De politie heeft een ongebruikelijk opsporingsmiddel ingezet in het onderzoek naar de grote datadiefstal bij Odido: de echte stem van een verdachte. In Opsporing Verzocht was een fragment te horen van de Nederlandssprekende man die een medewerker van de telecomprovider telefonisch overtuigde dat hij een collega van de IT-afdeling was.
Volgens de politie draaide de aanval niet om een technisch lek waarmee hackers rechtstreeks een server binnendrongen. De verdachte gebruikte social engineering. Hij belde de klantenservice, sprak in geloofwaardige interne termen en vertelde dat een probleem moest worden opgelost. Daardoor kreeg de medewerker de indruk dat er daadwerkelijk een IT-collega aan de lijn was.
Vervolgens stuurde de beller de medewerker naar een nagebouwde inlogpagina van Odido. Daar werden gebruikersnaam en wachtwoord ingevuld. Ook een extra verificatiecode werd doorgegeven. Daarmee kregen de aanvallers toegang tot interne systemen.
Het incident laat zien waarom moderne cyberbeveiliging niet alleen uit software, firewalls en tweestapsverificatie bestaat. De extra verificatiestap was aanwezig, maar de aanvaller wist een medewerker zover te krijgen die stap voor hem uit te voeren. Wanneer een mens overtuigd raakt dat een verzoek legitiem is, kan ook een technisch sterke beveiligingslaag worden omzeild.
De gevolgen waren groot. Gegevens van meer dan zes miljoen klanten kwamen in handen van een criminele hacker- en afpersingsgroep. De daders vroegen Odido om losgeld. Het telecombedrijf weigerde te betalen, waarna de gestolen gegevens volgens de politie op het darkweb werden geplaatst. De zaak geldt als een van de grootste datadiefstallen uit de Nederlandse geschiedenis.
De politie beschikt over een opname van het gesprek en heeft die nu openbaar gemaakt omdat een eerdere oproep aan de verdachte om zich te melden niets opleverde. Een stemdeskundige concludeerde volgens de politie dat het om een echte menselijke stem gaat en niet om een met kunstmatige intelligentie gegenereerde stem.
In het opsporingsbericht noemt de politie enkele kenmerken die bekenden mogelijk kunnen herkennen. De man spreekt Nederlands, lijkt kennis van ICT te hebben, gebruikt specifiek Engelstalig jargon en gebruikt het stopwoordje ‘hoor’. Dat soort details is juist bij een stemoproep belangrijker dan een algemeen signalement, omdat er geen publiek beeld van de verdachte beschikbaar is.
De stap via Opsporing Verzocht richt zich daarom op mensen die de manier van praten, de klanken of het vakjargon herkennen. De politie hoopt dat familie, vrienden, collega’s of voormalige collega’s de stem kunnen koppelen aan een persoon.
Voor organisaties is de zaak tegelijk een les in de kwetsbaarheid van helpdesks. Een aanvaller hoeft niet alle technische beveiliging zelf te breken als hij iemand binnen de organisatie kan overtuigen om inloggegevens en verificatiecodes in te voeren. Training, interne verificatieprocedures en de mogelijkheid om een verdacht verzoek snel via een tweede kanaal te controleren zijn daarom net zo belangrijk als technische maatregelen.
De identiteit van de beller is nog niet vastgesteld in het openbare onderzoek. De volgende stap hangt af van tips die na de uitzending en publicatie van de stem binnenkomen en van het verdere rechercheonderzoek naar de groep achter de hack.