NOS Nieuws
In het tv-programma Opsporing Verzocht is de stem afgespeeld van een verdachte van de hack bij Odido, begin dit jaar. In de uitzending was te horen hoe de verdachte zich voordeed als een collega en zo een Odido-medewerker overhaalde om in te loggen in een werkomgeving die later nep bleek te zijn. De politie noemt de werkwijze “heel gewiekst”.
De beller had al meerdere keren naar Odido gebeld, zo bleek uit de uitzending. Andere medewerkers maakten echter melding bij de beveiligingsafdeling van het bedrijf. Twee dagen na het slagen van de hack mailde het collectief ShinyHunters aan Odido dat het miljoenen klantgegevens had gestolen.
Wie de beller was, is nog altijd onbekend. De politie hoopt met het laten horen van de stem tips binnen te krijgen over de verdachte of dat de verdachte zich meldt. In juli deed de politie al een oproep aan de bellende hacker om zich uit eigen beweging te melden, dit gebeurde niet.
Wel een mens, geen AI
Volgens de politie staat na onderzoek van een stemdeskundige vast dat de stem van een mens is en niet is gecreëerd met kunstmatige intelligentie. “De man praat keurig Nederlands en heeft een aantal opvallende klanken en kenmerken in zijn stem die hem misschien herkenbaar maken, zeker voor zijn familie, vrienden en bekenden”, aldus een politiewoordvoerder.
Wat volgens de politie opvalt, is dat de hacker specifiek Engelstalig IT-jargon gebruikt. “Mogelijk heeft hij zelf ervaring op zo’n werkplek of weet hij op een andere manier hoe het er op zo’n afdeling aan toe gaat”, aldus de politie.
Uit de reconstructie van Opsporing Verzocht blijkt dat de Odido-medewerker door de verdachte werd overgehaald om in te loggen op een intern systeem. De hacker gebruikte daarbij veel gangbare IT-termen, waardoor de vrouw ervan overtuigd raakte een collega aan de lijn te hebben.
Hij zorgde ervoor dat de medewerker haar wachtwoord en gebruikersnaam invoerde op een nagebouwde inlogpagina van Odido, hierdoor kreeg hij haar gegevens in handen. Nadat zij ook nog een verificatiecode aan de hacker had doorgegeven, waardoor een extra beveiligingsstap kon worden omzeild, hadden de criminelen vrij spel.
“Toen stonden alle deuren open”, aldus de politiewoordvoerder in de uitzending. Eenmaal in het interne systeem van Odido kon het hackercollectief ShinyHunters eenvoudig data van meer dan zes miljoen klanten uit het systeem halen.
Odido weigerde te betalen
De hackers vroegen om een miljoen euro losgeld om publicatie van de klantgegevens te voorkomen, maar Odido weigerde dit te betalen. Daarna plaatste het collectief alle data, waaronder geboortedata, bankrekeningnummers, telefoonnummers en e-mailadressen, op het darkweb, een verborgen deel van het internet waarop veel criminele organisaties actief zijn.
Volgens de politie zijn de afgelopen maanden de slachtoffers van het lek op grote schaal bestookt met phishingmails in een poging geld afhandig te maken.
