S03E16: Iran en de koelingen, datalek bij AllUnited

S03E16

Op maandag 9 november schreef Frankrijk de sabotage van de koelinstallaties in ongeveer 700 Franse winkels toe aan cybereenheden van de Iraanse Revolutionaire Garde. Het parket van Parijs opende een gerechtelijk onderzoek tegen de leider van een van die eenheden, Shahid Kaveh, en zijn twee plaatsvervangers. In België, waar begin november ook koelingen werden ontregeld, zei de minister van Binnenlandse Zaken dat er aanwijzingen zijn voor mogelijke Iraanse betrokkenheid, en sprak de minister van Buitenlandse Zaken hem dezelfde dag tegen. Ondertussen vonden Nederlandse onderzoekers zes nieuwe lekken in een veelgebruikte koelregelaar, en waarschuwde het Duitse BSI op vrijdag dat ook de nieuwste software daarvan mogelijk niet veilig is.

Zeven dagen, zaterdag 7 tot en met vrijdag 13 november, en 296 berichten. Daarin ook een datalek bij AllUnited dat volgens een woordvoerder alle ongeveer 1500 Nederlandse sportverenigingen raakt die het systeem gebruiken, een week waarin aanvallers binnenkwamen via de beheergereedschappen van IT dienstverleners, nieuwe verslagen over aanvallen met AI agenten met het tegenwicht dat erbij hoort, twee grote internationale politieacties met Nederlandse deelname, en zoals elke week de claims van criminelen, met wat er wel en niet vaststaat.

Frankrijk noemt Iran, België weet het nog niet

Volgens het Franse CERT-FR werden in de nacht van 11 op 12 oktober de koelregelaars van ongeveer 700 Franse winkels aangevallen, in een aanval die het rapport ongekend in omvang en agressiviteit noemt. Het Franse centrum voor cybercrises schrijft die aanval toe aan Shahid Kaveh en Shahid Shoostari, twee offensieve eenheden van het centrum voor elektronica en cyber van de Iraanse Revolutionaire Garde. Volgens het parket van Parijs leidde de aanval tot grote voedselverliezen en ongeveer twintig branden. Procureur Laure Beccuau noemt een werkwijze die kenmerkend is voor de eenheid, het gebruik van Farsi en IP adressen die wijzen naar apparaten in Iran. Minister van Buitenlandse Zaken Barrot kondigde aan de Iraanse ambassadeur te ontbieden en Europese sancties na te streven. Teheran ontkent de verantwoordelijkheid en noemt de aantijgingen ongegrond.

In België liep het anders. Minister van Buitenlandse Zaken Maxime Prévot zei op dinsdag 10 november dat er geen aanwijzingen zijn die toelaten de Belgische incidenten aan Iran of een andere actor toe te schrijven. Op donderdag 12 november zei minister van Binnenlandse Zaken Bernard Quintin tegen persagentschap Belga dat de veiligheidsdiensten wel aanwijzingen zien voor mogelijke banden met bekende Iraanse actoren. Prévot sprak hem dezelfde dag tegen, en ook het federaal parket kon de uitspraken van Quintin volgens VRT NWS in dit stadium niet bevestigen. Een officiële beschuldiging gebeurt volgens Prévot pas na onderzoek door de bevoegde diensten en overleg binnen de federale regering. Getroffen bedrijven deden aangifte bij de lokale politie, en die meldingen gaan naar de Federale Cybercriminaliteitseenheid.

Wat ik daarvan vind? Twee ministers die op één dag iets anders zeggen over wie een land aanviel, helpen niemand. De voorzichtigheid van Prévot is de juiste. Een toeschrijving is een uitspraak met diplomatieke en soms militaire gevolgen, en die hoort op bewijs te rusten dat is onderzocht, niet op een inschatting die een minister aan de pers geeft. Frankrijk had wel eigen onderzoek, maar publiceerde volgens KELA geen technische indicatoren. KELA volgde zelf adressen van een lijst van CISA met Iraanse actoren en zag één ervan op 6 oktober poort 505 aftasten bij 17 hosts in Europa, waaronder drie in België. Dat laat zien dat het adres zocht, niet wat het vond.

