Ergens in februari zat een medewerker van Odido aan de telefoon met iemand die vriendelijk klonk, welbespraakt was en precies wist wat hij vroeg. Die medewerker deed open. Zeven maanden later staat de topman van datzelfde bedrijf op een telecomcongres te vertellen dat hij blij is met een beslissing die hij daarna moest nemen.
Søren Abildgaard, topman van Odido, zei woensdag op een congres van de branchevereniging voor de telecomindustrie dat hij “heel, heel blij” is dat zijn bedrijf geen losgeld betaalde aan de hackersgroep ShinyHunters. Bij de aanval van begin februari kwamen persoonsgegevens van 6,2 miljoen klanten in criminele handen. Toen Odido weigerde te betalen, zette de groep de buit op het darkweb. Hoeveel er werd geëist, wil Abildgaard niet zeggen; hij noemde het bedrag alleen “relatief groot”.
Zes komma twee miljoen mensen zijn geen onderhandelingspositie
De redenering die Abildgaard gaf, klopt technisch. “Als ik hun vertel: hier is het geld, zouden ze het dan echt verwijderen?” Nee, dus. Er bestaat geen bewijs van vernietiging bij een afpersgroep, alleen een belofte van iemand wiens hele verdienmodel bestaat uit het breken van beloften. Abildgaard zette het zelf op scherp: “We zijn een behoorlijk groot bedrijf. Als we hieraan toegeven en daarmee in feite criminaliteit faciliteren, wie zijn we dan? Alleen maar om ons eigen hachje te redden in de media?” Wie betaalt, koopt geen verwijdering maar stilte — en dan alleen die van dit kwartaal. De politie adviseert bedrijven in deze situatie standaard om niet te betalen, en dat advies is geen moraliseren maar rekenwerk: elke betaling financiert de volgende campagne.
Toch schuurt de manier waarop dit nu wordt gevierd. Odido nam een beslissing over de gegevens van 6,2 miljoen andere mensen. Die mensen zaten niet aan tafel. Voor hen is de uitkomst dat hun naam, adres en klantnummer nu vindbaar zijn voor iedereen die de moeite neemt. Dat het juiste besluit was, maakt het voor hen niet gratis — het maakt het draaglijk.
Niet betalen is makkelijker als je Odido heet
Hier hoort het ongemakkelijke deel voor iedereen die, zoals deze redactie, standaard “nooit betalen” roept. Odido is een telecomconcern met juristen, een woordvoerder en een balans die een half jaar reputatieschade uithoudt. Een installatiebedrijf van twaalf man met een versleutelde server en geen werkende back-up heeft die luxe niet. Voor dat bedrijf is “niet betalen” geen principe maar een faillissement, en het feit dat het advies dan alsnog klopt, lost dat niet op. Wie de Odido-lijn als algemene norm verkoopt, verkoopt de norm van de sterkste partij.
Het verschil zit niet in ruggengraat maar in voorbereiding. Odido kon weigeren omdat gijzeling van de systemen niet het probleem was — diefstal van gegevens was dat. Dat is een wezenlijk andere positie dan die van een bedrijf dat zonder sleutel niet meer kan factureren.
De fout zat aan de telefoon, niet in de firewall
Wat in de berichtgeving over het losgeld ondersneeuwt: de ingang was een mens. Maandag zond Opsporing Verzocht een geluidsfragment uit waarin een van de verdachten te horen is, en de politie kreeg daarna twintig tips binnen. De politie sprak daarbij over “zeer interessante informatie”. Odido zelf noemt de opname een illustratie van hoe “geraffineerd en doelgericht” de aanvallers werkten, en weigert iets te zeggen over de medewerker die erin trapte.
Die terughoudendheid is verstandig, en zeldzaam. In de meeste organisaties is de eerste reactie na zo’n incident het aanwijzen van de persoon die klikte. Precies dat gedrag zorgt ervoor dat de volgende medewerker het een uur langer stil houdt — en dat uur is waar de schade zit. Abildgaard gaf over de communicatie zelf trouwens ook toe dat het beter kon: “Als je stil bent, leg dan uit waarom. Ik denk niet dat ik dit goed genoeg heb gedaan.”
De terugbelroute die je vanavond vastlegt
Voor wie klant is bij Odido is het praktische risico niet het darkweb zelf, maar wat criminelen ermee doen: bellen met kloppende gegevens. Iemand die je naam, adres en klantnummer opnoemt klinkt echt, en dat is precies de bedoeling. Spreek daarom vanavond met je huisgenoten of collega’s één regel af: bij elk telefoontje over geld of accounts hang je op en bel je zelf terug via het nummer op de site of achterop je bankpas. Niet het nummer dat de beller noemt. Wij schreven eerder uit hoe je die terugbelroute concreet inricht, en waarom een datalek phishing vooral persoonlijker maakt in plaats van talrijker.
Herken je het patroon van eerder dit jaar: ook bij het CEVA-datalek ging het niet om creditcardnummers, maar om de context waarmee een oplichter geloofwaardig wordt.
Twintig tips en één geluidsfragment
Het moment dat er hierna toe doet is geen persconferentie maar een aanhouding. De politie zit op twintig tips na een uitzending waarin een verdachte hoorbaar was; als daar een naam uit komt, wordt voor het eerst zichtbaar hoe zo’n groep in Nederland aan zijn ingang komt. Blijft het bij “geraffineerd en doelgericht”, dan blijft de les hangen op het niveau van een citaat op een congres — en dan heeft het weigeren van dat losgeld vooral iets opgeleverd voor Odido, en nog niet voor de 6,2 miljoen mensen wier gegevens er nog steeds staan.