Para: clientes atuais e antigos da Odido e da Ben, e qualquer pessoa preocupada após descobrir que seu número de identidade vazou. Este artigo se baseia no comunicado oficial e no FAQ da Odido, e na orientação da Central Holandesa de Denúncia de Fraude de Identidade (CMI), da polícia holandesa e da Associação Bancária Holandesa. Ele não aborda métodos de ataque.
O que os clientes devem fazer hoje
Use o tipo de aviso que você recebeu para ver o que vazou sobre você
A Odido diz que enviou e-mails aos clientes afetados a partir de info@mail.odido.nl e enviou SMS aos clientes sem endereço de e-mail. Havia quatro versões do e-mail, dependendo dos dados envolvidos, então a versão que você recebeu indica quais dos seus dados vazaram (veja a figura abaixo).
Se nada estiver na sua caixa de entrada ou na pasta de spam, a Odido diz que você pode presumir que não foi afetado. A ferramenta Checkjehack da polícia holandesa permite verificar se seu endereço de e-mail aparece no conjunto de dados roubados.
Desligue quando ligarem se passando pela Odido, seu banco ou o governo, e depois retorne a ligação
Juntos, os campos vazados possibilitam se passar convincentemente pela Odido, por bancos ou por órgãos do governo. A orientação da Odido é concreta:
- Se um número desconhecido ligar, peça o nome completo de quem está ligando e o número geral da empresa
- Diga que quer verificar primeiro e desligue
- Confira o número no site oficial da empresa e ligue de volta por conta própria, pedindo por aquele funcionário
Para verificar se a Odido está realmente ligando, use "Check je Gesprek" no aplicativo da Odido, que confirma se a Odido está ligando para você naquele momento. Nunca informe sua senha ou PIN a ninguém.
Ignore links em mensagens e pedidos para trocar sua senha
A Odido afirma que nunca envia mensagens pedindo que você troque sua senha. Nenhuma senha estava nos dados vazados, então qualquer mensagem do tipo "por causa do vazamento, redefina sua senha aqui" com um link deve ser vista com desconfiança.
Fique atento também a faturas falsas; confira você mesmo as cobranças da Odido no Mijn Odido (veja o que é phishing?).
Confira os extratos bancários regularmente e reverta os débitos que você não reconhece
Segundo a Associação Bancária Holandesa (NVB), um número de conta não pode ser usado para fazer login no aplicativo ou no internet banking. Ele pode, porém, ser usado indevidamente para débitos automáticos não autorizados (incasso).
Confira os extratos regularmente e entre em contato com seu banco sobre cobranças ou assinaturas que você não contratou. A NVB diz que os débitos automáticos podem ser revertidos sem condições em até 8 semanas, e os não autorizados em até 13 meses, por meio do seu banco.
Não se apresse em substituir seu passaporte, sua carteira de motorista ou seu número de conta
A Odido diz que, com base nas informações atuais, substituir documentos de identidade não é necessário, em linha com a orientação da CMI (e não reembolsa custos de substituição). A NVB também diz que trocar o número da conta não é necessário para a maioria das pessoas. Seguir os passos 2 a 4 faz mais do que uma substituição apressada.
Se a fraude de fato ocorrer: empresa, polícia, CMI
Se você encontrar contratos ou cobranças em seu nome que não reconhece, siga a orientação da polícia holandesa e da CMI:
- Entre em contato com a empresa onde a fraude ocorreu
- Registre um boletim de ocorrência (aangifte)
- Comunique à CMI (Centraal Meldpunt Identiteitsfraude)
A CMI é um serviço do governo que orienta e apoia as vítimas e faz a coordenação com a polícia e outros órgãos.
Ex-clientes: peça a exclusão dos seus dados
A Odido diz que mantém os dados de contato de clientes que saíram para outro provedor por até 2 anos (contados a partir da quitação de eventuais faturas em aberto ou de questões de atendimento pendentes). Se você não precisa mais de uma conta, pode solicitar a exclusão pelo formulário no site da Odido.
A Odido também diz que ofereceu a clientes que estavam recebendo ligações indesejadas a opção de trocar o número de telefone.
