Для: действующих и бывших клиентов Odido и Ben, а также всех, кто обеспокоен после того, как узнал, что его номер документа утёк. Статья основана на официальном заявлении Odido и FAQ, а также на рекомендациях Центрального нидерландского центра по выявлению мошенничества с личными данными (CMI), нидерландской полиции и нидерландской банковской ассоциации. Методы атак в ней не рассматриваются.
Что клиентам делать сегодня
По типу полученного уведомления узнайте, какие ваши данные утекли
Odido говорит, что отправило письма затронутым клиентам с адреса info@mail.odido.nl, а клиентам без адреса электронной почты — SMS. Вариантов письма было четыре в зависимости от того, какие данные были задействованы, поэтому версия, которую вы получили, показывает, какие ваши данные утекли (см. рисунок ниже).
Если в папке «Входящие» или «Спам» ничего нет, Odido говорит, что вы можете считать, что не были затронуты. Инструмент нидерландской полиции Checkjehack позволяет проверить, есть ли ваш адрес электронной почты в похищенном наборе данных.
Завершайте разговор с теми, кто представляется Odido, вашим банком или государством, затем перезвоните
Вместе утёкшие данные позволяют убедительно выдавать себя за Odido, банки или государственные органы. Рекомендации Odido конкретны:
- Если звонит неизвестный номер, спросите полное имя звонящего и общий номер компании
- Скажите, что хотите сначала проверить информацию, и завершите разговор
- Найдите номер на официальном сайте компании, затем перезвоните сами и попросите нужного сотрудника
Чтобы проверить, действительно ли звонит Odido, используйте функцию «Check je Gesprek» в приложении Odido: она подтверждает, звонит ли вам Odido в данный момент. Никогда не сообщайте никому свой пароль или PIN-код.
Игнорируйте ссылки в сообщениях и просьбы сменить пароль
Odido заявляет, что никогда не отправляет сообщения с просьбой сменить пароль. Пароли в утёкших данных не значились, поэтому любое сообщение вида «из-за утечки сбросьте пароль по ссылке» вызывает подозрение.
Остерегайтесь и поддельных счетов: проверяйте счета Odido самостоятельно в Mijn Odido (см. что такое фишинг?).
Регулярно проверяйте банковские выписки и отменяйте списания, которые вы не узнаёте
По данным нидерландской банковской ассоциации (NVB), номер счёта нельзя использовать для входа в банковское приложение или интернет-банк. Однако его могут использовать для несанкционированных прямых списаний (incasso).
Регулярно проверяйте выписки и обращайтесь в банк по поводу списаний или подписок, на которые вы не подписывались. NVB заявляет, что прямые списания можно безусловно отменить через банк в течение 8 недель, а несанкционированные — в течение 13 месяцев.
Не спешите менять паспорт, водительские права или номер счёта
Odido говорит, что на основании текущей информации замена документов, удостоверяющих личность, не требуется, в соответствии с рекомендациями CMI (и компания не возмещает расходы на замену). NVB также заявляет, что для большинства людей смена номера счёта не нужна. Выполнение шагов 2–4 важнее поспешной замены.
Если мошенничество всё-таки произошло: компания, полиция, CMI
Если вы обнаружили договоры или списания на своё имя, которых не узнаёте, следуйте рекомендациям нидерландской полиции и CMI:
- Обратитесь в компанию, где произошло мошенничество
- Подайте заявление в полицию (aangifte)
- Сообщите об этом в CMI (Centraal Meldpunt Identiteitsfraude)
CMI — государственная служба, которая консультирует и поддерживает пострадавших и координирует действия с полицией и другими ведомствами.
Бывшие клиенты: запросите удаление своих данных
Odido говорит, что хранит контактные данные клиентов, которые перешли к другому провайдеру, до 2 лет (отсчёт ведётся с момента урегулирования неоплаченных счетов или открытых вопросов по услугам). Если вам больше не нужен аккаунт, вы можете запросить удаление через форму на сайте Odido.
Odido также сообщает, что предложило клиентам, которых беспокоят нежелательные звонки, возможность сменить номер телефона.
