Para: clientes actuales y antiguos de Odido y Ben, y cualquier persona preocupada tras enterarse de que su número de identificación se ha filtrado. Este artículo se basa en el comunicado oficial y en las preguntas frecuentes de Odido, así como en las orientaciones del Centro Neerlandés de Denuncia del Fraude de Identidad (CMI), la policía neerlandesa y la Asociación Bancaria de los Países Bajos. No aborda los métodos de ataque.
Qué deben hacer hoy los clientes
Usa el tipo de aviso que recibiste para saber qué datos sobre ti se filtraron
Odido dice que envió correos a los clientes afectados desde info@mail.odido.nl y un SMS a los clientes sin correo electrónico. Había cuatro versiones del correo según los datos implicados, así que la versión que recibiste indica qué datos tuyos se filtraron (consulta la figura más abajo).
Si no hay nada en tu bandeja de entrada ni en la carpeta de spam, Odido afirma que puedes suponer que no fuiste afectado. La herramienta Checkjehack de la policía neerlandesa permite comprobar si tu dirección de correo aparece en el conjunto de datos robado.
Cuelga si te llaman personas que dicen ser de Odido, de tu banco o del gobierno, y luego devuelve la llamada
En conjunto, los campos filtrados permiten suplantar de forma convincente a Odido, a bancos o a organismos públicos. El consejo de Odido es concreto:
- Si llama un número desconocido, pide el nombre completo de quien llama y el número general de la empresa
- Di que quieres verificarlo primero y cuelga
- Busca el número en la web oficial de la empresa, llama tú y pide hablar con ese empleado
Para comprobar si Odido te llama realmente, usa "Check je Gesprek" en la aplicación de Odido, que confirma si Odido te está llamando en ese momento. Nunca des tu contraseña ni tu PIN a nadie.
Ignora los enlaces de mensajes y las peticiones para cambiar la contraseña
Odido afirma que nunca envía mensajes pidiéndote que cambies la contraseña. En los datos filtrados no había contraseñas, así que cualquier mensaje del tipo "por la brecha, restablece tu contraseña aquí" con un enlace merece desconfianza.
Ten cuidado también con las facturas falsas; revisa tú mismo las facturas de Odido en Mijn Odido (consulta qué es el phishing).
Revisa los extractos bancarios con regularidad y revierte las domiciliaciones que no reconozcas
Según la Asociación Bancaria de los Países Bajos (NVB), un número de cuenta no puede usarse para iniciar sesión en la aplicación bancaria o en la banca en línea. Sin embargo, sí puede utilizarse indebidamente para domiciliaciones (incasso) no autorizadas.
Revisa los extractos con regularidad y contacta con tu banco por los cargos o suscripciones que no contrataste. La NVB afirma que las domiciliaciones pueden revertirse sin condiciones en un plazo de 8 semanas, y las no autorizadas en un plazo de 13 meses, a través de tu banco.
No te apresures a sustituir tu pasaporte, tu permiso de conducir o tu número de cuenta
Odido afirma que, según la información actual, sustituir los documentos de identidad no es necesario, en línea con el consejo del CMI (y no reembolsa los costes de sustitución). La NVB también afirma que cambiar el número de cuenta no es necesario para la mayoría de las personas. Seguir los pasos 2 a 4 sirve más que una sustitución precipitada.
Si el fraude se produce: empresa, policía, CMI
Si encuentras contratos o cargos a tu nombre que no reconoces, sigue las indicaciones de la policía neerlandesa y del CMI:
- Contacta con la empresa donde se produjo el fraude
- Presenta una denuncia policial (aangifte)
- Notifícalo al CMI (Centraal Meldpunt Identiteitsfraude)
El CMI es un servicio público que asesora y apoya a las víctimas y se coordina con la policía y otros organismos.
Antiguos clientes: solicita la supresión de tus datos
Odido afirma que conserva los datos de contacto de los clientes que se han marchado a otro proveedor hasta 2 años (contados desde que se saldaron las facturas pendientes o las consultas de servicio abiertas). Si ya no necesitas la cuenta, puedes solicitar la supresión a través del formulario de la web de Odido.
Odido también afirma que ofreció a los clientes que sufrían llamadas no deseadas la opción de cambiar su número de teléfono.
