대상: 현재 및 전 Odido, Ben 고객, 그리고 자신의 신분증 번호가 유출되었다는 사실을 알고 불안해하는 모든 사람. 이 글은 Odido의 공식 공지와 FAQ, 네덜란드 중앙신원사기신고센터(CMI), 네덜란드 경찰, 네덜란드은행협회의 안내를 바탕으로 작성되었다. 공격 방법은 다루지 않는다.
고객이 오늘 해야 할 일
받은 통지 유형으로 자신의 어떤 정보가 유출되었는지 확인하라
Odido는 영향을 받은 고객에게 info@mail.odido.nl에서 이메일을 보냈고, 이메일 주소가 없는 고객에게는 SMS를 보냈다고 말한다. 포함된 데이터에 따라 이메일은 네 가지 버전이 있었으므로, 받은 버전이 어떤 데이터가 유출되었는지 알려준다(아래 그림 참조).
받은편지함과 스팸함에 아무것도 없다면, Odido는 영향을 받지 않은 것으로 봐도 된다고 말한다. 네덜란드 경찰의 Checkjehack 도구로 이메일 주소가 유출된 데이터셋에 있는지 확인할 수 있다.
Odido, 은행 또는 정부를 사칭하는 전화는 끊고 다시 걸어라
유출된 항목들이 함께 있으면 Odido, 은행, 정부 기관을 그럴듯하게 사칭할 수 있다. Odido의 조언은 구체적이다.
- 모르는 번호가 전화하면 상대의 전체 이름과 회사의 대표번호를 물어보라
- 먼저 확인하겠다고 말하고 전화를 끊어라
- 회사 공식 웹사이트에서 번호를 확인한 뒤, 직접 다시 걸어 해당 직원을 찾아라
Odido가 실제로 전화한 것인지 확인하려면 Odido 앱의 "Check je Gesprek"를 사용하라. 그 순간 Odido가 전화하고 있는지 확인해 준다. 비밀번호나 PIN은 누구에게도 알려주지 마라.
메시지 링크와 비밀번호 변경 요구는 무시하라
Odido는 비밀번호 변경을 요구하는 메시지를 절대 보내지 않는다고 밝힌다. 유출된 데이터에는 비밀번호가 없었으므로, "유출 때문에 여기서 비밀번호를 재설정하세요"라는 링크가 있는 메시지는 의심해야 한다.
가짜 청구서도 주의하라. Mijn Odido에서 직접 청구 내역을 확인하라(피싱이란? 참조).
은행 명세서를 정기적으로 확인하고 모르는 자동이체는 취소하라
네덜란드은행협회(NVB)에 따르면 계좌번호로는 은행 앱이나 온라인 뱅킹에 로그인할 수 없다. 하지만 무단 자동이체(incasso)에는 악용될 수 있다.
명세서를 정기적으로 확인하고, 신청하지 않은 이체나 구독에 대해서는 은행에 문의하라. NVB는 자동이체를 8주 이내에는 조건 없이, 무단 이체는 13개월 이내에 은행을 통해 취소할 수 있다고 말한다.
여권, 면허증, 계좌번호를 서둘러 교체하지 마라
Odido는 현재 정보를 기준으로 신분증 교체는 필요하지 않다고 말하며, 이는 CMI의 조언과 일치한다(교체 비용도 환급하지 않는다). NVB 역시 대부분의 사람에게 계좌번호 변경은 필요하지 않다고 말한다. 서두르는 교체보다는 2–4단계를 꾸준히 실행하는 것이 더 효과적이다.
실제 사기가 발생하면: 기업, 경찰, CMI
자신의 명의로 된 계약이나 청구를 인식하지 못하면 네덜란드 경찰과 CMI 안내를 따르라.
- 사기가 발생한 기업에 연락하라
- 경찰에 신고(aangifte)하라
- CMI(Centraal Meldpunt Identiteitsfraude)에 신고하라
CMI는 피해자에게 조언하고 지원하며, 경찰 및 기타 기관과 조율하는 정부 서비스다.
전 고객: 데이터 삭제를 요청하라
Odido는 다른 통신사로 옮겨간 고객의 연락처 정보를 최대 2년간 보관한다고 말한다(미납 요금이나 미결 서비스 문의가 정리된 시점부터 계산). 더 이상 계정이 필요 없다면 Odido 웹사이트의 양식으로 삭제를 요청할 수 있다.
Odido는 원치 않는 전화를 받은 고객에게 전화번호를 변경할 수 있는 옵션도 제공했다고 말한다.
