De ACM onderzoekt of Odido de persoonsgegevens van klanten voldoende beschermde tijdens de grote hack van eerder dit jaar. Daarmee buigt inmiddels een derde toezichthouder zich over het incident. De ACM sluit zich aan bij het lopende onderzoek van de RDI en de AP.
De Autoriteit Consument & Markt (ACM) voert geen los onderzoek uit, maar haakt aan bij het werk van de Rijksinspectie Digitale Infrastructuur (RDI) en de Autoriteit Persoonsgegevens (AP). De ACM richt zich op de zorgplicht van telecomaanbieders om de persoonsgegevens van hun klanten op een passend niveau te beschermen, zodat derden daartoe geen toegang hebben
.
Dat lijkt sterk op het onderzoek van de RDI. Die kijkt eveneens of Odido’s systemen goed beveiligd waren. Hoe beide onderzoeken precies van elkaar verschillen, is niet direct duidelijk.
Odido-hack
Bij de aanval werden persoonsgegevens gestolen uit een klantcontactsysteem. Volgens Odido gaat het om circa 6,2 miljoen klantgegevens, waaronder namen, adressen, telefoonnummers, e-mailadressen, IBAN’s en geboortedata. De aanval verliep via phishing en social engineering, waarbij medewerkers van de klantenservice werden misleid. De buitgemaakte data belandde later volledig online nadat Odido weigerde losgeld te betalen.
De RDI en de AP startten hun onderzoeken eerder al. De AP kijkt onder meer naar de bewaartermijnen: ook gegevens van oud-klanten die al jaren weg waren, doken op in de gelekte dataset. De RDI onderzoekt de beveiliging op basis van de Telecommunicatiewet, aldus de toezichthouder zelf.
Wat voor boete Odido riskeert, is niet duidelijk. Daarnaast onderzoekt ook het Openbaar Ministerie de strafrechtelijke kant van de aanval.
Lees ook: Onderzoek Odido-hack wijst richting Nederlandse daders