① Datos de nombre y dirección
→ Cuidado con los contactos que se hacen pasar por Odido, bancos u organismos. Cuelga y devuelve la llamada
② Nombre/dirección + datos bancarios (IBAN)
→ ① más: revisa con regularidad las domiciliaciones en tus extractos
③ Nombre/dirección + número de identificación
→ ① más: desconfía de los contactos que citan tu número de identificación para parecer legítimos
④ Nombre/dirección + número de identificación + datos bancarios
→ Todo lo de ①–③. Si se produce un fraude: empresa, policía, CMI
En todas las versiones: sin contraseñas, registros de llamadas, datos de ubicación ni escaneos de documentos de identidad (según Odido)
Qué ocurrió (según Odido y las autoridades neerlandesas)
Lo que sigue procede del comunicado de prensa, la página informativa y las preguntas frecuentes de Odido, así como de publicaciones de la policía neerlandesa y del CMI.
5–6 de febrero de 2026
Los días en que Odido afirma que sufrió el ciberataque.7–8 de febrero (fin de semana)
Odido recibe las primeras señales de una filtración de datos y empieza a investigar con expertos internos y externos.12 de febrero
Odido comunica la brecha, afirma que el acceso no autorizado ha terminado y la notifica a la Autoridad Neerlandesa de Protección de Datos (AP). Indica que notificar a todos puede tardar hasta 48 horas. Su portavoz dijo a NOS que afecta a unos 6,2 millones de cuentas.Febrero
El CMI publica orientaciones sobre lo que se puede y no se puede hacer con los datos filtrados, en la web de RvIG (la agencia gubernamental de datos de identidad).1–2 de marzo
La policía neerlandesa afirma que obtuvo el conjunto de datos robado y lo hizo comprobable en Checkjehack. La policía afirma que los atacantes publicaron los datos robados en su web.Posteriormente
Las preguntas frecuentes de Odido actualizan la cifra de afectados a unos 6,39 millones de personas y afirman que, siguiendo orientaciones claras y coherentes de las autoridades, no pagó el rescate.
- Puede incluir (varía según la persona)
- Nombre completo, dirección y ciudad, número de móvil, número de cliente, correo electrónico, IBAN (número de cuenta bancaria), fecha de nacimiento, datos de identificación (número y validez del pasaporte o del permiso de conducir). Las preguntas frecuentes posteriores también incluyen la nacionalidad y el sexo, y afirman que, en casos limitados, podría verse afectada información adicional compartida con el servicio de atención al cliente
- No incluido
- Contraseñas de Mijn Odido, detalles de llamadas (a quién llamaste y cuándo), datos de ubicación, datos de facturación, escaneos de documentos de identidad. Odido afirma que no almacena números BSN (número de servicio ciudadano)
- El campo «password_c»
- Odido afirma que el campo filtrado con ese nombre era una palabra clave usada como pregunta de seguridad adicional en las llamadas telefónicas, no una contraseña de acceso. Al saber que se incluían palabras clave, dejó de verificar por teléfono con ellas
- Marcas
- Se vieron afectados clientes de Odido y de Ben; los clientes de Simpel no. No se filtraron datos de usuarios finales de clientes empresariales
- Causa (según Odido)
- Los delincuentes accedieron al sistema de contacto con clientes y descargaron datos de clientes sin autorización. Odido afirma que el atacante contactó con el servicio de atención al cliente haciéndose pasar por un miembro de su personal de TI
- Respuesta de Odido
- Bloqueó el acceso no autorizado, añadió medidas de seguridad, amplió la supervisión y aumentó la concienciación del personal sobre el phishing. Trabaja con expertos externos, incluida una revisión completa de las políticas de conservación de datos
Cómo leerlo: que te digan que el número por sí solo no permite abrir un contrato no es una garantía de seguridad
El CMI afirma que los datos filtrados por sí solos no pueden usarse para un préstamo ni para una nueva cuenta bancaria, porque se requieren comprobaciones adicionales como el documento de identidad físico, DigiD (el acceso gubernamental) o los datos de acceso a la banca. También escribe que no puede garantizar que todas las empresas soliciten siempre esas comprobaciones.
Por eso, revisar tus extractos y saber dónde denunciar un fraude son defensas más realistas que sustituir documentos.
Los números de identificación recogidos para verificar pueden filtrarse desde la empresa que los recogió
Odido explica que, al contratar una línea móvil, verifica tu identidad y registra el número de tu documento de identidad para evitar contratos fraudulentos. En el caso de la financiación de terminales, afirma que está obligado por ley a conservar ese número hasta 5 años después de terminar el crédito.
En otras palabras, los números se recogieron para prevenir el fraude. Sin embargo, cuando se filtra el lugar que los guarda, millones de ellos salen a la vez.
Un caso japonés comparable: Times Car (septiembre de 2026)
- Se filtraron imágenes de permisos de conducir y otros documentos de identidad (unas 1,6 millones)
- Foto del rostro, nombre y dirección en una misma imagen
- En Japón, la alerta de fraude de la agencia de crédito es la principal defensa
Este incidente: Odido (febrero de 2026)
- Se filtraron números y fechas de caducidad de documentos de identidad (sin imágenes)
- Las autoridades afirman que el número por sí solo no puede abrir un contrato
- La defensa se centra en revisar los extractos y desconfiar de quienes se hacen pasar por otros
Un caso japonés comparable es la brecha de Times Car. En Times Car se filtraron imágenes de documentos de identidad; en Odido, números. La gravedad es distinta, pero en ambos casos la información que la gente entregó para demostrar su identidad se filtró desde la empresa a la que se entregó.
Opinión de este sitio: las personas que entregan su documento pueden limitar lo que dan; las empresas pueden evitar conservar los números
Quienes entregan su documento de identidad tienen un control limitado, pero no nulo. El Gobierno neerlandés recomienda usar la aplicación KopieID cuando debas entregar a alguien una copia de tu documento: tacha el BSN o la foto y marca la copia con la persona y el motivo para el que es, de modo que una copia filtrada sea más difícil de reutilizar para otra cosa.
La lección para quienes recogen los datos (operadores de servicios) es más contundente:
- No almacenes el número usado para la comprobación; registra solo que la comprobación se hizo
- Para todo lo que la ley obligue a conservar, bórralo automáticamente cuando termine el plazo de conservación
- Limita quién puede ver los números de identificación en el trabajo diario, y cuántos, a lo que el puesto necesita
Odido afirma que la mayoría de los datos afectados se usaban para tareas comerciales y de atención al cliente habituales, y que está realizando una revisión crítica completa de sus políticas y procesos de conservación de datos. Los principios se recogen en la base mínima de seguridad para organizaciones.
Para otro caso extranjero de este año, en el que el problema es el contacto de alguien que conoce tu reserva, consulta el acceso a datos de reservas de Booking.com.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No se utilizan las afirmaciones de los atacantes ni las cifras no divulgadas.
- Odido, "Odido informs customers of cyber attack" (comunicado de prensa, 12 de febrero de 2026) — newsroom.odido.nl
- Página informativa y preguntas frecuentes de Odido (neerlandés e inglés, versión actual) — odido.nl/veiligheid / odido.nl/veiligheid-eng
- Página informativa de Odido (en inglés, versión actualizada el 23 de febrero de 2026: datos implicados, cuatro versiones del aviso, conservación de datos de antiguos clientes, motivos para almacenar números de identificación; copia de Internet Archive) — web.archive.org
- NOS, "Hack bij Odido, gegevens miljoenen klanten in handen van criminelen" (12 de febrero de 2026: portavoz sobre unos 6,2 millones de cuentas, en neerlandés) — nos.nl
- RvIG / Centraal Meldpunt Identiteitsfraude, "Datalek Odido veroorzaakt ongerustheid – CMI geeft advies" (neerlandés) — rvig.nl / página de servicio del CMI — rvig.nl/cmi
- Policía neerlandesa, "Checkjehack aangevuld met Odido" (2 de marzo de 2026, neerlandés) — politie.nl
- Asociación Bancaria de los Países Bajos (NVB), "Datalek Odido" (neerlandés) — nvb.nl
- Gobierno de los Países Bajos, fraude de identidad y la aplicación KopieID (neerlandés) — rijksoverheid.nl / KopieID
Historial de actualizaciones
2026-09-30: Primera versión, basada en el comunicado de Odido del 12 de febrero de 2026 y sus páginas informativas (la versión del 23 de febrero y las preguntas frecuentes actuales: unos 6,39 millones de personas afectadas, nacionalidad y sexo añadidos, rescate no pagado), y en las orientaciones del CMI, la policía y la NVB.
Lectura recomendada
- Otro caso europeo de datos de clientes: ENGIE (Francia, clientes de energía)
- Si se filtraron tus datos del permiso de conducir: Qué hacer si se filtran los datos de tu permiso de conducir
- Otro caso europeo: Basic-Fit (datos de socios de gimnasio y cuentas bancarias)
- Un caso similar en Japón: La brecha de Times Car (imágenes de permisos de conducir filtradas)
- Suplantación y estafas: Qué es el phishing / Falsas alertas de virus (estafas de soporte técnico)
- Protección de tus cuentas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: El acceso a datos de reservas de Booking.com / Lista de brechas y ciberataques (Japón y mundo)
- Para operadores: La base mínima de seguridad para organizaciones