S02E40
De gevolgen van supply chain aanvallen worden steeds groter. Het AI platform Mercor verliest 4 terabyte aan data nadat een kwaadaardig Python pakket duizenden bedrijven trof. Starbucks ziet 10 gigabyte aan firmware en broncode lekken. En zelfs Anthropic lekt per ongeluk de broncode van hun AI tool Claude Code via een fout op NPM. Ondertussen stelen hackers gelinkt aan Noord-Korea $280 miljoen van een DeFi platform, geeft ShinyHunters Cisco een ultieme deadline, en maakt AI het voor criminelen mogelijk om ook kleine organisaties te targeten met business email compromise. In Nederland debatteert de Tweede Kamer over nazorgplicht voor datalekslachtoffers, terwijl in Belgie een stad zich vrijwillig laat hacken voor televisie.
Supply chain aanvallen raken de hele keten
De supply chain blijft het favoriete aanvalspunt van cybercriminelen. AI platform Mercor, dat samenwerkt met bedrijven als OpenAI en Anthropic en in oktober 2025 werd gewaardeerd op 10 miljard dollar, bevestigde een ernstig datalek. De hackersgroep Lapsus$ claimt 4 terabyte aan data te hebben gestolen, waaronder 939 gigabyte aan broncode, een database met 211 gigabyte aan gebruikersgegevens, en 3 terabyte aan opslagbuckets met video interviews en identiteitsverificatie paspoorten. De aanval kwam voort uit de compromittering van het open source project LiteLLM, waarbij kwaadaardige code werd geïnjecteerd in Python pakketten die duizenden organisaties automatisch installeerden.
Tegelijkertijd claimt de ransomware groep ShadowByt3s 10 gigabyte aan data te hebben gestolen van Starbucks, waaronder firmware voor drankautomaten in hex formaat, broncode van het Global Management dashboard en interne branding materialen. De groep stelde een deadline van 5 april voor losgeld en werft actief corporate insiders met een 30/70 opbrengstverdeling. De firmware bestanden voor Mastrena II espressomachines en FreshBlends drankstations vertegenwoordigen de controlelogica voor fysieke machines in tienduizenden locaties wereldwijd. In verkeerde handen kan dit leiden tot hardwaremanipulatie of reverse engineering van de drankautomatisering.
In een opvallend incident lekte Anthropic per ongeluk de broncode van Claude Code via een update op NPM. Versie 2.1.88 bevatte een 60 megabyte debugging bestand waarmee de volledige broncode, ongeveer 1.900 bestanden en 500.000 regels code, kon worden gereconstrueerd. Ontwikkelaars ontdekten onder meer een "Proactive mode" waarin de AI 24/7 codeert en een "Dream mode" voor achtergrondprobleemoplossing. Anthropic verstuurde DMCA meldingen om verdere verspreiding tegen te gaan.
$280 miljoen gestolen en ShinyHunters stelt Cisco een ultimatum
Hackers gelinkt aan Noord-Korea hebben minstens 280 miljoen dollar gestolen van het DeFi handelsplatform Drift Protocol. Blockchain onderzoekers Elliptic en TRM Labs bevestigen de link op basis van on-chain indicatoren die consistent zijn met de werkwijze van Noord-Korea, waaronder het gebruik van Tornado Cash en patronen die overeenkomen met de eerdere hack van Bybit. De aanvallers namen administratieve bevoegdheden over door vooraf ondertekende transacties en een multisig goedkeuring van twee van de vijf leden van de Security Council. Alle functies van het platform, dat 200.000 handelaren en een handelsvolume van meer dan 55 miljard dollar claimde, zijn bevroren.
ShinyHunters, door Google Threat Intelligence aangeduid als UNC6040, heeft Cisco een "laatste waarschuwing" gegeven met een deadline van 3 april 2026. De groep claimt toegang tot meer dan drie miljoen records via drie routes: een eerdere campagne, Salesforce omgevingen en gecompromitteerde AWS accounts. Screenshots tonen toegang tot een AWS omgeving met een organisatorisch overzicht, wat duidt op toegang tot meerdere gekoppelde accounts. Eerder publiceerde dezelfde groep al 350 gigabyte aan data van de Europese Commissie.
Adobe bevestigde een datalek waarbij 13 miljoen support tickets, 15.000 werknemersgegevens, alle HackerOne submissions en interne documenten zijn buitgemaakt via een BPO partner. De dreigingsactor Mr. Raccoon claimt verantwoordelijk te zijn. Het speelgoedbedrijf Hasbro, bekend van Monopoly en Transformers, meldde eveneens een cyberaanval aan de beurswaakhond SEC. Systemen zijn offline gehaald en leveringsvertragingen worden verwacht. Het bedrijf telt 5.000 medewerkers en bestaat al 103 jaar.
AI maakt cybercrime toegankelijk voor iedereen
Cisco Talos waarschuwt dat business email compromise door AI nu rendabel is voor aanvallen op kleine organisaties. Waar BEC zich historisch richtte op grote bedrijven vanwege de hoge potentiele uitbetalingen, maakt AI het mogelijk om snel en goedkoop informatie te verzamelen over lokale verenigingen en kleine bedrijven. Door AI gegenereerde content kunnen criminelen de juiste terminologie gebruiken en de toon van een organisatie nabootsen, waardoor het scannen van kleinere bedragen bij veel slachtoffers net zo winstgevend wordt.
Microsoft bevestigt deze trend met cijfers. Door AI gegenereerde phishing haalt een click-through rate van 54 procent, vergeleken met 12 procent bij traditionele campagnes, een stijging van 450 procent. Tycoon2FA, een phishing platform dat verantwoordelijk was voor 62 procent van alle phishing pogingen die Microsoft maandelijks blokkeerde, is eerder deze maand ontmanteld door Microsoft's Digital Crimes Unit in samenwerking met Europol. Het platform specialiseerde zich in het omzeilen van multi-factor authenticatie door credentials en sessie tokens in real-time te onderscheppen.
Daarnaast ontdekte Microsoft een nieuwe dreigingsactor die Linux hosting omgevingen aanvalt met door cookies gecontroleerde PHP webshells. De aanvallers gebruiken een gelaagd systeem waarbij een cron job regelmatig het kwaadaardige bestand herplaatst als het wordt verwijderd, een self-healing mechanisme dat standaard incident response bemoeilijkt. In dezelfde periode bracht de Storm infostealer nieuw gevaar voor Chrome gebruikers. De malware omzeilt Googles App-Bound Encryption en steelt sessiecookies, waardoor multi-factor authenticatie irrelevant wordt. De tool wordt verkocht als abonnement vanaf 300 dollar en heeft al 1.715 slachtoffers gemaakt.
Qilin groeit, Tweede Kamer wil nazorgplicht en Herentals laat zich hacken
Cisco Talos publiceert een uitgebreide analyse van Qilin ransomware, die verantwoordelijk was voor 16 procent van alle ransomware incidenten in Japan in 2025. Een nieuw ontdekte EDR killer kan meer dan 300 verschillende endpoint beveiligingsoplossingen uitschakelen via DLL side-loading, waardoor aanvallers ongestoord kunnen opereren. Het MKB is het primaire doelwit met 57 procent van de getroffen organisaties, gevolgd door de maakindustrie met 28 procent. De ransomware implementeert geo fencing en sluit systemen uit die zijn geconfigureerd voor talen uit post Sovjet landen.
In Nederland nam de Tweede Kamer unaniem een motie aan die de regering oproept onderzoek te doen naar een wettelijke nazorgplicht bij grote datalekken. Kamerleden Kathmann en Dassen stellen dat slachtoffers van incidenten zoals bij Odido en Bevolkingsonderzoek Nederland vaak met praktische vragen blijven zitten over hoe ze zichzelf kunnen beschermen. De resultaten worden verwacht in het derde kwartaal van 2026.
In Belgie liet de stad Herentals zich vrijwillig hacken door ethische hackers voor de Streamz reeks "Hacked". Burgemeester Jan Bertels gaf in het geheim toestemming voor het project, dat de zwakke punten in de cyberbeveiliging van de stad blootlegde. Het initiatief onderstreept dat ook lokale overheden kwetsbaar zijn en dat bewustzijn een eerste stap is naar betere beveiliging.
Ondertussen blijven ook waterbedrijven doelwit. Een waterzuiveringsinstallatie in Minot, North Dakota, werd twee weken geleden getroffen door ransomware. De installatie bleef operationeel, maar medewerkers voerden 16 uur lang handmatige procedures uit om de waterveiligheid te garanderen. De FBI onderzoekt het incident. Waterbedrijven hebben de afgelopen twee jaar te maken met een golf van aanvallen door zowel cybercriminelen als statelijke actoren, mede door een gebrek aan financiering voor beveiligingsmaatregelen.
De belangrijkste punten
- Mercor AI verliest 4 terabyte: Lapsus$ steelt broncode, gebruikersdata en identiteitsverificatie van een $10 miljard platform via supply chain aanval op LiteLLM
- $280 miljoen gestolen van Drift Protocol: Hackers gelinkt aan Noord-Korea gebruiken vooraf ondertekende transacties om administratieve controle over te nemen
- ShinyHunters stelt Cisco ultimatum: Deadline 3 april voor 3 miljoen records, eerder al 350 gigabyte van Europese Commissie gelekt
- AI maakt phishing 450% effectiever: Microsoft rapporteert dat door AI gegenereerde phishing 54% click-through haalt, Tycoon2FA ontmanteld
- Qilin ransomware schakelt 300+ beveiligingstools uit: EDR killer via DLL side-loading, MKB is primair doelwit
- Tweede Kamer wil nazorgplicht datalekken: Unaniem aangenomen motie voor wettelijk kader bij grote incidenten
Lees ook
- S02E39: Drie NL datalekken, Noord-Korea hackt Axios en AI vindt kwetsbaarheden - Achtergrond bij de Axios supply chain aanval die Mercor trof
- S02E38: TeamPCP vergiftigt alles, Telegram zero-day en FBI gehackt - Eerdere supply chain dreigingen en TeamPCP
- S02E37: Ajax gehackt, politie doelwit en iPhone exploits op straat - Nederlandse incidenten en Apple exploits
Mis geen enkel Cyber Journaal - schrijf je in
Bron: Cybercrimeinfo, ondezoeksteam
Klik door naar al het nieuws in categorie 1.0 Slachtoffers in België en Nederland, 2.0 Cyberoorlog en hybride oorlog, 3.0 Kwetsbaarheden in software (CVE’s), 4.0 Dreigingen, 5.0 Opsporingsnieuws en 6.0 Algemeen gerelateerd cyber nieuws.