De afgelopen twee dagen werd het digitale domein getekend door een combinatie van fysieke sabotage, geraffineerde spionage en grootschalige technische storingen. Terwijl in Nederland en België de gevolgen van netwerkuitval en datalekken direct voelbaar waren, speelden zich op het wereldtoneel zware geopolitieke conflicten af waarin cybermiddelen werden ingezet om vitale infrastructuur plat te leggen. Naast de directe aanvallen op bedrijven en overheden, valt op dat de grens tussen digitale en fysieke veiligheid steeds verder vervaagt, met incidenten variërend van overgenomen rolstoelen tot uitgeschakelde elektriciteitsnetwerken.
Gevolgen van technische storingen en datalekken bij grote spelers
In de regio Eindhoven en de gemeenten Helmond, Laarbeek en Bladel zorgde een grote storing bij Vodafone ervoor dat hulpdiensten en zorginstellingen, waaronder de GGZ, tijdelijk onbereikbaar waren. Hoewel de provider de verbindingen grotendeels wist te herstellen, was de impact op de operationele communicatie aanzienlijk. De Veldhovense chipmachinefabrikant ASML moest reageren op geruchten over een enorm datalek waarbij 154 databases op straat zouden liggen, maar het bedrijf ontkende dit formeel en stelde dat de data niet uit hun systemen afkomstig was. Een ander pijnlijk incident trof de autofabrikant Jaguar Land Rover, die een daling van ruim 43 procent in de groothandelsverkoop moest rapporteren als direct gevolg van een eerdere cyberaanval die de productie stillegde. In de medische sector zijn de zorgen groot na een datalek bij het Nieuw-Zeelandse platform Manage My Health, waarbij medische dossiers van meer dan honderdduizend personen werden buitgemaakt. Daarnaast is de Chinese groep Salt Typhoon erin geslaagd emailsystemen van het Amerikaanse Congres binnen te dringen, waarbij communicatie van invloedrijke commissies werd onderschept. Ook de luchtvaartsector bleef niet gespaard; KLM waarschuwde passagiers voor cybercriminelen die misbruik maken van vluchtannuleringen door sneeuwval om via phishing persoonsgegevens te stelen.
Kritieke fouten in software en fysieke hulpmiddelen
Er zijn ernstige beveiligingslekken ontdekt in cruciale software en apparatuur. In de automatiseringssoftware n8n is een kritieke kwetsbaarheid met de naam Ni8mare vastgesteld, die aanvallers in staat stelt zonder inloggegevens volledige controle over servers en gekoppelde diensten zoals Google Drive te krijgen. Een verontrustend fysiek risico is gevonden in elektrische rolstoelen van fabrikant Whill, waar via een onbeveiligde bluetoothverbinding de besturing kan worden overgenomen. Hewlett Packard Enterprise kampt met actief misbruik van een lek in de beheersoftware OneView, waarmee aanvallers de volledige IT infrastructuur kunnen domineren. Ook in netwerkapparatuur van Cisco en het open source platform Coolify zijn meerdere kwetsbaarheden gevonden die toegang geven tot gevoelige data. Gebruikers van Logitech apparatuur op macOS ondervonden uitval van hun software door een verlopen beveiligingscertificaat. Verder waarschuwt D-Link voor verouderde modems die niet meer worden ondersteund en is er in de klassieke versie van Microsoft Outlook een bug ontdekt die het openen van versleutelde emails blokkeert. Tot slot zijn er kritieke gaten gedicht in backupsoftware van Veeam, die aanvallers in staat stelden om op afstand code uit te voeren.
