S02E13
De gebeurtenissen van de afgelopen 48 uur tonen aan hoe diep digitale kwetsbaarheden kunnen ingrijpen in zowel de nationale veiligheid als de persoonlijke levenssfeer. Terwijl ziekenhuizen bij onze zuiderburen kampen met de directe gevolgen van recente gijzelsoftware, worden Nederlandse patiënten geconfronteerd met datalekken bij hun huisartsenpost. Internationaal zien we een verharding in cyberconflicten, waarbij energievoorzieningen doelwit zijn van gecoördineerde sabotage en regeringsleiders in de regio waarschuwen voor spionagepraktijken, zelfs door bevriende naties.
Problemen met loonbetalingen in ziekenhuizen en diefstal van intieme patiëntgegevens
De ontwrichtende impact van ransomware is momenteel pijnlijk zichtbaar in de medische sector, waar de ziekenhuisgroep az Monica in Antwerpen en Deurne sinds de aanval van 13 december 2025 kampt met grote administratieve achterstanden. Het HR systeem is nog steeds offline, waardoor het personeel deze maand noodgedwongen via voorschotten van negentig procent op hun salaris wordt uitbetaald. In Nederland is huisartsenorganisatie Medrie getroffen door een datalek nadat een aanvaller toegang kreeg tot het emailaccount van een medewerker, waarbij de persoonsgegevens van ruim tweeëntwintighonderd patiënten uit de regio Zwolle zijn blootgesteld. Ook op internationaal vlak is er sprake van grootschalige inbreuken; hackersgroep ShinyHunters claimt data te hebben gestolen van Match Group, het moederbedrijf van populaire datingapps zoals Tinder en Hinge. De aanvallers gebruikten een infostealer om sessiecookies te buitmaken, waarbij het ontbreken van phishing resistente multifactorauthenticatie hen ongehinderd toegang gaf tot gevoelige klantgegevens. Daarnaast kreeg het Franse France Travail een miljoenenboete van toezichthouder cnil vanwege ernstige tekortkomingen in de beveiliging die leidden tot het uitlekken van gegevens van miljoenen werkzoekenden.
Kritieke lekken in cloudomgevingen en netwerkapparatuur vereisen onmiddellijke actie
Systeembeheerders worden geconfronteerd met een reeks kritieke kwetsbaarheden die de toegang tot bedrijfsnetwerken wijd openzetten. Het Nationaal Cyber Security Centrum adviseert direct updates te installeren voor Citrix adc en Gateway vanwege een lek waarmee aanvallers zonder authenticatie code kunnen uitvoeren. Ook Ivanti endpoint manager mobile bevat een zeroday kwetsbaarheid die actief wordt misbruikt en inmiddels is toegevoegd aan de lijst van bekende geëxploiteerde lekken. Een specifiek risico voor de regio vormt een authenticatiefout in FortiCloud sso, waardoor aanvallers met één set inloggegevens toegang kunnen krijgen tot firewalls en switches; in Nederland zijn nog ruim tweehonderd systemen kwetsbaar. Verder zijn er in de industriële sector zorgen over encoders van KiloView en de beheersoftware van Rockwell Automation, waar lekken zijn gevonden die kunnen leiden tot het uitvallen van productieprocessen door denial of service aanvallen. Ook in veelgebruikte software zoals Winrar en de automation tool n8n zijn gaten gedicht die aanvallers in staat stelden om systemen over te nemen via gemanipuleerde bestanden en code injectie.
Criminelen verfijnen hun tactieken met kunstmatige intelligentie en misleidende extensies
Het dreigingslandschap wordt complexer door de inzet van nieuwe technologieën en geraffineerde misleiding. Een Vietnamese groep verspreidt de purerat malware via valse vacatures en maakt daarbij gebruik van ai gegenereerde code om detectie door beveiligingssoftware te omzeilen. Consumenten lopen gevaar door een kwaadaardige chrome extensie genaamd Amazon Ads Blocker, die zich voordoet als advertentiestop maar in werkelijkheid affiliate tags vervangt om commissies van aankopen te stelen. Daarnaast is er een toename van agressieve phishing, waarbij emails die lijken op officiële poststukken gepersonaliseerde foto's van de woning van de ontvanger bevatten om de geloofwaardigheid te vergroten. Gamers zijn het doelwit van malware die verstopt zit in mods voor Roblox, terwijl mac gebruikers via zoekmachines worden gelokt naar valse opschoonprogramma's die in werkelijkheid spionagesoftware installeren. Een andere zorgwekkende trend is de voorspelbaarheid van wachtwoordwijzigingen; aanvallers maken gebruik van 'near-identical' hergebruik, waarbij ze raden hoe gebruikers hun wachtwoord minimaal aanpassen om aan beleidsregels te voldoen.
