RTL: 23-jarige Nederlander opgepakt in onderzoek naar Odido-hack

NEDERLAND - Een 23-jarige Nederlander is opgepakt in het onderzoek naar de grootschalige hack bij telecomprovider Odido. Dat meldt RTL Nieuws maandag op basis van anonieme bronnen. Politie en Openbaar Ministerie bevestigen de aanhouding niet. Het is daarom ook niet duidelijk waarvan de man precies wordt verdacht en of hij nog vastzit.

RTL identificeert de aangehouden man als Pepijn van der S. Hij werd in november 2023 door de rechtbank Amsterdam veroordeeld tot vier jaar cel, waarvan een jaar voorwaardelijk, wegens grootschalige datadiefstal, afpersing en witwassen. Volgens RTL kwam hij begin dit jaar vrij.

Eerder veroordeeld voor afpersing met gestolen data

In zijn eerdere strafzaak stond Van der S. terecht voor het hacken van bedrijven en het vervolgens afpersen van slachtoffers met buitgemaakte gegevens. Hij dreigde informatie te verkopen of openbaar te maken als er niet werd betaald.

De rechtbank oordeelde dat hij zich schuldig had gemaakt aan onder meer computervredebreuk, afpersing, afdreiging, datadiefstal en witwassen. RTL schreef destijds dat hij ook actief was bij een cybersecuritybedrijf en vrijwilligerswerk deed voor een organisatie die kwetsbaarheden op internet helpt melden.

Of zijn eerdere veroordeling deel uitmaakt van het huidige Odido-onderzoek, is niet bekendgemaakt.

Via een telefoontje binnen bij Odido

De hack bij Odido begon begin februari. Volgens de politie belde een Nederlandssprekende man met de klantenservice en deed hij zich voor als medewerker van de IT-afdeling. Hij wist een echte Odido-medewerker te overtuigen om in te loggen op een nagebouwde inlogpagina.

Daarmee kregen de daders de gebruikersnaam, het wachtwoord én een extra verificatiecode in handen. Vervolgens konden zij in de interne systemen van Odido komen.

De politie maakte begin september een geluidsfragment van de beller openbaar in Opsporing Verzocht. Een stemdeskundige concludeerde volgens de politie dat het om een echte stem ging en niet om een AI-stem. De beller had volgens de recherche bovendien opvallend veel kennis van ICT-jargon.

Het is niet bevestigd of de aangehouden man de beller op het fragment is. Ook is niet bekend of de aanhouding voortkomt uit de meer dan 120 tips die de politie na de uitzending kreeg.

Meer dan zes miljoen klantgegevens buitgemaakt

Odido zegt dat de cyberaanval plaatsvond op 5 en 6 februari. De criminelen kregen gegevens van meer dan zes miljoen klanten en oud-klanten in handen. Welke informatie precies is gelekt, verschilt per persoon. Het kan gaan om namen, adressen, e-mailadressen, telefoonnummers, klantnummers, IBAN’s, geboortedata en bepaalde identificatiegegevens.

Odido blokkeerde de ongeautoriseerde toegang snel, maar ontdekte volgens de top van het bedrijf pas twee dagen later – na een bericht van de hackers – dat er ook daadwerkelijk grote hoeveelheden gegevens waren gedownload.

De groep eiste losgeld. Odido weigerde te betalen, waarna delen van de buitgemaakte gegevens op het darkweb verschenen. De politie en overheid adviseren organisaties in zulke gevallen geen losgeld te betalen, omdat er geen garantie is dat criminelen data vervolgens wissen of niet alsnog verspreiden.

Onderzoek richt zich op Nederlandse betrokkenheid

Team High Tech Crime van de politie onderzoekt de aanval onder leiding van het Landelijk Parket. In juli meldde de politie al sterke aanwijzingen te hebben dat Nederlanders bij de hack betrokken waren. Rechercheurs haalden in de eerste fase van het onderzoek meerdere servers offline die volgens de politie werden gebruikt om de data te verspreiden.

De politie roept mensen die informatie hebben over mogelijke betrokkenen nog altijd op om te tippen. Het onderzoek naar de Odido-hack loopt door.

Wie zijn ShinyHunters?

Odido wijst de criminele groep ShinyHunters aan als verantwoordelijke voor de aanval. De groep is sinds 2020 bekend door grootschalige datadiefstal en afpersing. ShinyHunters werd eerder in verband gebracht met onder meer de hack bij Ticketmaster.

Ook claimde de groep eind vorig jaar gegevens van ruim 200 miljoen Pornhub-accounts te hebben. Pornhub bevestigde destijds een beveiligingsincident rond gegevens bij een externe analysepartij, maar de precieze herkomst en omvang van de door ShinyHunters geclaimde buit bleven onderwerp van discussie.

Vorige week claimde de groep ook data van de FBI te hebben gestolen. Die claim is vooralsnog niet onafhankelijk bevestigd. Dat geldt eveneens voor de precieze samenstelling, verblijfplaats en onderlinge rolverdeling binnen ShinyHunters: de groep opereert onder wisselende namen en via anonieme kanalen.