Geavanceerde malware en misleiding via vertrouwde kanalen
Het dreigingslandschap wordt overspoeld door geavanceerde malwarecampagnes. De ransomwaregroep Black Cat maakt gebruik van zoekmachineoptimalisatie om vervalste versies van de teksteditor Notepad++ te verspreiden en zo systemen te infecteren. Een nieuwe speler, SafePay ransomware, richt zich specifiek op het midden- en kleinbedrijf en legt bedrijfsprocessen volledig plat. Via sociale media verspreidt de AuraStealer malware zich vermomd als handleidingen op TikTok, terwijl de Astaroth banktrojan als een worm via WhatsApp wordt gedeeld. Android gebruikers lopen risico door de Ghost Tap malware, die via nfc betalingsgegevens steelt, en MetaMask gebruikers zijn doelwit van gerichte phishing om herstelzinnen te ontfutselen. Experts zien ook een toename in het misbruik van QR codes in emails, waarbij deze codes worden opgebouwd uit html tabellen om scanners te misleiden. Daarnaast wordt legitieme software zoals WinRAR gebruikt als dekmantel voor malware en maakt de groep Storm-0249 misbruik van standaard Windows functies om onopgemerkt te blijven. De Russische groep BlueDelta intensiveert zijn pogingen om inloggegevens te stelen via nagemaakte portalen, terwijl in Zuid-Afrika de nieuwe ransomwaregroep VECT is opgedoken.
Juridische stappen tegen ddos aanvallen en privacyschendingen
De rechtbank in Rotterdam heeft een 47 jarige man uit Delft veroordeeld tot een voorwaardelijke celstraf voor het uitvoeren van ddos aanvallen op de 112 alarmcentrale, waarbij hij gebruikmaakte van een netwerk van simboxen. In de Verenigde Staten heeft de oprichter van pcTattletale schuld bekend aan het faciliteren van spionage via stalkerware, nadat zijn eigen bedrijf eerder slachtoffer werd van een datalek. Privacytoezichthouders treden eveneens strenger op; de Franse autoriteit CNIL heeft geoordeeld dat het live streamen van toeristische beelden via webcams illegaal is als personen herkenbaar in beeld komen. In België waarschuwt consumentenorganisatie Testaankoop voor de privacyrisico's van slimme apparaten zoals robotstofzuigers, die vaak onnodig veel data verzamelen. De Europese Commissie voert de druk op het platform X op en eist dat data over de AI chatbot Grok bewaard blijft vanwege zorgen over het genereren van illegale deepfakes.
Fysieke impact van digitale oorlogsvoering en spionage
De verwevenheid tussen militaire operaties en digitale aanvallen werd pijnlijk duidelijk door de onthulling over de Amerikaanse rol bij het uitschakelen van het elektriciteitsnetwerk in de Venezolaanse hoofdstad Caracas, wat leidde tot de arrestatie van president Maduro. Deze operatie van CyberCom toont de verstrekkende gevolgen van statelijke sabotage. In Europa is de aan China gelieerde groep UAT-7290 actief in de telecomsector, waar zij geavanceerde Linux malware inzetten voor spionage. Ook de Vulkangruppe liet van zich horen door de verantwoordelijkheid op te eisen voor een sabotageactie op het elektriciteitsnet van Berlijn, wat leidde tot een stroomstoring bij tienduizenden huishoudens. Daarnaast blijft de groep ToddyCat actief met het exploiteren van Exchange servers in Europa en Azië. Op diplomatiek vlak zorgt het besluit van de Amerikaanse regering om zich terug te trekken uit diverse internationale cybersecurityforums voor onrust over de wereldwijde samenwerking.
Aangescherpt toezicht en nieuwe samenwerkingsverbanden
In Nederland is de digitale weerbaarheid versterkt door de officiële fusie van het Nationaal Cyber Security Centrum en het Digital Trust Center tot één centraal expertisecentrum. Het Nederlandse kabinet uit echter zorgen over voorgenomen Europese wijzigingen in de privacywetgeving die de bescherming van persoonsgegevens zouden kunnen verzwakken, evenals over de versoepeling van de meldplicht bij datalekken. Google investeert in speciaal personeel om hallucinaties van hun AI in zoekresultaten tegen te gaan, terwijl Microsoft heeft aangekondigd vanaf februari strenger te handhaven op het gebruik van multifactorauthenticatie voor beheerders van cloudomgevingen. Ook groeit de bezorgdheid over zogeheten niet menselijke identiteiten, zoals service accounts, die steeds vaker het doelwit zijn van aanvallers.
