Ruim 6,5 miljoen slachtoffers, nul verantwoordelijkheid

Odido was door Salesforce in de maanden vóór de aanval drie keer gewaarschuwd voor kwetsbaarheden. Drie keer. Deze waarschuwingen werden niet serieus genomen. Odido merkte de hack zelf niet op. De hackers meldden het zelf, vergezeld met een losgeldeis van 1 miljoen euro. 

De reactie van Odido? Stilte, vaagheid en vertraging. Ruim 6,5 miljoen klanten en 700.000 bedrijven werden pas dagen later summier geïnformeerd. Waaronder zelfs ministers en beveiligde personen. Hiermee werd het ook een zaak van nationale veiligheid.

De prijs van wegkijken

CEO Søren Abildgaard weigerde met goedkeuring van RvC-voorzitter Olaf Swantee de losgeldeis van 1 miljoen euro te betalen. Cybersecurityexperts en de politie adviseerden dat naar verluidt. Betalen geeft immers geen garantie dat criminelen de data ook echt vernietigen. Een op dat moment ogenschijnlijk verdedigbare houding.

Toch wringt hier iets fundamenteels. Want wat was op dat moment het beste voor de ruim 6,5 miljoen klanten wier gegevens op straat dreigden te komen? Een leider die werkelijk de klant centraal stelt, had daarom de afweging kunnen maken wél te betalen. Wetende ook dat 1 miljoen euro een schijntje is.

Om daarmee tevens de regie over het slechte verhaal terug te pakken en de reputatie van Odido te beschermen. Dat is een strategische insteek die vraagt om moed en visie. Het had het telecombedrijf in ieder geval een geloofwaardiger verhaal opgeleverd. Ook als de hackers na betaling de gestolen gegevens alsnog hadden verkocht of gepubliceerd. Met als statement: "Wij wisten dat betalen geen garantie was. Maar de belangen van onze klanten wogen zwaarder dan het principe".

In plaats daarvan liep Odido verder braaf aan de leiband van advocaten. En werd op bijna masochistische wijze gekozen voor summiere, afstandelijke communicatie. De klant moest het zelf maar uitzoeken. De schadelijke gevolgen laten zich raden. Drie keer zoveel klanten dan normaal zegden hun abonnement op. Nieuwe internetklanten daalden met 85 procent. De beursgang werd stilgelegd. 

Een massaclaim van mogelijk honderden miljoenen euro’s en aanhoudende schadelijke publiciteit volgen. Als klap op de vuurpijl opende het Openbaar Ministerie een strafrechtelijk onderzoek. Feitelijk staat het voortbestaan van Odido op het spel. Dit is niet het gevolg van de hack, maar van falend crisismanagement. Een case waar nog vele generaties topmanagers, toezichthouders en communicatiestudenten een leerzaam puntje aan kunnen zuigen.

Wat goed leiderschap vraagt en Odido naliet

Tijdens een crisis staan echte leiders op. Zij stappen over hun schaduw heen en organiseren tegenspraak. Zodat zij tot een afgewogen oordeel komen, wetende dat snelheid  en openheid geboden is om het vertrouwen bij stakeholders te behouden. Bij Odido werden drie fundamentele fouten gemaakt:

1. Zichtbaarheid: CEO Abildgaard was volgens zijn woordvoerder "te druk om de pers te woord te staan". Dat is geen crisismanagement, maar een dikke middelvinger naar klanten. 2. Openheid: mensen vergeven bedrijven die gehackt worden. Ze vergeven nooit bedrijven die hen laten stikken. 3. Verantwoordelijkheid nemen: dat doe je niet via een juridisch getint persbericht. Maar écht. Als leider van een bedrijf dat de data van één op de drie Nederlanders beheert, draag je immers een grote maatschappelijke verantwoordelijkheid. 

Wat Odido haar klanten verschuldigd is

De Autoriteit Persoonsgegevens onderzoekt momenteel het datalek. Het OM speurt. De rechter buigt zich over de massaclaim. Die juridische processen duren jaren. maar leiderschap betekent niet wachten tot een rechter je dwingt het goede te doen. Het betekent het goede doen omdat het juist is. Juist nu. Want de crisis is niet voorbij. 

Voor de ruim 6,5 miljoen gedupeerde klanten en 700.000 bedrijven begint hij in veel gevallen nu pas. Zij lopen grote risico’s, die hun levens ingrijpend kunnen veranderen: identiteitsfraude, phishing en oplichting, telefonische scams, privacyverlies en financiële schade. Om hun geschonden vertrouwen te herstellen tellen slechts daden. Alleen een proactieve, coöperatieve houding kan het voortbestaan van Odido redden. 

Zoals volledige openheid over hoe dit heeft kunnen gebeuren. Vertellen welke investeringen zijn gedaan in betere cybersecurity. Persoonlijke erkenning van de top, niet namens "het bedrijf" maar als mensen die de leiding hebben. Proactieve compensatie voor alle gedupeerden, ook voormalige klanten van T-Mobile en Tele2 wier gegevens langer werden bewaard dan de wet toestaat. En actieve begeleiding van mensen wier paspoortgegevens en IBAN-nummers op straat liggen. En dan niet via een FAQ-pagina, maar door echte, praktische hulp.