Odido datalek: wat kunt u doen? De stappen op een rij

Heeft u een bericht van Odido gekregen, of vraagt u zich af of uw gegevens bij de cyberaanval van februari 2026 zijn geraakt? Deze pagina zet op een rij wat Odido zelf meldt, wat de Autoriteit Persoonsgegevens (AP) en de Nederlandse Vereniging van Banken (NVB) erover zeggen en welke stappen u kunt zetten. We baseren ons alleen op die officiële bronnen. Het onderzoek loopt nog: raadpleeg bij twijfel de actuele pagina's van Odido en de AP.

Wat is er gebeurd bij Odido?

Volgens Odido was het bedrijf op 5 en 6 februari doelwit van een cyberaanval van de criminele groep ShinyHunters. De aanvaller nam contact op met de klantenservice en deed zich voor als medewerker van de IT-afdeling van Odido. Het ging om een phishingaanval die uiteindelijk leidde tot het buitmaken van gegevens. Odido schrijft dat in totaal circa 6,39 miljoen personen zijn geraakt, zowel actieve als inactieve klanten van Odido en Ben. Klanten van Simpel zijn volgens Odido niet geraakt.

Odido meldt ook dat alle diensten beschikbaar zijn gebleven en dat het geen losgeld heeft betaald. U kunt dus gewoon blijven bellen en internetten. Wat u zelf moet doen, hangt af van de gegevens die van u zijn geraakt.

Welke gegevens zijn gelekt?

De getroffen gegevens verschillen per persoon. Odido noemt naam, adres, mobiel nummer, klantnummer, e-mailadres, IBAN, geboortedatum, identificatiegegevens, nationaliteit en geslacht. In beperkte gevallen kan ook extra informatie zijn geraakt die u aan een medewerker van de klantenservice heeft gegeven.

Volgens Odido ging het uitdrukkelijk niet om wachtwoorden van Mijn Odido, gespreksgegevens, locatiegegevens, factuurinformatie of scans van identiteitsbewijzen. Odido legt ook uit dat een gelekt veld met de naam “password_c” geen wachtwoord is, maar een controlewoord dat sommige klanten gebruikten als extra vraag bij telefonisch contact. Dat controlewoord geeft geen toegang tot accounts en wordt niet meer voor telefonische verificatie gebruikt.

Wat kunt u nu doen?

De AP beschrijft een vaste route voor iedereen die slachtoffer is van een datalek. Voor het Odido datalek betekent dat:

1. Ontdek welke gegevens van u zijn gelekt. Zijn de vragen niet beantwoord in het bericht dat u kreeg, dan raadt de AP aan ze aan de organisatie te stellen: welke gegevens, bij wie zijn ze terechtgekomen, wat zijn de waarschijnlijke gevolgen en welke maatregelen zijn genomen. Odido Service helpt klanten bij het checken welke gegevens voor hen zijn geraakt. Het contactformulier staat op odido.nl/service-contact.
2. Wijzig wachtwoorden die mogelijk zijn gelekt. Gebruikt u hetzelfde wachtwoord op meer sites en apps, wijzig het dan ook daar. Schakel meerfactorauthenticatie in waar dat kan. Odido zegt dat Mijn Odido-wachtwoorden niet zijn gelekt, maar een uniek wachtwoord per account blijft verstandig.
3. Wees alert op phishing en oplichting. Klik niet op links in verdachte e-mails, sms'jes of berichten, zegt de AP.
4. Controleer uw bankafschriften. Ziet u vreemde transacties of vermoedt u identiteitsfraude, dan raadt de AP aan dit te melden bij het Centraal Meldpunt Identiteitsfraude (CMI) en aangifte te doen bij de politie.

Wilt u weten wat er nog meer over u te vinden is?

Een datalek is vaak één stuk van het plaatje. Gegevens die u zelf ergens publiceerde, kunnen criminelen combineren met gelekte gegevens. De AP wijst erop dat het risico groter wordt wanneer meerdere gegevens samenkomen. Met de gratis analyse van Remove Me ziet u zonder account wat er over u openbaar te vinden is: in zoekresultaten, in bekende datalekken en bij databrokers. U ontgrendelt het rapport met een code van 6 cijfers die naar uw e-mailadres wordt gestuurd. Remove Me verstuurt nog geen verwijderverzoeken namens u. Start mijn gratis analyse

Let op nepberichten en nepbellers

Met uw naam, nummer en klantgegevens kunnen oplichters geloofwaardiger overkomen. De NVB waarschuwt dat kwaadwillenden de buitgemaakte informatie kunnen gebruiken om u via e-mail, telefoon of sociale media te benaderen. Deel nooit persoonlijke gegevens of codes bij berichten die onverwacht, dringend of verdacht overkomen.