Politie pakt grootschalige fraudenetwerken aan en haalt illegale platforms offline
Opsporingsdiensten hebben diverse successen geboekt in de strijd tegen zowel lokale fraudeurs als internationale criminele infrastructuren. In een reeks operaties zijn verdachten aangehouden voor babbeltrucs en bankhelpdeskfraude, waaronder een zaak waarbij een bejaarde man uit Herent voor ruim veertigduizend euro werd opgelicht door nepmedewerkers. In Amsterdam kon de politie daders traceren die een man hadden beroofd nadat zij via een datingapp een afspraak hadden gemaakt. Ook in Hippolytushoef werden nepagenten op heterdaad aangehouden nadat zij probeerden waardevolle spullen van bewoners te ontfutselen. Op internationaal niveau heeft de fbi het beruchte cybercrimeforum ramp in beslag genomen en zijn beheerders van de darkweb marktplaatsen Empire Market en Kingdom Market schuldig bevonden aan grootschalige handel in illegale goederen. Google heeft daarnaast het ipidea botnet ontmanteld, een netwerk dat miljoenen residentiële ip adressen misbruikte om aanvallen en fraude te maskeren achter legitiem lijkend internetverkeer.
Sabotage van Poolse stroomvoorziening en waarschuwingen voor spionage door bondgenoten
De digitale oorlogvoering vertoont steeds vaker fysieke symptomen met directe gevolgen voor de energievoorziening. Het Poolse elektriciteitsnet was doelwit van een gecoördineerde aanval op dertig faciliteiten, waarbij de Russische groep Sandworm betrokken lijkt te zijn en belangrijke operationele technologie werd gemanipuleerd. Los daarvan werd in Rusland zelf een grote bakkerijfabriek in Vladimir getroffen door een aanval die de productie en leveringen volledig ontregelde, hoewel de exacte daders hier nog niet formeel zijn geïdentificeerd. In België heeft premier De Wever gewaarschuwd voor de kwetsbaarheid van het land voor spionage, waarbij hij expliciet aangaf dat ook bondgenoten misbruik kunnen maken van digitale zwakheden om informatie te vergaren. In India is een campagne blootgelegd waarbij hackers via clouddiensten zoals Google Drive backdoors verspreidden bij diverse overheidsinstanties. De Verenigde Staten benadrukken ondertussen de noodzaak van hun surveillancewetgeving om buitenlandse dreigingen te monitoren, ondanks de aanhoudende discussie over de privacy van eigen burgers en bondgenoten.
Toenemende druk op data soevereiniteit en strengere regels voor cryptoplatforms
De bescherming van burgergegevens en de afhankelijkheid van buitenlandse techbedrijven staan hoog op de politieke agenda. Er is maatschappelijke discussie ontstaan over de overstap van de Sociale Verzekeringsbank naar de cloud van Microsoft Azure, waarbij zorgen leven over de mogelijke inzage in gegevens door buitenlandse mogendheden. Deze vrees wordt ondersteund door rapporten dat inlichtingendiensten mogelijk toegang kunnen krijgen tot digid gegevens via Amerikaanse techleveranciers. Privacyorganisatie Noyb bekritiseert toezichthouders omdat zij te weinig sancties zouden opleggen voor avg overtredingen, terwijl WhatsApp in een rechtszaak ontkent privacyregels te hebben geschonden. Om consumenten te beschermen, voert Apple nieuwe functies in die gebruikers meer controle geven over hun locatieprivacy en blokkeert Pornhub bezoekers uit het Verenigd Koninkrijk vanwege nieuwe, strikte regels voor leeftijdsverificatie. Het kabinet werkt ondertussen aan wetgeving die cryptobedrijven verplicht om klantgegevens te delen met de fiscus om belastingontduiking effectiever te bestrijden.
