Een man belt rustig naar de klantenservice van Odido, doet zich voor als IT-medewerker en krijgt toegang tot een intern systeem. Dat ene telefoontje leidde uiteindelijk tot een van de grootste datalekken in de Nederlandse geschiedenis. Maandagavond doet de politie iets wat zelden voorkomt: zij laat de stem van de vermoedelijke dader horen in het tv-programma Opsporing Verzocht, in de hoop dat kijkers hem herkennen.
Hoe de hack begon met social engineering
Uit politieonderzoek bleek eerder dit jaar dat een Nederlandssprekende man contact opnam met de klantenservice van telecomprovider Odido. Hij deed zich voor als medewerker van de eigen IT-afdeling van het bedrijf. Vervolgens wist hij een Odido-medewerker ervan te overtuigen dat er een technisch probleem moest worden opgelost. Daardoor kreeg hij onbedoeld toegang tot een intern systeem. Deze methode, waarbij criminelen zich voordoen als collega of medewerker om toegang te krijgen, staat bekend als social engineering. Het is een van de meest effectieve en gevaarlijke vormen van cybercriminaliteit, omdat zij niet afhankelijk is van technische kennis alleen, maar juist van menselijk vertrouwen.
Nadat de onbekende man toegang had verkregen tot het systeem, sloeg een grotere criminele organisatie toe. Een hacker- en afpersingsgroep maakte vervolgens gegevens van naar schatting ruim zes miljoen Odido-klanten buit. Het gaat daarmee om een van de omvangrijkste cyberaanvallen op een Nederlands telecombedrijf ooit. De exacte aard van de gestolen gegevens is niet volledig bekend, maar het betreft persoonlijke klantinformatie.
Odido weigerde losgeld te betalen
Na de cyberaanval eiste de criminele groep losgeld van het bedrijf. Odido weigerde echter aan die eis te voldoen. Daarop plaatste de groep de gestolen klantgegevens op het zogeheten darkweb, waar ze voor iedereen toegankelijk werden. Dit is een gebruikelijke tactiek bij dit soort afpersingsaanvallen: wie niet betaalt, ziet zijn gegevens alsnog op straat belanden. Voor miljoenen klanten van Odido betekende dit dat hun persoonlijke informatie in handen kon komen van onbekende derden. De aanval vond plaats in februari van dit jaar en leidde tot grote onrust onder de getroffen klanten.
Politie beschikt over geluidsfragment van verdachte
De politie beschikte al langer over een geluidsfragment van het telefoongesprek dat de verdachte voerde met de klantenservice van Odido. Een stemdeskundige onderzocht dat fragment en stelde vast dat het om een echte menselijke stem gaat. Daarmee sloten de onderzoekers de mogelijkheid uit dat het een door kunstmatige intelligentie gegenereerde stem betreft. Dat is relevant, omdat criminelen steeds vaker gebruikmaken van AI-stemmen om hun identiteit te verhullen. In dit geval lijkt het dus om een echte persoon te gaan, die bovendien traceerbaar zou kunnen zijn via zijn spraakpatroon.
Wat de stem verder opvallend maakt, is de manier waarop de man spreekt. Volgens de politie praat hij keurig, verzorgd Nederlands. Bovendien gebruikt hij opvallend veel Engelstalig ICT-jargon. Dat laatste detail kan een aanwijzing zijn over zijn achtergrond of beroep. Iemand in zijn omgeving heeft hem mogelijk herkend aan zijn manier van praten, en de politie hoopt dat diezelfde persoon zich nu meldt.
Zes miljoen gedupeerde klanten en een onbekende dader
De omvang van deze zaak is enorm. Ruim zes miljoen Nederlanders zagen hun persoonlijke gegevens op het darkweb belanden, zonder dat zij daar iets tegen konden doen. Bovendien is de identiteit van de verdachte tot op heden onbekend. De politie heeft weliswaar een geluidsfragment in handen, maar dat is tot nu toe onvoldoende gebleken om de man te identificeren. Daarom kiest zij nu voor het openbaar maken van de stem via Opsporing Verzocht. Dit is een stap die zelden wordt gezet en die aangeeft hoe serieus het opsporingsonderzoek wordt genomen.
Bovendien laat deze zaak zien hoe kwetsbaar grote organisaties kunnen zijn, zelfs voor relatief eenvoudige trucs. Niet een geavanceerde softwareaanval, maar een simpel telefoongesprek zette de deur open voor een criminele groep. Dat is een pijnlijke les voor het bedrijfsleven en voor beveiligingsexperts. Ethisch hacker Wouter van Dongen wees eerder al op dit probleem: datalekken zijn al jaren een structureel vraagstuk en criminelen weten gestolen persoonsgegevens op uiteenlopende manieren te misbruiken, van identiteitsfraude tot gerichte phishing.
Opsporing Verzocht zet vanavond stem in de spotlights
Maandagavond zendt Opsporing Verzocht het geluidsfragment uit. De politie hoopt op twee resultaten. Enerzijds wil zij tips ontvangen van mensen die de stem herkennen. Anderzijds hoopt zij dat de verdachte zichzelf meldt. Of dat laatste realistisch is, valt te bezien. Toch toont de stap aan dat het opsporingsteam bereid is onconventionele middelen in te zetten. Het gebruik van stemherkenning als opsporingsmiddel is in Nederland ongebruikelijk in deze vorm, zeker voor het grote publiek.
Wat zijn de volgende stappen in het onderzoek
Het politieonderzoek naar de Odido-hack loopt nog volop. De identiteit van de beller is niet het enige wat onderzoekers proberen te achterhalen. Ook de bredere criminele organisatie die verantwoordelijk is voor het buitmaken en verspreiden van de gegevens, staat in de belangstelling. Tot nu toe heeft het onderzoek geen aanhoudingen opgeleverd die publiekelijk zijn bevestigd. De uitzending van vanavond is daarmee een cruciale poging om het onderzoek vlot te trekken. Voor de miljoenen gedupeerde Odido-klanten kan duidelijkheid over de daders niet snel genoeg komen.
Bronnen en credits
Bronnen: Hart van Nederland, NU.nl
