Cybersecurity. Het klinkt misschien als iets voor ICT-specialisten, ingewikkelde computercodes en hackers achter meerdere beeldschermen. Toch laat de cyberaanval op Odido van februari 2026 zien dat digitale veiligheid juist ook over ons dagelijks gedrag gaat. De aanvallers wisten namelijk niet alleen met techniek binnen te komen. Ze wisten mensen te overtuigen.
En dat maakt deze gebeurtenis interessant voor het onderwijs. Want begrippen als phishing, vishing en social engineering komen niet alleen voor in grote organisaties. Ook leerlingen krijgen te maken met nepberichten, misleidende links en mensen die zich online voordoen als iemand anders.
Op 5 en 6 februari 2026 werd Odido getroffen door een cyberaanval. De aanvallers deden zich voor als medewerkers van de IT-afdeling. Via phishing werden inloggegevens verkregen. Vervolgens werden medewerkers gebeld en overgehaald om een frauduleuze inlogpoging goed te keuren. Zo konden de aanvallers ook een extra beveiligingsstap omzeilen (NOS, 2026). De gevolgen waren groot. Volgens Odido zijn uiteindelijk gegevens van circa 6,39 miljoen personen geraakt (Odido, 2026). De politie meldde later dat gegevens van meer dan zes miljoen klanten waren buitgemaakt en openbaar gemaakt (Politie, 2026). Het interessante aan deze aanval is niet alleen wat er technisch gebeurde. De aanvallers maakten vooral slim gebruik van menselijk gedrag.
Daar komen drie belangrijke begrippen bij kijken:
Bij Odido kwamen deze technieken samen. De aanvallers deden zich voor als betrouwbare collega’s van de IT-afdeling en wisten medewerkers te overtuigen om toegang goed te keuren. Odido omschrijft de gebruikte aanval inmiddels zelf als voice phishing (vishing) en noemt de aanval die tot het buitmaken van gegevens leidde zeer geavanceerd (Odido, 2026).
Best veel. Kinderen groeien op in een wereld waarin een bericht, website of persoon zich anders kan voordoen dan hij werkelijk is. Denk aan een bericht waarin staat dat je iets hebt gewonnen, een link waarmee je gratis spullen voor een game krijgt of iemand die online beweert een bekende te zijn. Daarom is het waardevol dat leerlingen niet alleen leren hoe ze digitale middelen gebruiken, maar ook begrijpen hoe mensen hen online kunnen proberen te beïnvloeden.
De Odido-casus maakt dat heel concreet. Zelfs volwassenen die met digitale systemen werken, kunnen worden misleid wanneer een situatie betrouwbaar en overtuigend overkomt. Dat maakt phishing en social engineering geen verhaal over ‘domme fouten’, maar juist over kritisch blijven nadenken: klopt wat ik hier zie of hoor eigenlijk wel? Als je als onderwijsprofessional weet hoe deze technieken werken, kun je ze ook op een begrijpelijke manier uitleggen aan je leerlingen.
Naast kennis helpt een goede digitale basis. Deze tips kun je zelf toepassen én gebruiken wanneer je met leerlingen over online veiligheid praat.
Gebruik voor ieder account een uniek wachtwoord
Gebruik niet overal hetzelfde wachtwoord. Wordt één website getroffen door een datalek, dan kunnen criminelen een buitgemaakt wachtwoord namelijk ook bij andere diensten proberen.
Kies vooral voor een lang wachtwoord
Een lang wachtwoord of een wachtwoordzin is moeilijker te kraken. Het NCSC adviseert lange wachtwoorden en geeft aan dat een langere wachtwoordzin veiliger kan zijn dan een kort wachtwoord met allerlei verschillende tekens (Nationaal Cyber Security Centrum, z.d.).
Gebruik daarbij geen informatie die gemakkelijk over jou te vinden is, zoals je naam, geboortedatum, school of de naam van je huisdier.
Gebruik een wachtwoordmanager
Voor ieder account een ander sterk wachtwoord onthouden is bijna niet te doen. Een wachtwoordmanager kan unieke wachtwoorden voor je maken en bewaren. Gebruik voor werkaccounts bij voorkeur de oplossing die binnen jouw school of organisatie is afgesproken.
Gebruik multifactorauthenticatie
Met multifactorauthenticatie (MFA) voeg je een extra beveiligingsstap toe aan het inloggen. Naast je wachtwoord heb je bijvoorbeeld een app, beveiligingssleutel, vingerafdruk of gezichtsherkenning nodig.
Maar let op: de aanval op Odido laat juist zien dat ook zo’n extra stap niet betekent dat je nergens meer over hoeft na te denken. Krijg je onverwacht een verzoek om een inlogpoging goed te keuren? Controleer dan eerst of jij die poging zelf hebt gedaan.
Verander een wachtwoord als daar aanleiding voor is
Je hoeft sterke en unieke wachtwoorden niet voortdurend te veranderen. Doe dat wél wanneer een wachtwoord mogelijk is gelekt, iemand anders het kent of je het per ongeluk op een verkeerde website hebt ingevuld.
Na een groot datalek hoor je regelmatig: “Mijn gegevens liggen waarschijnlijk toch al ergens op straat.” Maar weet je eigenlijk of jouw e-mailadres ooit in een bekend datalek is aangetroffen? Dat kun je controleren via Have I Been Pwned. Je vult je e-mailadres in en ziet of het voorkomt in datalekken die bij de dienst bekend zijn. Houd er wel rekening mee dat de website niet ieder datalek ter wereld bevat. Geen resultaat betekent dus niet automatisch dat je gegevens nooit ergens zijn gelekt.
Moeten we door dit soort incidenten iedereen gaan wantrouwen? Zeker niet. Wel helpt het om soms even digitaal achterdochtig te zijn.Waarom vraagt iemand mij om deze informatie? Waarom moet ik nú op deze link klikken? En waarom krijg ik een inlogmelding terwijl ik zelf helemaal niet probeer in te loggen?
Dat zijn kleine momenten waarop kennis over phishing, vishing en social engineering een groot verschil kan maken. En juist daar ligt een mooie kans voor het primair onderwijs. Als jij weet hoe online misleiding werkt, kun je leerlingen helpen om die trucs steeds beter te herkennen. Zo werken we samen aan kinderen die niet alleen handig zijn met digitale middelen, maar er ook bewust en veilig mee leren omgaan.
Benieuwd hoe je op jouw school een sterke basis legt voor digitale geletterdheid? We hebben diverse trainingen op het gebied van AI en Cybersecurity.