① 이름 및 주소 정보
→ Odido, 은행, 기관을 사칭하는 연락을 조심하라. 끊고 다시 전화하라
② 이름/주소 + 은행 정보(IBAN)
→ ①에 더해: 명세서의 자동이체를 정기적으로 확인하라
③ 이름/주소 + 신분증 번호
→ ①에 더해: 신분증 번호를 인용해 정당해 보이려는 연락을 의심하라
④ 이름/주소 + 신분증 번호 + 은행 정보
→ ①–③ 전체. 사기가 발생하면: 기업, 경찰, CMI
모든 버전에서 비밀번호, 통화 기록, 위치 정보, 신분증 스캔본은 포함되지 않음(Odido 기준)
무슨 일이 있었나(Odido 및 네덜란드 당국 기준)
다음 내용은 Odido의 보도자료, 정보 페이지, FAQ, 그리고 네덜란드 경찰과 CMI의 발표를 바탕으로 한다.
2026년 2월 5–6일
Odido가 사이버 공격을 받았다고 말한 날들이다.2월 7–8일(주말)
Odido는 개인정보 유출의 첫 징후를 확인하고 내부 및 외부 전문가와 함께 조사를 시작했다.2월 12일
Odido는 유출을 공개하고, 무단 접근을 차단했다고 밝혔으며, 네덜란드 개인정보보호청(AP)에 신고했다. 모든 사람에게 알리는 데 최대 48시간이 걸릴 수 있다고 말했다. 대변인은 NOS에 약 620만 개 계정과 관련된 사안이라고 말했다.2월
CMI는 RvIG(정부 신원 데이터 기관) 웹사이트에 유출된 데이터로 할 수 있는 것과 할 수 없는 것에 대한 조언을 게시했다.3월 1–2일
네덜란드 경찰은 도난 데이터셋을 확보해 Checkjehack에서 확인할 수 있도록 했다. 경찰은 공격자들이 도난 데이터를 자신들의 웹사이트에 게시했다고 말했다.이후
Odido의 FAQ는 영향을 받은 사람 수를 약 639만 명으로 갱신했으며, 당국의 명확하고 일관된 안내에 따라 몸값을 지불하지 않았다고 밝혔다.
- 포함될 수 있음(사람마다 다름)
- 전체 이름, 주소와 도시, 휴대폰 번호, 고객번호, 이메일 주소, IBAN(은행 계좌번호), 생년월일, 신분증 정보(여권 또는 운전면허 번호와 유효기간). 이후 FAQ에는 국적과 성별도 포함되어 있으며, 제한된 경우 고객 서비스와 공유된 추가 정보도 영향을 받았을 수 있다고 한다
- 포함되지 않음
- Mijn Odido 비밀번호, 통화 내역(누구에게 언제 전화했는지), 위치 정보, 청구 정보, 신분증 스캔본. Odido는 BSN(시민서비스번호)을 저장하지 않는다고 말한다
- “password_c” 필드
- Odido는 이 이름의 유출 필드가 전화 통화에서 추가 보안 질문으로 쓰이는 암호 단어(코드 워드)였고, 로그인 비밀번호는 아니라고 말한다. 코드 워드가 포함된 사실을 알게 된 뒤 이를 기반으로 한 전화 인증을 중단했다고 한다
- 브랜드
- Odido와 Ben 고객이 영향을 받았으며, Simpel 고객은 영향을 받지 않았다. 법인 고객의 최종 사용자 정보는 유출되지 않았다
- 원인(Odido 설명)
- 범죄자가 고객 문의 시스템에 접근해 고객 데이터를 무단으로 내려받았다. Odido는 공격자가 IT 직원인 것처럼 가장해 고객 서비스에 연락했다고 말한다
- Odido의 대응
- 무단 접근을 차단하고, 보안 조치를 추가하고, 모니터링을 강화했으며, 피싱에 대한 직원 인식을 높였다. 데이터 보관 정책 전반에 대한 검토를 포함해 외부 전문가와 협력하고 있다
읽는 법: 신분증 번호만으로는 계약을 열 수 없다는 말이 안전을 보장하지는 않는다
CMI는 유출된 데이터만으로는 대출이나 새 은행 계좌를 만들 수 없다고 말한다. 실물 신분증, DigiD(정부 로그인) 또는 은행 로그인 정보 같은 추가 확인이 필요하기 때문이다. 또한 CMI는 모든 기업이 항상 그런 확인을 요구한다고 보장할 수 없다고 적고 있다.
따라서 명세서를 확인하고 사기를 어디에 신고해야 하는지 아는 것이, 문서를 교체하는 것보다 현실적인 방어 수단이다.
검증을 위해 수집된 신분증 번호는 수집한 기업에서 유출될 수 있다
Odido는 휴대폰 가입 시 신원을 확인하고 사기성 계약을 막기 위해 신분증 번호를 기록한다고 설명한다. 단말기 할부 구매의 경우, 대출이 끝난 후 최대 5년간 해당 번호를 보관하도록 법적으로 요구된다고 말한다.
즉, 이 번호들은 사기를 막기 위해 수집되었다. 그러나 이를 보관하던 곳이 유출되면 수백만 건이 한꺼번에 빠져나간다.