① Dados de nome e endereço
→ Cuidado com contatos que se passam por Odido, bancos ou órgãos. Desligue e ligue de volta
② Nome/endereço + dados bancários (IBAN)
→ ① e mais: confira regularmente os débitos automáticos nos extratos
③ Nome/endereço + número de identidade
→ ① e mais: desconfie de contatos que citam seu número de identidade para parecer legítimos
④ Nome/endereço + número de identidade + dados bancários
→ Todos os itens de ① a ③. Se houver fraude: empresa, polícia, CMI
Em todas as versões: sem senhas, registros de chamadas, dados de localização nem cópias de documentos (segundo a Odido)
O que aconteceu (segundo a Odido e as autoridades holandesas)
O que se segue é extraído do comunicado à imprensa, da página informativa e do FAQ da Odido, e de publicações da polícia holandesa e da CMI.
5–6 de fevereiro de 2026
Os dias em que a Odido diz ter sido atingida pelo ciberataque.7–8 de fevereiro (fim de semana)
A Odido recebe os primeiros sinais de um vazamento de dados e começa a investigar com especialistas internos e externos.12 de fevereiro
A Odido divulga o vazamento, diz que o acesso não autorizado foi encerrado e comunica o caso à Autoridade Holandesa de Proteção de Dados (AP). Diz que notificar todos pode levar até 48 horas. Seu porta-voz afirma à NOS que o caso envolve cerca de 6,2 milhões de contas.Fevereiro
A CMI publica orientações sobre o que pode e o que não pode ser feito com os dados vazados, no site do RvIG (a agência governamental de dados de identidade).1–2 de março
A polícia holandesa diz ter obtido o conjunto de dados roubados e o disponibilizou para consulta no Checkjehack. A polícia diz que os atacantes publicaram os dados roubados em seu site.Posteriormente
O FAQ da Odido atualiza o número de afetados para cerca de 6,39 milhões de pessoas e diz que, seguindo orientação clara e consistente das autoridades, não pagou o resgate.
- Pode incluir (varia por pessoa)
- Nome completo, endereço e cidade, número de celular, número de cliente, e-mail, IBAN (número da conta bancária), data de nascimento, dados de identificação (número e validade do passaporte ou da carteira de motorista). O FAQ posterior também lista nacionalidade e sexo, e diz que, em casos limitados, informações adicionais compartilhadas com o atendimento ao cliente podem ter sido afetadas
- Não incluídos
- Senhas do Mijn Odido, detalhes de chamadas (quem você ligou e quando), dados de localização, dados de faturamento, cópias de documentos de identidade. A Odido diz que não armazena números BSN (número de cidadão holandês)
- O campo “password_c”
- A Odido diz que o campo vazado com esse nome era uma palavra-código usada como pergunta de segurança extra em ligações telefônicas, e não uma senha de login. Depois de descobrir que palavras-código estavam incluídas, deixou de fazer a verificação telefônica baseada nelas
- Marcas
- Clientes da Odido e da Ben foram afetados; clientes da Simpel não. Dados de usuários finais de clientes corporativos não vazaram
- Causa (versão da Odido)
- Criminosos obtiveram acesso ao sistema de contato com clientes e baixaram dados de clientes sem autorização. A Odido diz que o invasor entrou em contato com o atendimento ao cliente se passando por membro de sua equipe de TI
- Resposta da Odido
- Bloqueou o acesso não autorizado, adicionou medidas de segurança, ampliou o monitoramento e aumentou a conscientização da equipe sobre phishing. Trabalha com especialistas externos, incluindo uma revisão completa das políticas de retenção de dados
Como interpretar: saber que o número sozinho não abre um contrato não é garantia de segurança
A CMI diz que os dados vazados, sozinhos, não podem ser usados para um empréstimo ou uma nova conta bancária, porque são exigidas verificações adicionais, como o documento físico, o DigiD (o login do governo) ou os dados de login bancário. Ela também escreve que não pode garantir que todas as empresas sempre pedirão essas verificações.
Por isso, conferir seus extratos e saber onde denunciar uma fraude são defesas mais realistas do que substituir documentos.
Números de identidade coletados para verificação podem vazar da empresa que os coletou
A Odido explica que, ao contratar uma assinatura de celular, verifica sua identidade e registra o número do seu documento de identidade para evitar contratos fraudulentos. Para o financiamento de aparelhos, diz que é obrigada por lei a manter esse número por até 5 anos após o fim do crédito.
Em outras palavras, os números foram coletados para prevenir fraudes. Ainda assim, quando o local que os guarda vaza, milhões deles saem de uma vez.
