De medewerkster van het callcenter had een vriendelijke man aan de lijn. Hij sprak keurig Nederlands, gebruikte het jargon dat ze van haar eigen IT-collega’s kende en zei dat er een probleem was dat opgelost moest worden. Ze hielp hem, zoals ze de hele dag mensen helpt. Daarna had een afpersingsgroep de gegevens van meer dan zes miljoen Odido-klanten.
Maandagavond liet Opsporing Verzocht de stem van die beller horen. De politie hoopt dat iemand hem herkent, of dat hij zich meldt. In het bericht bij de uitzending staat dat een stemdeskundige concludeerde dat het om een echte stem gaat en niet om een AI-stem, en dat de man keurig Nederlands praat met een paar opvallende klanken. Op het opsporingsbericht zelf staat er nog een kenmerk bij: het stopwoordje ‘hoor’. Daar staat ook dat de diefstal begin februari plaatsvond en dat de politie het ziet als een van de grootste datadiefstallen uit de Nederlandse geschiedenis. De daders vroegen losgeld, Odido weigerde te betalen, en de gegevens gingen naar het darkweb.
De medewerkster deed niets doms
Dat is de eerste conclusie die ontbreekt in de meeste berichtgeving. Er is hier geen lek in software gevonden, geen zwak wachtwoord, geen vergeten update. Er is gebeld. Een stemdeskundige die de politie inschakelde, concludeert dat de man kennis lijkt te hebben van ICT en dat hij “vrij specifiek Engelstalig jargon” gebruikt. Precies daardoor klonk hij betrouwbaar.
Een callcentermedewerker die twintig keer per uur iemand aan de lijn krijgt, heeft geen tijd om bij elk gesprek een identiteitscontrole uit te voeren. Dat is geen slordigheid van die persoon, dat is hoe de afdeling is ingericht: op snelheid. Wie de schuld bij de medewerkster legt, verplaatst een ontwerpfout naar een individu.
De omvang maakt duidelijk waarom dat uitmaakt. Zes miljoen klantgegevens is op ruim achttien miljoen inwoners ruwweg een derde van Nederland — uit één telefoongesprek. De verhouding tussen de moeite aan de aanvalskant en de schade aan de andere kant is bij dit soort telefonische helpdeskfraude extremer dan bij welke phishingmail dan ook.
Terugbellen beschermt jou, niet je werkgever
Op deze site staat bij bijna elk onderwerp dezelfde raad: klik niet op de link, zoek zelf het nummer op en bel het bedrijf terug. Dat advies is prima, en het is hier volstrekt nutteloos. De aanval liep de andere kant op. Niet de klant werd gebeld, maar de organisatie zelf. Terugbellen is geen bescherming als jij degene bent die wordt gebeld.
Wat wel werkt, is saaier: een terugbelregel voor elk verzoek om toegang, ongeacht hoe collegiaal de beller klinkt. Niet “verifiëren als het verdacht is” — want deze man klonk niet verdacht — maar altijd. Dat kost tijd en irriteert echte collega’s. Die prijs is een stuk lager dan zes miljoen klantdossiers. Hoe je zulke meldingen intern bespreekbaar houdt zonder dat mensen zich schamen, staat in ons stuk over melden zonder schuldvraag.
Vijf seconden luisteren voordat je doorscrollt
Luister het fragment op politie.nl/odido en denk vijf seconden na of je die stem kent. De politie zegt het zelf: de kans dat iemand hem herkent, is het grootst bij familie, vrienden en bekenden — niet bij vakgenoten. Herken je iets, dan kan de melding anoniem. Het opsporingsbericht noemt daarvoor naast Meld Misdaad Anoniem ook het Telegram-kanaal @Veiligmelden, en een aparte route voor wie zichzelf wil melden.
Werk je zelf bij een klantenservice of stuur je er een aan, kijk dan vandaag wat er in jullie script staat bij “collega van IT belt over een probleem”. Staat daar niets over terugbellen, dan is dat het gaatje. Meer over de patronen die in supportkanalen terugkomen staat in onze uitleg over phishing in de klantenservice.
Dit onderzoek hangt nu op één herkenning
In juli meldde de politie al audiofragmenten te hebben en riep ze de verdachte op zich te melden. Dat leverde niets op. Daarom nu de uitzending. Als ook deze stap stilvalt, blijft er van een zaak met zes miljoen slachtoffers een geluidsfragment over waar niemand een naam bij zet. Het volgende meetpunt is dus geen technische ontwikkeling maar een telefoontje van een buurvrouw.