适用对象：Odido和Ben的现有及前客户，以及得知自己的身份证号已泄露而感到担忧的人。本文基于Odido的官方披露和常见问题解答，以及荷兰中央身份欺诈举报中心（CMI）、荷兰警方和荷兰银行协会的指导。本文不涉及攻击手法。
客户今天应该做什么
根据你收到的通知类型，判断你的哪些信息被泄露
Odido表示，它已从info@mail.odido.nl向受影响客户发送电子邮件，并向没有电子邮箱的客户发送短信。根据涉及数据的不同，邮件共有四个版本，因此你收到的版本能告诉你哪些个人数据被泄露（见下方图示）。
如果收件箱和垃圾邮件文件夹中都没有相关邮件，Odido表示你可以认为自己未受影响。荷兰警方的Checkjehack工具可以让你查询自己的电子邮箱地址是否出现在被盗数据集中。
对自称是Odido、你的银行或政府部门的来电，先挂断，再回拨
泄露的各类信息组合在一起，足以让冒充Odido、银行或政府机构的人显得十分可信。Odido给出的建议很具体：
- 如果有陌生号码来电，请询问对方的全名以及公司的总机号码
- 告诉对方你想先核实，然后挂断
- 在公司官方网站上查找号码，然后自行回拨，并要求转接相关员工
要确认Odido是否真的在致电你，可以使用Odido应用中的“Check je Gesprek”功能，它会确认Odido此刻是否正在呼叫你。切勿向任何人透露你的密码或PIN码。
忽略信息中的链接和要求修改密码的请求
Odido表示，它从不发送要求你修改密码的信息。泄露的数据中不包含任何密码，因此任何以“因数据泄露，请在此重置密码”为由、附带链接的信息都值得怀疑。
也要提防虚假账单；请在Mijn Odido中自行核对Odido账单（参见什么是网络钓鱼？）。
定期核对银行账单，撤销你不认识的直接扣款
据荷兰银行协会（NVB）称，账号不能用于登录你的银行应用或网上银行。不过，它可能被用于未经授权的直接扣款（incasso）。
请定期核对账单，并就你未曾签约的扣款或订阅与银行联系。NVB表示，通过银行，直接扣款可在8周内无条件撤销，未经授权的扣款可在13个月内撤销。
不要急于更换护照、驾照或账号
Odido表示，根据目前的信息，没有必要更换身份证件，这与CMI的建议一致（并且它不会报销更换费用）。NVB同样表示，对大多数人来说，没有必要更换账号。相比仓促更换，坚持执行第2至4步更有用。
如果确实发生欺诈：联系公司、警方、CMI
如果你发现以你的名义签订的合同或产生的费用是你不认识的，请遵循荷兰警方和CMI的指导：
- 联系发生欺诈的公司
- 提交警方报案（aangifte）
- 向CMI（Centraal Meldpunt Identiteitsfraude，中央身份欺诈举报中心）举报
CMI是一项政府服务，为受害者提供建议和支持，并与警方及其他机构协调。
前客户：请求删除你的数据
Odido表示，对于已转至其他运营商的客户，它会保留其联系方式，最长2年（从任何未结清账单或未解决的服务问题处理完毕时起算）。如果你不再需要该账户，可以通过Odido官网上的表格申请删除。
Odido还表示，它已向受到骚扰电话困扰的客户提供更换手机号码的选项。
① 姓名和地址信息
→ 警惕冒充Odido、银行或机构的联系人。挂断后回拨
② 姓名/地址 + 银行信息（IBAN）
→ 在①的基础上：定期核对账单上的直接扣款
③ 姓名/地址 + 身份证号
→ 在①的基础上：对引用你的身份证号来显得合法的联系人保持怀疑
④ 姓名/地址 + 身份证号 + 银行信息
→ 包含①至③的全部内容。如发生欺诈：联系公司、警方、CMI
在所有版本中：均不包含密码、通话记录、位置数据或证件扫描件（据Odido称）
发生了什么（据Odido和荷兰官方机构）
以下内容摘自Odido的新闻稿、信息页面和常见问题解答，以及荷兰警方和CMI发布的信息。
2026年2月5–6日
Odido表示，其在这几天遭到网络攻击。2026年2月7–8日（周末）
Odido收到数据泄露的最初迹象，并与内部及外部专家开始调查。2026年2月12日
Odido披露此次泄露事件，表示未经授权的访问已被终止，并已向荷兰数据保护局（AP）报告。它表示，通知所有人可能需要最多48小时。其发言人对NOS表示，涉及约620万个账户。2026年2月
CMI在RvIG（荷兰政府身份数据机构）网站上发布建议，说明泄露数据可以做什么、不能做什么。2026年3月1–2日
荷兰警方表示，他们已获取被盗数据集，并将其纳入Checkjehack的查询范围。警方表示，攻击者已在其网站上公布被盗数据。之后
Odido的常见问题解答将受影响人数更新为约639万人，并表示，根据当局明确且一致的指导，它没有支付赎金。
- 可能包括（因人而异）
- 全名、地址和城市、手机号码、客户编号、电子邮箱地址、IBAN（银行账号）、出生日期、身份信息（护照或驾照号码及有效期）。后来的常见问题解答还列出了国籍和性别，并表示在有限情况下，与客服共享的其他信息也可能受到影响
- 未包括
- Mijn Odido密码、通话详情（你何时致电了谁）、位置数据、账单数据、身份证件扫描件。Odido表示，它不存储BSN（荷兰公民服务号码）
- “password_c”字段
- Odido表示，该名称的泄露字段是一个口令，用作电话通话中的额外安全问题，而非登录密码。得知口令被包含在内后，它已停止基于口令的电话验证
- 品牌
- Odido和Ben的客户受到影响；Simpel的客户未受影响。企业客户的终端用户信息未被泄露
- 原因（Odido的说法）
- 犯罪分子获取了客户联系系统的访问权限，并在未经授权的情况下下载了客户数据。Odido表示，攻击者冒充其IT员工联系客服
- Odido的应对措施
- 阻断了未经授权的访问，增加了安全措施，加强了监控，并提高了员工对网络钓鱼的防范意识。正在与外部专家合作，包括全面审查数据保留政策
如何理解：得知仅凭号码无法开立合同，并不等于安全
CMI表示，仅凭泄露的数据无法办理贷款或开设新的银行账户，因为还需要实体身份证件、DigiD（政府登录系统）或银行登录信息等额外核验。它还写道，无法保证每家公司都会始终要求这些核验。
因此，相比更换证件，检查账单并知道在哪里举报欺诈，才是更切实的防护方法。
为核实身份而收集的身份证号，可能从收集它的企业泄露
Odido解释说，你办理手机套餐时，它会核实你的身份并记录你的身份证件号码，以防止欺诈性合同。对于手机分期付款，它表示依法需要在信贷结束后最多保存该号码5年。
换言之，这些号码是为了防止欺诈而收集的。然而，一旦保存它们的机构发生泄露，数百万条号码会同时外泄。
日本的类似案例：Times Car（2026年9月）
- 驾照及其他身份证件的图像泄露（约160万份）
- 同一张图像上包含人脸照片、姓名和地址
- 在日本，信用机构的欺诈预警是主要防护手段
本次事件：Odido（2026年2月）
- 身份证号和有效期泄露（无图像）
- 有关部门表示，仅凭号码无法开立合同
- 防护重点在于核对账单，并对冒充者保持怀疑
一个可供比较的日本案例是Times Car数据泄露。Times Car泄露的是身份证图像，Odido泄露的是身份证号。严重程度有所不同，但在两起事件中，人们为证明身份而提供的信息都从其提供给的企业中泄露。
本站观点：提供身份证件的人可以限制提供的内容；企业可以避免保存号码
提供身份证件的个人控制力有限，但并非毫无作用。当你必须向他人提供身份证件复印件时，荷兰政府建议使用KopieID应用：涂掉BSN或照片，并在复印件上标注提供对象和用途，使泄露的复印件更难被用于其他用途。
对于收集者（服务运营方）而言，教训更为明确：
- 不要保存用于核验的号码；只记录已完成核验这一事实
- 对于法律要求保存的信息，在保存期限届满时自动删除
- 限制日常工作中能够查看身份证号的人员及数量，使其仅限于工作所需
Odido自己表示，受影响的大部分数据用于日常销售和客服工作，并且它正在对其数据保留政策和流程进行全面的严格审查。相关原则见企业最低安全基线。
对于今年另一起海外案例（问题在于有人知晓你的预订信息并与你联系），请参见Booking.com预订数据访问事件。
资料来源（公开记录）
本文事实基于以下公开信息。未采用攻击者的说法和未披露的数据。
- Odido，《Odido告知客户遭受网络攻击》（新闻稿，2026年2月12日）— newsroom.odido.nl
- Odido信息页面及常见问题解答（荷兰语和英语，当前版本）— odido.nl/veiligheid / odido.nl/veiligheid-eng
- Odido信息页面（英语，2026年2月23日更新版：涉及数据、四个通知版本、前客户数据保留、保存身份证号的原因；互联网档案馆存档）— web.archive.org
- NOS，《Hack bij Odido, gegevens miljoenen klanten in handen van criminelen》（2026年2月12日：发言人关于约620万个账户的表述，荷兰语）— nos.nl
- RvIG / 中央身份欺诈举报中心，《Datalek Odido veroorzaakt ongerustheid – CMI geeft advies》（荷兰语）— rvig.nl / CMI服务页面 — rvig.nl/cmi
- 荷兰警方，《Checkjehack aangevuld met Odido》（2026年3月2日，荷兰语）— politie.nl
- 荷兰银行协会（NVB），《Datalek Odido》（荷兰语）— nvb.nl
- 荷兰政府，身份欺诈与KopieID应用（荷兰语）— rijksoverheid.nl / KopieID
更新记录
2026-09-30：首次发布，基于Odido 2026年2月12日的披露和信息页面（2月23日版本及当前常见问题解答：约639万人受影响，新增国籍和性别，未支付赎金），以及CMI、警方和NVB的指导。
延伸阅读
- 另一起欧洲客户数据案例：ENGIE（法国，能源客户）
- 如果你的驾照数据泄露：驾照数据泄露后该怎么办
- 另一起欧洲案例：Basic-Fit（健身会员数据和银行账户）
- 日本的类似案例：Times Car数据泄露（驾照图像泄露）
- 冒充与诈骗：什么是网络钓鱼？ / 虚假病毒警告（技术支持诈骗）
- 保护你的账户：如何选择密码管理器 / 如何选择多因素认证
- 其他2026年事件：Booking.com预订数据访问事件 / 数据泄露和网络攻击事件一览（日本及全球）
- 面向运营方：企业最低安全基线