Dit was het voor vandaag! Tot morgen! En als je het interessant vond, stuur het dan door naar je vrienden en collega’s.
Ontdek meer over cybercrime en het darkweb in onze uitgebreide bibliotheek. Voor een gestructureerd overzicht van relevante onderwerpen kun je terecht op onze onderwerpenpagina, waar je een alfabetisch gerangschikte lijst vindt.
Bron: Cybercrimeinfo, ondezoeksteam
Altijd op de hoogte
Ontvang het Cyber Journaal meerdere keren per week, doorgaans tussen 12:00 en 14:00 uur. Schrijf je in en ontvang het automatisch in je mailbox.
Door de drukte kan het soms iets langer duren voordat het inschrijfformulier wordt geladen.
Recente journalen
INT geclaimd, Clinical Diagnostics en Kamervragen Canvas
In de periode van woensdag 13 mei tot en met donderdag 14 mei 2026 publiceerde The Gentlemen ransomwaregroep het Instituut voor de Nederlandse Taal als nieuw slachtoffer op haar darkweb portaal, terwijl op een ondergronds forum werd beweerd dat het Belgische medische platform cabinetmedical.be via een SQL kwetsbaarheid is gecompromitteerd met circa 10.000 patiëntgegevens. De Inspectie Gezondheidszorg en Jeugd maakte op 13 mei bekend dat medisch laboratorium Clinical Diagnostics ten tijde van een cyberaanval niet voldeed aan de wettelijk verplichte NEN 7510 norm voor informatiebeveiliging in de zorg, waarbij de gegevens van 850.000 vrouwen uit het bevolkingsonderzoek baarmoederhalskanker zijn gestolen. Tegelijkertijd heeft de ShinyHunters Canvas zaak een politieke dimensie gekregen, met vragen in de Tweede Kamer aan twee ministers en een oproep van de Amerikaanse Huizencommissie voor Binnenlandse Veiligheid aan Instructure om te getuigen.
Odido ShinyHunters aanval, TeamPCP Jenkins en INT offline
In de periode van dinsdag 12 mei tot en met woensdag 13 mei 2026 deelde Odido voor het eerst gedetailleerde informatie over hoe ShinyHunters erin slaagde de gegevens van 6,2 miljoen klanten te stelen via een telefoontje naar de klantenservice. Terwijl CEO Søren Abildgaard compensatie afwees en een massaclaim in voorbereiding is, escaleert de dreigingsgroep TeamPCP haar supply chain aanvallen met gecompromitteerde versies van de officiële Jenkins plugin van Checkmarx, honderden pakketten op npm en de Python client van Mistral. Ondertussen heeft het Instituut voor de Nederlandse Taal zijn websites offline gehaald na een hack op 5 mei en heeft het Openbaar Ministerie de operationele schade van de aanval op zijn Citrix omgeving van juli 2025 beschreven.
Universiteiten en ShinyHunters, Crimenetwork en TCLBanker
In de periode van vrijdag 8 mei tot en met zondag 10 mei 2026 kwamen meerdere universiteiten in contact met ShinyHunters over de gestolen Canvas data, terwijl Instructure opvallend afwezig bleef op de leksite van de groep. De BKA maakte definitief een einde aan het opnieuw opgestarte Crimenetwork en arresteerde de beheerder op Mallorca in samenwerking met de Spaanse autoriteiten. Ondertussen verspreidt de TCLBanker bankentrojan zich via WhatsApp en Outlook richting Europa, viel het Nederlandse constructiebedrijf VeriCon ten prooi aan de ransomwaregroep thegentlemen en publiceerden onderzoekers bewijs van haalbaarheid voor twee kritieke kwetsbaarheden in Linux containeromgevingen waarvoor nog geen patch beschikbaar is.