Dit was het voor vandaag! Tot morgen! En als je het interessant vond, stuur het dan door naar je vrienden en collega’s.
Ontdek meer over cybercrime en het darkweb in onze uitgebreide bibliotheek. Voor een gestructureerd overzicht van relevante onderwerpen kun je terecht op onze onderwerpenpagina, waar je een alfabetisch gerangschikte lijst vindt.
Bron: Cybercrimeinfo, ondezoeksteam
Altijd op de hoogte
Ontvang het Cyber Journaal meerdere keren per week, doorgaans tussen 12:00 en 14:00 uur. Schrijf je in en ontvang het automatisch in je mailbox.
Door de drukte kan het soms iets langer duren voordat het inschrijfformulier wordt geladen.
Recente journalen
ChipSoft ransomware, Rituals 41 miljoen en FIRESTARTER
Woensdag en donderdag brachten drie onwelkome waarheden voor Nederlandse en Belgische organisaties. Een Nederlandse zorgsoftware-leverancier onderhandelt met een ransomwaregroep over 100 GB aan patiëntdata, een bekend Nederlands cosmeticamerk verliest persoonsgegevens van 41 miljoen leden wereldwijd, en CISA onthult dat aanvallers via nieuwe FIRESTARTER-malware persistente toegang behouden tot Cisco-firewalls, ook nadat organisaties keurig patchen. Daarnaast waarschuwden de MIVD en NCSC-UK voor Chinese cyberoperaties, nadert de CISA KEV-deadline van 28 april voor SharePoint, Defender en beide Cisco ASA-CVE's, en openbaarde Socket een supply chain-aanval op de Checkmarx KICS Docker-images die CI/CD-pijplijnen wereldwijd raakt.
Odido massaclaim, Vercel via AI tool en Kentico direct actief misbruikt
Maandag en dinsdag brachten twee tempoverhogingen in het Nederlandse en Belgische dreigingsbeeld. Consumers United in Court startte maandag een collectieve rechtszaak tegen Odido waarin de meldplicht en de bewaartermijn van miljoenen gegevens centraal staan, diezelfde dag dook een dataset met 400.000 Bol.com klantrecords op hackfora op. Dinsdag maakte Vercel openbaar dat een AI-presentatietool op één medewerkersapparaat het startpunt was van een complete Google Workspace overname, losgeldeis twee miljoen dollar via de ShinyHunters-persona. CCB Belgium en CISA KEV zetten tegelijkertijd drie CVE's in het rood waarvan JetBrains TeamCity een EPSS van 92 procent scoort, Kentico Xperience een CVSS van 9.8 kent en PaperCut NG/MF als ransomwarevector bekend staat. Kaspersky analyseerde de voorheen ongedocumenteerde Lotus wiper die medio december 2025 Venezolaanse energie- en nutsbedrijven trof, en de Franse identiteitsdocumenten-instantie ANTS bevestigde een datalek waarbij een dreigingsactor op hackfora claimt tot negentien miljoen records te bezitten. BeyondTrust publiceerde het dertiende Microsoft Vulnerabilities Report waarin de kritieke kwetsbaarheden in 2025 verdubbelden ondanks een daling in totaal aantal. De Noord-Koreaanse actor UNC1069 en Kaspersky's analyse van FakeWallet in de Chinese Apple App Store onderstrepen dat cryptocurrency en Web3 professionals een hoofddoel blijven.