Het tegenwicht hoort erbij, ook bij deze zaak. SOCRadar en Sekoia beschrijven allebei een aanval die niet geavanceerd was. Volgens SOCRadar gebruikten de aanvallers geen onbekende lekken, maar zochten ze beheerinterfaces op die vanaf internet bereikbaar waren en logden ze in met openbaar gedocumenteerde fabriekswachtwoorden. Het aantal bereikbare koelregelaars van Danfoss StoreView en Copeland en Dixell XWEB daalde volgens Censys tussen 9 oktober en 5 november van 6.695 naar 3.124 hosts. Dat is goed nieuws. Maar volgens metingen van The Shadowserver Foundation stonden er nog 170 controllers van Danfoss online zonder updates die al meer dan een jaar bestaan, waarvan negen in Nederland. Of die al zijn aangevallen, is niet bekend.

En dan Midnight Blue. Onderzoeker Carlo Meijer van dit Nederlandse beveiligingsbedrijf vond binnen een uur zes nieuwe kwetsbaarheden in de systeemmanager 800A van Danfoss, in alle versies tot en met 5.3.2, op dat moment de nieuwste. Een aanvaller kan daarmee zonder in te loggen eigen code uitvoeren en het apparaat volgens Midnight Blue zo saboteren dat het vervangen moet worden. De lekken zijn vertrouwelijk aan Danfoss gemeld, dus er zijn nog geen details. Op vrijdag 13 november waarschuwde ook het Duitse BSI voor nieuwe kwetsbaarheden in de AK-SM 800A, in firmware tot en met minstens versie 5.3.2. Danfoss bracht in november firmware 5.4.0 uit. Het BSI schreef eerst dat die versie niet getroffen is, maar trok dat dezelfde middag in, en sluit nu niet uit dat ook 5.4.0 kwetsbaar is. Actief misbruik van deze lekken is volgens het BSI niet bekend. Wie bijwerkt naar 5.4.0, kan volgens Danfoss niet meer terug naar een oudere versie. Het advies van Midnight Blue en het BSI gaat daarom verder dan patchen. Het BSI adviseert de regelaars niet met internet te verbinden en, is beheer op afstand toch nodig, er minstens een VPN voor te zetten. Midnight Blue raadt aan in kaart te brengen welke regelaars bereikbaar zijn, ook via een 4G modem van de installateur, en de beheerinterface alleen bereikbaar te maken via een VPN, een private APN of een strikte lijst van toegestane adressen. In de vorige aflevering beschreef ik de golf van 1 op 2 november zelf.

AllUnited, de ledenlijst van de sportclub

Op maandagavond 9 november misbruikte een onbekende aanvaller een fout in de software van AllUnited, het systeem waarmee sportclubs en bonden hun ledenadministratie bijhouden, en kopieerde hij gegevens uit de database. AllUnited meldt dat de aanvaller via het inschrijfformulier op een clubwebsite toegang kreeg tot een van de servers. Het bedrijf ontdekte het lek op 10 november en dichtte het dezelfde dag. Volgens een woordvoerder tegenover Omroep Brabant zijn alle ongeveer 1500 Nederlandse sportverenigingen die AllUnited gebruiken getroffen. Hockeyclub Were Di in Tilburg en rugbyclub The Dukes in Den Bosch informeerden hun leden al.

Bij leden gaat het volgens AllUnited onder meer om naam, adres, geboortedatum, telefoonnummer, mailadres en IBAN, voor zover dat was ingevoerd. Van gebruikers met een account in de administratie is ook het versleutelde wachtwoord buitgemaakt, en omdat de aanvaller ook heeft meegenomen hoe die versleuteling werkt, kan hij de wachtwoorden met genoeg tijd en rekenkracht toch achterhalen, schrijft AllUnited in een mail die Tweakers inzag. Tijdelijke wachtwoorden die leden nog niet hadden veranderd, stonden zelfs leesbaar opgeslagen. AllUnited stelt alle wachtwoorden opnieuw in, heeft het datalek bij de Autoriteit Persoonsgegevens gemeld en doet aangifte. Na overleg met de AP mag het bedrijf het lek ook namens clubs melden; ruim 350 verenigingen hadden dat volgens Omroep Brabant al zelf gedaan.

Het risico zit niet in de ledenlijst zelf, maar in wat ermee kan. De cricketbond KNCB waarschuwt dat criminelen met deze gegevens berichten kunnen maken die eruitzien alsof ze van de eigen club of bank komen. Een mail over de contributie, met uw naam, uw team en uw IBAN erin, oogt geloofwaardig. Dat is precies het punt. Ouders, let ook op berichten over uw kinderen, want als u een kind als lid hebt ingeschreven, kunnen ook diens gegevens zijn geraakt.

