S02E10
De afgelopen dagen stonden in het teken van ernstige verstoringen bij vitale voorzieningen en de industrie, waarbij de nasleep van eerdere aanvallen nog altijd diepe sporen nalaat. Terwijl ziekenhuizen en zorgcentra in de regio worstelen met papieren noodprocedures, worden toonaangevende bedrijven afgeperst met gestolen bedrijfsgeheimen. Tegelijkertijd luiden veiligheidsdiensten de noodklok over pas ontdekte kwetsbaarheden in veelgebruikte communicatieplatformen en netwerkapparatuur, die door criminelen actief worden misbruikt om systemen binnen te dringen.
Impact op ziekenhuizen en de maakindustrie
De operationele impact van cyberaanvallen is momenteel pijnlijk zichtbaar bij verschillende organisaties in België en Nederland. Het Antwerpse ziekenhuis AZ Monica kampt ruim een week na een cyberaanval nog steeds met ernstige problemen; het herstel van de servers blijkt complex en tijdrovend, waardoor artsen noodgedwongen terugvallen op pen en papier en niet dringende ingrepen moeten worden uitgesteld. Ook de zorginstelling Blijdorp in het Belgische Buggenhout werd getroffen, waardoor cloudtoepassingen onbereikbaar werden en het personeel offline moest werken, al bleef de directe zorgverlening gewaarborgd. In de industriële sector heeft de ransomwaregroep Akira de aanval geopend op het Belgische metaalbedrijf Van Eycken; de criminelen dreigen 69 gigabyte aan interne data te publiceren als er niet wordt betaald. Ook internationaal zijn er grote slachtoffers, Apple leverancier Luxshare zag gevoelige productiegegevens en blauwdrukken gestolen worden bij een ransomware aanval, en kledingmerk Under Armour werd geconfronteerd met een datalek van 72 miljoen klanten via de groep Everest. Daarnaast bleek uit een ethische hack dat bezoekers van een evenement van de Carlsberg Group risico liepen doordat hun persoonsgegevens via onbeveiligde QR codes op polsbandjes eenvoudig uit te lezen waren.
Ernstige beveiligingslekken in enterprise software en hardware
Beveiligingsexperts en nationale waakhonden hebben dringende waarschuwingen afgegeven voor lekken in software die de ruggengraat vormt van veel bedrijfsnetwerken. Het Nationaal Cyber Security Centrum waarschuwde voor een kritieke kwetsbaarheid in Citrix ADC en Gateway, waarmee aanvallers sessiecookies kunnen stelen en multifactorauthenticatie kunnen omzeilen. Cisco bracht een noodupdate uit voor Unified Communications Manager om een zeroday lek te dichten dat aanvallers in staat stelde op afstand code uit te voeren en volledige controle over het systeem te krijgen. Gebruikers van WordPress liepen gevaar door een achterdeur in de populaire plugin LA-Studio Elementor Kit, die op duizenden websites aanwezig was voordat een update beschikbaar kwam. Ook Fortinet systemen liggen onder vuur; onderzoekers zien een golf van geautomatiseerde aanvallen die misbruik maken van een lek in de SSL-VPN functionaliteit van Fortigate firewalls. Verder werd een ernstig lek in GitLab gedicht dat het omzeilen van tweefactorauthenticatie mogelijk maakte, en bleken beveiligingscamera’s van Vivotek kwetsbaar voor code injectie op afstand.
Geavanceerde misleiding via helpdesks en videoplatforms
Cybercriminelen zetten steeds verfijndere technieken in om detectiesystemen te omzeilen en gebruikers te misleiden. Een opvallende nieuwe methode is het misbruiken van legitieme helpdesksystemen van Zendesk; aanvallers versturen massale hoeveelheden spam uit naam van bedrijven als Live Nation en Tinder, waardoor de berichten langs spamfilters glippen. Daarnaast is de techniek PixelCode ontdekt, waarbij malware wordt verborgen in de videoframes van YouTube video's om zo ongemerkt systemen te infecteren. Op sociale media is de ClickFix campagne actief, die gebruikers via valse inlogpagina's verleidt om hun Facebook gegevens af te staan onder het voorwendsel van een beveiligingsupdate. Ook de ontwikkelgemeenschap is doelwit, in de VS Code marketplace werden kwaadaardige extensies gevonden die zich voordeden als AI assistenten maar in werkelijkheid data stalen. Verder waarschuwen experts voor de nieuwe ransomware variant Osiris en het gebruik van legitieme tools zoals Notepad++ om computers ongemerkt om te bouwen tot proxy servers voor illegale activiteiten.
