De politie brengt vanavond het Nederlandstalige stemfragment van de verdachte achter de Odido-hack naar buiten in Opsporing Verzocht. Een stemdeskundige stelde vast dat het geen AI-stem is. De beller deed zich telefonisch voor als ict-medewerker van Odido en kreeg zo toegang tot een intern systeem.
Het gaat om een opname van een telefoongesprek dat kort voor de hack werd gevoerd met de klantenservice van Odido. Een Nederlandssprekende man meldde zich daarin als it-medewerker van de provider. Volgens de politie zei de verdachte dat er een probleem opgelost moest worden, waarna een medewerker hem onbedoeld toegang gaf tot een intern systeem.
De politie meldde in juli al dat ze audiofragmenten in bezit had. Toen kreeg de beller een ultimatum: meld je, of je stem wordt openbaar gemaakt. Dat gebeurde niet. Vanavond om 21.15 uur is het fragment daarom te horen op NPO2. Wie de stem herkent, kan terecht op politie.nl/odido.
Geen AI-stem, wel ict-jargon
Dat laatste punt is opvallend, want stemklonen zijn inmiddels een standaardtruc bij social engineering. De politie schakelde een stemdeskundige in. “De man praat keurig Nederlands en heeft wel een aantal opvallende klanken en kenmerken in zijn stem die hem misschien herkenbaar maken, zeker voor zijn familie, vrienden en bekenden”, zegt Thomas Aling van de Eenheid Landelijke Opsporing en Interventies. Volgens hem gebruikt de beller vrij specifiek Engelstalig jargon en komt hij daardoor betrouwbaar over. Mogelijk heeft hij zelf ervaring op een klantenservice-afdeling.
Van phishingsite naar Salesforce
De aanval bij Odido was het resultaat van phishing. Een klantenservicemedewerker logde in op een nepsite, waarna de inloggegevens en tweetrapscodes werden gestolen. Daarmee kwamen de aanvallers in de Salesforce-omgeving die Odido voor klantregistraties gebruikt. Behalve NAW-gegevens, e-mailadressen en IBAN-nummers werden ook gevoelige klantnotities buitgemaakt, met informatie over betalingsachterstanden en bewindvoerders.
Odido weigerde losgeld te betalen aan de afpersers. De CEO legde later uit waarom, en verschillende experts noemden die keuze terecht. Kort daarna volgde de publicatie en alle gestolen data kwam online te staan.
Meerdere onderzoeken lopen
Het strafrechtelijk onderzoek is niet het enige dossier. De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur onderzoeken de provider om het datalek en te lange bewaartermijnen. Daarnaast is er een massaclaim tegen Odido gestart namens getroffen klanten. De politie roept mensen op tijdens en na de uitzending informatie door te geven, als ze de stem herkennen.