Odido datalek: Kamerbrief bevestigt dat BSN-lek groter is dan eerst gemeld

Het Odido datalek, stand april 2026

Het Odido datalek is een van de grootste incidenten bij een Nederlandse telecomprovider in jaren. Op 9 april 2026 beantwoordden demissionair staatssecretarissen Arno Rutte (Justitie en Veiligheid, VVD) en Eddie van Marum (Binnenlandse Zaken, BBB) Kamervragen over het incident. Hun schriftelijke antwoord bevestigde dat er burgerservicenummers in de gestolen dataset staan.

Die bevestiging is om twee redenen relevant. Ze staat haaks op wat Odido in februari publiekelijk zei, namelijk dat geen BSN was buitgemaakt. En ze komt overeen met wat RTL Nieuws op 25 februari 2026 al aantoonde door de dataset zelf te analyseren.

De tijdlijn, bijgewerkt

Aanvallers kregen rond 7 en 8 februari 2026 ongeautoriseerde toegang tot een op Salesforce gebouwd klantsysteem van Odido. Odido ontdekte de toegang en deed op 9 februari melding bij de Autoriteit Persoonsgegevens.

ShinyHunters, een bekende criminele groep, eiste de aanval op. De losgeldeis werd in de media eerst beschreven als zevencijferig en later als rond een half miljoen euro. Volgens NOS weigerde Odido te betalen. Dat is de juiste keuze, en we gaan niet doen alsof dat anders ligt.

Op 25 februari meldde RTL Nieuws dat zijn analyse van de gepubliceerde dataset burgerservicenummers bevatte. Dat sprak de eerdere framing van Odido tegen. Tussen 26 en 27 februari publiceerde ShinyHunters delen van de data op een darkwebforum. Op 2 maart was volgens onder meer Telecompaper de volledige dataset vrijgegeven.

De omvang bedraagt volgens de Nederlandse berichtgeving ongeveer 6,2 miljoen accounts, inclusief voormalige klanten van wie de gegevens nog in het systeem stonden. Gelekt zijn namen, adressen, e-mailadressen, telefoonnummers, geboortedata, bankrekeningnummers (IBAN voor ongeveer 340.000 klanten volgens RTL Nieuws), paspoort- of ID-documentnummers, en enkele tientallen BSN-nummers van voormalige ZZP'ers van wie het pre-2020 BTW-nummer hun BSN bevatte.

BNR Nieuwsradio citeerde privacy-advocaat Menno Weij van The Data Lawyers over de BSN-kwestie: "Je BSN krijg je maar één keer in je leven." Precies daarom is BSN-blootstelling een andere categorie schade. Een bankpas kun je vervangen. Een BSN niet.

De Autoriteit Persoonsgegevens onderzoekt het retentiebeleid van Odido: specifiek de vraag waarom voormalige klanten überhaupt nog in het systeem stonden. Het Openbaar Ministerie heeft een apart strafrechtelijk onderzoek geopend.

Hoe de aanval werkte

Odido spreekt van ongeautoriseerde toegang tot een klantsysteem dat op Salesforce draait. Het precieze toegangspad is niet bekendgemaakt. Over de bredere Salesforce-supplychaincontext circuleren verschillende berichten; dat zijn geclaimde en gerapporteerde signalen, geen bevestigde feiten, en zo laten we ze staan.

Wat wel kan worden gezegd, in gewone taal: als één SaaS-klantsysteem volledige profielen bevat van 6,2 miljoen mensen inclusief ex-klanten, dan is compromittering van dat systeem het worstcasescenario bij ontwerp, niet bij pech.

Wie zijn getroffen

Rond de 6,2 miljoen huidige en voormalige Odido-klanten. De data maken een breed scala aan fraude mogelijk: gerichte phishing met kloppende persoonlijke gegevens, nep-incasso's, impersonatie van de Odido-klantenservice, en, door de aanwezigheid van paspoortnummers, een deelset aan hoger-effort identiteitsfraudepogingen. BSN-blootstelling voegt een specifiek risico toe rond belasting- en toeslagfraude, een categorie die voor betrokkenen bijzonder moeilijk te mitigeren is.

Wat dit betekent voor uw organisatie

De bruikbare lessen uit het Odido-verhaal gaan niet over telecomsecurity. Ze gaan over disclosurediscipline en over dataretentie.

De eerste bekendmaking is bijna altijd onvolledig, en vrijwel altijd te optimistisch. In de eerste 72 uur na ontdekking staat een bedrijf onder druk uit drie richtingen: de toezichthouder wil een melding, klanten willen duidelijkheid, en de juridische afdeling wil niets laten zeggen wat weer moet worden ingetrokken. De uitkomst is een eerste statement dat beschrijft wat in die 72 uur vaststaat, en dat is consequent minder dan wat het forensisch onderzoek uiteindelijk oplevert. Dat is niet altijd onoprecht. Het is vaak gewoon te vroeg. Het probleem is dat de correctie, en die komt bijna altijd, het vertrouwen meer schaadt dan het lek zelf. De Odido BSN-ontkenning, eerst gecorrigeerd door RTL Nieuws en nu door een Kamerbrief, is een schoolvoorbeeld.

Retentie is een goedkope maatregel die structureel wordt verwaarloosd. De reden dat ex-klanten van jaren terug in dit lek staan, is geen beveiligingsfout. Het is een retentieprobleem. Onder de AVG mogen persoonsgegevens niet langer worden bewaard dan nodig voor het doel waarvoor ze zijn verzameld. "Misschien komt die klant nog eens terug" is geen rechtmatig doel. Retentieherzieningen zijn saai werk zonder glans, en horen bij de ingrepen met de hoogste impact per geïnvesteerde euro voor Nederlandse organisaties.

De BSN-kwestie verdient aandacht op bestuursniveau. Bewaart uw organisatie BSN van medewerkers, zzp'ers of klanten, dan hoort dit veld in uw impactanalyse een eigen behandeling te krijgen, omdat het herstelpad voor betrokkenen zoveel smaller is. Versleutelen, segregeren en minimaliseren van BSN-opslag is een van de duidelijkste risicoreductieacties die voorhanden zijn.

Organisaties die incident response willen die het disclosure- en toezichthouderspoor even serieus behandelt als het technische spoor, zodat versie twee van het verhaal niet in tegenspraak is met versie één, kunnen SecDesk rechtstreeks inschakelen via response.secdesk.com. Dat is wat de eerste week van een incident als dit vraagt.