Toename van bankfraude en illegale handel in toegangsgegevens
De opsporingsdiensten zien een verschuiving in de werkwijze van fraudeurs en de ondergrondse economie. De politie in Noord-Holland verwacht dit jaar een sterke piek in bankhelpdeskfraude, waarbij criminelen steeds vaker inbellen om toegang te krijgen tot rekeningen. De Belgische toezichthouder FSMA waarschuwt voor een explosie aan beleggingsfraude via WhatsApp en frauduleuze handelsplatformen, die slachtoffers voor miljoenen euro's benadelen. Onderzoekers boekten echter ook succes door de werkwijze van een zogenaamde Initial Access Broker, r1z, bloot te leggen dankzij fouten in diens eigen operationele beveiliging. Daarnaast werd een campagne ontmanteld die zich richtte op klanten van verzekeraar PNB MetLife via een nagemaakte betalingsgateway. In Frankrijk deelde toezichthouder CNIL een boete van 3,5 miljoen euro uit aan een niet nader genoemd bedrijf voor het schenden van privacyregels rondom trackingcookies en het onveilig opslaan van wachtwoorden.
Statelijke actoren viseren toeleveringsketens en virtualisatie
Spionagegroepen die gelieerd zijn aan overheden blijven hun tactieken vernieuwen om vitale infrastructuren binnen te dringen. De Noord-Koreaanse groep PurpleBravo richt zijn pijlen op de IT toeleveringsketen door via LinkedIn nepsollicitaties uit te zetten, in de hoop zo bedrijfsnetwerken te infiltreren. Een andere aan Noord-Korea gelinkte groep, Konni, gebruikt inmiddels door kunstmatige intelligentie gegenereerde scripts om hun malware moeilijker detecteerbaar te maken in de regio Azië Pacific. Vanuit China komt de dreiging van Brickstorm, geavanceerde malware die zich specifiek nestelt in VMware vSphere omgevingen om langdurig en onopgemerkt toegang te behouden tot gevirtualiseerde servers. Daarnaast brachten onderzoekers van Cyber Centaurs naar buiten dat de groep achter de INC ransomware steeds vaker legitieme beheertools zoals Restic misbruikt om data te stelen, wat detectie door beveiligingssoftware aanzienlijk bemoeilijkt.
Debat over digitale soevereiniteit en veiligheid van voertuigen
Naast de directe dreigingen woedt er een fundamentele discussie over de digitale autonomie en de veiligheid van moderne technologie. In Nederland is ophef ontstaan over de mogelijke overname van cloudbedrijf Solvinity door een Amerikaanse partij; beveiligingsexpert Bert Hubert pleit in een position paper voor het oprichten van een Rijkscloudbedrijf om de afhankelijkheid van buitenlandse mogendheden te verkleinen. Tijdens de Pwn2Own hackwedstrijd in Tokio werd pijnlijk duidelijk hoe kwetsbaar de auto industrie is, onderzoekers wisten met succes in te breken in laadpalen voor elektrische voertuigen en het infotainmentsysteem van Tesla. Tot slot waarschuwde de topvrouw van Signal, Meredith Whittaker, voor de gevaren van massale dataverzameling door overheden en de druk om encryptie te verzwakken, wat volgens haar de privacy van burgers wereldwijd ondermijnt.
Dit was het voor vandaag! Tot morgen! En als je het interessant vond, stuur het dan door naar je vrienden en collega’s.