Um caso japonês comparável: Times Car (setembro de 2026)
- Imagens de carteiras de motorista e de outros documentos vazaram (cerca de 1,6 milhão)
- Foto do rosto, nome e endereço em uma mesma imagem
- No Japão, o alerta de fraude junto a bureaus de crédito é a principal defesa
Este incidente: Odido (fevereiro de 2026)
- Números e datas de validade de documentos vazaram (sem imagens)
- As autoridades dizem que o número sozinho não pode abrir um contrato
- A defesa se concentra em conferir extratos e desconfiar de quem se faz passar por outra pessoa
Um caso japonês comparável é o vazamento da Times Car. Na Times Car, vazaram imagens de documentos; na Odido, números. A gravidade é diferente, mas nos dois casos as informações que as pessoas entregaram para comprovar sua identidade vazaram da empresa a que foram entregues.
Visão deste site: quem entrega um documento pode limitar o que fornece; as empresas podem evitar guardar os números
Quem entrega um documento de identidade tem controle limitado, mas não nulo. O governo holandês recomenda usar o aplicativo KopieID quando for necessário entregar a alguém uma cópia do seu documento: risque o BSN ou a foto e marque a cópia com a finalidade e para quem ela se destina, para que uma cópia vazada seja mais difícil de reutilizar para outros fins.
A lição para quem coleta (operadores de serviços) é ainda mais clara:
- Não armazene o número usado na verificação; registre apenas que a verificação foi feita
- Para o que a lei exige que seja guardado, exclua automaticamente quando o prazo de retenção terminar
- Limite quem pode ver números de identidade no trabalho diário, e em que quantidade, ao que a função exige
A própria Odido diz que a maior parte dos dados afetados era usada em vendas do dia a dia e no atendimento ao cliente, e que está conduzindo uma revisão crítica completa de suas políticas e processos de retenção de dados. Os princípios estão reunidos em a base mínima de segurança para organizações.
Para outro caso estrangeiro deste ano, em que o problema é o contato de alguém que conhece sua reserva, veja o acesso a dados de reservas da Booking.com.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Alegações de atacantes e valores não divulgados não são usados.
- Odido, "Odido informs customers of cyber attack" (comunicado à imprensa, 12 de fevereiro de 2026) — newsroom.odido.nl
- Página informativa e FAQ da Odido (holandês e inglês, versão atual) — odido.nl/veiligheid / odido.nl/veiligheid-eng
- Página informativa da Odido (em inglês, versão atualizada em 23 de fevereiro de 2026: dados envolvidos, quatro versões do aviso, retenção de dados de ex-clientes, motivos para armazenar números de identidade; cópia do Internet Archive) — web.archive.org
- NOS, "Hack bij Odido, gegevens miljoenen klanten in handen van criminelen" (12 de fevereiro de 2026: porta-voz sobre cerca de 6,2 milhões de contas, em holandês) — nos.nl
- RvIG / Centraal Meldpunt Identiteitsfraude, "Datalek Odido veroorzaakt ongerustheid – CMI geeft advies" (holandês) — rvig.nl / página de serviço da CMI — rvig.nl/cmi
- Polícia holandesa, "Checkjehack aangevuld met Odido" (2 de março de 2026, em holandês) — politie.nl
- Associação Bancária Holandesa (NVB), "Datalek Odido" (holandês) — nvb.nl
- Governo dos Países Baixos, fraude de identidade e o aplicativo KopieID (holandês) — rijksoverheid.nl / KopieID
Histórico de atualizações
2026-09-30: Primeira versão, com base no comunicado da Odido de 12 de fevereiro de 2026 e nas páginas informativas (a versão de 23 de fevereiro e o FAQ atual: cerca de 6,39 milhões de pessoas afetadas, nacionalidade e sexo incluídos, resgate não pago), e na orientação da CMI, da polícia e da NVB.
Leia em seguida
- Outro caso europeu de dados de clientes: ENGIE (França, clientes de energia)
- Se seus dados de carteira de motorista vazaram: O que fazer quando os dados da sua carteira de motorista vazam
- Outro caso europeu: Basic-Fit (dados de membros de academia e contas bancárias)
- Um caso semelhante no Japão: O vazamento da Times Car (imagens de carteiras de motorista vazadas)
- Personificação e golpes: O que é phishing? / Falsos alertas de vírus (golpes de suporte técnico)
- Protegendo suas contas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: O acesso a dados de reservas da Booking.com / Lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: A base mínima de segurança para organizações