ShinyHunters Canvas 12 mei, 7 NL universiteiten, Animo IBAN
In de periode van 6 mei tot en met 7 mei 2026 ontsierden aanvallers van ShinyHunters de inlogportalen van meerdere universiteiten met een losgeldboodschap en verschoven zij de deadline voor de bij Canvas LMS gestolen data van 7 mei naar 12 mei 2026. Koepelorganisatie Universiteiten van Nederland bevestigde dat zeven grote universiteiten zijn getroffen, waaronder de Universiteit van Amsterdam, de Vrije Universiteit Amsterdam en de Erasmus Universiteit Rotterdam. Belgische instellingen waaronder de Vrije Universiteit Brussel, Thomas More en Arteveldehogeschool meldden dat persoonsgegevens van studenten zijn buitgemaakt. Tegelijkertijd werden drie Belgische bedrijven in één dag slachtoffer van ransomware, trof een datalek bij sportketen Animo 105.000 Belgische klanten met bankgegevens, en publiceerde Microsoft en het Australian Cyber Security Centre waarschuwingen over drie parallelle ClickFix campagnes die via nep hulpartikelen macOS gebruikers en cryptowalletbezitters doelwit maken.
Canvas 44 NL instellingen gelekt, Edge wachtwoorden onveilig
In de periode van 4 mei tot en met 5 mei 2026 bevestigde Instructure, het Amerikaanse bedrijf achter onderwijsplatform Canvas, dat de groep ShinyHunters 3,65 terabyte aan persoonsgegevens heeft gestolen van 9.000 onderwijsinstellingen en 275 miljoen gebruikers wereldwijd. Van de getroffen instellingen bevinden zich 44 in Nederland, waaronder hogescholen, universiteiten en mbo instellingen verspreid over het land. ShinyHunters stelde een deadline van 6 mei voor betaling. Dezelfde groep publiceerde eerder in de week ook de persoonlijke gegevens van 119.200 Vimeo gebruikers na een mislukte afpersing via externe leverancier Anodot. Beveiligingsonderzoeker @L1v1ng0ffTh3L4N maakte op 29 april bekend dat Microsoft Edge alle opgeslagen wachtwoorden bij het opstarten direct als platte tekst in het procesgeheugen laadt, een gedrag dat Microsoft erkent als bewuste ontwerpkeuze. Via het netwerk van Cybercrimeinfo werd een actieve aanval via de ClickFix methode gesignaleerd op een website die circuleert onder internetgebruikers in Nederland, met al minstens één bevestigd slachtoffer. Kaspersky stelde vast dat de officiële website van Daemon Tools al wekenlang malware verspreidt via een supply chain aanval, waarbij een selecte groep slachtoffers waaronder overheden en fabrieken een remote access trojan heeft ontvangen.
cPanel 44.000 installaties gecompromitteerd, ShinyHunters lekt Aman Resorts en Raptor Supplies Wemeldinge op darkweb
In de periode van 1 mei tot en met 3 mei 2026 bevestigde de Shadowserver Foundation dat minimaal 44.000 IP-adressen van cPanel installaties actief zijn gescand na exploitatie van CVE-2026-41940, met op 1 mei alleen al meer dan vijftienduizend nieuwe kwaadaardige cPanel hosts in één dag. Op hetzelfde moment publiceerde ShinyHunters de gegevens van 215.600 gasten van luxehotelgroep Aman Resorts en bevestigde Canonical een aanhoudende DDoS aanval op de Ubuntu webinfrastructuur door de Iran gelinkte groep 313 Team. Onderzoekers van Check Point Research en Halcyon maakten bekend dat de VECT 2.0 ransomware in de praktijk als wiper functioneert, waardoor bestanden onherstelbaar vernietigd worden zelfs na betaling van losgeld. Cybercrimeinfo ontdekte op het darkweb dat de criminele groep FulcrumSec gestolen data publiceert van Raptor Supplies, een Britse leverancier met een Nederlandse vestiging in Wemeldinge. Nieuw verschenen ransomwaregroep CMD Organization postte zijn eerste twee slachtoffers in een veilingformaat. En het Martini Ziekenhuis in Groningen bevestigde na drie weken volledig herstel van het patiëntenportaal Mijn Martini, getroffen door de ransomware aanval op EPD leverancier ChipSoft op 7 april.
