Bericht van Søren, CEO
Op 5 en 6 februari waren we doelwit van een cyberaanval van de criminele organisatie ShinyHunters. Het spijt mij zeer dat dit is gebeurd. Ik besef dat dit incident zorgen en onzekerheid heeft veroorzaakt bij iedereen die hierdoor is geraakt.
We kunnen de gebeurtenissen van de afgelopen maanden niet veranderen. Wel hebben we invloed op hoe we onze klanten in de toekomst beschermen – zowel consumenten als zakelijke klanten – door onze beveiliging verder te versterken tegen een cyberdreiging die zich steeds blijft ontwikkelen.
Daarom maak ik namens onze hele organisatie 4 duidelijke toezeggingen:
- We beloven te blijven investeren in onze organisatie, zodat onze beveiliging bestand is tegen de toenemende complexiteit van cyberdreigingen.
- We blijven onze klanten extra ondersteunen, onder andere met kosteloze toegang tot de digitale beveiligingsdienst F-Secure.
- We beloven te blijven investeren in onze aanpak voor databeveiliging en het bewaren van gegevens.
- We beloven lessen te trekken uit deze ervaring. Dat betekent dat we open met klanten communiceren, in goede en slechte tijden. Daarnaast zullen we onze lessen transparant delen om bescherming te bieden tegen nieuwe dreigingen van cybercriminelen.
Dank je wel voor je aandacht en je geduld. Ik weet dat er nog meer nodig is om zorgen weg te nemen, ons als organisatie te verbeteren en het vertrouwen terug te winnen.
We staan aan het begin van dit traject. De stappen die ik beschrijf zijn slechts een deel van de vele stappen die we hebben gezet om Ben een veiligere, weerbaardere plek te maken voor jou en je gegevens. Dat beloof ik.
Søren Abildgaard
CEO
Extra bescherming voor jou - kosteloos
We willen je helpen. Daarom bieden we je extra online bescherming.
Je kan kosteloos het digitale veiligheidspakket van F-Secure activeren voor de duur van 24 maanden. Daarmee bescherm je je telefoon, tablet en computer extra tegen virussen, phishing en andere online dreigingen. Je activeert bij F-Secure het pakket met een vouchercode.
Deze veelgestelde vragen kunnen aangevuld worden. Heb je nieuwe vragen, bekijk dan eerst informatiepagina om te zien of er nieuwe informatie beschikbaar is voordat je contact met ons opneemt.
Wat is er gebeurd?
De aanvaller nam contact op met ons Odido Service team en deed zich voor als medewerker van onze IT-afdeling. De eerste vishingaanval vond plaats op 5 februari, gevolgd door een tweede aanval op 6 februari. In beide gevallen herkende ons team de ongeautoriseerde toegang, onderzocht het incident en trok het de toegang van de aanvaller definitief in. Dit soort phishingaanvallen komt vaker voor en onze medewerkers zijn getraind om ze te herkennen. Maar de specifieke aanval die leidde tot het buitmaken van data, was zeer geavanceerd. Omdat Ben onderdeel is van Odido, is ook Ben getroffen door de aanval.
Een cybercriminele groep die bekendstaat als ShinyHunters.
Onze teams werkten nauw samen met externe cyberexperts om de volledige omvang van het incident en de geraakte gegevens vast te stellen. We hebben contact opgenomen met alle klanten van wie we hebben vastgesteld dat ze zijn geraakt.
Ja, al onze diensten zijn volledig beschikbaar gebleven en zijn niet geraakt door de cyberaanval. Klanten kunnen veilig blijven bellen en internetten.
Klanten van Simpel zijn niet geraakt.
In totaal zijn circa 6,39 miljoen personen geraakt door de cyberaanval. Binnen enkele dagen na bevestiging van het datalek informeerden we in een eerste melding het overgrote deel van hen per e mail of sms. Dit betrof zowel actieve als inactieve klanten van Odido en Ben. Verdere analyse in de weken na de aanval liet zien dat aanvullende meldingen nodig waren voor een beperkte groep klanten die nog niet was bereikt.
We hebben contact opgenomen met alle klanten van wie we hebben vastgesteld dat ze zijn geraakt per e‑mail of sms. Daarnaast hebben we klanten informatie gegeven via een speciale informatiepagina en via onze service agents en retailorganisatie.
Een van de belangrijkste lessen die we hebben geleerd, is hoe moeilijk het kan zijn voor een organisatie, zeker van onze omvang, om een volledig onderzoek uit te voeren naar de gegevens die door een cyberaanval zijn geraakt.
Daardoor was het een uitdaging om snelheid en nauwkeurigheid in onze communicatie steeds goed in balans te houden. We wilden snel duidelijkheid geven en informeerden daarom miljoenen klanten binnen enkele dagen dat hun gegevens waren getroffen. Naarmate ons onderzoek vorderde en er meer gedetailleerde bevindingen beschikbaar kwamen, hebben we klanten voorzien van bijgewerkte informatie om ervoor te zorgen dat zij een zo accuraat en volledig mogelijk beeld hadden.
In de afgelopen maanden hebben we ons Service-team opgeschaald met meer dan 140 extra collega’s om vragen van klanten te beantwoorden en hen verder te helpen. Daarnaast boden we klanten praktische beschermingsmogelijkheden, zoals de optie om hun telefoonnummer te wijzigen, om hen beter te beschermen tegen dreigingen. In de komende maanden blijven we extra beveiligingsmaatregelen aanbieden voor klanten, waaronder toegang tot de digitale beveiligingsdienst F‑Secure.