AllUnited stond deze week niet alleen. Bij Topgeschenken, bekend van Topbloemen en Toptaarten, stelde het bedrijf op 5 november vast dat onbevoegden toegang hadden tot de IT omgeving, en op 9 november meldde het dat naam, adres, mailadres, geboortedatum, geslacht en soms telefoonnummers van klanten en ontvangers zijn gekopieerd. Bij Cloudbear, een leverancier van onderzoeksbureau Abbi Insights, ontstond een datalek met 128.000 mailadressen van bezoekers van De Vrienden van Amstel LIVE en Amstel LIVE in de Kroeg. En cadeaubonnendienst Bongo stelde op 3 november vast dat onbevoegden toegang hadden tot een van zijn platforms, waarbij namen en mailadressen van klanten kunnen zijn ingezien. Bij Topgeschenken, Amstel en Bongo zijn volgens de bedrijven geen betaalgegevens geraakt. Dat klopt waarschijnlijk, maar het maakt de gestolen gegevens niet onschuldig. Wie weet dat u bloemen bestelde of een concert van Amstel LIVE bezocht, heeft een verhaal om u te bellen.

De sleutelbos van de IT dienstverlener

Veel kleine bedrijven laten hun computers beheren door een IT dienstverlener, die daarvoor beheergereedschap gebruikt waarmee hij bij veel klanten tegelijk kan werken. Deze week ging het daar twee keer mis. Op zondag 8 november publiceerde onderzoeker Sean Bales ruim dertig vermeende kwetsbaarheden in N-central van N-able, met werkende aanvalscode en zonder het bedrijf vooraf in te lichten. N-able haalde zijn gehoste omgeving offline, bracht op 10 november een hotfix uit en het NCSC publiceerde advies NCSC-2026-0478. Op 12 november publiceerde Bales nieuwe aanvalscode, 4EverAble2Shell, die volgens hem ook na die hotfix werkt. Binnen enkele uren zag Previdian verkenning, en volgens Huntback draaiden diezelfde dag 21 overgenomen servers een miner voor cryptomunten, waarvan 19 met de nieuwste hotfix. Volgens N-able speelt dit alleen als de Legacy API aanstaat en vanaf internet bereikbaar is, en die staat standaard uit.

Ik ben er niet blij mee hoe dit naar buiten kwam. Bales meldde de lekken volgens N-able niet via de vaste kanalen, en de aanvalscode stond online voordat er een oplossing was. Wie wil dat lekken gedicht worden, geeft de maker eerst die kans. Dat neemt niet weg dat ruim dertig vermeende lekken in één beheerplatform ook iets zeggen over dat platform.

Bij ScreenConnect van ConnectWise lag de oorzaak elders. Op 11 november gebruikten aanvallers volgens Huntress de functie Run Command in ScreenConnect om eigen clients en een toolkit, SCKit, te installeren op minstens 288 apparaten bij 48 organisaties, via minstens zes IT dienstverleners, allemaal binnen 90 minuten. Volgens Huntress kwamen ze waarschijnlijk binnen via een fout in RMM+, een extensie van een andere maker die een lege toegangssleutel accepteerde als een beheerder die nooit had ingesteld. ConnectWise schakelde vijf extensies uit die familie uit in ongeveer 400 omgevingen en vond geen aanwijzingen voor een inbraak in de eigen systemen of voor een lek in ScreenConnect zelf als manier van binnenkomen. Volgens Huntress waren de meeste installaties van RMM+ ooit voor een project geplaatst en daarna blijven staan.

Dat laatste is de les die ik eruit haal. Een extensie die u ooit voor één klus installeerde, is na die klus nog steeds een deur. Hetzelfde patroon zag ik deze week bij Qubole, een dataplatform. Volgens Wiz en Sentra namen aanvallers tussen 14 en 26 oktober met inloggegevens van een AWS account van Qubole de rollen over die klanten ooit voor Qubole hadden aangemaakt, en haalden ze bij meer dan twaalf organisaties gegevens weg. Volgens Sentra stonden veel van die rollen nog aan, lang nadat bedrijven met het platform waren gestopt. Vraag uw IT dienstverlener dus niet alleen welke beveiliging hij heeft, maar ook welke koppelingen, extensies en accounts er nog bij u staan van werk dat al lang af is.