ChipSoft bevestigt diefstal, Belgische gemeenten onder druk en EU leeftijdsapp gekraakt
Het weekend bracht een lawine aan incidenten. ChipSoft bevestigde vrijdag 18 april 2026 via een update op de eigen informatiepagina dat er bij de ransomware aanval toch medische patiëntgegevens zijn gestolen, eerdere berichten van de NOS blijken daarmee juist. De Waalse gemeente Anderlues werd op 19 april door ransomwaregroep TheGentlemen op de leaksite gezet, en gemeente Temse haalde zondag preventief alle online diensten offline in overleg met het Centre for Cybersecurity Belgium. Zimperium zLabs bracht vier nieuwe Android malwarefamilies in kaart die ruim 800 bank en crypto apps bestormen, waaronder RecruitRat via valse vacatures. De nieuwe Europese leeftijdsverificatie app, die minderjarigen moet beschermen tegen schadelijke online content, werd in minder dan twee minuten door security consultant Paul Moore omzeild. ShinyHunters stelde 2,1 miljoen Amtrak klantgegevens online via Have I Been Pwned, de Franse basketbalfederatie FFBB verloor 1,9 miljoen ledendata aan HexDex. Verder een kritieke remote code execution bug in protobuf.js met bijna 50 miljoen wekelijkse downloads, een publieke PoC voor FortiSandbox, drie actief misbruikte Windows zero days, en NIST die per 15 april stopt met het verrijken van lage prioriteit CVE's. Oekraïense hackers openden de gordijnen bij een besloten vergadering van het Russische ministerie van Industrie over droneproductie.
NIS2 deadline, Nginx UI misbruikt en AI agents onder vuur
Twee drukke nieuwsdagen op rij. In België gaat op 18 april 2026 de NIS2 deadline voor essentiële entiteiten in, en in Nederland heeft de Tweede Kamer de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten aangenomen. Onderzoekers vonden een kritieke kwetsbaarheid in Nginx UI die zonder authenticatie volledige servertoegang geeft en actief wordt misbruikt, Cisco patchte een remote code execution lek in Identity Services Engine met CVSS 9.9 en Microsoft bracht tijdens Patch Tuesday 163 fixes uit waarvan acht kritiek. Aanvallers richten zich in de meest actuele campagne via prompt injection in GitHub pull requests op AI agents als Claude Code, Gemini en GitHub Copilot, en een nieuw vishing platform met de naam ATHR automatiseert telefonische fraude voor 4.000 dollar plus tien procent commissie. Verder bevestigde Cognizant een ransomware incident door Coinbasecartel, en veroordeelden Amerikaanse rechters twee Amerikanen tot 108 en 92 maanden cel voor het inzetten van Noord-Koreaanse IT werknemers bij meer dan honderd Amerikaanse bedrijven.
Booking en Basic-Fit gelekt, Kamervragen over ChipSoft
Twee grote datalekken raken deze week rechtstreeks honderdduizenden Nederlandse consumenten. Booking.com bevestigde dat onbevoegden boekingsdetails, namen, adressen en telefoonnummers hebben ingezien, en Basic-Fit meldde dat persoonsgegevens van ongeveer 200.000 Nederlandse leden mogelijk zijn buitgemaakt. In Den Haag stelden D66 en GroenLinks-PvdA Kamervragen over de hack bij ChipSoft en de afhankelijkheid van een enkele dominante leverancier in de zorg. Ondertussen ontdekte beveiligingsbedrijf Socket meer dan honderd malafide extensies in de Chrome Web Store die Google OAuth tokens stelen, en verdween er via de Apple App Store in enkele dagen 9,5 miljoen dollar aan cryptocurrency na een valse Ledger Live app. Microsoft bracht in de patchronde van april fixes uit voor 165 kwetsbaarheden, en Anthropic liet zien dat een nieuw taalmodel zelfstandig kritieke kwetsbaarheden in besturingssystemen en browsers kan vinden.
Supply chain aanvallen, Marimo gehackt en FBI leest Signal
Aanvallers misbruiken steeds vaker de vertrouwensrelaties tussen softwareleveranciers en cloudservices. De officiele website van CPUID verspreidde zes uur lang malware via de downloads van CPU-Z en HWMonitor, ShinyHunters stal authenticatietokens om via Anodot in Snowflake omgevingen te komen en de Lazarus Group registreerde legale Amerikaanse bedrijven als dekmantel voor malwarecampagnes. Ondertussen werd een kritieke kwetsbaarheid in het Python notebook platform Marimo binnen tien uur na openbaarmaking actief misbruikt. De FBI liet in een rechtszaak zien dat gewiste Signal berichten te herstellen zijn via de notificatiedatabase van een iPhone. En ransomwaregroepen breiden hun arsenaal uit met bijna negentig verschillende tools om beveiligingssoftware uit te schakelen.