Weblog | Sijmen Ruwhof

Samenvatting

De vraag of Odido afpersgeld had moeten betalen is geen principiële zwart-witkwestie, maar een complexe risico- en schadeafweging. Daarbij botsen twee perspectieven: het beperken van directe schade voor miljoenen betrokkenen op korte termijn, en het voorkomen dat cyberafpersing als verdienmodel wordt versterkt op lange termijn.

In dit artikel worden de belangrijkste belangen, risico’s en argumenten geanalyseerd vanuit vier perspectieven: de organisatie zelf, getroffen klanten, de overheid en de bredere samenleving. De centrale conclusie is dat cyberafpersing zelden een moreel zuivere keuze laat: organisaties moeten uiteindelijk bepalen welke optie in een concreet incident de minste totale maatschappelijke schade veroorzaakt.

Inleiding

De hack bij Odido (voormalig T-Mobile en Tele2) en Ben, heeft in korte tijd geleid tot forse maatschappelijke onrust. Dat is begrijpelijk. Niet alleen vanwege de omvang van het incident, maar vooral vanwege de aard van de buitgemaakte gegevens en de mogelijke gevolgen voor miljoenen betrokkenen. In termen van schaal, gevoeligheid en potentiële maatschappelijke impact behoort dit incident tot de ernstigste datalekken die Nederland tot dusver heeft gekend.

Tegelijk valt op dat het publieke debat zich snel vernauwt tot een ogenschijnlijk simpele vraag: had Odido moeten betalen of niet? Die vraag lijkt overzichtelijk, maar is dat in werkelijkheid niet. Bij cyberafpersing is zelden sprake van een moreel zuivere keuze. Het gaat vrijwel altijd om een afweging tussen verschillende vormen van schade, op verschillende tijdshorizonten, voor verschillende groepen.

De vraag of Odido had moeten betalen is daarom geen morele zwart-witkwestie, maar een strategische afweging tussen verschillende soorten schade: voor klanten, voor de organisatie, voor de opsporing en voor de samenleving als geheel. De werkelijke vraag is: welke keuze leidt, gegeven de feiten, de dreiging en de context, tot de minste totale schade? Daarbij moet onderscheid worden gemaakt tussen korte termijn en lange termijn, tussen organisatiebelang en maatschappelijk belang, en tussen principiële reflexen en operationele realiteit.

Volgens beschikbare informatie heeft Odido ervoor gekozen geen afpersgeld te betalen. Daarom worden nu 1 miljoen gevoelige klantgegevens per dag gepubliceerd, waarbij dagelijks nieuwe hoeveelheden klantgegevens online verschijnen. Hierdoor groeit de omvang van het datalek voortdurend en neemt de potentiële impact voor betrokkenen verder toe.

Vanuit die urgentie is, samen met een groep bezorgde securityspecialisten, een crowdfundingactie gestart met als doel middelen te verzamelen om de gevraagde betaling te kunnen doen en daarmee verdere publicatie van de gegevens te stoppen.

Het uitgangspunt daarbij is nadrukkelijk niet om cybercriminelen te belonen voor de schade die zij veroorzaken. Tegelijkertijd gaat het in dit geval om een uitzonderlijk groot en gevoelig datalek, mogelijk één van de grootste in de Nederlandse geschiedenis. Vanuit het perspectief van schadebeperking voor de getroffen personen is daarom besloten deze eenmalige actie te organiseren.

Doneer eenvoudig via iDEAL
Speciaal voor deze crowdfundingsactie zijn bankrekeningen geopend waarop donaties kunnen worden ontvangen.

• Doneer via iDEAL

Update 1 maart 09:00 uur: De crowdfunding is gestopt, aangezien de hackersgroep ShinyHunters alle buitgemaakte data op internet hebben gezet.

Totaal opgehaald:	€2.069,79
Aantal donaties:	153
Gemiddelde donatie:	€13,53
Hoogste donatie:	€150
Donatiemogelijk gesloten:	1 maart 2026 09:00
Donaties teruggestort:	1 maart 2026 18:51 (152 van de 153) 5 maart 2026 16:52 (153 van de 153)