跳至主要內容
ITD網站資安平台
ITD
搜尋

資安指南

#資料外洩#網路釣魚#身分驗證#事件應變#全球

Odido資料外洩事件（約639萬筆）：身分證號碼外洩時該怎麼做

荷蘭電信業者Odido於2026年2月公布約620萬筆帳戶遭外洩，包含IBAN及護照或駕照號碼。應如何因應。

發布於 2026-09-30 更新於 2026-10-04 最後核實 2026-09-30 閱讀時間 3 分鐘
本頁內容

適用對象：Odido及Ben現任與前任客戶，以及得知自己的身分證號碼外洩而感到擔憂的人。本文根據Odido的官方公告與常見問題，以及荷蘭中央身分詐欺通報中心（CMI）、荷蘭警方與荷蘭銀行協會的指引撰寫。本文不涉及攻擊手法。

客戶今天應該做什麼

1

利用您收到的通知類型，確認與您有關的外洩內容

Odido表示，已從info@mail.odido.nl寄送電子郵件給受影響的客戶，並向沒有電子郵件地址的客戶發送簡訊。電子郵件依涉及的資料有四個版本，因此您收到的版本會告訴您哪些資料外洩（見下方圖示）。

若收件匣與垃圾郵件資料夾都沒有相關郵件，Odido表示您可以認定自己未受影響。荷蘭警方的Checkjehack工具可讓您查詢自己的電子郵件地址是否出現在被竊取的資料集中。

2

掛斷自稱是Odido、銀行或政府的來電，再回撥

綜合外洩的欄位，冒充者就有可能令人信服地假冒Odido、銀行或政府機關。Odido的建議很具體：

  • 若有不明號碼來電，請詢問來電者的全名與該公司的總機號碼
  • 表示您想先核實，然後掛斷
  • 到公司官方網站查詢號碼，再自行撥打並要求轉接該員工

若想確認是否真的是Odido來電，可使用Odido應用程式中的「Check je Gesprek」，它會確認Odido當下是否正在撥打您的電話。絕對不要把密碼或PIN碼告訴任何人。

3

不要點開訊息中的連結，也不要理會要求更改密碼的要求

Odido表示，它絕不會發送要求您更改密碼的訊息。外洩資料中沒有密碼，因此任何以「因資料外洩，請在此重設密碼」為由、附帶連結的訊息都應該提高警覺。

也要留意假帳單；請在Mijn Odido中自行核對Odido帳單（參見什麼是網路釣魚？）。

4

定期檢查銀行對帳單，並退回您不認得的直接扣款

根據荷蘭銀行協會（NVB）的說法，帳號無法用來登入銀行應用程式或網路銀行。不過，它可能被濫用於未經授權的直接扣款（incasso）。

請定期檢查對帳單，並與銀行聯繫，確認您未曾申請的扣款或訂閱。NVB表示，透過銀行，直接扣款可在8週內無條件退回，未經授權的扣款則可在13個月內退回。

5

不要急著更換護照、駕照或帳號

Odido表示，根據目前資訊，不需要更換身分證件，此說法與CMI的建議一致（且Odido不會補償更換費用）。NVB同樣表示，對大多數人來說，不需要變更帳號。遵循第2至4步，比倉促更換證件更有幫助。

6

若實際發生詐欺：聯絡公司、警方、CMI

若您發現以您名義簽訂的合約或產生的費用並不認得，請依照荷蘭警方與CMI的指引處理：

  • 聯絡發生詐欺的公司
  • 提出警方報案（aangifte）
  • 向CMI（Centraal Meldpunt Identiteitsfraude）通報

CMI是政府服務機構，會為受害者提供建議與支援，並與警方及其他機關協調。

7

前任客戶：要求刪除您的資料

Odido表示，會將已轉往其他業者的客戶聯絡資料保留最長2年（自任何未付帳款或未結服務問題處理完畢時起算）。若您不再需要帳戶，可透過Odido網站上的表單要求刪除資料。

Odido也表示，已向受到騷擾來電困擾的客戶提供更換電話號碼的選項。

① 姓名與地址資料

→ 提防冒充Odido、銀行或機關的聯絡。掛斷後回撥

② 姓名／地址＋銀行資料（IBAN）

→ 同①，另外定期檢查對帳單上的直接扣款

③ 姓名／地址＋身分證號碼

→ 同①，另外對引用您身分證號碼來證明可信度的聯絡保持懷疑

④ 姓名／地址＋身分證號碼＋銀行資料

→ 包含①至③的所有注意事項。若發生詐欺：聯絡公司、警方、CMI

所有版本均不包含：密碼、通話紀錄、位置資料或證件掃描檔（依Odido說明）

Odido寄出四個版本的通知電子郵件。您收到的版本，決定了哪些資料外洩，以及應特別提防哪些聯絡方式（版本內容依Odido的說明）。

發生了什麼事（依Odido與荷蘭主管機關）

以下內容取自Odido的新聞稿、資訊頁面與常見問題，以及荷蘭警方與CMI的公開資訊。

  1. 2026年2月5–6日

    Odido表示，當時遭到網路攻擊。

  2. 2月7–8日（週末）

    Odido接獲資料外洩的最初徵兆，並與內部及外部專家展開調查。

  3. 2月12日

    Odido公布此次外洩事件，表示已終止未經授權的存取，並已向荷蘭資料保護局（AP）通報。它表示，通知所有人可能需要最長48小時。其發言人向NOS表示，涉及約620萬筆帳戶。