Odido geeft zelf enkele concrete aanwijzingen:

• Odido stuurt nooit berichten met het verzoek om uw wachtwoord te wijzigen.
• Wordt u gebeld door iemand die zegt van Odido te zijn en twijfelt u? Open dan de Odido-app, ga naar “Check je gesprek” en kijk of u een bevestiging ziet dat Odido u op dat moment belt.
• Op 26 mei 2026 waarschuwde Odido voor een phishing-sms waarin stond dat een abonnement “vandaag wordt geblokkeerd” en dat u uw identiteit moest verifiëren via een link. Dat was geen bericht van Odido.

Meer over het herkennen van onbekende bellers leest u in Wie belt mij? Onbekend nummer zoeken en wat u kunt doen.

Moet u uw IBAN wijzigen?

Meestal niet. De NVB legt uit dat de gelekte gegevens niet kunnen worden gebruikt om in te loggen op uw bankomgeving. Fraudeurs kunnen met alleen een IBAN weinig doen, en omdat IBAN's op facturen en bankafschriften staan, biedt het wijzigen ervan meestal geen extra bescherming.

Misbruik kan wel via onterechte incasso's. Controleer daarom regelmatig uw afschriften op incasso's of abonnementen die u niet heeft afgesloten. De NVB schrijft dat u een onterechte incasso tot 13 maanden na de afschrijving kunt terugdraaien via uw bank. Doet u dat binnen 8 weken, dan kan dat zonder voorwaarden. Twijfelt u, neem dan contact op met uw bank.

Uw gegevens inzien of laten verwijderen

Heeft u vragen over uw eigen situatie? Odido wijst op het verzoek tot inzage. Daarmee vraagt u welke gegevens het bedrijf van u heeft. Bent u geen klant meer en wilt u dat uw gegevens worden verwijderd? Dan gebruikt u volgens Odido het formulier op de website van het bedrijf (onder “Brochures en formulieren”). Odido voert verwijderverzoeken uit met een gespecialiseerd team en een identiteitscheck.

Meer over uw rechten op inzage en verwijdering leest u in ons overzicht van uw rechten onder de AVG.

Wat onderzoeken de toezichthouders?

Op 26 maart 2026 meldde de AP dat zij een formeel onderzoek start naar de bewaartermijnen van klantgegevens bij Odido. De aanleiding was het datalek en de honderden klachten van mensen die al lange tijd geen klant meer waren, maar van wie de gegevens toch waren gelekt. De AVG gaat uit van dataminimalisatie: gegevens mogen niet langer worden bewaard dan strikt noodzakelijk.

De RDI onderzoekt in samenwerking met de AP of de technische beveiliging aan de vereisten voldeed. Op 13 juli 2026 meldde de AP dat de ACM gaat onderzoeken of Odido heeft voldaan aan de zorgplicht van telecomaanbieders. De AP richt zich sindsdien volledig op het onderzoek naar de bewaartermijnen. De uitkomst van die onderzoeken was op 31 oktober 2026 nog niet bekend in de bronnen die wij raadpleegden.

Schadevergoeding en klachten

De AP schrijft dat u mogelijk recht heeft op een schadevergoeding, maar niet altijd. Er gelden drie voorwaarden: het datalek ontstond doordat de organisatie zich niet aan de AVG hield, u heeft schade geleden en die schade is het gevolg van de overtreding. Win altijd eerst juridisch advies in voordat u een claim indient. Een claim richt u aan de organisatie zelf. De AP speelt hierin geen rol en kan er ook geen advies over geven.

Wilt u de AP iets melden? Op de pagina “Een tip of klacht indienen” legt de AP uit dat u kunt kiezen tussen een tip, een datalektip en een klacht. Een klacht gaat over uw eigen persoonsgegevens en de AP verwacht dat u eerst zelf contact opneemt met de organisatie. De AP schrijft dat het gemiddeld 6 maanden duurt voordat een klacht in behandeling wordt genomen.

Bronnen

• Odido, Update over de cyberaanval, geraadpleegd op 31 oktober 2026
• Autoriteit Persoonsgegevens, AP en RDI starten onderzoek naar Odido, geraadpleegd op 31 oktober 2026
• Autoriteit Persoonsgegevens, Slachtoffer van een datalek?, geraadpleegd op 31 oktober 2026
• Nederlandse Vereniging van Banken, Datalek Odido, geraadpleegd op 31 oktober 2026
• Autoriteit Persoonsgegevens, Een tip of klacht indienen bij de AP, geraadpleegd op 31 oktober 2026