AI agenten aan het werk, en wat het tegenwicht laat zien

Vorige week schreef ik over ARTEX, een raamwerk waarin AI agenten inbraaktests grotendeels zelfstandig uitvoeren. Deze week kwam er een verslag bij van een verdediger die er middenin stond. Eye Security hielp een groot Europees platform voor online handel, dat het niet bij naam noemt, tijdens een aanval met gereedschap dat volgens de sporen op ARTEX wijst. De aanvallers kwamen binnen via een kwetsbare uploadfunctie in eigen PHP code en zochten vooral naar wat snel geld oplevert, met name cadeaubonnen. Een gestolen API sleutel werd binnen minuten gebruikt. Toen een limiet de verzoeken weigerde, hadden de agenten in ongeveer drie minuten een nieuwe versie die bij elk verzoek een ander IP adres in de header zette. Toen de systemen na een dag weer online gingen, was de aanvaller binnen een uur terug, omdat die nog toegang had tot het broncodebeheer.

Bij de Duitse webhost Mittwald is ingebroken via een lek in de eigen MCP server, een koppeling waarmee AI hulpmiddelen opdrachten op een platform uitvoeren. Volgens oprichter Robert Meyer bewoog de aanvaller zich soms met maar enkele seconden tussen stappen waarvoor een mens veel meer tijd nodig heeft, en vermoedt Mittwald daarom de inzet van AI. Unit 42 telde in oktober 609 servers op internet waarop ARTEX draaide, en SOCRadar bevestigde op 11 november 916 open consoles in de Verenigde Staten. SOCRadar benadrukt dat een deel daarvan van geautoriseerde testers is.

Nu het tegenwicht, en dat is deze week stevig. Recorded Future onderzocht 103 incidenten tussen juli 2025 en juli 2026 waarin AI deel uitmaakte van een echte kwaadaardige campagne. De conclusie is dat AI vooral bekende aanvallen, zoals phishing, afpersing en inbraak via de leveringsketen, sneller en overtuigender maakt, en dat volledige automatisering nog zeldzaam is. Symantec beschrijft een inbraak bij een Amerikaanse retailer waarbij de aanvallers halverwege overstapten op scripts die vermoedelijk met AI waren gemaakt. De pauzes tussen die scripts waren nooit korter dan zeven seconden. Volgens Symantec wijst dat op een mens die uitvoer doorgeeft aan een AI hulpmiddel, niet op een zelfstandige agent. En Unit 42 zag aanvallers met het raamwerk Cairn grotendeels zelfstandig bij tien organisaties binnenkomen, maar wel via bekende zwakke plekken, zoals standaardwachtwoorden, openstaande API's voor de cloud en oude CVE's. Volgens Unit 42 blijven goede omgang met identiteiten, een kleiner aanvalsoppervlak en bijwerken effectief. Twee verslagen van deze week passen in dat beeld. SOCRadar vond in de code van een Russischtalige actor, die met het phishingplatform XaocMail en het stuurkanaal Phantom53 doelwitten in onder meer Spanje aanvalt, sporen van ontwikkeling en tests met AI, waaronder taakstructuren van Claude Code. En Darktrace liet in een afgeschermde labomgeving zien dat de geheugenopslag van agenten van Claude als stuurkanaal kan dienen, maar alleen als een aanvaller al een apparaat en de inloggegevens van een gebruiker heeft. Volgens Darktrace gaat het om misbruik van legitieme functies, niet om een kwetsbaarheid, en is de techniek niet in het wild gezien.

De verdediging gebruikt dezelfde techniek. Fortinet meldt bij een deel van de kritieke lekken die het op 10 november dichtte dat het die zelf vond met hulp van een AI model, en Ivanti schrijft dat taalmodellen lekken vonden die traditionele hulpmiddelen misten. Het FORGE Lab van Microsoft meldde met zijn AI systeem 59 fouten in de Linux kernel, die er gemiddeld ruim acht jaar in zaten. Wat ik ervan vind? Wat ik vorige week schreef, geldt nog steeds. Bij de aanvallers vindt AI geen nieuwe deuren uit, het probeert sneller welke deuren al open stonden. Het verslag van Eye Security laat ook zien wat werkte. De agenten waren luidruchtig, lieten hun naam achter in testverzoeken en vielen direct op bij systemen met endpointbeveiliging.

