Gelekte klantdata van Odido al tientallen keren misbruikt in phishingcampagnes

In twee onderzochte mailboxen kwamen tussen februari en juli van dit jaar in totaal 61 phishingmails binnen, meldt ethisch hacker Rick Verdoes van beveiligingsbedrijf Hackify aan NU.nl.

Verschillende binnengekomen berichten waren deel van dezelfde campagne. Het gaat naar schatting om ongeveer dertig afzonderlijke phishingcampagnes. De bevindingen van Verdoes zijn door NU.nl geverifieerd.

De meeste oplichtingsmailtjes waren eenvoudig van opzet. De afzenders gebruikten doorgaans alleen het e-mailadres dat is buitgemaakt bij het datalek, en verwerkten geen andere gelekte persoonsgegevens in de mails. "De kwaliteit van de phishingmailtjes is slecht. Ze schieten vooral met hagel", zegt Verdoes.

Bij een cyberaanval op Odido werden in februari gegevens van 6,2 miljoen klantenaccounts buitgemaakt. Het ging onder meer om namen, adressen, telefoonnummers, geboortedata, klantnummers, bankrekeningnummers en gegevens van identiteitsdocumenten. Wachtwoorden zijn volgens Odido niet gelekt.

Criminelen lijken voor de phishingcampagnes slechts een deel van die informatie te misbruiken. Verdoes vermoedt dat lijsten met e-mailadressen uit het volledige databestand zijn gehaald en vervolgens onder criminelen worden verdeeld of verhandeld.

"Een lijst met miljoenen e-mailadressen is maar een relatief klein bestand en makkelijk te gebruiken", legt de ethisch hacker uit. "De volledige database is veel groter en bevat ongestructureerde data. Het kost meer tijd en kennis om die gegevens automatisch aan elkaar te koppelen."

Dat kan verklaren waarom de berichten nauwelijks zijn gepersonaliseerd, terwijl de gelekte database daar in theorie wel genoeg informatie voor bevat. Het is niet vastgesteld wie de lijsten gebruikt of hoe vaak deze inmiddels zijn doorverkocht.

Criminele stuurden phishingmailtjes uit naam van onder andere het Landelijk Energieloket, Infomedics, de Kamer van Koophandel, ABN AMRO en diverse post- en koeriersdiensten. Die meeste mails waren algemeen opgesteld en probeerden ontvangers bijvoorbeeld op een link te laten klikken of een betaling te laten doen.

Eén campagne was gerichter. Daarin deden criminelen zich voor als medewerkers van Odido en schreven ze dat een nieuwe versie van de app beschikbaar was. De link in het bericht leidde volgens Verdoes naar software die schadelijk is voor telefoons.

"Dat is geavanceerder dan alleen gegevens verzamelen", stelt Verdoes. "Het doel is dan echt om malware op iemands telefoon te krijgen."

Odido werkt naar eigen zeggen samen met de Nederlandse toezichthouders en autoriteiten die onderzoek doen naar het datalek, laat het bedrijf aan NU.nl weten. Vanwege de lopende onderzoeken wil de provider daar niet verder op ingaan.

Een woordvoerder van Odido zegt dat klanten worden gewaarschuwd voor verdachte e-mails, sms'jes en andere pogingen tot phising. Volgens de woordvoerder komt phishing uit naam van Odido al langer voor en is niet met zekerheid vast te stellen dat zulke berichten verband houden met het datalek.