Ontdek meer over cybercrime en het darkweb in onze uitgebreide bibliotheek. Voor een gestructureerd overzicht van relevante onderwerpen kun je terecht op onze onderwerpenpagina, waar je een alfabetisch gerangschikte lijst vindt.
Bron: Cybercrimeinfo, ondezoeksteam
Altijd op de hoogte
Ontvang het Cyber Journaal meerdere keren per week, doorgaans tussen 12:00 en 14:00 uur. Schrijf je in en ontvang het automatisch in je mailbox.
Door de drukte kan het soms iets langer duren voordat het inschrijfformulier wordt geladen.
Recente journalen
Odido massaclaim, Vercel via AI tool en Kentico direct actief misbruikt
Maandag en dinsdag brachten twee tempoverhogingen in het Nederlandse en Belgische dreigingsbeeld. Consumers United in Court startte maandag een collectieve rechtszaak tegen Odido waarin de meldplicht en de bewaartermijn van miljoenen gegevens centraal staan, diezelfde dag dook een dataset met 400.000 Bol.com klantrecords op hackfora op. Dinsdag maakte Vercel openbaar dat een AI-presentatietool op één medewerkersapparaat het startpunt was van een complete Google Workspace overname, losgeldeis twee miljoen dollar via de ShinyHunters-persona. CCB Belgium en CISA KEV zetten tegelijkertijd drie CVE's in het rood waarvan JetBrains TeamCity een EPSS van 92 procent scoort, Kentico Xperience een CVSS van 9.8 kent en PaperCut NG/MF als ransomwarevector bekend staat. Kaspersky analyseerde de voorheen ongedocumenteerde Lotus wiper die medio december 2025 Venezolaanse energie- en nutsbedrijven trof, en de Franse identiteitsdocumenten-instantie ANTS bevestigde een datalek waarbij een dreigingsactor op hackfora claimt tot negentien miljoen records te bezitten. BeyondTrust publiceerde het dertiende Microsoft Vulnerabilities Report waarin de kritieke kwetsbaarheden in 2025 verdubbelden ondanks een daling in totaal aantal. De Noord-Koreaanse actor UNC1069 en Kaspersky's analyse van FakeWallet in de Chinese Apple App Store onderstrepen dat cryptocurrency en Web3 professionals een hoofddoel blijven.
ChipSoft bevestigt diefstal, Belgische gemeenten onder druk en EU leeftijdsapp gekraakt
Het weekend bracht een lawine aan incidenten. ChipSoft bevestigde vrijdag 18 april 2026 via een update op de eigen informatiepagina dat er bij de ransomware aanval toch medische patiëntgegevens zijn gestolen, eerdere berichten van de NOS blijken daarmee juist. De Waalse gemeente Anderlues werd op 19 april door ransomwaregroep TheGentlemen op de leaksite gezet, en gemeente Temse haalde zondag preventief alle online diensten offline in overleg met het Centre for Cybersecurity Belgium. Zimperium zLabs bracht vier nieuwe Android malwarefamilies in kaart die ruim 800 bank en crypto apps bestormen, waaronder RecruitRat via valse vacatures. De nieuwe Europese leeftijdsverificatie app, die minderjarigen moet beschermen tegen schadelijke online content, werd in minder dan twee minuten door security consultant Paul Moore omzeild. ShinyHunters stelde 2,1 miljoen Amtrak klantgegevens online via Have I Been Pwned, de Franse basketbalfederatie FFBB verloor 1,9 miljoen ledendata aan HexDex. Verder een kritieke remote code execution bug in protobuf.js met bijna 50 miljoen wekelijkse downloads, een publieke PoC voor FortiSandbox, drie actief misbruikte Windows zero days, en NIST die per 15 april stopt met het verrijken van lage prioriteit CVE's. Oekraïense hackers openden de gordijnen bij een besloten vergadering van het Russische ministerie van Industrie over droneproductie.
