bekende sporen van AI, zoals em-dashes en tekstblokken met een gekleurde accentbalk aan de linkerkant. Bij het onderstaande bericht over een gratis cadeaukaart is de opmaak het duidelijkst.

Overlap tussen mailaliassen

Tot slot onderzochten we hoeveel overlap er zat tussen beide mailaliassen. Van de 61 phishingmails kwamen er 28 op allebei de adressen binnen, veertien per alias. De overige 33 raakten maar één van de twee: achttien alleen het Odido-alias, vijftien alleen het Tele2-alias. Dat wijst erop dat de gestolen adressen in verschillende selecties circuleren, in plaats van als één vaste verzendlijst te worden gebruikt.

Conclusie

Honderdvijftig dagen na de publicatie staat de teller op 61 phishingmails, en het patroon is duidelijker dan wij vooraf dachten. Het begon pas toen de dataset publiek werd, het liep op tot een piek in juni, en daarna viel het stil.

Het opvallendste is wat de afzenders niet gebruikten. Hoewel de dataset veel meer persoonsgegevens bevatte, verwerkten zij in bijna alle berichten alleen het e-mailadres. In vijf maanden tijd sprak slechts één phishingmail een ontvanger bij naam aan. Dat is geruststellend, maar mogelijk slechts tijdelijk: namen, adressen en 275.000 IBAN’s zijn nog steeds beschikbaar. Zodra criminelen die gegevens gaan combineren, kunnen de berichten veel persoonlijker en overtuigender worden, zoals bij spear phishing.

Wat u zelf kunt doen

Gebruik voor elke dienst een uniek e-mailadres, zodat u sneller ziet waar een lek vandaan komt. Klik bij waarschuwingen, blokkades of prijzen niet op links in de mail, maar open zelf de officiële website of app. Controleer altijd het echte afzenderadres en gebruik waar mogelijk een wachtwoordmanager en passkeys.

Heeft u geen eigen maildomein, dan kunt u bij veel aanbieders een plusteken gebruiken:

[email protected]
[email protected]

Alles achter de plus wordt genegeerd bij de bezorging, dus de post komt gewoon in uw bestaande postvak binnen.

Bent u klant geweest van Odido, Ben of Tele2, controleer dan via Checkjehack of uw gegevens in de dataset staan.