Binance, het witwassen en het beslag

Bij Binance werd op 29 oktober voor meer dan 6 miljard dollar aan cryptovaluta gestolen, waarover ik in S03E14 en de vorige aflevering schreef. Deze week maakte het Amerikaanse ministerie van Justitie bekend dat het van de rechter toestemming kreeg om meer dan 1,2 miljard dollar daarvan in beslag te nemen of te blokkeren. Overheid en bedrijfsleven samen hebben volgens het ministerie meer dan 2,7 miljard dollar bevroren. Tegelijk nam de FBI cloudinfrastructuur in beslag van FaceStealer, een werkwijze van Noord-Koreaanse hackers met nagemaakte videogesprekken, die volgens het ministerie in anderhalf jaar meer dan 400 miljoen dollar aan cryptovaluta opleverde.

Blockchainanalist Elliptic beschrijft hoe het witwassen verloopt, via meer dan 20.000 wallets op 16 blockchains, met ongeveer elke 30 seconden een nieuwe wallet. Volgens Elliptic staat nog ongeveer 3,0 miljard dollar op adressen die aan de diefstal zijn gekoppeld. Het spoor blijft dus zichtbaar, en dat is het tegenwicht. De extra stappen vertragen het opsporen, maar wissen het niet.

Wie bij de herstelzin kon

Twee zaken die deze week in het nieuws kwamen, gaan over mensen die van binnenuit bij geheimen konden. Het Openbaar Ministerie Oost-Nederland eiste zes maanden cel tegen een voormalig opsporingsambtenaar van de Koninklijke Marechaussee. Volgens het OM vond hij in politiesystemen een mutatie uit 2023 met de herstelcode van de cryptowallet van een reiziger, en haalde hij daarmee ruim 6000 euro weg. Het slachtoffer ontdekte op 3 november 2025 dat nagenoeg al zijn spaargeld weg was. De verdachte is ontslagen. Een eis is geen veroordeling. In de Verenigde Staten bekende een voormalig supervisor van de FBI dat hij ongeveer 2,47 miljoen dollar stal uit cryptowallets die aan onderzoeken van de FBI gekoppeld waren.

De les zit niet in de personen in deze zaken, maar in wat er in het dossier stond. Een herstelzin is de wallet zelf. Wie die opschrijft, in een systeem, een notitie of een foto, maakt van iedereen die bij dat systeem kan een mogelijke eigenaar van het geld. Bewaar zo'n zin dus offline en nergens anders.

Opsporing, twee acties met Nederlandse deelname

Politie en justitie uit onder meer Nederland, Duitsland, het Verenigd Koninkrijk en de Verenigde Staten haalden met steun van Europol en Eurojust de infrastructuur van de malware Gootloader, CastleRAT en StealC offline, binnen Operation Endgame. Volgens Europol gingen 235 servers en 257 domeinen uit de lucht, en werden op de in beslag genomen infrastructuur ongeveer 6,4 miljoen inloggegevens gevonden. Volgens het Duitse BKA hadden de daders de infrastructuur van StealC na een eerdere actie in juni opnieuw opgebouwd, onder meer bij de hostingdienst Virtualine, die eind oktober al werd uitgeschakeld door de politie van Frankfurt am Main en de NHTCU. Over die hostingdienst schreef ik het verhaal van Virtualine. De gevonden gegevens gaan onder meer naar Have I Been Pwned en het NCSC, zodat slachtoffers gewaarschuwd kunnen worden.

Bij Operation TorNado, onder coördinatie van Europol, werden 354 verkopers en kopers van grote darkwebmarkten aangehouden, van wie 12 in Nederland. Daarbij werd in Nederland ook 40 kilo MDMA in beslag genomen, en het Team High Tech Crime van de politie werkte mee. Europol wijst er zelf op dat darkwebmarkten zich na zulke acties steeds weer aanpassen. Dat is waar, maar het maakt de actie niet zinloos. Wie op zo'n markt verkocht, weet nu dat de politie ook jaren later nog langskomt.

Fraude, met en zonder vergoeding

Een klant van ASN die slachtoffer werd van bankhelpdeskfraude, krijgt de schade van 33.500 euro niet vergoed. Dat oordeelde het klachteninstituut Kifid. De klant werd gebeld door iemand die zich voordeed als medewerker van de fraudedesk, installeerde op diens verzoek AnyDesk en een app die een betaalrekening met een cryptowallet combineert, en maakte het geld over naar een Belgische en een Franse rekening. Volgens het Kifid zijn dat juridisch toegestane betalingen en staat niet vast dat ASN zijn zorgplicht schond. Ik schrijf dit niet om de klant iets te verwijten. Deze oplichters zijn beroepsmatig overtuigend. Ik schrijf het omdat het laat zien waar de coulanceregeling ophoudt. ASN weigerde vergoeding onder meer omdat het geld niet naar een zogenaamde veilige rekening bij de eigen bank ging, maar naar twee buitenlandse rekeningen.

