In februari dit jaar werd telecommunicatiebedrijf Odido getroffen door een grootschalige cyberaanval, waarbij persoonsgegevens van 6,2 miljoen klantenaccounts werden buitgemaakt. De gelekte informatie omvatte namen, adressen, telefoonnummers, geboortedata, klantnummers, bankrekeningnummers en gegevens van identiteitsdocumenten. Odido meldt echter dat er geen wachtwoorden zijn gelekt.

De gestolen e-mailadressen zijn in de maanden na de aanval ingezet voor spam- en phishingmails. Onderzoekers hebben minstens dertig phishingcampagnes geïdentificeerd waarin gegevens uit het Odido-datalek werden misbruikt. De meeste van deze oplichtingsmails waren eenvoudig van opzet en maakten voornamelijk gebruik van de gelekte e-mailadressen. Andere gelekte persoonsgegevens werden in deze campagnes doorgaans niet verwerkt, wat erop wijst dat criminelen slechts een deel van de gestolen informatie benutten.

Het vermoeden bestaat dat lijsten met e-mailadressen uit het volledige databestand zijn gehaald en vervolgens zijn verspreid of verhandeld. Het is echter niet vastgesteld wie deze lijsten precies gebruikt, noch hoe vaak ze zijn doorverkocht.

Phishingmailtjes werden onder andere verstuurd namens organisaties als het Landelijk Energieloket, Infomedics, de Kamer van Koophandel, ABN AMRO en diverse post- en koeriersdiensten. In één specifieke campagne presenteerden oplichters zich als medewerkers van Odido en claimden zij de beschikbaarheid van een nieuwe appversie. De link in deze misleidende e-mail leidde echter naar schadelijke software bedoeld voor telefoons.

Odido is om een reactie gevraagd. Vanwege de lopende vakantieperiode kon de provider op het moment van melding nog geen commentaar geven.