① Имя и данные об адресе
→ Остерегайтесь контактов, которые представляются Odido, банками или ведомствами. Завершите разговор и перезвоните сами
② Имя/адрес + банковские данные (IBAN)
→ ① плюс: регулярно проверяйте прямые списания в выписках
③ Имя/адрес + номер документа
→ ① плюс: не доверяйте контактам, которые называют ваш номер документа, чтобы выглядеть законными
④ Имя/адрес + номер документа + банковские данные
→ Все пункты ①–③. Если произошло мошенничество: компания, полиция, CMI
Во всех вариантах: без паролей, записей звонков, геолокации и сканов документов (по данным Odido)
Что произошло (по данным Odido и нидерландских властей)
Ниже приведено по пресс-релизу Odido, информационной странице и FAQ, а также по публикациям нидерландской полиции и CMI.
5–6 февраля 2026
Дни, когда, по словам Odido, на компанию была совершена кибератака.7–8 февраля (выходные)
Odido получает первые сигналы об утечке данных и начинает расследование с внутренними и внешними экспертами.12 февраля
Odido раскрывает информацию об утечке, сообщает, что несанкционированный доступ прекращён, и уведомляет нидерландское Управление по защите данных (AP). Компания говорит, что уведомление всех может занять до 48 часов. Её представитель сообщил NOS, что речь идёт о примерно 6,2 млн аккаунтов.Февраль
CMI публикует рекомендации о том, что можно и чего нельзя делать с утёкшими данными, на сайте RvIG (государственного ведомства по идентификационным данным).1–2 марта
Нидерландская полиция сообщает, что получила похищенный набор данных и сделала его доступным для проверки в Checkjehack. Полиция говорит, что злоумышленники опубликовали похищенные данные на своём сайте.Позже
FAQ Odido обновляет число затронутых до около 6,39 млн человек и сообщает, что, следуя чётким и последовательным рекомендациям властей, выкуп не выплачивался.
- Может быть включено (различается для каждого человека)
- Полное имя, адрес и город, номер мобильного телефона, номер клиента, адрес электронной почты, IBAN (номер банковского счёта), дата рождения, данные документа, удостоверяющего личность (номер паспорта или водительских прав и срок действия). В более позднем FAQ также указаны гражданство и пол, а также сказано, что в ограниченных случаях могла быть затронута дополнительная информация, переданная службе поддержки
- Не включено
- Пароли Mijn Odido, данные о звонках (кому и когда вы звонили), геолокация, данные о выставлении счетов, сканы документов, удостоверяющих личность. Odido говорит, что не хранит номера BSN (номера гражданина)
- Поле «password_c»
- Odido говорит, что утёкшее поле с таким названием было кодовым словом, которое использовалось как дополнительный контрольный вопрос при телефонных звонках, а не паролем для входа. Узнав, что кодовые слова попали в утечку, компания прекратила проверку по телефону на их основе
- Бренды
- Затронуты клиенты Odido и Ben; клиенты Simpel затронуты не были. Данные конечных пользователей корпоративных клиентов не утекли
- Причина (по версии Odido)
- Преступники получили доступ к системе связи с клиентами и без разрешения скачали данные клиентов. Odido говорит, что злоумышленник связался со службой поддержки, выдавая себя за сотрудника её IT-отдела
- Ответ Odido
- Блокировка несанкционированного доступа, внедрение мер безопасности, расширение мониторинга, повышение осведомлённости сотрудников о фишинге. Работа с внешними экспертами, включая полный пересмотр политик хранения данных
Как это понимать: то, что одного номера недостаточно для заключения договора, не гарантирует безопасность
CMI заявляет, что утёкших данных самих по себе недостаточно для кредита или нового банковского счёта, поскольку требуются дополнительные проверки, например физический документ, удостоверяющий личность, DigiD (государственный логин) или данные для входа в банк. Ведомство также пишет, что не может гарантировать, что каждая компания всегда запрашивает эти проверки.
Поэтому более реальной защитой, чем замена документов, являются проверка выписок и знание того, куда сообщать о мошенничестве.
Номера документов, собранные для проверки, могут утечь из компании, которая их собрала
Odido объясняет, что при оформлении мобильного абонемента оно проверяет вашу личность и записывает номер документа, удостоверяющего личность, чтобы предотвратить мошеннические договоры. Для рассрочки на телефон, по его словам, оно обязано по закону хранить этот номер до 5 лет после окончания кредита.
Иными словами, номера собирались для предотвращения мошенничества. Однако, когда утекает хранилище, где они находятся, миллионы из них оказываются в открытом доступе сразу.