Hoe dit eruitziet aan de deur, liet de politie in Utrecht zien. Een 24-jarige man uit Amsterdam is opgepakt op verdenking van het oplichten van een vrouw van 92, door zich als agent voor te doen. Met haar bankpas werd daarna 30.000 euro opgenomen bij goudhandelaren. De tips kwamen na beelden in de opsporingsprogramma's Bureau Hengeveld en Bureau NH. Ook bij de nepagent in Roermond, waarover ik eerder schreef, vraagt de politie met beelden om tips. In Rotterdam meldde een 21-jarige verdachte van een babbeltruc met 50.000 euro buit zich zelf, na beelden in Bureau Rijnmond.

In de mailbox ging het net zo door. Opgelicht?! waarschuwt voor valse mails namens Rabobank over een verhoogde daglimiet van 28.000 euro met een telefoonnummer dat niet van de bank is, valse mails namens KPN over een dubbel betaalde factuur, valse sms'jes namens SNS met ING als afzender, en mails namens iDEAL en Wero over een verificatie die niet bestaat, want de overgang naar Wero verloopt automatisch. De Fraudehelpdesk ziet een valse sms namens BENU Apotheek die naar bankhelpdeskfraude leidt. België lanceerde een nationaal actieplan met 29 maatregelen tegen online fraude, waaronder een nieuw meldformulier op Safeonweb en een uitbreiding van het waarschuwingssysteem Phish Nemo naar heel het land. In Nederland diende Kamerlid Don Ceder een motie in om het phishingfilter Anti Phishing Shield landelijk standaard aan te zetten; de Tweede Kamer moet er nog over stemmen.

Nederland en België, wat verder vaststaat

Het Cybersecuritybeeld Nederland 2026 van de NCTV verscheen op 6 november, en de conclusie is helder. De dreiging groeit sneller dan de weerbaarheid. Volgens het CSBN zat er in 2024 gemiddeld nog enkele maanden tussen de ontdekking en het misbruik van een kwetsbaarheid, in 2025 enkele weken en in 2026 nog maar enkele uren. Het kabinet wil het NCSC een eigen scanplatform laten ontwikkelen dat organisaties actief op hun zwakke plekken wijst, en minister Van Weel zei in de Kamer dat lekken met grote impact zoals PHP2Shell vaker zullen voorkomen. De AFM noemt een succesvolle cyberaanval op de financiële markten een kwestie van tijd. De Autoriteit Persoonsgegevens oordeelt dat de Belastingdienst op 10 van 12 onderzochte onderwerpen nog tekortschiet in de bescherming van persoonsgegevens.

Het Centrum voor Cybersecurity België waarschuwt dat bij meerdere Belgische organisaties is ingebroken via aanmelden met sms bij Microsoft, waarbij een telefoonnummer en een eenmalige code genoeg waren, zonder wachtwoord. Volgens het CCB was identiteitsmisbruik in 2025 de vaakst gemelde categorie van bevestigde incidenten. In meerdere Belgische ziekenhuizen viel het patiëntendossier van UZ Brussel uit; volgens het ziekenhuis is er geen indicatie van een cyberaanval, al wordt de oorzaak nog onderzocht. Ook in Nederland wijst een uitval deze week voorlopig niet op een aanval. Door een wereldwijde storing bij Microsoft 365 kon de Rechtspraak op vrijdag 13 november vaak geen e-mail ontvangen of versturen, en de rechtbanken in Rotterdam en Dordrecht vroegen om bij spoed te bellen. Volgens Charles Lamanna van Microsoft is er voorlopig geen aanwijzing voor kwaadwillende activiteit of een cyberaanval; de oorzaak is niet bekendgemaakt.

Proofpoint ziet in zijn rapport over Europa in 2026 dat de detecties van phishing in Europa op jaarbasis met een factor 4,5 stegen, tegen 1,5 wereldwijd, en dat Europese ontvangers vaker klikken op afgeleverde dreigingsberichten, 8,3 keer per 100 berichten tegen 2,0 wereldwijd. De actor TA2730 richt zich volgens Proofpoint op beleggers en klanten van brokers, onder meer in België en Nederland, met lokmails in de eigen taal.

