Al jaren berucht en gevreesd: dit zijn Shinyhunters, de Odido-hackers
Bij de hack van Odido zijn volgens het telecombedrijf de privégegevens van 6,2 miljoen klanten buitgemaakt. Niet alleen namen, woonadressen, e-mails en telefoonnummers, maar ook de voor criminelen zeer interessante IBAN's en identificatiegegevens. Dat is in Nederland op zo'n grote schaal nog nooit voorgekomen.
De groep achter de hack is Shinyhunters, meldde RTL Nieuws eerder deze week. De groep is zo'n zes jaar actief onder deze naam, vertelt één van de leden via een beveiligde chat-app. Shinyhunters eist een 'bedrag van zeven cijfers' - minstens een miljoen euro - van Odido, maar is 'bereid om te onderhandelen' met Odido.
Odido wil op verschillende vragen van RTL Nieuws niet reageren zolang het onderzoek naar de hack nog loopt.
Het contact met Shinyhunters
RTL Nieuws heeft al langer contact met Shinyhunters - ook over andere hacks - via een beveiligde chat-app, en heeft geverifieerd dat degene met wie we contact hebben onderdeel is van de groep hackers.
Shinyhunters zegt zelf achter de hack bij Odido te zitten, en heeft daarvoor ook bewijs aangeleverd dat door RTL Nieuws is geverifieerd.
Van Microsoft naar Pornhub
Odido is lang niet de grootste hack van Shinyhunters. In 2020 kregen de hackers toegang tot de privégegevens van 91 miljoen mensen die klant zijn bij Tokopedia. Dat bedrijf is eigenaar van de populairste app van Indonesië: Gojek, waarmee je taxiritten en eten bestelt. In datzelfde jaar hackt de groep ook techgigant Microsoft, waarmee ze zich op de internationale cybercriminele kaart zetten.
In Nederland kennen we Shinyhunters vooral door de hacks op Ticketmaster (2024) en recentelijk Pornhub (2025), waarbij de gegevens van 1,5 miljoen Nederlandse accounts zijn buitgemaakt. Deze data zijn nooit online gekomen. Op de vraag of Pornhub heeft betaald, wil Shinyhunters geen antwoord geven. Maar in het algemeen betekent het niet lekken van data dat een bedrijf heeft betaald. Pornhub reageerde niet op vragen van RTL Nieuws.
Gegevens 1,5 miljoen Nederlandse accounts gestolen bij Pornhub-hack
Kleine groep hackers
Shinyhunters is een relatief kleine groep. Bronnen die bekend zijn met de groep zeggen dat de kern uit maar enkele personen bestaat die uit onder andere Canada en Frankrijk zouden komen. Ze hacken regelmatig bedrijven die diensten verlenen aan tal van andere bedrijven, waardoor ze in één klap toegang krijgen tot verschillende organisaties.
Dat hiermee niet alleen Odido, maar ook doorsnee consumenten het slachtoffer kunnen worden van cybercriminelen, noemt de hackersgroep 'de schuld van Odido'. Shinyhunters zegt zelf van één sector af te blijven: de zorg: "Wij hacken geen ziekenhuizen en andere zorginstellingen."
In 2022 werd een lid van Shinyhunters gearresteerd in Marokko: de toen 22-jarige Fransman en IT-student Sébastien Raoult. Hij is veroordeeld voor het bouwen van phishingwebsites waarmee bedrijven werden gehackt. Raoult kreeg drie jaar celstraf en moest 5 miljoen dollar schadevergoeding betalen. Raoult reageerde niet op vragen van RTL Nieuws.
Ook in de zomer van vorig jaar werden een aantal verdachten gearresteerd die gelieerd zouden zijn aan Shinyhunters en worden verdacht van het hacken van bedrijven en witwassen. Zij wachten nog op hun rechtszaak, maar de groep bleef net zo actief doorgaan als voorheen.
Gehackt met AI-stemmen
De laatste jaren hackt de groep bedrijven met zogeheten vishing, een vorm van telefonische oplichting. Dat gebeurde ook bij Odido, zo berichtte de NOS eerder. Shinyhunters deed zich telefonisch voor als de IT-afdeling en hackte op die manier de accounts van klantenservicemedewerkers. Daarvoor gebruikte ze met AI gegeneerde stemmen: "Mensen zijn de zwakste schakel. Je hoeft alleen maar charmant en overtuigend over te komen."
Door het hacken van de accounts van klantenservicemedewerkers kreeg Shinyhunters naar eigen zeggen toegang tot de privégegevens van 8 miljoen Odido-klanten - meer dan Odido zelf communiceert. "We zijn goed in het binnenhalen van veel data, bedrijven hebben vaak geen goede detectie hiervoor. En Salesforce [het systeen dat Odido gebruikt voor hun klanten en waar Shinyhunters vaak op inbreekt, red.] is ook gewoon slecht."
De gegevens die bij Odido zijn gelekt, zijn erg gevoelig. En daar weten criminelen wel raad mee, legt techjournalist Daniël Verlaan uit in deze video.
Tientallen miljoenen
De grote vraag is: als een bedrijf betaalt, wordt de data dan echt door Shinyhunters verwijderd? Die kans is volgens cybersecurity-expert Floris de Koning, die gehackte bedrijven helpt en eerder onderhandelde met Shinyhunters, groot. "Ze hebben altijd hun woord gehouden, dat is heel belangrijk in de digitale onderwereld."
Shinyhunters ziet zichzelf als een bedrijf en wil 'succesvol' zijn. "Het verbreken van onze beloftes en afspraken schaadt ons bedrijf." Maar als er niet wordt betaald, dan gaan de criminelen over tot publicatie, zeggen ze - ook om een signaal af te geven aan toekomstige gehackte bedrijven. "We hebben ook onze reputatie hoog te houden."