NIS2 deadline, Nginx UI misbruikt en AI agents onder vuur
Twee drukke nieuwsdagen op rij. In België gaat op 18 april 2026 de NIS2 deadline voor essentiële entiteiten in, en in Nederland heeft de Tweede Kamer de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten aangenomen. Onderzoekers vonden een kritieke kwetsbaarheid in Nginx UI die zonder authenticatie volledige servertoegang geeft en actief wordt misbruikt, Cisco patchte een remote code execution lek in Identity Services Engine met CVSS 9.9 en Microsoft bracht tijdens Patch Tuesday 163 fixes uit waarvan acht kritiek. Aanvallers richten zich in de meest actuele campagne via prompt injection in GitHub pull requests op AI agents als Claude Code, Gemini en GitHub Copilot, en een nieuw vishing platform met de naam ATHR automatiseert telefonische fraude voor 4.000 dollar plus tien procent commissie. Verder bevestigde Cognizant een ransomware incident door Coinbasecartel, en veroordeelden Amerikaanse rechters twee Amerikanen tot 108 en 92 maanden cel voor het inzetten van Noord-Koreaanse IT werknemers bij meer dan honderd Amerikaanse bedrijven.
Booking en Basic-Fit gelekt, Kamervragen over ChipSoft
Twee grote datalekken raken deze week rechtstreeks honderdduizenden Nederlandse consumenten. Booking.com bevestigde dat onbevoegden boekingsdetails, namen, adressen en telefoonnummers hebben ingezien, en Basic-Fit meldde dat persoonsgegevens van ongeveer 200.000 Nederlandse leden mogelijk zijn buitgemaakt. In Den Haag stelden D66 en GroenLinks-PvdA Kamervragen over de hack bij ChipSoft en de afhankelijkheid van een enkele dominante leverancier in de zorg. Ondertussen ontdekte beveiligingsbedrijf Socket meer dan honderd malafide extensies in de Chrome Web Store die Google OAuth tokens stelen, en verdween er via de Apple App Store in enkele dagen 9,5 miljoen dollar aan cryptocurrency na een valse Ledger Live app. Microsoft bracht in de patchronde van april fixes uit voor 165 kwetsbaarheden, en Anthropic liet zien dat een nieuw taalmodel zelfstandig kritieke kwetsbaarheden in besturingssystemen en browsers kan vinden.
Supply chain aanvallen, Marimo gehackt en FBI leest Signal
Aanvallers misbruiken steeds vaker de vertrouwensrelaties tussen softwareleveranciers en cloudservices. De officiele website van CPUID verspreidde zes uur lang malware via de downloads van CPU-Z en HWMonitor, ShinyHunters stal authenticatietokens om via Anodot in Snowflake omgevingen te komen en de Lazarus Group registreerde legale Amerikaanse bedrijven als dekmantel voor malwarecampagnes. Ondertussen werd een kritieke kwetsbaarheid in het Python notebook platform Marimo binnen tien uur na openbaarmaking actief misbruikt. De FBI liet in een rechtszaak zien dat gewiste Signal berichten te herstellen zijn via de notificatiedatabase van een iPhone. En ransomwaregroepen breiden hun arsenaal uit met bijna negentig verschillende tools om beveiligingssoftware uit te schakelen.
ChipSoft ransomware treft zorg, VENOM steelt executive logins en 7 jaar cel
Een ransomware aanval op EPD leverancier ChipSoft treft de hele Nederlandse zorg, elf ziekenhuizen halen hun portalen offline en de Tweede Kamer stelt vragen over de gevaarlijke afhankelijkheid van een handvol leveranciers. Cybercriminelen misbruiken echte Meta notificaties om meer dan veertigduizend phishing mails te versturen en het gesloten VENOM platform jaagt specifiek op CEO's en CFO's. Het updatesysteem van een populaire WordPress plugin wordt gekaapt voor een volledige supply chain aanval en onderzoekers ontdekken dat het CLAUDE.md bestand van AI assistent Claude Code misbruikt kan worden voor SQL injectie. In de rechtbank krijgt een 24 jarige man uit Delfzijl zeven jaar cel voor het stelen van 900.000 euro via bankhelpdeskfraude.