Wie een klein bedrijf heeft, kan nog tot en met 30 november, of tot het budget op is, subsidie aanvragen via de regeling Mijn Cyberweerbare Zaak. Kleine bedrijven krijgen de helft van de kosten van maatregelen vergoed, tot 1.250 euro, bijvoorbeeld voor het laten instellen en testen van reservekopieën. Hoe belangrijk dat is, vertelde ondernemer Xander Koppelmans uit Sprundel aan Omroep Brabant. Bij een cyberaanval op zijn reclamebureau van een paar jaar geleden bleek de volgende ochtend ook de reservekopie vernietigd. Hij moest uiteindelijk faillissement aanvragen. Zijn les is nu dat hij de reservekopieën had moeten controleren.

Claims die nog geen feit zijn

Cybercrimeinfo ontdekte deze week weer claims van criminelen over Nederlandse en Belgische organisaties, en ik zet ze op een rij, juist omdat ze nog niets bewijzen. De afpersingsgroep AUDIT TEAM, die vorige week een Nederlandse organisatie met de gemaskeerde naam Pe***CT op haar leksite zette, noemt sinds 9 november de volledige naam, Pelican ICT in Almere. De groep n0n zette een Nederlands biofarmaceutisch bedrijf op haar leksite zonder naam, en noemt ook het databedrijf LiveRamp en de geneesmiddelenmaker LEO Pharma, die allebei een vestiging in Amsterdam hebben. INC Ransom claimt het Belgische techniekbedrijf Q-Technicians, een organisatie met de naam Nota Groep die volgens de monitoring in Nederland zit, en reisretailer Avolta, die ook zaken op Schiphol heeft. Op hackersfora worden databases aangeboden die volgens de verkopers komen van het Belgische Omnicasa, het Nederlandse SmartSpotter, en uit een portaal voor identiteitscontrole dat itsme gebruikt, via een externe leverancier. Geen van deze organisaties heeft deze claims bevestigd, en geen ervan is onafhankelijk geverifieerd.

Hoe zo'n groep werkt, beschrijft SOCRadar deze week aan de hand van n0n zelf. Op een onbeveiligde server vond het de werkmap van een operator. Er stonden geen exploits in. Alle beschreven inbraken verliepen via zwakke of gestolen inloggegevens, onder meer tegen VPN apparaten van Fortinet. De groep claimde op 19 oktober in totaal 283,7 miljoen dollar aan losgeldeisen, maar bij een controle op 16 oktober zag SOCRadar op 55 bitcoinadressen van de groep geen enkele transactie. Een eis op een leksite is dus een eis, geen betaling en geen bewijs.

Lekken die u vandaag kunt dichten

Microsoft dichtte op Patch Tuesday van 10 november ruim duizend kwetsbaarheden, waarvan één al actief wordt misbruikt, CVE-2026-124194 in Outlook. Begin daar. Chrome kreeg op 9 november een update voor het actief misbruikte lek CVE-2026-125350, en op 11 november een tweede update met 83 beveiligingsoplossingen, dus werk bij naar versie 157.0.8103.78 of hoger. Barracuda bevestigt zelf misbruik van twee lekken in onder meer de Email Security Gateway bij een klein aantal organisaties; maak de beheerinterface alleen bereikbaar vanuit vertrouwde netwerken. Vates waarschuwt dat een kritiek lek in Xen Orchestra actief wordt misbruikt en geen logregel achterlaat.

Fortinet dichtte op 10 november een lange reeks lekken in FortiMail, FortiManager, FortiAnalyzer, FortiOS en FortiAuthenticator, waarvan meerdere met een score van 9 of hoger, en volgens Fortinet wordt geen ervan actief misbruikt. Het NCSC bundelde de lekken in FortiManager en FortiAnalyzer in één advies met 43 kwetsbaarheden. SAP dichtte vier lekken met de maximale score van 10.0, onder meer in NetWeaver en de Web Dispatcher. Apache bracht versie 2.4.71 van zijn webserver uit tegen een kritiek lek in de module voor HTTP/2, waarvoor volgens Red Hat een betrouwbare exploit is aangetoond. Citrix dichtte 28 lekken in NetScaler ADC en Gateway, waarvan één elke installatie raakt. Synology dichtte een kritiek lek in DSM waarmee een aanvaller zonder inloggegevens bestanden op een NAS kan lezen en schrijven. Wie een Security Gateway van Check Point met Mobile Access gebruikt, controleert of de update is geplaatst. Volgens Check Point Research werden gateways die nog niet waren bijgewerkt vanaf 30 oktober aangevallen via PHP2Shell, in een eerste golf bij Israëlische organisaties, waarvan sommige met een wiper werden getroffen, en in een tweede golf bij organisaties wereldwijd, zonder aanwijzingen voor vernietiging. PostgreSQL bracht op 12 november updates uit voor alle ondersteunde versies, die samen 52 lekken dichten, en versie 14 krijgt na deze update geen fixes meer. AWS dichtte in mcp-gateway-registry, software die MCP servers registreert, een lek waarmee een gebruiker met weinig rechten beheerder kon worden; controleer na de upgrade naar 1.25.0 ook de koppelingen in group_mappings, want een koppeling met beheerrechten die via de getroffen functie is gemaakt, blijft na de upgrade werken.