  4. 2月

    CMI在RvIG（荷蘭政府身分資料機關）網站上公布建議，說明外洩資料可以做什麼、不能做什麼。

  5. 3月1–2日

    荷蘭警方表示已取得被竊取的資料集，並將其納入Checkjehack供查詢。警方表示，攻擊者已將被竊取的資料公布於其網站上。

  6. 之後

    Odido的常見問題將受影響人數更新為約639萬人，並表示，依循主管機關明確且一致的指引，它並未支付贖金。
~620萬
發言人於公布時提及的帳戶數
~639萬
後來常見問題所載的受影響人數（Odido及Ben現任與前任客戶）
4
通知電子郵件的版本數，依外洩資料組合而定
未包含
密碼、通話紀錄、位置資料、證件掃描檔
外洩與未外洩的資料（依Odido說明）
可能包含（因人而異）
全名、地址與城市、手機號碼、客戶編號、電子郵件地址、IBAN（銀行帳號）、出生日期、身分證件資訊（護照或駕照號碼及有效期限）。後來的常見問題也列出國籍與性別，並表示在有限情況下，與客服分享的其他資訊也可能受影響
未包含
Mijn Odido密碼、通話明細（您何時撥打給誰）、位置資料、帳單資料、身分證件掃描檔。Odido表示，它不儲存BSN（荷蘭公民服務號碼）
「password_c」欄位
Odido表示，該名稱的外洩欄位是一個暗號，用於電話通話時的額外安全提問，並非登入密碼。在得知暗號也包含在內後，它已停止以此為基礎的電話驗證
品牌
Odido與Ben的客戶受影響；Simpel的客戶未受影響。企業客戶的終端使用者資料未外洩
原因（依Odido說明）
犯罪者取得了客戶聯絡系統的存取權，並未經授權下載客戶資料。Odido表示，攻擊者冒充其資訊科技人員與客服聯絡
Odido的因應措施
已阻斷未經授權的存取、加強安全措施、擴大監控，並提高員工對網路釣魚的警覺。並與外部專家合作，包括全面檢視資料保存政策

如何解讀：得知單靠號碼無法開立合約，並不代表安全

CMI表示，外洩資料本身無法用於申辦貸款或開立新的銀行帳戶，因為仍需要實體身分證件、DigiD（政府登入服務）或銀行登入資料等額外核驗。它也寫道，無法保證每家公司都一定會要求這些核驗。

因此，檢查對帳單並知道去哪裡通報詐欺，比更換證件更具實際防護效果。

為核實身分而收集的身分證號碼，可能從收集者那裡外洩

Odido說明，您申辦行動門號時，它會核實您的身分並記錄身分證件號碼，以防止偽造合約。至於分期購買手機，它表示依法必須在信用合約結束後最長5年內保存該號碼。

換句話說，這些號碼是為了防止詐欺而收集的。然而，當保存這些號碼的地方外洩時，數百萬筆資料會一次流出。

日本的對照案例：Times Car（2026年9月）

  • 駕照等身分證件的影像外洩（約160萬筆）
  • 同一張影像中包含臉部照片、姓名與地址
  • 在日本，信用機構的詐欺警示是主要防護方式

本次事件：Odido（2026年2月）

  • 身分證號碼與有效期限外洩（無影像）
  • 主管機關表示，單靠號碼無法開立合約
  • 防護重點在於檢查對帳單，並對冒充者保持懷疑

一個可比較的日本案例是Times Car的外洩事件。Times Car外洩的是身分證影像，Odido外洩的是身分證號碼。嚴重程度不同，但在兩個案例中，人們為證明身分而交出的資訊，都從他們交付的企業外洩。

本站看法：交出身分證件的人可以限制提供的內容；企業則可以避免保存號碼

交出身分證件的人能控制的範圍有限，但並非完全無能為力。荷蘭政府建議，若必須提供身分證影本給他人，可使用KopieID應用程式：劃掉BSN或照片，並在影本上浮水印註明提供對象與用途，讓外洩的影本較難被挪作他用。

對於收集資料的一方（服務業者），教訓更加明確：

  • 不要保存用於核驗的號碼；只記錄核驗已完成
  • 法律要求保存的資料，應在保存期限結束時自動刪除
  • 限制日常工作中可以查看身分證號碼的人員與數量，僅限工作所需