Kifid kantelt aansprakelijkheid bij bankhelpdeskfraude, Kanters Lieshout gehackt en AI coderingstools blijven dominant risico
De woensdag en donderdag van 29 en 30 april 2026 leverden drie ontwikkelingen op die de afgelopen weken in een ander licht stellen. Het Kifid heeft de drempel voor "grof nalatig" bij bankhelpdeskfraude fors hoger gelegd, banken zijn voortaan vaker zelf aansprakelijk en moeten in beginsel het volledige niet toegestane bedrag terugbetalen, terwijl Belgische politiezones Minos, Rupel en Hekla infoavonden organiseren tegen een aanhoudende stijging van meldingen. Cybercrimeinfo verifieerde een tip over de overgenomen website van waterspecialist Kanters Lieshout, waar een opportunistische actor 0,1 bitcoin afpersing eist via Twitter contact, een ander profiel dan de gevestigde ransomwaregroepen die NL en BE de afgelopen weken raakten. En na de eerdere PocketOS-database-vernietiging in S02E51 zijn er nu vier nieuwe AI tool incidenten op een week tijd, Cursor met een onopgeloste extensiekwetsbaarheid (CursorJacking, CVSS 8.2), Jerry's Store dat zelf 345.000 creditcards openbaarde via een AI vibecoding fout, een gepatchte Gemini CLI met CVSS 10.0 score, en staatssecretaris Aerdts (Digitale Economie) die formeel waarschuwt tegen autonome AI assistenten zoals OpenClaw op systemen met persoonsgegevens. Daarnaast breidde de Mini Shai-Hulud campagne van TeamPCP uit van vier SAP CAP npm pakketten naar PyTorch Lightning op PyPI plus intercom-client en intercom-php op Packagist, vier ecosystemen tegelijk binnen 36 uur.
Apt73 raakt twee Belgische organisaties, ChipSoft claimt data vernietigd en LiteLLM actief misbruikt
De maandag en dinsdag van 27 en 28 april 2026 leverden drie ontwikkelingen op die de discussie van de afgelopen weken doortrekken. De ransomwaregroep Apt73 plaatste op een dag twee Belgische organisaties op het lekplatform, een Oost-Vlaams staalbedrijf en een Waalse zorggroep met meerdere ziekenhuizen. ChipSoft meldde dat de eerder deze maand gestolen patiëntengegevens niet zijn gepubliceerd en volgens eigen onderzoek zijn vernietigd, een claim die volledig leunt op de mededeling van de aanvaller. En de open source LLM proxy LiteLLM wordt sinds ongeveer 36 uur na publieke disclosure actief misbruikt om API sleutels van OpenAI, Anthropic en Bedrock te stelen. Daarnaast bevestigde Vimeo een datalek via het analyseplatform Anodot, lekte LAPSUS$ 96 GB Checkmarx data ook via clearnet portals en werden tientallen Visual Studio Code extensies op Open VSX besmet met de GlassWorm credential stealer. Drie supply chain aanvallen op een week tijd, plus een data lek bij AI trainingsbedrijf Mercor van 4 TB stemopnamen gekoppeld aan paspoorten van 40.000 contractors.
ShinyHunters bij ADT en Udemy, DigiD blijft bij Solvinity en Palantir bij de Marechaussee
Het weekend van 24 tot en met 26 april 2026 leverde drie ontwikkelingen op die de discussie van eerdere weken doortrekken. ShinyHunters publiceerde binnen 24 uur twee grote slachtoffers, ADT en Udemy, beide via vishing tegen een SSO-account. Het kabinet besloot daarnaast om DigiD bij Solvinity te houden, ondanks Kamerverzet en een aangekondigde Amerikaanse overname. En WOO stukken openbaarden dat de Koninklijke Marechaussee jarenlang gebruik maakte van Palantir, terwijl de minister dat in een Kamerantwoord ontkende. Daarnaast staan in Nederland en België 3.793 Zimbra servers ongepatcht, voegde CISA vier actief misbruikte CVE's toe aan de Known Exploited Vulnerabilities catalogus en publiceerde Silverfort een privilege escalation in Microsoft Entra Agent ID die inmiddels is gepatcht.