Wie Git gebruikt, werkt bij naar een herstelde versie, zoals 2.56.1, en kloont tot die tijd geen repositories recursief van bronnen die u niet vertrouwt. Wie MongoDB in een replica set draait, zet de herstelde versie op elk lid. Voor SignDrop, een openbare exploit waarmee een gewone gebruiker in Windows rechten van SYSTEM kan krijgen, was op 11 november nog geen patch; Cyderes bevestigde dat de exploit werkt en raadt af de beveiliging van CLFS uit te schakelen, omdat dat oudere aanvallen weer mogelijk maakt. En wie een iPhone heeft, verwijdert apps die niet uit de App Store komen, want openbare code genaamd worse_query laat zulke apps volgens de onderzoeker gegevens van andere apps lezen, en de beveiligingsnotities van Apple bij de update van 9 november noemen het lek niet.

Wat ik u zou aanraden

Stel uzelf de vraag die deze week oproept. Wie heeft er buiten uw eigen mensen een sleutel tot uw systemen? Uw IT dienstverlener, de installateur van de koeling, een extensie die ooit voor een project is geplaatst, een rol in de cloud voor een dienst die u al jaren niet meer gebruikt. Bij ScreenConnect en bij Qubole kwamen de aanvallers binnen via toegang die ooit legitiem was ingericht en daarna is blijven staan, bij de koelregelaars via beheerinterfaces die vanaf internet bereikbaar waren met fabriekswachtwoorden. Vraag uw IT dienstverlener deze maand om een lijst van alle koppelingen en accounts die bij u openstaan, en laat weghalen wat niet meer nodig is.

Bent u lid van een sportclub, of bestelde u onlangs bij Topgeschenken? Wees dan de komende maanden extra kritisch op berichten die uw naam, uw club of uw bestelling noemen. Kloppende details maken een bericht niet echt, die details zijn precies wat er is gestolen. Bel bij twijfel zelf het nummer dat u al kende, niet het nummer in het bericht. En een bank, de politie of een agent haalt nooit uw bankpas of geld bij u thuis op.

Controleer vandaag één ding. Welke extensies, koppelingen en accounts van derden staan er nog op uw systemen, en weet u van elk ervan waarom?

Lees ook

► S03E15: Koelingen van supermarkten op afstand opgewarmd - De tweede golf aanvallen op koelsystemen in België en Nederland.

► S03E14: Inbraak bij eSignFlow en miljarden weg bij Binance - Het begin van het verhaal over de diefstal bij Binance.

► Drugsgeld en een misbruikforum, het verhaal van Virtualine - De hostingdienst waar de infrastructuur van StealC opnieuw werd opgebouwd.

► Verdachte gezocht na oplichting door nepagent in Roermond - Over de werkwijze van oplichters die zich als agent voordoen.

Hoe hoort u op tijd dat een lek uw leverancier raakt? Deze week kwamen aanvallers binnen via het beheerplatform van IT dienstverleners en via een systeem dat ongeveer 1500 sportclubs delen. Wie dagelijks ziet welke incidenten en lekken in Nederland en België spelen, kan eerder vragen of de eigen leveranciers erbij zitten. Dat zet de dagelijkse dreigingsupdate van de Cyber Dreigingsradar op een rij, met het actuele dreigingsniveau, de belangrijkste dreigingen kort geduid en patchadvies voor uw IT.

Schrijf u gratis in voor de dagelijkse dreigingsupdate van onze partner Digiweerbaar. Van maandag tot en met zaterdag, geen kosten, opzeggen wanneer u wilt.

Wilt u daarnaast persoonlijke meldingen en de rapportages die bij een abonnement horen? Bekijk wat de Cyber Dreigingsradar 2.0 biedt.

Volg ook op YouTube | Spotify | LinkedIn

Media & Analyses