A principios de febrero de 2026, el gigante de las telecomunicaciones holandés Odido y su filial Ben sufrieron una de las mayores filtraciones de datos en la historia de los Países Bajos. El colectivo de hacking y extorsión ShinyHunters logró acceder a los registros de 6 millones de clientes utilizando una sola llamada telefónica, basándose en técnicas de ingeniería social en lugar de exploits sofisticados.

Una sola llamada telefónica fue todo lo que hizo falta para desencadenar una de las mayores filtraciones de datos en la historia de los Países Bajos. A principios de febrero de 2026, el gigante holandés de las telecomunicaciones Odido y su filial económica Ben se convirtieron en las últimas víctimas de ShinyHunters, un colectivo de hacking y extorsión conocido por utilizar la ingeniería social en lugar de exploits sofisticados para vulnerar las defensas corporativas.

El ataque expuso los registros personales de más de seis millones de clientes, y la policía holandesa ha hecho pública ahora la voz real del presunto llamador en un intento de identificarlo.

Según los investigadores, un hombre que hablaba neerlandés contactó con el servicio de atención al cliente de Odido los días 5 y 6 de febrero, utilizando jerga informática específica en inglés e impersonando con seguridad a un colega del departamento de IT.

Le dijo al empleado que era urgente solucionar un problema, y el trabajador, sin sospechar nada, le concedió acceso a lo que parecía ser un sistema interno legítimo pero que era, en realidad, una configuración de recolección de credenciales diseñada por los atacantes.

En esa única interacción, el llamador capturó un nombre de usuario, una contraseña e incluso un token de autenticación multifactor, neutralizando eficazmente una de las capas de seguridad clave de Odido.

Con esas credenciales robadas en su poder, los atacantes pivotaron hacia el entorno de gestión de relaciones con el cliente (CRM) de Odido basado en Salesforce, el mismo sistema utilizado para registrar y gestionar las interacciones con los clientes.

Filtración Masiva de Datos

Dos días después, aproximadamente 90 GB de datos que abarcaban unos 15 millones de filas fueron exfiltrados silenciosamente a través de APIs legítimas de Salesforce, lo que significa que la actividad de exportación se mezcló con el tráfico normal y autorizado en lugar de activar alarmas evidentes.

Odido ha confirmado desde entonces que el acceso no autorizado a su sistema de contacto con clientes ocurrió el 7 y 8 de febrero, y que la intrusión fue detenida tan pronto como se detectó.

La actualización oficial de Odido sitúa el número final de personas afectadas en aproximadamente 6,39 millones, incluyendo tanto a clientes activos como inactivos de Odido y Ben. Estimaciones anteriores de representantes de la empresa e informes de prensa oscilaban entre 6,1 y 6,2 millones de personas, mientras que el propio ShinyHunters afirmó haber exfiltrado cerca de 21 millones de registros, una cifra que probablemente incluye entradas duplicadas y metadatos corporativos internos junto con los perfiles de los clientes.

Se informa que el conjunto de datos robados incluía nombres completos, direcciones particulares, números de teléfono, direcciones de correo electrónico, fechas de nacimiento, números de cliente, detalles de cuentas bancarias IBAN y números de documentos de identidad, como pasaportes y licencias de conducir.

Odido ha mantenido que no se comprometieron contraseñas de cuentas, registros de llamadas ni datos de facturación, aunque ShinyHunters disputó esto, afirmando que contraseñas en texto plano y archivos corporativos internos también formaban parte del botín. Have I Been Pwned confirmó más tarde que se publicaron aproximadamente 6 millones de direcciones de correo electrónico únicas a través de cuatro versiones separadas de los datos.

Se informa que ShinyHunters exigió un rescate de alrededor de un millón de euros para evitar la publicación del conjunto de datos robados. Odido se negó a pagar, decisión que la empresa defendió posteriormente en público, y el grupo respondió publicando los datos por etapas a partir del 26 de febrero, publicando finalmente el caché completo el 1 de marzo.

Las consecuencias fueron inmediatas. Investigadores de ciberseguridad que seguían dos alias de correo electrónico conocidos solo por Odido y el operador rival Tele2 registraron 61 correos electrónicos de phishing que llegaron dentro de los 150 días posteriores a que la filtración se hiciera pública, subrayando la rapidez con la que los datos personales filtrados se convierten en armas para campañas posteriores de fraude y vishing.

La policía holandesa también añadió las direcciones de correo electrónico de los clientes afectados a su herramienta “Check je hack”, permitiendo que los individuos verifiquen si su información formaba parte del conjunto de datos robados.

La investigación, dirigida por el Landelijk Parket y llevada a cabo por el High Tech Crime Team dentro de la Unidad de Investigación e Intervenciones Nacionales de la Policía Nacional, ha estado en marcha poco después de que se revelara la brecha.

En julio de 2026, los investigadores anunciaron que habían encontrado “indicaciones sólidas” de que ciudadanos holandeses estaban involucrados, centrándose en la llamada telefónica realizada justo antes del hackeo. La policía instó públicamente al llamador a presentarse voluntariamente, advirtiendo que, de lo contrario, su voz podría ser revelada.

Cuando nadie respondió a ese llamamiento, la policía holandesa emitió la grabación completa en el programa de crímenes reales Opsporing Verzocht el lunes 7 de septiembre, a las 21:15 en NPO2.

Un experto en voz consultado por los investigadores concluyó que la grabación es una voz humana real y no una generada por IA, y describió al llamador como alguien que habla neerlandés con conocimientos demostrables de ICT, uso deliberado de jerga técnica en inglés y un tic verbal distintivo, la palabra de relleno holandesa “hoor”. Las autoridades piden ahora al público que envíe pistas a través de politie.nl/odido, la línea de denuncias anónimas Meld Misdaad Anoniem, o el canal de Telegram @Veiligmelden.

Analistas de seguridad han señalado tres fallos sistémicos que permitieron que una sola llamada telefónica derivara en una brecha de esta magnitud: la ausencia de verificación de llamada de retorno o comprobaciones fuera de banda en el centro de ayuda, accesos excesivamente permisivos que permitieron que una sola cuenta comprometida exportara masivamente toda una base de datos de clientes, y un monitoreo inadecuado incapaz de marcar una transferencia de datos de 90 GB como anómala.

ShinyHunters ha utilizado tácticas de ingeniería social telefónica casi idénticas contra más de 100 organizaciones en todo el mundo, incluyendo SoundCloud, Crunchbase y Betterment, eludiendo a menudo por completo las protecciones de inicio de sesión único (SSO) sin necesidad de un exploit técnico.