ACM onderzoekt of Odido bij hack persoonsgegevens van klanten goed beschermde

In dit artikel:

De Autoriteit Consument & Markt (ACM) onderzoekt of telecombedrijf Odido tijdens de grote hack van februari dit jaar de persoonsgegevens van klanten voldoende heeft beschermd. De toezichthouder sluit daarmee aan bij lopende onderzoeken van de Rijksinspectie Digitale Infrastructuur (RDI) en de Autoriteit Persoonsgegevens (AP), in plaats van een apart traject te starten.

De zaak draait om een aanval waarbij hackers via phishing de klantenservice van Odido misleidden en zo tweetrapsauthenticatiecodes bemachtigden. Daarmee kregen zij toegang tot de Salesforce-omgeving van het bedrijf en konden ze gegevens van miljoenen klanten buitmaken. De politie denkt dat er mogelijk Nederlanders bij de aanval betrokken waren.

De ACM kijkt vooral naar de wettelijke zorgplicht van telecomaanbieders: zij moeten klantgegevens op een passend niveau beveiligen zodat onbevoegden er niet bij kunnen. Dat onderzoek lijkt sterk op dat van de RDI, die zich eveneens buigt over de technische beveiliging van Odido’s systemen. De AP onderzoekt intussen of Odido gegevens mogelijk te lang heeft bewaard.

Het is niet de eerste keer dat de ACM een provider op dit punt aanpakt. In 2013 kreeg KPN een boete van 364.000 euro omdat het klantgegevens onvoldoende had beveiligd. Wat Odido eventueel zou riskeren, is nog niet bekend.