Had ItsSafe de mega hack bij Odido kunnen voorkomen?

DEN HAAG / UTRECHT – Terwijl de nasleep van het enorme datalek bij telecomprovider Odido voortduurt, rijst bij cybersecurity-experts de vraag: hoe kon een systeem met 6,2 miljoen klantgegevens toegankelijk zijn via slechts één gecompromitteerd medewerkersaccount? Volgens beveiligingsdeskundigen had het gebruik van ‘ItsSafe’-identificatie dit incident in de kern kunnen smoren.

Het onderzoek naar de hack van 7 februari jongstleden bevestigt dat aanvallers binnendrongen via het klantcontactsysteem. De aanvalsmethode – waarschijnlijk een gerichte phishing-actie of een session hijack – maakte misbruik van de zwakste schakel in de keten: de digitale identiteit van een medewerker.

De zwakte van de huidige barrière

In de huidige opzet van veel grote bedrijven, waaronder Odido, leunt de beveiliging vaak op traditionele inlogmethoden (gebruikersnaam/wachtwoord) gecombineerd met Multi-Factor Authenticatie (MFA) zoals een sms-code of een authenticator-app. “Hoewel dit veiliger is dan niets, zijn deze methoden nog steeds vatbaar voor diefstal,” aldus een onafhankelijk security-analist. “Bij een session hijack steelt de hacker de ‘digitale toegangssleutel’ nadat de medewerker al is ingelogd. De hacker loopt dan simpelweg de openstaande deur binnen.”

Hoe ItsSafe het scenario had veranderd

Als Odido gebruik had gemaakt van de ItsSafe-identificatietechnologie, gebaseerd op Zero-Knowledge Biometrics, was de hack volgens experts vrijwel onmogelijk geweest. De beveiliging werkt bij ItsSafe fundamenteel anders op drie cruciale punten:

1. Geen centraal opgeslagen wachtwoorden: ItsSafe werkt niet met wachtwoorden die gestolen kunnen worden. De toegang is cryptografisch gekoppeld aan de unieke biometrische kenmerken van de medewerker zelf. Zelfs als een hacker de inloggegevens van een medewerker in handen krijgt, heeft hij niets aan deze data zonder de fysieke, biometrische aanwezigheid van die specifieke persoon.
2. Onmogelijkheid van Phishing: Een medewerker kan niet per ongeluk zijn ‘biometrische sleutel’ weggeven aan een nepwebsite. Omdat ItsSafe gebruikmaakt van gedecentraliseerde identificatie, verlaat de biometrische data nooit het toestel van de medewerker. Er valt voor een hacker simpelweg niets te vissen.
3. Preventie van Session Hijacking: Waar traditionele systemen een sessie ‘vertrouwen’ zolang de browser openstaat, kan ItsSafe ingesteld worden op continue of frequente verificatie. Zodra de actieve sessie van de medewerker wordt overgenomen door een vreemd IP-adres of een onbekend apparaat, blokkeert het systeem direct. De hacker zou dan opnieuw de biometrische verificatie van de rechtmatige medewerker moeten doorlopen – een onmogelijke barrière voor een aanvaller op afstand.

De les voor de toekomst

De Odido hack legt een pijnlijk pijnpunt bloot in de Nederlandse telecomsector: het centraal opslaan van miljoenen klantgegevens in systemen die uiteindelijk afhankelijk zijn van de kwetsbaarheid van menselijke accounts.

ItsSafe biedt geen pleister op de wond, maar een volledig nieuwe huid,” besluit de expert. “Door de identificatie los te koppelen van centrale databases en te verankeren in de persoon zelf, transformeer je het klantcontactsysteem van een glazen huis naar een onneembare kluis. Voor bedrijven die de data van miljoenen burgers beheren, is de overstap naar dit soort Zero-Knowledge technologie niet langer een luxe, maar een bittere noodzaak.

Veelgestelde vragen over de Odido-hack en ItsSafe

Hoe zijn de hackers bij Odido binnengekomen? De hackers kregen toegang tot de gegevens van 6,2 miljoen klanten via een medewerkersaccount van het klantcontactsysteem. Dit gebeurde waarschijnlijk via een gerichte phishing-aanval of session hijacking, waarbij een crimineel een actieve, legitieme inlogsessie van een medewerker overneemt.

Welke gegevens zijn er precies buitgemaakt bij Odido? Er zijn namen, adressen, telefoonnummers, e-mailadressen, IBAN-nummers en de nummers van paspoorten of rijbewijzen gestolen. Er zijn géén wachtwoorden, belgegevens of foto’s/scans van identiteitsbewijzen buitgemaakt.

Waarom is traditionele MFA (zoals sms of apps) niet genoeg? Hoewel Multi-Factor Authenticatie veiliger is dan alleen een wachtwoord, zijn sms-codes en apps nog steeds gevoelig voor phishing. Bovendien biedt traditionele MFA vaak geen bescherming tegen session hijacking: zodra een medewerker is ingelogd, kan een hacker de actieve verbinding stelen zonder dat er opnieuw om een code wordt gevraagd.

Hoe had ItsSafe deze hack kunnen voorkomen? ItsSafe maakt gebruik van Zero-Knowledge Biometrics, waarbij toegang onlosmakelijk is verbonden aan de fysieke aanwezigheid van de medewerker. Omdat er geen wachtwoorden worden gebruikt, valt er niets te phishen. Daarnaast kan ItsSafe de toegang blokkeren zodra een sessie door een ander apparaat of vanaf een andere locatie wordt overgenomen.

Zijn de gegevens van oud-klanten van Odido, Ben en Simpel ook gestolen? Ja, uit de berichtgeving blijkt dat ook gegevens van oud-klanten die tot vijf jaar geleden een abonnement hadden bij Odido (of de voorlopers daarvan) zijn getroffen door dit datalek.

#OdidoHack #Datalek #CyberSecurity #ItsSafe #ZeroKnowledge #PrivacyByDesign #PhishingPreventie #TelecomNews