De geraakte gegevens
De getroffen gegevens verschillen per persoon. Het kan gaan om naam, adres, mobiel nummer, klantnummer, e-mailadres en IBAN-nummer, geboortedatum, identificatiegegevens, nationaliteit en geslacht. Het ging nadrukkelijk niet om wachtwoorden van Ik Ben, gespreksgegevens, locatiegegevens, factuurinformatie of scans van identiteitsbewijzen.
In beperkte gevallen kan ook aanvullende informatie die je hebt gedeeld met onze klantenservicemedewerkers zijn geraakt. Heb je vragen over jouw specifieke situatie? Dan kan je een verzoek tot inzage doen.
Nee, dat klopt niet. We benadrukken dat er geen wachtwoorden van Ik Ben of andere inlogsystemen zijn gelekt. De wachtwoorden die klanten gebruiken om in te loggen, worden versleuteld opgeslagen en zijn nooit toegankelijk geweest. Je Ik Ben‑account is veilig.
Wat wel is gelekt, is een veld uit het Odido-klantcontactsysteem met de naam ‘password_c’. Ondanks de naam is dit geen wachtwoord, maar een zogenoemd controlewoord of codewoord. Dit werd gebruikt als extra verificatievraag wanneer een klant ons telefonisch benaderde. Dit controlewoord geeft geen toegang tot accounts, diensten of persoonsgegevens en staat volledig los van inlogsystemen.
Dit aanvullende controlewoord was geregistreerd voor een beperkte groep klanten. Zodra we hoorden dat deze woorden onderdeel waren van het datalek, is telefonische verificatie op basis hiervan meteen stopgezet.
De Nederlandse Vereniging van Banken (NVB) heeft benadrukt dat het niet mogelijk is om in te loggen op je bankomgeving met alleen een bankrekeningnummer, zoals in je bankapp of bij internetbankieren. Daarom is het volgens ons niet nodig om je bankrekeningnummer te wijzigen. Je kan het advies van de NVB hier bekijken: https://www.nvb.nl/nieuws/datalek-odido/
We weten dat klanten willen nagaan welke gegevens van hen zijn gelekt. Klanten kunnen dit checken via de website Check je hack of de F Secure-service.
Het merendeel van de geraakte gegevens werden gebruikt als onderdeel van onze dagelijkse werkzaamheden, zodat verkoop- en Ben Service-teams hun werk kunnen doen. Andere delen van de getroffen gegevens werden bewaard in overeenstemming met de gebruikelijke bewaartermijnen. We voeren een grondige herbeoordeling uit van ons beleid en onze processen voor gegevensbewaring.
Ben heeft een vast proces voor verzoeken om klantgegevens te verwijderen. Dit wordt uitgevoerd door een gespecialiseerd team en bevat ook een identiteitscheck om je gegevens te beschermen. We vragen je om je verzoek in te dienen via het formulier op onze website: ben.nl/privacy.
Op basis van duidelijke en consistente adviezen van autoriteiten hebben we geen losgeld betaald. We wisten dat dit kon betekenen dat gestolen gegevens openbaar zouden worden gemaakt. Toch was er uiteindelijk geen andere verantwoorde keuze. We zijn er sterk van overtuigd dat criminele organisaties niet beloond mogen worden voor illegale activiteiten. Het betalen van losgeld kan andere Nederlandse bedrijven juist tot doelwit maken.
We beseffen de impact van deze beslissing en van dit incident op al onze klanten. Onze focus lag toen, en ligt nog steeds, op het ondersteunen van iedereen die is geraakt.
Veilig blijven na een cyberaanval
Nee. Ben stuurt nooit berichten met het verzoek om je wachtwoord te wijzigen. Blijf alert. Vertrouw je een bericht niet? Doe dan niets. Ga voor tips over phishing naar ben.nl/phishing.
We bieden klanten praktische beschermingsmogelijkheden, zoals het wijzigen van hun telefoonnummer en gratis toegang tot de digitale beveiligingsdienst F-Secure, om apparaten te beschermen tegen phishing, malware en andere online dreigingen.
Je krijgt 24 maanden gratis toegang tot de digitale beveiligingsdienst F-Secure. Stuur vóór 31 augustus 2026 een sms met VOUCHER naar 1935 om de 24 maanden te activeren.
Hoe we verdergaan
We werken in de eerste plaats nauw samen met externe cyberexperts om onze beveiliging te versterken. We hebben al extra beveiligingsmaatregelen doorgevoerd en we hebben een taskforce opgezet om ons volledige IT-landschap te beoordelen. We zetten alle maatregelen door die uit deze beoordeling naar voren komen.
We voeren ook extra trainingsprogramma’s in, waaronder e-learning over cybersecurity, zodat onze mensen een sterkere eerste verdedigingslinie zijn tegen cyberdreigingen.
Cruciaal is dat we ons databeheer hebben versterkt door extra externe expertise en capaciteit toe te voegen. Naar aanleiding van dit incident voeren we een grondige herbeoordeling uit van ons beleid en onze processen voor gegevensbewaring.
Om veiligheidsredenen kunnen we niet precies delen welke maatregelen we nemen om onze systemen verder te versterken en te beschermen.
We begrijpen dat je nog vragen kan hebben. Staan je vragen niet op deze pagina? Neem dan contact met ons op: