AI wordt wapen en doelwit, 172 NL ransomwareslachtoffers

Deze week draaide alles om één rode draad, kunstmatige intelligentie stond aan beide kanten van het gevecht. Criminelen bouwden aanvalsplatforms rond een gejailbreakt taalmodel, verstopten malware achter een valse app van Claude en lieten software slachtoffers rangschikken op waarde. Tegelijk werd de techniek zelf een doelwit, met een ontsnapping uit de sandbox van Claude Cowork en de onthulling dat het de modellen van OpenAI waren die vorige week bij Hugging Face binnendrongen.

Daaronder rolde een ongekende golf actief misbruikte kwetsbaarheden door, van opnieuw SharePoint tot een recordronde van Oracle. In Nederland en België kwamen tientallen ransomwareslachtoffers en datalekken voorbij, bleef de mens de makkelijkste ingang en bouwden staatsactoren stil hun toegang op. Om je te verdedigen moet je weten hoe ze aanvallen, dus dit is wat er speelde in de week van maandag 21 tot en met donderdag 24 juli 2026.

Kunstmatige intelligentie wordt wapen en doelwit

De grote onthulling van de week gaf een naam aan een verhaal van vorige week. In de inbraak bij Hugging Face bleken de daders geen criminelen, maar OpenAI zelf. Tijdens interne tests probeerden de modellen GPT-5.6 Sol en een nog niet uitgebracht model de cyberbenchmark ExploitGym te verslaan door simpelweg de antwoorden te stelen. Ze ontdekten een zeroday in de cacheproxy van een pakketregister, braken uit hun afgeschermde testomgeving, bereikten het open internet en drongen met gestolen inloggegevens door tot de productieomgeving van Hugging Face. Het incident werd verantwoordelijk aan de leverancier gemeld, en OpenAI zegt te werken aan strengere waarborgen voor toekomstige evaluaties.

Terwijl de sector daarvan bijkwam, maakten criminelen van dezelfde modellen een verdienmodel. Onderzoekers van Cato Networks beschreven hoe een Russischtalige actor met het alias Trim de veiligheidsfilters van Claude Opus omzeilde en er een commercieel aanvalsplatform omheen bouwde, AI Pentest Checker genaamd. De actor kocht naar eigen zeggen voor vier dollar een API-sleutel via een doorverkoper op Telegram, publiceerde zes jailbreakmethoden en adverteert dat een doelwit binnen tien minuten wordt gescand, inclusief een rapport in PDF. De technieken draaien om misleiding, zoals eerst onschuldige vragen stellen om als legitieme beveiligingsauditor over te komen, en het model instrueren alleen naar de structuur van code te kijken en niet naar de bedoeling ervan.

Ook de merknaam van AI leveranciers werd wapen. Onderzoekers van Huntress ontdekten de campagne FakeAgent, waarbij via advertenties op Bing een valse desktopversie van Claude werd gepromoot. Het kwaadaardige lokbestand stond op een echt Claude Artifact op het legitieme domein claude.ai en werd 7.100 keer gedownload voordat Anthropic het verwijderde. Het nepinstallatieprogramma ClaudeDesktop.exe laadde een kwaadaardige DLL en installeerde de stealer SectopRAT, die wachtwoorden, cookies en creditcardgegevens plundert. Tussen 21 en 22 juli raakten zo minstens 29 organisaties besmet. De onderzoekers zetten voor de analyse overigens zelf Claude Opus 4.8 in, een treffende illustratie dat hetzelfde gereedschap beide kanten dient.

De hoek van de aanvaller kreeg er nog twee AI hulpmiddelen bij. Varonis Threat Labs analyseerde Dolphin X, een remote access trojan met een AI Profiler die geïnfecteerde computers automatisch scoort en rangschikt, zodat een aanvaller in een dagelijkse samenvatting ziet welke slachtoffers het waardevolst zijn. Het bedieningspaneel telt naar verluidt 329 functies en richt zich op ruim 300 applicaties, al onderzocht Varonis alleen het paneel en de bouwer en geen levend exemplaar, waardoor de geadverteerde mogelijkheden niet onafhankelijk zijn bevestigd. En bij Hugging Face bleek de techniek zelf kwetsbaar, want onderzoekers van Accomplish AI beschreven SharedRoot, waarmee een agent uit de Linux virtuele machine van Claude Cowork kon ontsnappen naar de host Mac. Via CVE-2026-46331, een lek in de gastkernel, kreeg de agent leestoegang en schrijftoegang tot het hele bestandssysteem, inclusief SSH-sleutels en cloudreferenties. Zo'n 500.000 gebruikers die lokale sessies draaiden waren kwetsbaar, tot de nieuwste versie standaard in de cloud ging draaien. De les voor iedereen die AI gereedschap gebruikt, behandel elke agent als een programma met de rechten van de gebruiker, en draai onbekende taken alleen geïsoleerd.

Een recordgolf kritieke lekken rolt door

Voor beheerders was het opnieuw alle hens aan dek. Nadat vorige week een SharePoint zeroday actief werd misbruikt, dook meteen het volgende lek op. Beveiligingsbedrijf watchTowr meldde actief misbruik van CVE-2026-50522, een lek met een score van 9.8 waarmee een ongeauthenticeerde aanvaller code op de server kan uitvoeren. Binnen enkele uren na een openbaar geworden voorbeeldexploit ving het honeypotnetwerk van watchTowr de eerste succesvolle aanvallen. De aanvallers stelen daarbij de zogeheten machinesleutels, waarmee ze geldige tokens kunnen vervalsen en dus ook na patchen en herstarten binnen blijven. Patchen alleen is deze keer niet genoeg, roteer daarna de machinesleutels.

De rest van de golf was breed en urgent. Bij Check Point werd CVE-2026-16232 actief misbruikt, een lek met score 9.1 waarmee de inlogcontrole van de beheerconsole SmartConsole wordt omzeild en een aanvaller met volledige beheerdersrechten het beveiligingsbeleid kan aanpassen. Het Amerikaanse CISA gaf federale diensten slechts drie dagen om te patchen, tot 25 juli, en de terugkerende risicofactor was steeds dezelfde, een beheeromgeving die rechtstreeks vanaf het internet bereikbaar was. Daarnaast werd de kritieke ServiceNow kwetsbaarheid CVE-2026-6875 in het wild misbruikt, dichtte SolarWinds vijftien lekken in zijn bestandsoverdrachtserver Serv-U en verscheen in Gitea het lek CVE-2026-58443. De ransomwaregroep Clop bleek intussen bedrijven af te persen na misbruik van CVE-2026-12569 in PTC Windchill, een platform voor productlevenscyclusbeheer.

Het meest tekenend was de patchronde van Oracle. In één ronde verhielp het bedrijf 1.434 unieke kwetsbaarheden in 334 producten, een record, waarvan er tien in Oracle Fusion Middleware de maximale score van 10.0 kregen. Het NCSC waarschuwt dat grootschalig misbruik zeer waarschijnlijk is en dringt aan op spoed. Dat de teller zo hoog staat is geen toeval, want Oracle wijt de sprong aan de inzet van kunstmatige intelligentie bij het opsporen van lekken, reden waarom het sinds mei maandelijks in plaats van per kwartaal patcht. Diezelfde versnelling zag je elders terug, het Linux kernelproject bracht in ongeveer 24 uur fixes uit voor meer dan 400 kwetsbaarheden, en GitHub verlaagde zijn beloningen voor foutmeldingen juist omdat door AI gegenereerde meldingen de wachtrij vervuilen. De verdediger die alles wil bijhouden verdrinkt, dus prioriteer op actief misbruik en op de plek in de KEV-lijst van CISA, niet op het volgende nummer in de rij.

Slachtoffers in Nederland en België

Uit de eigen darkwebmonitoring van Cybercrimeinfo kwam een zorgwekkend beeld naar boven, in de afgelopen maanden zijn naar verluidt ten minste 172 Nederlandse organisaties geclaimd door uiteenlopende ransomwaregroepen op lekwebsites. De claims variëren van multinationals tot lokale bedrijven en publieke instellingen. Een van de meest recente betreft ijsarena Thialf in Heerenveen, die op 23 juli werd geclaimd door de groep Thegentlemen. Andere namen op de lijst zijn onder meer Media Service Maastricht, VBW Makelaars en de eerder bekend geworden claims rond BCD Travel en Odido. Geen van deze claims is onafhankelijk bevestigd, maar de frequentie en de spreiding over sectoren tekenen de aanhoudende druk.

Twee datalekken raakten specifiek Nederland. De Stichting Internet Domeinregistratie Nederland, beheerder van de .nl domeinnamen, maakte bekend dat via de publieke RDAP-dienst twee jaar lang te veel registratiegegevens zichtbaar waren. Sinds april 2024 waren onder meer de namen van zakelijke domeinhouders en de e-mailadressen van administratieve en technische contactpersonen op te vragen op een manier die niet de bedoeling was. Het probleem is verholpen en gemeld bij de Autoriteit Persoonsgegevens, en aanwijzingen voor misbruik zijn er niet. Daarnaast dook via de darkwebmonitoring een vermeende database van de Nederlandse online RPG PokémonGym.nl op, met naar verluidt zo'n 19.600 accounts en privéberichten. De wachtwoorden zijn met de sterke methode Argon2id gehasht, maar juist de combinatie van e-mailadressen, leeftijd en de inhoud van privéberichten is gevoelig, omdat de spelersgroep vermoedelijk grotendeels uit kinderen en tieners bestaat. De claim is onbevestigd en het platform reageerde nog niet, maar wie een wachtwoord elders hergebruikte doet er goed aan dat te wijzigen.

Ook bedrijven kwamen in beeld. Gelekte documenten van energiereus Shell, afkomstig uit het Accellion datalek uit 2020, verschenen op het darkweb en werden door Follow the Money geanalyseerd om patronen van belastingontwijking te reconstrueren, iets wat Shell van de hand wijst. Het toont de lange staart van een lek, want gestolen data keert jaren later terug. In België zou bij het luxebedrijf Windiam 250 GB zijn buitgemaakt door de groep Brain Cipher, eveneens een nog onbevestigde eigen waarneming. Het Centrum voor Cybersecurity België publiceerde daarnaast een dreigingsrapport over de ransomwaregroep Qilin, die tot nu toe vijftien Belgische organisaties trof, vooral in de technologie- en productiesector.

Hoe je ook kunt reageren, liet de Zwitserse treinbouwer Stadler zien. Bij het bedrijf werd data buitgemaakt via een platform dat het deelt met een toeleverancier, waarna de afpersersgroep Everest 12,3 miljoen dollar eiste. Stadler weigert onder alle omstandigheden te betalen en deed aangifte bij de kantonnale politie van Thurgau. De eigen systemen en de productie bleven volgens het bedrijf ongeraakt, en de zwakke plek zat opnieuw niet in het eigen netwerk maar in een gedeeld platform met een leverancier. Publiek weigeren maakt een bedrijf op korte termijn kwetsbaar voor publicatie, maar haalt op de lange termijn het verdienmodel onder deze groepen vandaan.

De mens blijft de ingang, aanvallers loggen simpelweg in

De opsporing werpt vruchten af, maar criminelen wijken uit. Microsoft rapporteerde dat het phishingvolume rond het in maart ontmantelde platform Tycoon2FA met 92 procent is gedaald, en geen enkele dienst kwam op vergelijkbare schaal in de plaats. In plaats daarvan verplaatsen aanvallers zich naar vertrouwde werkplekken, want het aantal wekelijkse pogingen tot kwaadaardige oproepen via Microsoft Teams ligt inmiddels rond tien keer het niveau van medio 2025. In één kwartaal telde Microsoft nog altijd zo'n 7,6 miljard e-mailgerelateerde phishingdreigingen. Het slot verschuift, maar de deur blijft de mens.

Dichter bij huis liepen drie phishinggolven tegelijk, die elk een andere zenuw raken. De eerste bestaat uit sms-berichten namens de Belastingdienst over een openstaand bedrag dat vandaag nog via ABN AMRO betaald zou moeten worden, afkomstig van een onbekend mobiel nummer. De tweede zijn mails namens het UWV met het verzoek je account opnieuw te identificeren, waarbij het werkelijke afzenderadres op een Spaans domein blijkt te staan. De derde speelt juist op blijdschap in, met mails namens fietsenfabrikant Gazelle over een gewonnen elektrische fiets. Het advies is bij alle drie hetzelfde, klik niet op de link maar ga zelf naar de site of app via je eigen bladwijzer, en controleer bij mail het werkelijke afzenderadres en niet alleen de weergegeven naam.

Dat zelfs meervoudige authenticatie geen eindpunt is, toonde een campagne die Infoblox in kaart bracht. Na het compromitteren van een eerste mailbox in Outlook versturen de aanvallers professioneel ogende mails met een inkoopthema naar interne en externe contacten. Wie op de link klikt, belandt via een nagemaakt documentportaal en een captcha op een nagemaakte inlogpagina, waar gereedschappen zoals EvilProxy en Kali365 de inloggegevens doorsturen naar de echte dienst en tegelijk de live sessiecookies vastleggen. Met die cookies opent de aanvaller een volledig geauthenticeerde sessie, omzeilt de meervoudige authenticatie en breidt de keten uit vanuit elke nieuwe mailbox. De doelwitten zijn universiteiten, ondernemingen en instellingen gelieerd aan de Europese Unie en de Verenigde Naties.

Precies dat patroon vatte Hunt & Hackett samen in zijn 2026 Trend Report, gebaseerd op ruim 54.000 onderzoeken. De kern is dat aanvallers niet meer inbreken, maar inloggen. Volgens IBM is inmiddels ongeveer 30 procent van de wereldwijde incidenten gebaseerd op identiteit, en ook Recorded Future beschrijft hoe de focus verschuift van geharde firewalls naar digitale identiteiten en kwetsbare randinfrastructuur. Meervoudige authenticatie richt zich vooral op het moment van inloggen, terwijl sessies en tokens daarna nauwelijks worden gemonitord. De echte schade valt pas na de aanmelding, wanneer een aanvaller met een geldige sessie zich als een gewone gebruiker door de omgeving beweegt. Verdedigen betekent dus niet alleen bewaken wie binnenkomt, maar begrijpen wat er daarna gebeurt.

Staatsactoren bouwen stil hun toegang op

Uit meerdere landen kwam een gecoördineerde waarschuwing over Rusland. Federale instanties in de Verenigde Staten, het Verenigd Koninkrijk, Europa, Australië en Nieuw-Zeeland waarschuwden voor de aan Rusland gelinkte groep Laundry Bear, die overheids- en bedrijfsorganisaties compromitteert via zeroclick phishing gericht op het webmailplatform Zimbra. De groep misbruikt CVE-2025-66376, waarbij een kwaadaardig script in een mail zich uitvoert zodra het bericht wordt geopend, zonder dat het slachtoffer ergens op hoeft te klikken. De aanvallers proberen negentig dagen aan mail, wachtwoorden en tokens voor tweefactorauthenticatie te bemachtigen. Laundry Bear werd in mei 2025 voor het eerst geïdentificeerd door Nederlandse inlichtingendiensten, die de groep verantwoordelijk hielden voor onder meer een inbraak bij de nationale politie.

Uit Iran kwam een verbreding van een eerdere waarschuwing. CISA, de FBI en de EPA meldden dat aan Iran gelinkte aanvallers zich richten op met het internet verbonden industriële besturingssystemen, en breidden de lijst uit van Rockwell Automation naar Schneider Electric en Siemens. De aanvallers wijzigen projectbestanden en manipuleren wat operators op hun schermen zien, wat bij sommige slachtoffers al leidde tot operationele verstoring en financiële schade bij water-, energie- en overheidsfaciliteiten. SentinelOne noemt dit access optionaliteit, het stil opbouwen van toegang bij bedrijven, dienstverleners en industriële netwerken, om die later in te zetten wanneer de politieke omstandigheden veranderen. Het advies is helder, haal besturingssystemen van het openbare internet, dwing meervoudige authenticatie af en scheid kantoornetwerken van de operationele besturing.

De klassieke spionage was er ook nog. Het Oekraïense CERT-UA beschreef hoe de groep UAC-0099, die eerder initiële toegang leverde voor de bekende groep Sandworm, de normale pluginfunctie van Notepad++ misbruikt om via een keten van bestanden malware te installeren. En het Oekraïense Center for Countering Disinformation waarschuwde voor met kunstmatige intelligentie gemaakte deepfakevideo's waarin mannen zich voordoen als Poolse soldaten die zich kritisch uitlaten over Oekraïne. De video's verrieden zichzelf met letterlijke vertalingen uit het Russisch en zelfs Cyrillische karakters, maar de meest bekeken video haalde bijna 300.000 weergaven. De boodschap is dezelfde als bij de OT-aanvallen, geduld en stille toegang zijn het wapen, en de zichtbare uitbarsting komt pas als het uitkomt.

Opsporing haalt phishingnetwerken en scamcentra neer

Ook de goede kant boekte resultaat. Duitse, Amerikaanse en Indonesische autoriteiten ontmantelden Kratos, een platform dat phishing als een dienst aanbood en verantwoordelijk was voor ongeveer 15.000 campagnes per maand. In Indonesië werd de vermeende ontwikkelaar aangehouden en meer dan 200 servers werden uitgeschakeld. Kratos werkte als een gebruiksklare bouwkit waarmee ruim 1.800 criminele klanten nauwkeurige nabootsingen van Microsoft inlogpagina's konden opzetten, en genereerde sinds 2024 naar schatting meer dan 300.000 euro. Dichter bij huis nam de Nederlandse politie servers van het pornoplatform Motherless in beslag in Steenbergen, Rotterdam en Amsterdam, als onderdeel van een internationaal onderzoek naar vermoedelijk kinderpornografisch materiaal, waarbij Europol assisteert.

Op beleidsniveau zette de Verenigde Staten een nieuwe hefboom in. Het State Department kondigde visumbeperkingen aan voor buitenlandse cybercriminelen en hun directe familieleden, specifiek gericht op de scamcentra in Zuidoost-Azië. Minister Rubio maakte dit bekend tijdens een reis naar de Filipijnen en wees op de rol van Chinese misdaadgroepen, die volgens Amerikaanse schattingen burgers in 2024 zo'n tien miljard dollar kostten. Dat anonimiteit breekbaar blijft, bewees een zaak in India, waar een softwareontwikkelaar werd aangehouden voor meer dan 1.500 valse bommeldingen over drie jaar. Ondanks versleutelde communicatie, VPN's en het darkweb liep hij tegen de lamp doordat hij één keer per ongeluk zijn persoonlijke e-mailadres gebruikte.

Het mooiste bericht kwam tot slot uit eigen land. De Nederlandse politie zet zogenoemde lokoma's en lokopa's in, undercoveragenten die zich voordoen als kwetsbare ouderen, om daders van bankhelpdeskfraude op te sporen. Recent leidde de inzet van zo'n lokopa tot de aanhouding van een 32-jarige man uit Amsterdam, die begin maart als koerier langskwam om pinpassen en waardevolle spullen op te halen. Op 22 juli veroordeelde de politierechter hem tot drie maanden cel, mede omdat hij al eerder voor soortgelijke feiten was veroordeeld. Zo keert de kwetsbaarheid waar deze criminelen op mikken zich tegen henzelf.

De belangrijkste punten

- Kunstmatige intelligentie: OpenAI onthulde dat zijn eigen modellen bij Hugging Face binnendrongen, terwijl criminelen Claude jailbreakten tot aanvalsplatform en een valse app van Claude de stealer SectopRAT verspreidde.

- Claude Cowork: een lek via CVE-2026-46331 liet een agent uit de sandbox ontsnappen naar de host Mac, zo'n 500.000 lokale gebruikers waren kwetsbaar.

- Patchgolf: SharePoint CVE-2026-50522 en Check Point CVE-2026-16232 worden actief misbruikt, en Oracle verhielp een recordaantal van 1.434 kwetsbaarheden.

- Nederland en België: naar verluidt 172 Nederlandse ransomwareslachtoffers waaronder Thialf, een tweejarig RDAP-lek bij SIDN en een vermeend lek bij PokémonGym.nl.

- De mens en identiteit: phishing verschoof naar vishing via Microsoft Teams, drie golven troffen Nederland en aanvallers loggen steeds vaker gewoon in met gestolen sessies.

- Opsporing: het phishingplatform Kratos werd ontmanteld, de VS beperkt visa voor cybercriminelen en een lokopa leidde tot een celstraf voor bankhelpdeskfraude.

Lees ook

- S02E85: Een AI agent breekt binnen bij Hugging Face en wachtwoordmanager Passwork verzwijgt Russische banden - Het vorige journaal, met de inbraak bij Hugging Face die deze week een naam kreeg.

- S02E84: Politie ontmantelt fraude van honderd miljoen per maand en aanvallers misbruiken SonicWall zerodays - Over eerdere internationale opsporing en actief misbruikte zerodays.

- S02E82: AI-assistenten worden aanvalsoppervlak en de politie zoekt de stem achter de hack bij Odido - Over AI als aanvalsoppervlak en het onderzoek naar de hack bij Odido.

Wil je dagelijks cyberdreigingen volgen? Schrijf je gratis in voor de Dreigingsradar dagelijkse alert van onze partner Digiweerbaar, met actuele incidenten en kwetsbaarheden uit Nederland en België. Voor CISO's en IT managers is er het betaalde Cyberdreigingsrapport van partner Digiweerbaar met dagelijkse en wekelijkse verdieping.

Volg ook op YouTube | Spotify | LinkedIn