Японская параллель: Times Car (сентябрь 2026)
- Изображения водительских прав и других документов, удостоверяющих личность, утекли (около 1,6 млн)
- Фотография лица, имя и адрес на одном изображении
- В Японии основной защитой является предупреждение о мошенничестве от бюро кредитной истории
Этот инцидент: Odido (февраль 2026)
- Номера и сроки действия документов, удостоверяющих личность, утекли (без изображений)
- Власти говорят, что одного номера недостаточно для заключения договора
- Защита строится на проверке выписок и недоверии к тем, кто выдаёт себя за других
Похожий японский случай — утечка данных Times Car. В Times Car утекли изображения документов, в Odido — номера. Серьёзность различается, но в обоих случаях сведения, которые люди передавали для подтверждения личности, утекли из компании, которой их передали.
Мнение этого сайта: люди, предъявляющие документы, могут ограничивать то, что дают; компании могут не хранить номера
Люди, предъявляющие документы, имеют ограниченный, но не нулевой контроль. Правительство Нидерландов рекомендует использовать приложение KopieID, когда нужно передать кому-то копию документа: зачеркните BSN или фото и нанесите на копию водяной знак с указанием, для кого и зачем она сделана, чтобы утёкшую копию было сложнее использовать в других целях.
Вывод для тех, кто собирает данные (операторов услуг), более жёсткий:
- Не храните номер, использованный для проверки; фиксируйте только то, что проверка проведена
- Всё, что закон требует хранить, удаляйте автоматически по окончании срока хранения
- Ограничивайте, кто и сколько номеров документов видит в повседневной работе, до необходимого для задачи минимума
Сам Odido говорит, что большая часть затронутых данных использовалась для повседневных продаж и работы с клиентами, и что оно проводит полный критический пересмотр политик и процессов хранения данных. Эти принципы описаны в минимальной базе безопасности для организаций.
Ещё один зарубежный случай этого года, где проблема в контакте от человека, который знает ваше бронирование, описан в статье Доступ к данным бронирований Booking.com.
Источники (открытые публикации)
Факты в этой статье основаны на следующей открытой информации. Заявления атакующих и нераскрытые цифры не используются.
- Odido, «Odido informs customers of cyber attack» (пресс-релиз, 12 февраля 2026) — newsroom.odido.nl
- Информационная страница Odido и FAQ (на нидерландском и английском, актуальная версия) — odido.nl/veiligheid / odido.nl/veiligheid-eng
- Информационная страница Odido (на английском, версия от 23 февраля 2026: затронутые данные, четыре варианта уведомления, хранение данных бывших клиентов, причины хранения номеров документов; копия в Internet Archive) — web.archive.org
- NOS, «Hack bij Odido, gegevens miljoenen klanten in handen van criminelen» (12 февраля 2026: представитель о примерно 6,2 млн аккаунтов, на нидерландском) — nos.nl
- RvIG / Centraal Meldpunt Identiteitsfraude, «Datalek Odido veroorzaakt ongerustheid – CMI geeft advies» (на нидерландском) — rvig.nl / страница службы CMI — rvig.nl/cmi
- Нидерландская полиция, «Checkjehack aangevuld met Odido» (2 марта 2026, на нидерландском) — politie.nl
- Нидерландская банковская ассоциация (NVB), «Datalek Odido» (на нидерландском) — nvb.nl
- Правительство Нидерландов, кража личности и приложение KopieID (на нидерландском) — rijksoverheid.nl / KopieID
История обновлений
2026-09-30: первая версия, основанная на сообщении Odido от 12 февраля 2026 года и информационных страницах (версия от 23 февраля и актуальный FAQ: около 6,39 млн затронутых людей, добавлены гражданство и пол, выкуп не выплачивался), а также на рекомендациях CMI, полиции и NVB.
Читайте далее
- Другой европейский случай утечки клиентских данных: ENGIE (Франция, клиенты энергокомпании)
- Если утекли данные водительских прав: Что делать, если утекли данные водительских прав
- Другой европейский случай: Basic-Fit (данные членов фитнес-клуба и банковские счета)
- Похожий случай в Японии: Утечка данных Times Car (утекли изображения водительских прав)
- Выдача себя за другого и мошенничество: Что такое фишинг? / Ложные предупреждения о вирусах (мошенничество под видом техподдержки)
- Защита аккаунтов: Выбор менеджера паролей / Выбор многофакторной аутентификации
- Другие инциденты 2026 года: Доступ к данным бронирований Booking.com / Список утечек и кибератак (Япония и весь мир)
- Для операторов: Минимальная база безопасности для организаций