Het Odido-datalek levert enom veel phisingmails op

De gevolgen van het datalek bij telecomprovider Odido afgelopen februari, worden nu pas echt duidelijk. Er zijn tientallen zogenaamde ‘phishingcampagnes’ gehouden met de gelekte e-mailadressen.

Even een klein geheugensteuntje: afgelopen februari werd er een cyberaanval op Odido uitgevoerd, waarbij de klantgegevens van 6,2 miljoen Odido-klanten buit werden gemaakt. Denk aan namen, e-mailadressen, klantnummers, bankrekeningnummers en telefoonnummers. Odido liet weten dat wachtwoorden niet waren gelekt.

Maar alle data die wel gelekt is, kunnen criminelen alsnog misbruiken. De gestolen gegevens zijn online geplaatst nadat Odido weigerde om losgeld te betalen. Criminelen kunnen daardoor op het darkweb bij deze gegevens en die inzetten voor hun criminele praktijken.

En dat hebben ze massaal gedaan, zo blijkt nu uit een onderzoek van beveiligingsbedrijf Hackify (via NU.nl). Er zijn minstens dertig phishingcampagnes gespot waarbij gegevens uit het Odido-lek zijn gebruikt. Er zijn twee mailboxen van getroffen slachtoffers gemonitord, en daaruit blijkt dat men tussen februari en juli in totaal 61 phishingmails binnen heeft gekregen.

‘Phishing’ is een vorm van internetfraude. De crimineel doet zich in zijn e-mail voor als een betrouwbaar bedrijf – bijvoorbeeld een webwinkel of een bank – en proberen nietsvermoedende ontvangers van de mail nog meer gegevens van de persoon te onttrekken zodat er bijvoorbeeld geld gestolen kan worden.

De meeste phishingcampagnes gebaseerd op het Odido-datalek zijn alleen gebaseerd op de gelekte e-mailadressen. Die worden ingezet om mailtjes naar de Odido-klanten te sturen en ze te verleiden meer gegevens te delen of op een link te klikken. Dit doen ze onder andere vermomd als woordvoerders van ABN AMRO, het Landelijk Energieloket en de Kamer van Koophandel.

Volgens Hackify waren het vrij simpele phishingmails, ook omdat er geen andere persoonsgegevens in de mails zijn verwerkt. De criminelen zetten de mails uit naar een groot aantal gelekte e-mailadressen in de hoop dat een paar mensen er in trappen en bijvoorbeeld op de bijgeleverde link te klikken.

Dat er geen andere data is gebruikt om de e-mails verder te personaliseren, heeft waarschijnlijk met de grote hoeveelheid gelekte data te maken. Een lijst met e-mailadressen is gemakkelijk in te zetten, maar de gegevens zijn waarschijnlijk niet gestructureerd en het is dan teveel werk om alle andere persoonsgegevens bij de juiste e-mailadressen te vinden.

Er was ook een phishingcampagne waar meer werk in zat. Daarbij deden de criminelen zich voor als Odido-werknemers, en werd er geclaimd dat er een nieuwe versie van de Odido-app gedownload kon worden. Klikten mensen op de link, dan werd er software op de smartphone geïnstalleerd met schadelijke gevolgen.

Het blijft dus uitkijken geblazen als (voormalig) abonnee van Odido. Het bedrijf heeft al aangegeven onderzoek te blijven doen naar het datalek, en waarschuwt klanten voor verdachte e-mails en sms-berichten. In de tussentijd is het vooral aan te raden om gezond verstand te gebruiken en niet zomaar op links in e-mails of sms’jes te klikken als het van iemand komt die je niet persoonlijk kent.