ChipSoft ransomware, Rituals 41 miljoen en FIRESTARTER
Woensdag en donderdag brachten drie onwelkome waarheden voor Nederlandse en Belgische organisaties. Een Nederlandse zorgsoftware-leverancier onderhandelt met een ransomwaregroep over 100 GB aan patiëntdata, een bekend Nederlands cosmeticamerk verliest persoonsgegevens van 41 miljoen leden wereldwijd, en CISA onthult dat aanvallers via nieuwe FIRESTARTER-malware persistente toegang behouden tot Cisco-firewalls, ook nadat organisaties keurig patchen. Daarnaast waarschuwden de MIVD en NCSC-UK voor Chinese cyberoperaties, nadert de CISA KEV-deadline van 28 april voor SharePoint, Defender en beide Cisco ASA-CVE's, en openbaarde Socket een supply chain-aanval op de Checkmarx KICS Docker-images die CI/CD-pijplijnen wereldwijd raakt.
Odido massaclaim, Vercel via AI tool en Kentico direct actief misbruikt
Maandag en dinsdag brachten twee tempoverhogingen in het Nederlandse en Belgische dreigingsbeeld. Consumers United in Court startte maandag een collectieve rechtszaak tegen Odido waarin de meldplicht en de bewaartermijn van miljoenen gegevens centraal staan, diezelfde dag dook een dataset met 400.000 Bol.com klantrecords op hackfora op. Dinsdag maakte Vercel openbaar dat een AI-presentatietool op één medewerkersapparaat het startpunt was van een complete Google Workspace overname, losgeldeis twee miljoen dollar via de ShinyHunters-persona. CCB Belgium en CISA KEV zetten tegelijkertijd drie CVE's in het rood waarvan JetBrains TeamCity een EPSS van 92 procent scoort, Kentico Xperience een CVSS van 9.8 kent en PaperCut NG/MF als ransomwarevector bekend staat. Kaspersky analyseerde de voorheen ongedocumenteerde Lotus wiper die medio december 2025 Venezolaanse energie- en nutsbedrijven trof, en de Franse identiteitsdocumenten-instantie ANTS bevestigde een datalek waarbij een dreigingsactor op hackfora claimt tot negentien miljoen records te bezitten. BeyondTrust publiceerde het dertiende Microsoft Vulnerabilities Report waarin de kritieke kwetsbaarheden in 2025 verdubbelden ondanks een daling in totaal aantal. De Noord-Koreaanse actor UNC1069 en Kaspersky's analyse van FakeWallet in de Chinese Apple App Store onderstrepen dat cryptocurrency en Web3 professionals een hoofddoel blijven.
ChipSoft bevestigt diefstal, Belgische gemeenten onder druk en EU leeftijdsapp gekraakt
Het weekend bracht een lawine aan incidenten. ChipSoft bevestigde vrijdag 18 april 2026 via een update op de eigen informatiepagina dat er bij de ransomware aanval toch medische patiëntgegevens zijn gestolen, eerdere berichten van de NOS blijken daarmee juist. De Waalse gemeente Anderlues werd op 19 april door ransomwaregroep TheGentlemen op de leaksite gezet, en gemeente Temse haalde zondag preventief alle online diensten offline in overleg met het Centre for Cybersecurity Belgium. Zimperium zLabs bracht vier nieuwe Android malwarefamilies in kaart die ruim 800 bank en crypto apps bestormen, waaronder RecruitRat via valse vacatures. De nieuwe Europese leeftijdsverificatie app, die minderjarigen moet beschermen tegen schadelijke online content, werd in minder dan twee minuten door security consultant Paul Moore omzeild. ShinyHunters stelde 2,1 miljoen Amtrak klantgegevens online via Have I Been Pwned, de Franse basketbalfederatie FFBB verloor 1,9 miljoen ledendata aan HexDex. Verder een kritieke remote code execution bug in protobuf.js met bijna 50 miljoen wekelijkse downloads, een publieke PoC voor FortiSandbox, drie actief misbruikte Windows zero days, en NIST die per 15 april stopt met het verrijken van lage prioriteit CVE's. Oekraïense hackers openden de gordijnen bij een besloten vergadering van het Russische ministerie van Industrie over droneproductie.