Het grootste datalek in de Nederlandse geschiedenis: welke gegevens zijn gelekt, hoe je checkt of je getroffen bent en welke stappen je vandaag nog moet nemen.
📑 Inhoudsopgave
1. Wat is er precies gebeurd?
2. Welke gegevens zijn gelekt?
3. Ben ik getroffen? Zo check je het
4. Wat moet je nu doen? (stappenplan)
5. Welke risico’s loop je?
6. Wie zijn ShinyHunters?
7. Hoe is Odido gehackt?
8. Heb ik recht op schadevergoeding?
9. Tijdlijn van het datalek
10. Veelgestelde vragen
Op 12 februari 2026 maakte telecomprovider Odido bekend dat het slachtoffer was geworden van een grootschalige cyberaanval. Hackersgroep ShinyHunters wist via een phishingaanval het klantcontactsysteem binnen te dringen en gegevens van miljoenen klanten buit te maken. Het gaat om het grootste datalek in de Nederlandse geschiedenis: ruim 6,2 miljoen klantaccounts zijn getroffen. In dit artikel leg ik uit wat er precies is gebeurd, hoe je checkt of jouw gegevens zijn gelekt en welke stappen je nu moet nemen om jezelf te beschermen.
Wat is er precies gebeurd?
Odido (voorheen T-Mobile Nederland) is getroffen door een cyberaanval waarbij hackers toegang hebben gekregen tot een intern klantcontactsysteem. Via dit systeem, een Salesforce-omgeving, hebben de aanvallers een grote database met klantgegevens gedownload. Volgens Odido gaat het om gegevens van ongeveer 6,2 miljoen klantaccounts, hoewel de hackers zelf spreken over 8 tot 10 miljoen records.
De hackersgroep ShinyHunters eiste een losgeld van €1 miljoen. Odido weigerde te betalen. Als reactie begon ShinyHunters eind februari met het publiceren van de gestolen data op het dark web. Inmiddels zijn alle gegevens gepubliceerd.
Het datalek treft ook oud-klanten van Odido, T-Mobile en Ben. Odido bleek persoonsgegevens van voormalige klanten soms tot vijf jaar te hebben bewaard, terwijl het eigen privacybeleid een maximum van twee jaar voorschrijft. Ben je de afgelopen jaren klant geweest bij een van deze merken, dan ben je mogelijk getroffen.
Welke gegevens zijn gelekt?
Niet alle klanten zijn op dezelfde manier getroffen. Odido onderscheidt meerdere categorieën. Dit is wat er per categorie is gelekt:
Odido benadrukt dat er geen wachtwoorden, belgegevens, factuurgegevens of BSN-nummers zijn gelekt. Het bedrijf slaat geen BSN-nummers op in zijn systemen. Wel bevat het lek bij een deel van de klanten identiteitsbewijsgegevens (documentnummer en geldigheidsdatum), wat het risico op identiteitsfraude vergroot.
Ben ik getroffen? Zo check je het
Wil je weten of jouw gegevens onderdeel zijn van het Odido datalek? Er zijn meerdere manieren om dit te controleren:
🔍 3 manieren om te checken
Het informeren van 6,2 miljoen klanten kost tijd. Het is mogelijk dat je nog geen bericht hebt ontvangen maar wel getroffen bent. Gebruik daarom altijd ook Have I Been Pwned of de politie-checker om zekerheid te krijgen. Ben je op enig moment klant geweest bij Odido, T-Mobile of Ben? Ga er dan voor de zekerheid vanuit dat je getroffen bent.
Wat moet je nu doen? Stappenplan
Dit zijn de concrete stappen die je vandaag nog kunt nemen als je getroffen bent door het Odido datalek:
Welke risico’s loop je?
Het Centraal Meldpunt Identiteitsfraude (CMI) benadrukt dat een datalek niet automatisch betekent dat er identiteitsfraude plaatsvindt. Maar de risico’s zijn wel degelijk reëel. Dit is waar je op moet letten:
Volgens de Nederlandse Vereniging van Banken (NVB) kun je met een IBAN-nummer niet inloggen in je bankapp of internetbankieren. Je bankrekening is dus niet direct in gevaar. Ook kan er met de gelekte gegevens niet zomaar een lening, bankrekening of nieuw identiteitsdocument worden aangevraagd, want daarvoor zijn extra controles nodig.
Wie zijn ShinyHunters?
ShinyHunters is een internationaal opererende hackersgroep die al sinds 2020 actief is. De groep staat bekend om het stelen en doorverkopen van grote databases met persoonsgegevens. Eerdere slachtoffers zijn onder meer Ticketmaster, AT&T, Microsoft en Bonobos.
De groep richt zich specifiek op cloudomgevingen en SaaS-platformen (zoals Salesforce) en maakt vaak gebruik van social engineering: het misleiden van medewerkers om inloggegevens te bemachtigen. Na de hack bij Odido eiste ShinyHunters een losgeld van €1 miljoen. Toen Odido weigerde te betalen, begonnen de hackers met het publiceren van de data.
Hoe is Odido gehackt?
De aanval op Odido verliep via een techniek die al langer bekend is en waar Salesforce eind januari 2026 nog voor waarschuwde. De inbraak vond vermoedelijk kort na die waarschuwing plaats.
🔓 Zo verliep de aanval (stap voor stap)
Dezelfde methode is eerder succesvol ingezet bij andere grote bedrijven, waaronder KLM-Air France en Palo Alto Networks. Zowel Salesforce, de FBI als Google-dochter Mandiant hadden organisaties al gewaarschuwd voor precies deze aanvalstechniek.
Heb ik recht op schadevergoeding?
Een veelgestelde vraag: heb je als getroffen klant recht op Odido schadevergoeding? Het antwoord is genuanceerd.
Wat Odido zegt
Een datalek geeft niet automatisch recht op compensatie. Odido biedt getroffen klanten 2 jaar gratis F-Secure (beveiligingssoftware) aan als tegemoetkoming.
Wat juridisch mogelijk is
Onder de AVG kun je schadevergoeding eisen als je kunt aantonen dat Odido tekort is geschoten in de beveiliging én dat je schade hebt geleden als gevolg. DAS en Achmea Rechtsbijstand bieden hulp aan gedupeerden.
Het Openbaar Ministerie is een strafrechtelijk onderzoek gestart. Daarnaast lopen er onderzoeken van de Autoriteit Persoonsgegevens (AP). Als blijkt dat Odido nalatig is geweest in de beveiliging of het te lang bewaren van klantgegevens, kan dat de juridische positie van gedupeerden versterken.