Lehren aus dem Odido-Hack: Warum hinterhältige Hacker keine Entschuldigung sind

Ik vraag me nog steeds af of de dataset die de cybercriminelen hebben verkregen, met opzet groter is gemaakt door gegevens van eerdere lekken te combineren. Hoe weten HaveIBeenPwned en de politie dat deze dataset alleen gegevens bevat die uit Odido zijn gelekt?

Ik heb OP’s zien melden dat hun gegevens niet waren gelekt volgens Odido, maar toch melden die mensen dat hun e-mailadres werd gemeld als onderdeel van het Odido-lek volgens HaveIBeenPwned. Het kan natuurlijk ook zijn dat Odido de omvang van het lek onderschat.

Wat het artikel ook niet vermeldt, is waarom zoveel gegevens niet werden opgeslagen als een cryptografische hash. De paspoort-/ID-kaartnummers hadden denk ik gehashed kunnen zijn.

En ga er alsjeblieft niet vanuit dat je paspoort-/ID-kaartnummer is gelekt omdat je e-mailaccount staat genoemd in HaveIBeenPwned. Het is een mogelijkheid, geen zekerheid.

Ik vind de gehele dataset tegenvallen. De data die de eerste 3 dagen werden gedeeld bevatten veel meer gegevens. Adres gegevens, veel meer persoonlijke informatie. Maar in de alle data daarna is heel veel niet meer aanwezig. De logs waarin persoonlijke dingen stonden zitten er niet bij. Adresgegevens in de meeste gevallen niet vermeld. De documentnummers zijn heel vaak verlopen, ook bij bestaande klanten. Het bestaat vooral uit alleen namen, telefoonnummer, e-mail adres, (verouderd) documentnummer. Bankrekening staat er eigenlijk ook niet vaak bij.

Ik denk dat ShinyHunters heeft zitten bluffen met de hoeveelheid data. Het is nu meer een ouderwets digitaal telefoonboek. Niet wenselijk. Maar die gegevens zijn ook wel in andere lekken te vinden vaak