Wat de Odido-hack ons leert over de menselijke factor in cybersecurity

Een medewerker van Odido krijgt een telefoontje. Aan de andere kant van de lijn klinkt iemand die zich voordoet als IT-medewerker van de organisatie. Het verhaal klopt, de urgentie voelt echt en het vertrouwen wordt gewonnen. Kort daarna volgt een phishingactie die de aanval compleet maakt. Het gevolg: begin februari 2026 worden de gegevens van meer dan zes miljoen klanten buitgemaakt en later openbaar gemaakt.

De Odido-hack laat daarmee iets ongemakkelijks zien: cybersecurity wordt niet alleen beslist door firewalls, encryptie of beveiligingssoftware. Eén overtuigend gesprek kan genoeg zijn om een organisatie in beweging te krijgen. Want de grootste kwetsbaarheid zit vaak niet in de techniek, maar in de mens die ermee werkt.

Technologie lost een menselijk probleem niet op

De Odido-hack was geen aanval op een systeem. Het was een aanval op gedrag, opgebouwd in twee stappen: vermoedelijk eerst een telefoontje waarin iemand zich voordeed als collega, daarna phishing om de organisatie daadwerkelijk te misleiden. Precies die combinatie, vishing gevolgd door phishing, is een techniek die zo oud is als oplichting zelf: vertrouwen misbruiken en dat vervolgens verzilveren.

Social engineering werkt omdat mensen van nature willen helpen, snel willen handelen en autoriteit serieus nemen. Geen firewall filtert dat eruit. Geen patchcyclus repareert het. En toch investeren organisaties jaar na jaar het grootste deel van hun beveiligingsbudget in technische oplossingen, terwijl de menselijke kant onderbelicht blijft.

Dat is geen verwijt aan IT-afdelingen. Het is een structureel probleem in hoe we cybersecurity als discipline benaderen.

Het onderzoek: dichter bij huis dan gedacht

Het onderzoek naar de hack, geleid door het Landelijk Parket en uitgevoerd door Team High Tech Crime, loopt nog. Begin juli 2026 meldde de politie sterke aanwijzingen dat Nederlandse criminelen bij de hack betrokken zijn, onder meer op basis van het telefoongesprek met de klantenservice. De verwachting is dat het onderzoek nog maanden gaat duren.

Dat detail doet ertoe. Het beeld van cybercrime als iets dat uitsluitend van ver weg komt, van statelijke actoren of georganiseerde bendes in het buitenland, klopt niet altijd. Een overtuigend telefoontje kan van iedereen komen, en dat maakt de menselijke verdedigingslinie nog belangrijker.

NIS2 vraagt om meer dan een checklist

Intussen groeit de druk van buiten. De NIS2-richtlijn verplicht organisaties in kritieke sectoren om aantoonbaar grip te hebben op hun informatiebeveiliging, inclusief de menselijke component. Bewustzijnstraining, incidentresponsplannen, risicoanalyses van leveranciers en partners: het staat er allemaal in.

Maar NIS2-compliance is geen garantie dat een medewerker morgen een goed opgezette vishing- of phishingpoging herkent. Regels en awareness-trainingen helpen. Ze zijn echter geen vervanging voor de combinatie van technische controles én mensen die begrijpen wat ze doen en waarom.

Verschillende dreigingsanalyses, waaronder van ENISA, wijzen erop dat social engineering steeds vaker met AI-hulpmiddelen wordt opgeschaald, van geautomatiseerde phishingcampagnes tot realistischere telefoonscripts. De aanvalsmethoden worden geavanceerder. De verdediging moet dat ook worden.

Wat dit betekent voor IT-managers in de praktijk

Hier wordt het concreet. Als IT-manager of CTO bent u verantwoordelijk voor systemen, maar ook voor de mensen die de systemen bedienen. Dat vraagt om een andere manier van denken over risico.

Een paar praktische verschuivingen die het verschil maken:

• Verificatieprocessen moeten ongemakkelijk zijn. Als een medewerker twijfelt of een verzoek legitiem is, moet het makkelijker zijn om te verificeren dan om door te gaan. Dat klinkt logisch, maar in de praktijk winnen tijdsdruk en sociale druk het vaak van zorgvuldigheid.
• Toegangsrechten zijn geen administratieve kwestie. Als een medewerker in het dagelijkse werk toegang heeft tot meer data of systemen dan strikt nodig, vergroot dat de schade zodra een aanval slaagt, ongeacht hoe die aanval precies verloopt. Least-privilege is een principe, maar ook een cultuur.
• Incidentrespons is mensenwerk. Als het misgaat, heb je mensen nodig die weten wat ze moeten doen, wie ze moeten bellen en hoe ze escaleren zonder paniek. Die competentie zit niet in een handleiding. Die zit in ervaring.

Dat laatste punt is ook het moment waarop de samenstelling van uw IT-team ertoe doet. Een organisatie die in haar beveiligingscapaciteit afhankelijk is van één of twee interne specialisten heeft een risico dat geen technologie afdekt. Continuïteit, breedte en ervaring in het team zijn zelf een beveiligingsmaatregel.

De menselijke factor is beheersbaar, maar niet te automatiseren

Een sterke cybersecuritystrategie begint niet alleen bij technologie, maar bij de mensen die ermee werken. Organisaties die hun IT-capaciteit willen versterken, hebben daarom behoefte aan professionals die niet alleen systemen beheren, maar ook risico’s herkennen en verantwoordelijkheid nemen.

Linden-IT ondersteunt organisaties met IT-professionals en co-sourcingoplossingen die helpen om kennis, capaciteit en continuïteit binnen IT-teams te versterken.

Bekijk onze IT-detacheringsoplossingen of ontdek hoe co-sourcing kan helpen bij het opbouwen van een toekomstbestendige IT-organisatie.