일본의 비교 사례: Times Car(2026년 9월)
- 운전면허증 등 신분증 이미지 유출(약 160만 건)
- 한 이미지에 얼굴 사진, 이름, 주소 포함
- 일본에서는 신용정보기관의 사기 경보가 주요 방어 수단이다
이번 사고: Odido(2026년 2월)
- 신분증 번호와 만료일 유출(이미지 없음)
- 당국은 번호만으로는 계약을 열 수 없다고 말한다
- 방어는 명세서 확인과 사칭자에 대한 의심에 초점을 둔다
일본의 유사 사례로는 Times Car 유출이 있다. Times Car에서는 신분증 이미지가, Odido에서는 신분증 번호가 유출되었다. 심각도는 다르지만, 두 경우 모두 신원을 증명하려고 제공한 정보가 제공받은 기업에서 유출되었다.
이 사이트의 견해: 신분증을 제공하는 사람은 제공 범위를 제한할 수 있고, 기업은 번호 보관을 피할 수 있다
신분증을 제공하는 개인은 통제력이 제한적이지만 전혀 없지는 않다. 네덜란드 정부는 신분증 사본을 반드시 줘야 할 때 KopieID 앱을 사용하라고 권장한다. BSN이나 사진을 가리고, 사본에 누구를 위해 어떤 목적으로 제공하는지 워터마크를 넣어, 유출된 사본이 다른 용도로 쓰이기 어렵게 하라는 것이다.
수집하는 쪽(서비스 운영자)을 위한 교훈은 더 분명하다.
- 확인에 사용한 번호는 보관하지 말고, 확인이 완료되었다는 사실만 기록하라
- 법으로 보관이 요구되는 정보는 보관 기간이 끝나면 자동으로 삭제하라
- 일상 업무에서 신분증 번호를 볼 수 있는 사람과 조회 범위를 업무에 필요한 만큼으로 제한하라
Odido 자체도 영향을 받은 데이터 대부분이 일상적인 영업과 고객 서비스 업무에 사용되었다고 말하며, 데이터 보관 정책과 절차 전반에 대한 전면적이고 비판적인 검토를 진행하고 있다고 밝혔다. 이 원칙들은 조직을 위한 최소 보안 기준에서 다룬다.
올해 다른 해외 사례로, 예약 정보를 알고 있는 사람의 연락이 문제가 된 경우는 Booking.com 예약 데이터 접근을 참고하라.
출처(공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 한다. 공격자의 주장과 공개되지 않은 수치는 사용하지 않았다.
- Odido, "Odido informs customers of cyber attack"(보도자료, 2026년 2월 12일) — newsroom.odido.nl
- Odido 정보 페이지 및 FAQ(네덜란드어와 영어, 최신 버전) — odido.nl/veiligheid / odido.nl/veiligheid-eng
- Odido 정보 페이지(영어, 2026년 2월 23일 업데이트 버전: 관련 데이터, 네 가지 통지 버전, 전 고객 데이터 보관, 신분증 번호 보관 이유; 인터넷 아카이브 사본) — web.archive.org
- NOS, "Hack bij Odido, gegevens miljoenen klanten in handen van criminelen"(2026년 2월 12일: 약 620만 계정에 대한 대변인 발언, 네덜란드어) — nos.nl
- RvIG / 중앙신원사기신고센터(CMI), "Datalek Odido veroorzaakt ongerustheid – CMI geeft advies"(네덜란드어) — rvig.nl / CMI 서비스 페이지 — rvig.nl/cmi
- 네덜란드 경찰, "Checkjehack aangevuld met Odido"(2026년 3월 2일, 네덜란드어) — politie.nl
- 네덜란드은행협회(NVB), "Datalek Odido"(네덜란드어) — nvb.nl
- 네덜란드 정부, 신원 사기와 KopieID 앱(네덜란드어) — rijksoverheid.nl / KopieID
업데이트 기록
2026-09-30: 최초 버전. Odido의 2026년 2월 12일 공개 및 정보 페이지(2월 23일 버전과 현재 FAQ: 약 639만 명 영향, 국적과 성별 추가, 몸값 미지불)와 CMI, 경찰, NVB의 안내를 바탕으로 작성.
다음으로 읽을 글
- 유럽의 다른 고객 데이터 사례: ENGIE(프랑스, 에너지 고객)
- 운전면허 데이터가 유출되었다면: 운전면허 데이터가 유출되면 해야 할 일
- 유럽의 다른 사례: Basic-Fit(헬스장 회원 데이터와 은행 계좌)
- 일본의 유사 사례: Times Car 유출(운전면허증 이미지 유출)
- 사칭과 사기: 피싱이란? / 가짜 바이러스 경고(기술 지원 사기)
- 계정 보호: 비밀번호 관리자 선택하기 / 다중 인증 선택하기
- 2026년 다른 사고: Booking.com 예약 데이터 접근 / 유출 및 사이버 공격 목록(일본 및 전 세계)
- 운영자용: 조직을 위한 최소 보안 기준