Odido本身表示，受影響的資料大多用於日常銷售與客服工作，並且正在對其資料保存政策與流程進行全面且嚴格的檢視。相關原則可參閱組織最低安全基準。

若想了解今年另一起海外案例，其問題在於有人知道您的訂房資訊後主動聯繫您，請參閱Booking.com訂房資料存取事件。

資料來源（公開紀錄）

本文事實根據以下公開資訊。未採用攻擊者的說法與未公開的數字。

  • Odido，「Odido informs customers of cyber attack」（新聞稿，2026年2月12日）— newsroom.odido.nl
  • Odido資訊頁面與常見問題（荷蘭文與英文，現行版本）— odido.nl/veiligheid / odido.nl/veiligheid-eng
  • Odido資訊頁面（英文，2026年2月23日更新版：涉及資料、四種通知版本、前任客戶資料保存、保存身分證號碼的原因；Internet Archive存檔）— web.archive.org
  • NOS，「Hack bij Odido, gegevens miljoenen klanten in handen van criminelen」（2026年2月12日：發言人談約620萬筆帳戶，荷蘭文）— nos.nl
  • RvIG／Centraal Meldpunt Identiteitsfraude，「Datalek Odido veroorzaakt ongerustheid – CMI geeft advies」（荷蘭文）— rvig.nl / CMI服務頁面 — rvig.nl/cmi
  • 荷蘭警方，「Checkjehack aangevuld met Odido」（2026年3月2日，荷蘭文）— politie.nl
  • 荷蘭銀行協會（NVB），「Datalek Odido」（荷蘭文）— nvb.nl
  • 荷蘭政府，身分詐欺與KopieID應用程式（荷蘭文）— rijksoverheid.nl / KopieID

更新紀錄

2026-09-30：首版，依據Odido 2026年2月12日的公告與資訊頁面（2月23日版本及目前的常見問題：約639萬人受影響，新增國籍與性別，未支付贖金），以及CMI、警方與NVB的指引撰寫。

延伸閱讀

FAQ

QOdido資料外洩事件中外洩了什麼？
A

根據Odido的說法，資料因人而異，可能包括全名、地址與城市、手機號碼、客戶編號、電子郵件地址、IBAN（銀行帳號）、出生日期，以及身分證件資訊（護照或駕照號碼及有效期限）。Odido後來更新的常見問題還列出國籍與性別。Mijn Odido密碼、通話明細、位置資料、帳單資料及身分證件掃描檔並未包括在內。

Q有多少人受到影響？
A

2026年2月12日公布時，Odido發言人向荷蘭廣播公司NOS表示，犯罪者已能存取一份包含約620萬筆帳戶資料的檔案。Odido後來的常見問題則指出，約639萬人受影響（Odido及Ben的現任及前任客戶）；大多數人已在第一輪通知中收到通知，少數人則是之後才收到通知。

Q我應該更換護照或駕照嗎？
A

Odido表示，根據目前資訊，不需要更換身分證件，並依循荷蘭政府中央身分詐欺通報中心（CMI）的建議。CMI表示，僅憑這些資料無法申辦貸款、開立銀行帳戶、簽訂電話合約或申請新的身分證件；仍需實體證件、DigiD或銀行登入資料等額外核驗。CMI也表示，無法保證每家公司都一定會要求這些核驗。

Q我的IBAN外洩了，要更換銀行帳戶嗎？
A

荷蘭銀行協會（NVB）表示，帳號無法用來登入銀行應用程式或網路銀行，對大多數人來說，不需要更換帳號。但它提醒要留意未經授權的直接扣款（incasso）：請定期檢查對帳單。透過銀行，直接扣款可在8週內無條件退回，未經授權的扣款則可在13個月內退回。

Q我怎麼知道自己是否受影響？
A

Odido表示，已從info@mail.odido.nl寄送電子郵件給受影響的客戶，並向沒有電子郵件地址的客戶發送簡訊。請檢查垃圾郵件資料夾；若都沒有，Odido表示可以認定您未受影響。電子郵件依涉及的資料有四個版本。自2026年3月起，荷蘭警方的Checkjehack工具也能讓您查詢自己的電子郵件地址是否在被竊取的資料集中。

Q如果我遭遇身分詐欺該怎麼辦？
A

依照荷蘭警方與CMI的指引：聯絡發生詐欺的公司、提出警方報案（aangifte），並向CMI通報。CMI會為受害者提供建議與支援，並與警方、RDW（車輛與駕照登記機關）及稅務機關等合作單位協調。

Q事件是怎麼發生的？
A

Odido表示，犯罪者取得了其客戶聯絡系統的存取權，並未經授權下載客戶資料。其後來的常見問題指出，攻擊者冒充Odido資訊科技人員與客服聯絡。Odido表示已與外部專家合作，並實施額外的安全措施。